Access-Tokens
Ein Access-Token wird von einem Open-ID-Connect-Provider zur verfügung gestellt. Wie eine User-Session enthält dieser Attribute wie zugeordnete Organisationen, Rollen und Rechte. Ein ausgestellter Access-Token ist, abhängig von der Konfiguration im Provider (z.B. Keycloak), für eine kurze Zeitspanne gültig.
Verwendung des Access-Tokens
Um Access-Token zur Authentifizierung an den API-Endpunkten zu verwenden, muss diese in der Einstellung der Backend-Connection des Identity-Providers aktiviert sein.
Dann kann dieser in Form eines Bearer-Tokens im Authorization-Header übermittelt werden.
Das BPC überprüft dann, ob dieser Token von dem konfigurierten OIDC-Provider signiert wurde, der Token nicht abgelaufen ist und ob die jeweiligen Rollen oder Rechte für den Endpunkt gegeben sind.
