Alternativ 2.2 - Via Sweden Connect

1. Beskrivning

Sweden Connect är en identitetsfederation där e-legitimationsutfärdare och attribututfärdare på ett säkert och effektivt sätt levererar digitala intyg till förlitande parter, för att göra det enklare för användare att logga in i e-tjänster med en e-legitimation.

1.1. Attribut

Följande Attribute Sets enligt Sweden Connects attributprofil (docs.swedenconnect.se) används för att styrka identiteten på användare. IdP:er anslutna till en operatör som E-hälsomyndigheten har godkänt använder dessa attribut i de SAML-intyg de utfärdar.

Sweden Connect Attribute Sets som godtas för identifiering av användare:

Natural Personal Identity with Civic Registration Number (Personnummer) – ELN-AP-Pnr-01 (docs.swedenconnect.se)

Följande attribut från detta Attribut Set används i säkerhetslösningen som ett behörighetsstyrande attribut:

Attribut i intyg (Sweden Connect)	Benämning i detta dokument	Gruppering
personalIdentityNumber	Personnummer	Person-id
organizationIdentifier	Organisationsnummer
o	Organisationsnamn

Utöver ovan behörighetsstyrande attribut kan kompletterande säkerhetsattribut (för specifika system) krävas för att medge åtkomst. Dessa attribut beskrivs i Kompletterande säkerhetsattribut.

1.2. Kompletterande säkerhetsattribut

Utöver de behörighetsstyrande attribut som används för att avgöra behörighetsroll krävs, för åtkomst till Nationella läkemedelslistan, även kompletterande säkerhetsattribut med anledning av krav på spårbarhet. För attribut som är upptagna i Sweden Connects attributprofil (docs.swedenconnect.se):

Friendly name

Attribute name

Gäller behörighetsroll

givenName

urn:oid:2.5.4.42

Förskrivare ¹

Icke-legitimerad apotekspersonal

sn

urn:oid:2.5.4.4

Förskrivare ¹

Icke-legitimerad apotekspersonal

¹ Då Förskrivare använder sig av Gruppförskrivarkod och Utökad yrkeskod.

I de fall attributet inte ingår i Sweden Connects attributprofil kan dessa attribut specificeras på ett av följande sätt:

Som attribut i säkerhetsintyg (utställt från IdP) som ligger utanför attributprofil
Som kompletterande behörighetsattribut (utställt från E-tjänst), via intygsväxling – se vidare Intygsväxling.

Friendly name

Attribute name/claim

Benämning i detta dokument + Beskrivning

Multivalue

Format

Gruppering

pharmacyIdentifier¹

https://id.ena-infrastructure.se/attributes/health/pharmacyIdentifier

Apotek GLN-kod

Unik identifiering av öppenvårdsapotek

Nej

Global Location Number, GS1 – lokaliseringsnumm

¹ Obligatoriskt för Apotek, då scope APOTEK anges vid intygsväxling.

1.3. Tillitsnivå (Level of Assurance – LOA)

För att medge åtkomst till tjänster ställs (utöver roll) krav på tillitsnivå av behörighetsstyrande attribut i intyget. Den nivå som är relevant är (eller motsvarar) tillitsnivå 3 enligt Diggs tillitsramverk för Svensk e-legitimation. Då inget krav på tillitsnivå finns för en specifik tjänst anges detta som LOA 0.

LOA	Motsvarar för Sweden Connect
LOA2	http://id.elegnamnden.se/loa/1.0/loa2
LOA3	http://id.elegnamnden.se/loa/1.0/loa3 ¹
LOA4	http://id.elegnamnden.se/loa/1.0/loa4

¹ Notera att http://id.swedenconnect.se/loa/1.0/uncertified-loa3 inte likställs med LOA3.

2. Teknisk information

För mer teknisk information om Sweden Connect, se Technical Specifications for the Swedish eID Framework (swedenconnect.se).

2.1. SAML-Assertion

Används för vård- och apotekspersonal som anropar E-hälsomyndighetens tjänster med ett SAML-intyg.

I tabellen listas de delar i SAML-Assertion som är av särskilt intresse i E-hälsomyndighetens säkerhetslösning.


