Alternativ 2.1 - Via Sambiombud begränsad
Stöd för Sambiombud begränsad lanseras i release 21.13
1. Beskrivning
1.1. Sambiombud begränsad
I anslutningsmodell "Sambiombud begränsad" är det identitetsintygsutgivaren, inte användarorganisationen, som ansluter som medlem i Sambi. Som vanligt krävs också att tjänsteleverantören är medlem i Sambi.
1.2. Attribut
Attributen i tabellen nedan är enligt Sambis attributprofil (wiki.federationer.internetstiftelsen.se) och används i behörighetsstyrning för tilldelning av roller.
|
Attribut i intyg (enligt Sambi) |
Benämning i detta dokument |
Gruppering |
|---|---|---|
| orgPersonalIdentityNumber | Personnummer/samordningsnummer | Person-id |
| organizationIdentifier | Organisationsnummer |
1.3. Kompletterande säkerhetsattribut
I de fall attributet inte ingår i attributprofilen kan dessa attribut specificeras på ett av följande sätt:
- Som kompletterande behörighetsattribut (utställt från E-tjänst), via intygsväxling – se vidare Intygsväxling.
|
Friendly name |
Attribute name/claim |
Benämning i detta dokument + Beskrivning |
Multivalue |
Format |
Gruppering |
|---|---|---|---|---|---|
| pharmacyIdentifier1 | http://sambi.se/attributes/1/pharmacyIdentifier |
Apotek GLN-kod Unik identifiering av öppenvårdsapotek |
Nej | Global Location Number, GS1 – lokaliseringsnumm |
1 Obligatoriskt för Apotek, då scope APOTEK anges vid intygsväxling.
1.4. Tillitsnivåer
För att medge åtkomst till tjänster ställs (utöver roll) krav på tillitsnivå av behörighetsstyrande attribut i intyget. Den nivå som är relevant är (eller motsvarar) tillitsnivå 3 enligt Diggs tillitsramverk för Svensk e-legitimation. Då inget krav på tillitsnivå finns för en specifik tjänst anges detta som LOA 0.
|
LOA |
Motsvarar för Sambi |
|---|---|
| LOA2 | http://id.sambi.se/loa/loa2 |
| LOA3 | http://id.sambi.se/loa/loa3 |
| LOA4 | http://id.sambi.se/loa/loa4 |
2. Teknisk information
För mer teknisk information om Sambi, se Sambi (wiki.federationer.internetstiftelsen.se).
2.1. SAML-Assertion
Används för vård- och apotekspersonal som anropar E-hälsomyndighetens tjänster med ett SAML-intyg.
I tabellen listas de delar i SAML-Assertion som är av särskilt intresse i E-hälsomyndighetens säkerhetslösning.
| SAML2:Issuer | Namnet på användarorganisationens identitetsintygsutgivare (Identity Provider, IdP). |
| DS:Signature | Innehåller signatur med utställarens certifikat i kodat (Base64) format |
| SAML2:Conditions | Giltighetstiden för intyget, se vidare Giltighetstid intyg. |
| SAML2:Audience | Tjänsteleverantör/E-tjänst (Service Provider, SP) som intyget är utställt till. Endast av E-hälsomyndigheten godkända tjänsteleverantörer ges tillgång till tjänster. |
| SAML2:AuthnContext | Tillitsnivå (Level of Assurance, LOA). |
| SAML2:AttributeStatement | Information (ett eller flera behörighetsattribut) om den person intyget avser. Mer information om dessa attribut finns på sidan Behörighetsstyrning. |
2.2. Avkrypterad Assertion
För att kunna agera på det SAML-Assertion som inkommer till E-hälsomyndigheten behöver detta vara i okrypterad form. I fall den IdP som ställer ut SAML-Response gör det med krypterad SAML-Assertion, behöver denna avkrypteras av anropande system innan den används i anrop mot E-hälsomyndighetens tjänster.
Om så sker, behöver validering av SAML-Assertion fortfarande kunna ske. För att detta ska kunna vara möjligt behöver SP begära intyg med separat signering av Assertion. Detta kan åstadkommas genom att SP deklarerar detta i metadata genom attribut WantAssertionsSigned.
2.3. Validering av signatur – ds:Signature & saml2:Issuer
Signaturen (ds:SignatureValue) valideras mot metadata publicerad av identitetsfederation för att säkerställa tillit till den IdP som utfärdat intyget. Den nyckel som används för att göra uppslag av rätt signeringsnyckel i metadata är saml2:Issuer från intyg.
2.4. Validering av anropande part – saml2:Audience
I det Saml2-Assertion som inkommer med anrop till E-hälsomyndighetens tjänster sker validering av innehåll i attribut Saml2:Audience (i elementet AudienceRestiction) mot det värde som angavs vid anslutning.
Exempel AudienceRestriction
|
|
2.5. Giltighet – saml2:Conditions
Se vidare Giltighetstid intyg.
2.6. Tillitsnivå – saml2:AuthnStatement
Attribut sam2:AuthnContextClassRef används för att avgöra tillitsnivå för intyget. Se kapitel Tillitsnivå i behörighetsstyrning för mer information om godtagna tillitsnivåer. Krav på tillitsnivå finns även per tjänst, se vidare Tjänster och behöriga roller.
Exempel AuthnStatement
|
|
2.7. Behörighetsttribut – saml2:AttributeStatement
Ett eller flera Attribut (saml2:Attriute) i element saml2:AttributeStatement används i behörighetsstyrningen för utvärderande av behörighetsroller. Attribut kan även behövas för kompletterande säkerhetsattribut, se vidare Tjänster och behöriga roller.
Exempel AttributeStatement
|
|
2.8. Miljöer
Nedan beskrivs E-hälsomyndighetens miljöer och dess motsvarighet i Sambi.
|
Miljö E-hälsomyndigheten |
Miljö Sambi |
Metadata |
|---|---|---|
| Externtest | Sambi Trial | https://fed.sambi.se/trial/md/metadata.xml |
| Produktion | Sambi Produktion | https://fed.sambi.se/prod/md/metadata.xml |
Versionshistorik
|
Version |
Datum |
Release |
Kommentar |
|---|---|---|---|
| 1.0 | 2025-02-13 | 21.12 | Ny sida, version 21.12 |