SSO mediante oAuth2

Opencity Italia integra l'autenticazione Spid/CIE mediante il componente dedicato OpenLogin, dialogando con esso con protocollo oAuth2. Lo stesso componente può essere usato da altri applicativi.

La funzionalità è disponibile esclusivamente su richiesta.

Panoramica dell'integrazione

Una autenticazione con SSO tra Opencity Italia e un applicativo in uso allo stesso Ente può essere agevolmente realizzata se può essere garantito il supporto per il protocollo oAuth2.

Vediamo uno schema generale degli attori in gioco:

Flusso di autenticazione

Vediamo un flusso di autenticazione di un cittadino che fa login prima sull'area personale e successivamente sull'applicativo di terze parti:

Attivazione del client OAuth2

L'applicativo di terze parti dovrà essere dotato di un opportuno client oAuth2. Ipotiziamo che le url coinvolte siano le seguenti e mostriamo una tipica configurazione del client.

URL dell'area personale: https://servizi.comune.bugliano.pi.it

URL della pagina di login (OpenLogin): http://login.comune.bugliano.pi.it

URL dell'applicativo di terze parti: http://myapp.company.com

Per attivare un nuovo client è necessario fornire:

• La URL da autorizzare come redirct uri del client
• La URL di logout

L'attivazione comprende i seguenti dati

redirect_url: http://servizi.comune.bugliano.pi.it/lang/auth/login-oauth
url_authorize: http://login.comune.bugliano.pi.it/authorize
url_access_token: http://login.comune.bugliano.pi.it/token
url_resource_owner_details: http://login.comune.bugliano.pi.it/api/profile
url_logout: http://login.comune.bugliano.pi.it/logout?redirect=http://servizi.comune.bugliano.pi.it/lang
client_id: {client_id} fornito da Opencity Labs
client_secret: {client_secret} fornito da Opencity Labs

Accesso al backoffice con OAuth/OIDC

È possibile configurare anche l'accesso al backoffice tramite un sistema OAuth/OIDC.

Se l'accesso è attivo, l'utente deve essere presente nel sistema di autenticazione esterno.

Se l'utente non è ancora presente nel backoffice, viene creato automaticamente come operatore senza privilegi.

Sarà poi l'amministratore a impostare i permessi necessari.

Il login con credenziali locali resta sempre disponibile.

Al primo accesso tramite OAuth/OIDC, un nuovo utente del backoffice non riceve permessi in automatico.

Un esempio minimo di configurazione è il seguente:

    enable_backend_oauth: true
    backend_oauth:
      provider: {provider}
      redirect_url: http://servizi.comune.bugliano.pi.it/lang/it/operatori/login
      url_authorize: {client_secret}/authorize/
      url_access_token: {client_secret}/token/
      url_resource_owner_details: {client_secret}/userinfo/
      url_logout: {client_secret}/revoke/
      url_profile: {client_secret}/user/
      client_id: {client_id} fornito da Opencity Labs
      client_secret: {client_secret} fornito da Opencity Labs