Claims

Claims worden eerst verwerkt in de authenticatiemethode en daarna in de app registratie, waar het mogelijk is te bepalen welke claims worden doorgegeven naar de volgende stap en claim transforms en claim tasks uit te voeren.

Alle claim vergelijkingen zijn case sensitive.

Het claim proces start in de authenticatiemethode wanneer een gebruiker authenticeert. Daar is het mogelijk om claim transforms en claim tasks uit te voeren en te configureren welke claims moeten worden doorgegeven naar de volgende stap. Daarna gaat het claim proces verder in de app registratie, waar het ook mogelijk is claim transforms uit te voeren en te configureren welke claims moeten worden uitgegeven aan de applicatie / API.

In een Client Credentials Grant scenario wordt het claim proces alleen in de app registratie uitgevoerd. Hetzelfde geldt voor claim transforms en de configuratie van welke claims moeten worden uitgegeven aan de applicatie / API.

Authentication method

In zowel een OpenID Connect als SAML 2.0 authenticatiemethode worden claims doorgegeven door ze toe te voegen aan de lijst Forward claims. Alle claims worden doorgegeven als een wildcard * wordt toegevoegd aan de lijst Forward claims.

Een authenticatiemethode geeft twee claims uit die in de app registratie kunnen worden gelezen en gebruikt in claim transforms en claim tasks. De claims gelden altijd voor de laatste authenticatiemethode. De uitgegeven claims (standaard doorgestuurd):

• auth_method bevat de naam van de authenticatiemethode, de naam is uniek in een omgeving.
• auth_method_type bevat het type authenticatiemethode: login, oidc, oauth2, saml2 of env_link.

Een sub claim en een access token ontvangen van een externe Identity Provider worden genest met een pipe (|) na de up_party naam. Voorbeelden:

• Een externe sub met de waarde afeda2a3-c08b-4bbb-ab77-35138dd2ef2d krijgt de geneste waarde the-auth-method|afeda2a3-c08b-4bbb-ab77-35138dd2ef2d
• Een externe access token met de waarde eyJhG.cRwczov...nNjb3B.lIjoi wordt toegevoegd in de access_token claim met de geneste waarde the-auth-method|eyJhG.cRwczov...nNjb3B.lIjoi

Application registration

In zowel een OpenID Connect, OAuth 2.0 en SAML 2.0 app registratie worden claims uitgegeven aan de applicatie / API door ze toe te voegen aan de lijst Issue claims. Alle claims worden uitgegeven aan de applicatie / API als een wildcard * wordt toegevoegd aan de lijst Issue claims.

Een OpenID Connect app registratie kan onderscheiden of een claim alleen in de access token of ook in de ID token wordt uitgegeven.

Een OpenID Connect en OAuth 2.0 app registratie kan claims ook doorgeven via een scope. Dit wordt gedaan door de claim(s) toe te voegen aan de lijst Voluntary claims van een scope. De claims worden dan uitgegeven als de client applicatie om de scope vraagt. Een OpenID Connect app registratie kan ook in de vrijwillige scope claims onderscheiden of een claim alleen in de access token of ook in de ID token wordt uitgegeven.