Investiguer l'authentification par DataPass

[florimondmanca]

Motivé par #124 (comment)

Dans le cadre de #124, investiguer la possibilité technique de déléguer l'authentification à DataPass.

Romain a écrit :

Il se trouve qu'aujourd'hui j'ai pour voisin de bureau l'équipe datapass et ils me confirment que l'on peut utiliser datapass comme passerelle d'inscription. L'utilisateur devra se créer un compte datapass (si ce n'est pas déjà le cas) et nous recevrons en retour ses informations et le SIRET de son organisation (qui nous permettra de vérifier le bon ministère) correspondance pour automatiquement valider l'inscription.

[florimondmanca]

Notes en vrac

En réalité, il est un peu impropre de dire "Authentification par DataPass", car DataPass est lui-même utilisateur d'un système d'authentification : le serveur OpenID Connect (OIDC) de https://auth.api.gouv.fr. C'est le code de ce service qui est disponible sur https://github.com/betagouv/api-auth. Il semble néanmoins "taillé pour DataPass", car la page de connexion affiche "Mon compte DataPass". Bref.

La documentation pour utiliser ce serveur OIDC est plutôt parcellaire... Mais d'après le code de DataPass (backend, frontend), il semble bien suivre l'Authorization Code flow de OIDC.

Il faudra donc :

1. Ajouter du code au client qui appellera un endpoint de proxy côté serveur d'API. Celui-ci devra appeler le Authorization Endpoint (https://auth.api.gouv.fr/authorize).
2. Ajouter du code au serveur d'API qui implémentera le callback. Ce callback devra appeler le TokenEndpont (https://auth.api.gouv.fr/token) pour obtenir un token puis le userinfo, à faire persister dans un cookie [le navigateur devrait correctement le passer puisque client et serveur d'API sont sur le même domaine]. Le userinfo contiendra un email et les organizations, qui elles-mêmes auront un siret. On pourra alors faire correspondre avec les organisations en base : si un catalogue existe déjà, y rattacher l'utilisateur, sinon suggérer d'en créer un, etc.
3. Enregistrer notre callback sur auth.api.gouv.fr (via une PR sur leur repo ?).

[florimondmanca]

Avec le détail fonctionnel ici #124 (comment) je pense avoir bien débroussaillé. Côté technique c'est assez clair de comment ça fonctionnerait. Je vais donc fermer ce ticket auquel on pourra se référer à l'avenir.