[Transfert IC --> PC] Tester ProConnect en recette

[amaurydubot]

Contexte

ProConnect est le futur système d’authentification de la DINUM qui remplacera Inclusion Connect (mais également MonComptePro et AgentConnect).

On va devoir adapter les échanges OIDC pour échanger avec ProConnect à la place d’Inclusion Connect. La bascule est prévue pour le 1er octobre 2024.

• À cette date, Inclusion Connect ne permettra plus ni la création de comptes ni la modification des comptes, seules les connexions pour les utilisateurs existants seront possibles.
• Il faudra basculer sur ProConnect pour permettre la création de comptes.

NB : pour rappel, étant donné que notre base rdv-insertion n'est pas siretisée, les utilisateurs auront un process d'embarquement un peu plus long documenté sur cette maquette.

Solution

Toute la documentation produit / métier est ici sur Notion. Toute la documentation d'implémentation de ProConnect est ici sur github (⚠ : cette page s'appelle encore "AgentConnect" mais ça concerne bien le futur ProConnect).

Idéalement, il faudrait tester en recette la mise en place de ProConnect avant les congés d'aout. Le référent dev est Antoine Laurent de la Plateforme de l'inclusion (antoine.laurent@beta.gouv.fr). NB : il est congé en août donc plus simple de le faire avant afin de faciliter la Q&A.

➡ Voici les étapes (cf. documentation supra) :

1) Faire une demande de création de compte sur AgentConnect via démarches-simplifiées.fr (nouvellement ProConnect mais le nom affiché sur la procédure n’aura peut-être pas changé lorsque vous vous lancerez)

• Donner le siren de votre structure
• Le nom du produit
• Le réseau : internet seulement
• la plateforme : intégration pour faire vos tests
• les urls de callback (⚠️ attention, pas de wildcard possible avec AgentConnect)
• Note : outils utilisés pour faire un proxy oidc et contourner la restriction sur les wildcards : https://github.com/lsagetlethias/charon*
• les scopes : cochez tout !
• la liste des urls où le bouton de connexion sera visible
• L’algorithme : HS265 est plus simple à utiliser si vous n’utilisez pas une librairie capable d’interroger l’endpoint /jwks
• Ne pas hésiter à pinger @benoit.serrano sur mattermost si vous n’avez pas de réponse au bout de 24h (ou par email sur benoit.serrano@beta.gouv.fr) ou à solliciter @sonia.perelroizen sonia.perelroizen@beta.gouv.fr pour qu’elle vous aide sur les relances

2) Adapter votre implémentation par rapport à IC :

• Un point d’entrée unique (pas de séparation entre création de compte / connexion)
• Il faut ajouter la clé "acr_values": "eidas1" dans dans les query params de l’appel à l’enpoint /authorize (voir https://github.com/france-connect/Documentation-AgentConnect/blob/main/doc_fs/technique_fca/endpoints.md#body)
• L’id_token renvoyé par l’endpoint /token ne contient plus les informations de l’utilisateur
• L’endpoint /user_info renvoi un jwt signé (avec l’algo précédemment choisi, HS265 utilise le client_secret comme clé de déchiffrement)
• Dans la réponse de l’endpoint /user_info le nom de famille est appelé usual_name au lieu de family_name

[amaurydubot]

Lien de la PR de RDV SP sur le même sujet : https://github.com/betagouv/rdv-service-public/pull/4309