Authentification de l’API

Les API publiques CoreView sont sécurisées via OAuth 2.0 / OpenID Connect. L’authentification utilise le flux Client Credentials, qui permet la communication de serveur à serveur en demandant un jeton d’accès avec un ID client et un secret client.

Fournisseur d’identité

Utilisez le fournisseur d’identité correspondant à l’environnement cible :

• Environnements standard : https://identity.coreview.com
• Environnements GOV : https://usidentity.coreview.com

Configuration OpenID

Les documents de métadonnées OpenID Connect sont disponibles aux URL suivantes :

• Standard : https://identity.coreview.com/.well-known/openid-configuration
• GOV : https://usidentity.coreview.com/.well-known/openid-configuration

Ces documents fournissent les détails de découverte standard OAuth 2.0 / OpenID Connect, y compris le point de terminaison du jeton.

Flux d’authentification

Les API publiques CoreView utilisent un flux Client Credentials standard :

1. Obtenez un Client ID et un Client Secret valides auprès du support CoreView.
2. Demandez un jeton d’accès JWT au fournisseur d’identité CoreView.
3. Utilisez le jeton pour appeler l’hôte d’API publique CoreView associé au centre de données correct.

Hôtes API par centre de données

Les requêtes API doivent être envoyées à l’hôte correspondant au centre de données du client.

Point de terminaison du jeton

Pour obtenir un jeton d’accès, envoyez une requête POST au point de terminaison du jeton exposé par le fournisseur d’identité. Le point de terminaison du jeton peut être lu dans le document de configuration OpenID.

Exemple pour les environnements standard :

POST /connect/token HTTP/1.1
Host: identity.coreview.com
Content-Type: application/x-www-form-urlencoded
Authorization: Basic base64(CLIENT_ID + ":" + CLIENT_SECRET)
grant_type=client_credentials&scope=SPACE_SEPARATED_SCOPES

Exemple de requête

POST /connect/token HTTP/1.1
Host: identity.coreview.com
Content-Type: application/x-www-form-urlencoded
Authorization: Basic c2FtcGxlY2xpZW50aWQ6c2FtcGxlY2xpZW50c2VjcmV0Cg==
Content-Length: 173
grant_type=client_credentials&scope=delegation.read%20delegation.write%20operator.read%20operator.write%20platform.read%20licensepool.write%20licensepool.read%20license.read

Exemple de réponse

{
    "access_token": "eyJhbGciOiJ...",
    "expires_in": 3600,
    "token_type": "Bearer",
    "scope": "delegation.read delegation.write license.read licensepool.read licensepool.write operator.read operator.write platform.read"
}

Notes

• Le access_token est un JSON Web Token (JWT) utilisé pour autoriser les requêtes API.
• Le jeton expire après 3600 secondes (1 heure). Après expiration, un nouveau jeton doit être demandé.
• Les informations d’identification du client doivent être stockées de manière sécurisée et rester confidentielles.
• Le point de terminaison du jeton doit être récupéré à partir du document de configuration OpenID pour l’environnement concerné.
• Les requêtes API doivent être envoyées à l’hôte API associé au centre de données du client.