@@ -23,7 +23,12 @@ Im Rahmen dieser Story wurden begonnenen Arbeiten an Umstellung der OAuth Autori
- Sendende Systeme können Access Token mit Scopes abrufen, die nur für Zustellpunkte mit bestimmten Leistungen und Regionen gültig sind, um hiermit den Berechtigungsumfang weiter einzuschränken. Wird von dieser Option kein Gebrauch gemacht, ist der Scope des Access Token für alle Regionen und Leistungen in Deutschland gültig.
- Um diese Berechtigungen bei Access Tokens von sendenden Systemen zu ermöglichen, müssen nun in den Zustellpunkten die Leistungs-IDs (bspw. Angabe eines Leika Schlüssel) und die Region-ID (aktuell ARS) verpflichtend angegeben werden, die in diesem Zustellpunkt abgebildet werden. Leistungen, die nicht über den ARS abgebildet werden oder keinen Ortsbezug haben, werden in dem Zustellpunkt mit DE angeben werden.
- Scopes für sendende Systeme: https://docs.fitko.de/fit-connect/docs/details/authentication/scopes-sender
- Scopes für empfangende Systeme: https://docs.fitko.de/fit-connect/docs/details/authentication/scopes-subscriber
Wie Scopes bei der Registierung und Verwaltung von API-Clients hinterlegt werden, wird in der Dokumentation zum Self-Service-Portal beschrieben, sobald dieses umgesetzt ist.
#### Endpunkt zur Abfrage der öffentlichen Informationen einer Destination
...
...
@@ -37,11 +42,11 @@ Zur Prüfbarkeit der Datenübermittlung erhält die Submission ein Event Log, da
#### Schlüsselverwaltung des Zustelldienstes
Um Security Event Tokens (SET) zu
Um Security Event Tokens (SET) des Zustelldienstes eigenständig hinsichtlich der Signatur zu valdieren, ist es notwendig, diese Schlüssel allen API-Clients zur Verfügung zu stellen. Daher wird stellt der Zustelldienst über einen `/.well-known/jwks.json` Endpunkt alle Schlüssel dauerhaft bereit, damit eine Validierung von SETs auch noch Monate oder Jahre nach dem Einreichungsvorgang möglich ist. Näheres hierzu hier: https://docs.fitko.de/fit-connect/docs/getting-started/event-log#signaturpr%C3%BCfung-eines-vom-zustelldienst-ausgestellten-set
