Open Baking-Absichts-ID für OpenID Connect-Anforderungszuordnung

Da die Nutzdaten, die die Transaktion darstellen, und der Prozess zum Einschließen der Absichts-ID in die Berechtigungsanforderung nicht klar definiert sind, kann ein Administrator IBM® Verify verwenden, um mithilfe einer angepassten Regel ein Script für die folgenden Aktionen zu schreiben.

• Extrahieren Sie die Absichts-ID aus der Anforderung.
• Rufen Sie die Informationen zum Absichtskontext ab, normalerweise durch Aufrufen der Bank-API.
• Wählen Sie aus, wie die Berechtigung in id_token als Anforderung oder Geltungsbereichswert dargestellt werden soll.

Die angepasste Regel basiert auf der Syntax, die unter Steuerprogramm für mehrzeilige Regeln beschrieben wird. Einfachere Regeln können aus einer Zeile bestehen und müssen nicht im YAML-Format geschrieben werden.

Damit eine Zahlung gestartet werden kann, muss zuerst eine Absicht erfasst werden. An diesem Szenario sind folgende Teilnehmer beteiligt:

• Ein PISP (Payment Initiation Service Provider), der sich beim Drittanbieter befindet und die Zahlungstransaktion einleitet.
• Ein ASPSP-Berechtigungsserver (ASPSP = Account Information Service Provider). In diesem Szenario ist der ASPSP Verify.
• Ein ASPSP-Ressourcenserver, auf dem die API für die Zahlungsinitialisierung gehostet wird.

Der PISP leitet den Benutzer um, um die Berechtigung für den Berechtigungsserver mit der Absichts-ID auszuführen. Der Berechtigungsserver muss die folgenden Tasks ausführen:

1. Die Absichts-ID extrahieren.
2. Informationen zu dieser Transaktion vom Ressourcenserver abrufen.

Von dieser angepassten Regel werden beide Operationen ausgeführt.

Absichts-ID aus Anforderung extrahieren

Im folgenden Beispiel wird der UK Open Banking-Standard zum Senden der Absichts-ID über claims veranschaulicht. Die eingehende Berechtigungsanforderung enthält openbanking_intent_id in den Anforderungen.

{
	"id_token": {
		"openbanking_intent_id": {
			"value": "b508f9df-799b-4120-a13e-5d09f2931fa6",
			"essential": true
		}
	}
}

Die Anforderungen werden extrahiert und im Anforderungskontext verfügbar gemacht. Zum Abrufen des Werts wird der folgende Code verwendet:

requestContext.getValue('claims_idtoken_openbanking_intent_id')

Transaktionsinformationen abrufen

Transaktionsinformationen werden auf dem ASPSP-Ressourcenserver (ASPSP = Account Servicing Payment Service Provider) gespeichert, auf dem die Zustimmungs- oder Absichts-ID generiert wurde. Verwenden Sie den HTTP-Client, um eine Anforderung an den Ressourcenserver zu erstellen. Die folgende Anforderung ist ein Beispiel.

hc.getAsJSON("https://resource.myaspsp.com/internal/intents/" + context.intentID

Transaktion einem Datenschutzzweck und Anforderungen zuordnen

Zur Erfassung von Einwilligungen für die Zahlungsinitiierung und den Kontozugriff für Open Banking müssen relevante Datenschutzzwecke erstellt werden. Beispielsweise muss für alle Zustimmungsanforderungen für die Zahlungsinitiierung ein payment_initiation-Datenschutzzweck erstellt werden. Dieser Zweck wird danach der Eigenschaft type im Rückgabeobjekt zugeordnet.

Außerdem muss für UK Open Banking eine openbanking_intent_id-Anforderung erstellt werden. Die übrigen Informationen zur Transaktion können auch zum Rückgabeobjekt hinzugefügt werden.

{
   "type": "payment_initiation",
   "intentID": "b508f9df-799b-4120-a13e-5d09f2931fa6",
   "currency": "USD",
   "amount": "1200.35",
   "merchant": "Merchant A",
   "claims": {
      "openbanking_intent_id": "b508f9df-799b-4120-a13e-5d09f2931fa6"
   }
}

Beispielzuordnungsregel

statements:
- if:
    match: "!has(requestContext.claims_idtoken_openbanking_intent_id)"
    return: null
- context: "intentID := requestContext.getValue('claims_idtoken_openbanking_intent_id')"
- context: 'intentContext := hc.getAsJSON("https://resource.myaspsp.com/internal/intents/" + context.intentID, { "Authorization": "apikey supersecretapikey" })'
- return: >-
    {
        "type": context.intentContext.type,
        "intentID": context.intentID,
        "currency": context.intentContext.instructedAmount.currency,
        "amount": context.intentContext.instructedAmount.amount,
        "merchant": context.intentContext.creditorName,
        "claims": {
            "openbanking_intent_id": context.intentID
        }
    }

Beispiel:

[RPT purpose_payment_initiation]
<input type="hidden" name="@PRIVACY_SCOPE_PNAME_REPEAT@"
    value="@PRIVACY_SCOPE_REPEAT@" privacy-readonly="true" />
<input type="hidden" id="@PRIVACY_SCOPE_PNAME_REPEAT@_state" name="@PRIVACY_SCOPE_PSTATE_REPEAT@"
    value="CONSENT_ALLOW" privacy-required="@PRIVACY_SCOPE_REQUIRED_REPEAT@" />
<div id="@PRIVACY_SCOPE_PNAME_REPEAT@_widget" class="bx--form-item" style="width:350px;"></div>
<div class="bx--grid" style="padding-left:0">
    <div class="bx--row" style="padding-bottom:6px;">
    <div class="bx--col-sm-1">Amount</div>
    <div class="bx--col">@PRIVACY_SCOPE_CUSTOM_currency@ @PRIVACY_SCOPE_CUSTOM_amount@</div>
    </div>
    <div class="bx--row" style="padding-bottom:6px;">
    <div class="bx--col-sm-1">Merchant</div>
    <div class="bx--col">@PRIVACY_SCOPE_CUSTOM_merchant@</div>
    </div>
    <div class="bx--row" style="padding-bottom:6px;">
    <div class="bx--col-sm-1">Reference</div>
    <div class="bx--col">@PRIVACY_SCOPE_ATTRVALUE_REPEAT@</div>
    </div>
</div>
[ERPT purpose_payment_initiation]

Beachten Sie die folgenden Aspekte.

• Ein neuer wiederholbarer Abschnitt, der für einen bestimmten Datenschutzzweck verwendet wird. Der verwendete Name weist das Format purpose_{purposeID} auf. purposeID ist die ID des Datenschutzzwecks. Diese Zweck-ID kann vom System generiert oder vom Benutzer bereitgestellt werden.
• Die beiden HTML-Formularfelder @PRIVACY_SCOPE_PNAME_REPEAT@ und @PRIVACY_SCOPE_PNAME_REPEAT@_state sind von grundlegender Bedeutung. Das erste Feld enthält die Verify-ID für den Zustimmungsdatensatz. Das zweite Feld enthält den Status der Zustimmung.
• Auf angepasste Attribute, die von der erweiterten Regel zurückgegeben werden, kann mit dem Makro @PRIVACY_SCOPE_CUSTOM_{attributeName}@ verwiesen werden. @PRIVACY_SCOPE_CUSTOM_currency@ wird beispielsweise durch den Währungswert ersetzt, der in der erweiterten Regel für Absichten zurückgegeben wird.