Documentation #65683: documentation SSO OIDC : parler de la gestion des paramètres iss et sid (#65475) utiles au SLO - Publik - Redmine Entr’ouvert

Documentation #65683

Ajouté par Thomas Noël il y a presque 2 ans. Mis à jour il y a presque 2 ans.

Statut:

Fermé

Priorité:

Normal

Assigné à:

Catégorie:

Version cible:

Début:

25 mai 2022

Echéance:

% réalisé:

Temps estimé:

Patch proposed:

Non

Planning:

Non

Club:

Non

Description

Pour que le logout OIDC marche mieux via les iframe en 2022, il faut parler de #65475

Je crois avoir compris que :

sur https://dev.entrouvert.org/projects/publik/wiki/Raccordement_d'un_portail_m%C3%A9tier#Description-technique-non-exhaustive-de-lauthentification-unique il faut dire au portail métier de retenir «iss» et «sid« fournis par Publik lors de l'étape XXX et les stocker dans la session (XXX = quelle étape ? et sous quelle forme sont-ils fournis ?)
sur https://dev.entrouvert.org/projects/publik/wiki/Raccordement_d'un_portail_m%C3%A9tier#SLO-initi%C3%A9-par-Publik-Frontchannel-Logout indiquer qu'en cas d'absence du cookie de session, il faut couper la session qui concerne «iss» et «sid» envoyés en paramètre de l'URL de frontchannel_logout_uri

Benjamin tu peux compléter et confirmer ? (Je pourrais faire les phrases ensuite si tu as d'autres feux à éteindre)

sid et iss sont contenus dans l'id_token fourni en retour de l'appel au token endpoint (pour la spec https://openid.net/specs/openid-connect-frontchannel-1_0.html#RPLogout)
ce n'est même pas en cas d'absence de session, il faut faire comme ça tout le temps si on peut dans la mesure où les logouts ne sont pas signés