Subject: 09.09.2025 muudatus TARA poole väljuva võrguliikluse IP-piirangutes
From: "Hendrik Metspalu" <[email-masked]>
To: "Info" <[email-masked]>
Date: Wed, 3 Sep 2025 16:42:54 +0300

Tähelepanu! Tegemist on väljastpoolt asutust saabunud kirjaga. Tundmatu 
saatja korral palume linke ja faile mitte avada.

Hea koostööpartner!

Alates 09.09.2025 kell 22.00 keelatakse TARA toodangukeskkonnas 
identsustõendipäringute (POST https://tara.ria.ee/oidc/token) sooritamine 
IP-aadressidelt, mis ei ole kliendi konfiguratsiooniga määratud. Kui 
klientrakenduse back-end'ist tara.ria.ee poole väljuva võrguliikluse 
IP-aadresse on soov edaspidi muuta, tuleb kirjutada [email-masked] 
<mailto:[email-masked]>  ja täpsustada enda klientrakenduse client_id väärtus 
ja uued konfiguratsiooniväärtused. IP-aadresside määramine on täpsemalt 
kirjeldatud tehnilise kirjelduse peatükis 4 Klientrakenduse konfiguratsioon 
TARA poolel 
<https://e-gov.github.io/TARA-Doku/TehnilineKirjeldus#4-klientrakenduse-konfiguratsioon-tara-poolel> 
.

Klientrakendused, mille identsustõendipäringute (POST 
https://tara.ria.ee/oidc/token) sooritamine on seni toimunud ühelt kindlalt 
IP-aadressilt, nende puhul on TARA toodangukeskkonna konfiguratsioonis 
määratud see IP-aadress. Teiste klientrakenduste omanikega on kasutatavad 
IP-aadressid üle täpsustatud. Küsimuste korral palun võtke ühendust 
aadressil [email-masked] <mailto:[email-masked]>

TARA demokeskkonnas (tara-test.ria.ee) kirjeldatud konfiguratsioonielementi 
ei eksisteeri ja on lubatud identsustõendipäringute sooritamine kõikidelt 
IP-aadressidelt. Vastavalt TARA ehk OpenID Connect protokollile 
<https://e-gov.github.io/TARA-Doku/TehnilineKirjeldus#43-identsust%C3%B5endip%C3%A4ring> 
on identsustõendipäringul nõutud korrektsete client_id ja client_secret 
esitamine, nii TARA demokeskkonnas kui ka TARA toodangukeskkonnas. 
IP-aadresside piirang toodangukeskkonnas on client_secret-it täiendav 
kaitsemeede - kliendil on võimalik määrata klientrakendusest väljuva 
võrguliikluse IP-aadresside nimekiri/vahemik sellise täpsusega nagu 
klientrakenduse võrguarhitektuurist tulenevalt on võimalik ja nagu 
klientrakenduse riskianalüüs lubab.