Alternativ 2.1 - Via Sambiombud begränsad
Stöd för Sambiombud begränsad lanseras i release 21.13
Beskrivning
Sambiombud begränsad
I anslutningsmodell "Sambiombud begränsad" är det identitetsintygsutgivaren, inte användarorganisationen, som ansluter som medlem i Sambi. Som vanligt krävs också att tjänsteleverantören är medlem i Sambi.
Utöver den tekniska profil som gäller för Sambi generellt behöver följande specifikation beaktas för Sambiombud begränsad: https://wiki.federationer.internetstiftelsen.se/pages/viewpage.action?pageId=91717655
Attribut
Attributen i tabellen nedan är enligt Sambis attributprofil (wiki.federationer.internetstiftelsen.se) och används i behörighetsstyrning för tilldelning av roller.
Attribut i intyg (enligt Sambi) | Benämning i detta dokument | Gruppering |
|---|---|---|
| orgPersonalIdentityNumber | Personnummer/samordningsnummer | Person-id |
| organizationIdentifier | Organisationsnummer |
Kompletterande säkerhetsattribut
I de fall attributet inte ingår i attributprofilen kan dessa attribut specificeras på ett av följande sätt:
- Som kompletterande behörighetsattribut (utställt från E-tjänst), via intygsväxling – se vidare Intygsväxling.
Friendly name | Attribute name/claim | Benämning i detta dokument + Beskrivning | Multivalue | Format | Gruppering |
|---|---|---|---|---|---|
| pharmacyIdentifier1 | http://sambi.se/attributes/1/pharmacyIdentifier | Apotek GLN-kod Unik identifiering av öppenvårdsapotek | Nej | Global Location Number, GS1 – lokaliseringsnumm |
1 Obligatoriskt för Apotek, då scope APOTEK anges vid intygsväxling.
Tillitsnivåer
För att medge åtkomst till tjänster ställs (utöver roll) krav på tillitsnivå av behörighetsstyrande attribut i intyget. Den nivå som är relevant är (eller motsvarar) tillitsnivå 3 enligt Diggs tillitsramverk för Svensk e-legitimation. Då inget krav på tillitsnivå finns för en specifik tjänst anges detta som LOA 0.
LOA | Motsvarar för Sambi |
|---|---|
| LOA2 | http://id.sambi.se/loa/loa2 |
| LOA3 | http://id.sambi.se/loa/loa3 |
| LOA4 | http://id.sambi.se/loa/loa4 |
Teknisk information
För mer teknisk information om Sambi, se Sambi (wiki.federationer.internetstiftelsen.se).
SAML-Assertion
Används för vård- och apotekspersonal som anropar E-hälsomyndighetens tjänster med ett SAML-intyg.
I tabellen listas de delar i SAML-Assertion som är av särskilt intresse i E-hälsomyndighetens säkerhetslösning.
| SAML2:Issuer | Namnet på användarorganisationens identitetsintygsutgivare (Identity Provider, IdP). |
| DS:Signature | Innehåller signatur med utställarens certifikat i kodat (Base64) format |
| SAML2:Conditions | Giltighetstiden för intyget, se vidare Giltighetstid intyg. |
| SAML2:Audience | Tjänsteleverantör/E-tjänst (Service Provider, SP) som intyget är utställt till. Endast av E-hälsomyndigheten godkända tjänsteleverantörer ges tillgång till tjänster. |
| SAML2:AuthnContext | Tillitsnivå (Level of Assurance, LOA). |
| SAML2:AttributeStatement | Information (ett eller flera behörighetsattribut) om den person intyget avser. Mer information om dessa attribut finns på sidan Behörighetsstyrning. |
Avkrypterad Assertion
För att kunna agera på det SAML-Assertion som inkommer till E-hälsomyndigheten behöver detta vara i okrypterad form. I fall den IdP som ställer ut SAML-Response gör det med krypterad SAML-Assertion, behöver denna avkrypteras av anropande system innan den används i anrop mot E-hälsomyndighetens tjänster.
Om så sker, behöver validering av SAML-Assertion fortfarande kunna ske. För att detta ska kunna vara möjligt behöver SP begära intyg med separat signering av Assertion. Detta kan åstadkommas genom att SP deklarerar detta i metadata genom attribut WantAssertionsSigned.
Validering av signatur – ds:Signature & saml2:Issuer
Signaturen (ds:SignatureValue) valideras mot metadata publicerad av identitetsfederation för att säkerställa tillit till den IdP som utfärdat intyget. Den nyckel som används för att göra uppslag av rätt signeringsnyckel i metadata är saml2:Issuer från intyg.
Validering av anropande part – saml2:Audience
I det Saml2-Assertion som inkommer med anrop till E-hälsomyndighetens tjänster sker validering av innehåll i attribut Saml2:Audience (i elementet AudienceRestiction) mot det värde som angavs vid anslutning.
Exempel AudienceRestriction
|
Giltighet – saml2:Conditions
Se vidare Giltighetstid intyg.
Tillitsnivå – saml2:AuthnStatement
Attribut sam2:AuthnContextClassRef används för att avgöra tillitsnivå för intyget. Se kapitel Tillitsnivå i behörighetsstyrning för mer information om godtagna tillitsnivåer. Krav på tillitsnivå finns även per tjänst, se vidare Tjänster och behöriga roller.
Exempel AuthnStatement
|
Behörighetsttribut – saml2:AttributeStatement
Ett eller flera Attribut (saml2:Attriute) i element saml2:AttributeStatement används i behörighetsstyrningen för utvärderande av behörighetsroller. Attribut kan även behövas för kompletterande säkerhetsattribut, se vidare Tjänster och behöriga roller.
Exempel AttributeStatement
|
Miljöer
Nedan beskrivs E-hälsomyndighetens miljöer och dess motsvarighet i Sambi.
Miljö E-hälsomyndigheten | Miljö Sambi | Metadata |
|---|---|---|
| Externtest | Sambi Trial | https://fed.sambi.se/trial/md/metadata.xml |
| Produktion | Sambi Produktion | https://fed.sambi.se/prod/md/metadata.xml |
Versionshistorik
Version | Datum | Release | Kommentar |
|---|---|---|---|
| 1.0 | 2025-02-13 | 21.12 | Ny sida, version 21.12 |
| 1.1 | 2025-09-25 | 21.14 | Länk till Internetstiftelsens specifikation |