SAML2:Issuer	Namnet på användarorganisationens identitetsintygsutgivare (Identity Provider, IdP).
DS:Signature	Innehåller signatur med utställarens certifikat i kodat (Base64) format
SAML2:Conditions	Giltighetstiden för intyget, se vidare Giltighetstid intyg.
SAML2:Audience	Tjänsteleverantör/E-tjänst (Service Provider, SP) som intyget är utställt till. Endast av E-hälsomyndigheten godkända tjänsteleverantörer ges tillgång till tjänster.
SAML2:AuthnContext	Tillitsnivå (Level of Assurance, LOA).
SAML2:AttributeStatement	Information (ett eller flera behörighetsattribut) om den person intyget avser. Mer information om dessa attribut finns på sidan Behörighetsstyrning.

2.2. SAML-Response

SAML-Response används som intyg (i stället för SAML-Assertion) då privat e-legitimation används (exempelvis via e-handel) vid anrop till E-hälsomyndighetens tjänster. Ett SAML-Response innehåller i sin tur ett SAML-Assertion. För mer information om information som ställs ut vid autentisering, kontakta den IdP (Identity Provider) som levererar e-legitimationslösningen.

2.3. Avkrypterad Assertion

För att kunna agera på det SAML-Assertion som inkommer till E-hälsomyndigheten behöver detta vara i okrypterad form. I fall den IdP som ställer ut SAML-Response gör det med krypterad SAML-Assertion, behöver denna avkrypteras av anropande system innan den används i anrop mot E-hälsomyndighetens tjänster.

Om så sker, behöver validering av SAML-Assertion fortfarande kunna ske. För att detta ska kunna vara möjligt behöver SP begära intyg med separat signering av Assertion. Detta kan åstadkommas genom att SP deklarerar detta i metadata genom attribut WantAssertionsSigned.

2.4. Validering av signatur – ds:Signature & saml2:Issuer

Signaturen (ds:SignatureValue) valideras mot metadata publicerad av identitetsfederation för att säkerställa tillit till den IdP som utfärdat intyget. Den nyckel som används för att göra uppslag av rätt signeringsnyckel i metadata är saml2:Issuer från intyg.

2.5. Validering av anropande part – saml2:Audience

I det Saml2-Assertion som inkommer med anrop till E-hälsomyndighetens tjänster sker validering av innehåll i attribut Saml2:Audience (i elementet AudienceRestiction) mot det värde som angavs vid anslutning.
Exempel AudienceRestriction

<saml2:AudienceRestriction>
<saml2:Audience>https://sp.example.se/</saml2:Audience>
</saml2:AudienceRestriction>

2.6. Giltighet – saml2:Conditions

Se vidare Giltighetstid intyg.

2.7. Tillitsnivå – saml2:AuthnStatement

Attribut sam2:AuthnContextClassRef används för att avgöra tillitsnivå för intyget. Se kapitel Tillitsnivå i behörighetsstyrning för mer information om godtagna tillitsnivåer. Krav på tillitsnivå finns även per tjänst, se vidare Tjänster och behöriga roller.
Exempel AuthnStatement

<saml2:AuthnStatement AuthnInstant="2021-04-13T07:37:23.764Z">
    <saml2:AuthnContext>
        <saml2:AuthnContextClassRef><...>/loa3</saml2:AuthnContextClassRef>
    </saml2:AuthnContext>
</saml2:AuthnStatement>

2.8. Behörighetsttribut – saml2:AttributeStatement

Ett eller flera Attribut (saml2:Attriute) i element saml2:AttributeStatement används i behörighetsstyrningen för utvärderande av behörighetsroller. Attribut kan även behövas för kompletterande säkerhetsattribut, se vidare Tjänster och behöriga roller.
Exempel AttributeStatement

<saml2:AttributeStatement>
    <saml2:Attribute FriendlyName="professionalLicence" Name="<...>/professionalLicence" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">
        <saml2:AttributeValue xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">LK</saml2:AttributeValue>
    </saml2:Attribute>
    <saml2:Attribute FriendlyName="personalPrescriptionCode" Name="<...>/personalPrescriptionCode" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">
        <saml2:AttributeValue xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">1234567</saml2:AttributeValue>
    </saml2:Attribute>
</saml2:AttributeStatement>

2.9. Miljöer

Nedan beskrivs E-hälsomyndighetens miljöer och dess motsvarighet i Sweden Connect.

Miljö E-hälsomyndigheten	Miljö Sweden Connect	Metadata
Externtest	Sweden Connect Sandbox	https://eid.svelegtest.se/mdreg/home
Produktion	Sweden Connect Produktion	https://md.swedenconnect.se/

Versionshistorik

Version	Datum	Release	Kommentar
1.0	2025-02-13	21.12	Ny sida, version 21.12