FTV Werkgroep #28: AuthZEN & GraphQL

Steeds meer overheidspartijen ontsluiten gegevens via GraphQL — in de Wlz-keten, bij BKWI en bij het programma Gemeenschappelijke Bronontsluiting (GBO). Maar GraphQL-verzoeken gaan allemaal naar één endpoint, met de query als tekst in het bericht: aan de buitenkant valt niet te zien wat er gevraagd wordt, en dat maakt standaard-autorisatie lastig.

GBO presenteerde in de werkgroep een eerste voorstel om dit met de FTV-standaarden op te lossen: een mapper vóór het endpoint die het schema en de query parseert en het AuthZEN-verzoek verrijkt met de gevraagde typen, velden en argumenten. Policies beslissen vervolgens per type en veld, deny by default en alles-of-niets per query — en de policy-engine hoeft zelf geen GraphQL te begrijpen. De specificatie wordt met de werkgroep gedeeld voor een verdiepingsslag, samen met onder meer BKWI en de Wlz-keten. Lees het volledige verslag in de notulen.

De aanmelding van de Authorization Decision Log bij Forum Standaardisatie loopt. De werkgroep inventariseerde wie de standaard al ondersteunt: van opname in beleid en architectuur tot eigen implementaties en verkennende gesprekken.

Op 13 oktober staat ODRL-AP-NL op de agenda; twee weken later, op 27 oktober, volgt weer een sessie met de IAM-focus.