AF_10037 - Unklarheiten Beschreibung und Sequenzdiagram

[nikzen]

Hallo Zusammen,

wir würden uns über eine kurze Hilfe zu AF_10037 freuen:

Beschreibung: Organisationen können ihren Eintrag im VZD-FHIR-Directory an die eigenen Strukturen anpassen. Leistungserbringer können z. B. die TI-Messenger-Adresse in ihrem Eintrag hinzufügen. Der Basiseintrag einer Organisation oder eines Leistungserbringers wird wie bisher durch die Kartenherausgeber erstellt. Die Organisation KANN eigene mit dem Basiseintrag verlinkte FHIR-Ressourcen erstellen, um die Struktur der Organisation abzubilden. Zum Beispiel können Krankenhäuser ihre Fachabteilungen als HealthcareService-Einträge abbilden, die mit dem Organization-Eintrag verlinkt sind. Wenn der Org-Admin oder LE kein gültiges owner-accesstoken vom VZD-FHIR-Directory im Client vorliegt, muss die Authentisierung mittels OIDC an einem IDP der TI-IDP-Föderation erfolgen. Nach erfolgreicher Authentisierung ist die durch den IDP bestätigte Telematik-ID des Leistungserbringers oder der Organisation am Auth-Service bekannt. Für den Aufruf der FHIR-Operationen durch den Client stellt der Auth-Service dem Client ein owner-accesstoken aus, dass auch die Telematik-ID des LE oder der Organisation enthält. 

Hier ist die Rede von einem "IDP der TI-IDP-Föderation". Laut unserem Verständnis erfolgt der Schreibzugriff durch die Verwendung der SMC-B. Bedeutet ein Client signiert mit Hilfe der SMC-B eine Challenge vom Auth-Service, um ein Access Token zu erhalten. Wie genau spielen die TI-IDP-Föderation hier rein und wie können wir das für die Zulassung testen? Grundsätzlich wäre es aus unserer Sicht intuitiver, wenn das Thema des Schreibzugriffs in eine Backend Komponente ausgelagert werden kann, da viele Operationen automatisiert durchgeführt werden sollten.

Sequence

Das Sequence Diagram gibt andere Möglichkeiten an, als in der Beschreibung stehen. Ist es richtig, dass zwei verschiedene Möglichkeiten hier gezeigt werden?

• Möglichkeit 1 - Nutzung eines OIDC ID-Tokens, ausgestellt durch Registrierungsdienst
  • Kann die Kommunikation Client <-> IDP entsprechend der OIDC Spec erfolgen?
  • Welche Anforderungen gibt es an die Signatur des ID-Tokens + Custom-Scopes?
  • Ermöglicht dieser Ablauf den Einsatz von Serviceaccounts?
• Möglichkeit 2 - Nutzung eines Code-Challenge Verfahrens mittels der SMC-B

Wir würden uns über Hilfe sehr freuen.

Vielen Dank

Viele Grüße

Niklas