Relier une application à PassID

Étapes

1. Dans la console de l'association, ouvrez Applications › Relier une application, indiquez son nom et son adresse de retour. 2. Copiez l'identifiant et le secret (affiché une seule fois). 3. Saisissez-les dans votre application avec l'adresse de l'émetteur. 4. Donnez des rôles aux membres dans Utilisateurs, Groupes ou Unités.

Découverte automatique

L'émetteur (issuer) est l'adresse du portail de l'association. Toute la configuration se lit à l'adresse de découverte :

Émetteur      https://votre-asso.passid.fr
Découverte    https://votre-asso.passid.fr/.well-known/openid-configuration
Autorisation  https://votre-asso.passid.fr/oauth/authorize
Jeton         https://votre-asso.passid.fr/oauth/token
Profil        https://votre-asso.passid.fr/oauth/userinfo
Clés (JWKS)   https://votre-asso.passid.fr/oauth/jwks

Flux « code d'autorisation », jetons d'identité signés en RS256. Authentification du client : client_secret_basic ou client_secret_post. PKCE accepté (S256).

Périmètres

Demandez openid profile email. Aucun autre périmètre n'est nécessaire.

Informations transmises

Champ	Contenu
sub	Identifiant stable de la personne
name, given_name, family_name	Nom complet, prénom, nom
email, email_verified	Adresse e-mail et sa vérification
organization	Nom de l'association
role, roles	Rôle de la personne pour cette application

Rôles

role vaut admin, manager ou reader. Une personne sans rôle (none) ne peut pas se connecter : la connexion est refusée avant d'atteindre votre application. Le rôle retenu est le plus fort entre le rôle direct, celui des groupes et celui de l'unité.

Adresses de retour

De une à cinq adresses, en https:// (http://localhost accepté pour les essais). Elles doivent correspondre exactement à celles envoyées par l'application.

Exemples

WordPress (extension « OpenID Connect Generic Client ») : ID et secret client, périmètres openid profile email, points d'accès ci-dessus, adresse de retour indiquée par l'extension (…/wp-admin/admin-ajax.php?action=openid-connect-authorize).

Nextcloud (application « user_oidc ») :

Identifiant   (identifiant client copié dans la console)
Secret        (secret client)
Découverte    https://votre-asso.passid.fr/.well-known/openid-configuration
Retour        https://votre-nextcloud.fr/apps/user_oidc/code

Une question d'intégration ? Écrivez-nous : contact@monasso.eu.