Ena IAM - Pilot
Sammanfattning
Denna Proof of Concept (POC) syftar till att praktiskt testa och demonstrera hur en federativ infrastruktur enligt OpenID Federation-modellen kan realiseras i Ena för digital samverkan mellan organisationer. Fokus ligger på att visa hur en användare i Organisation A genom sitt system kan anropa ett skyddat API i Organisation B, där säkerhets- och tillitsinformation förmedlas via federationsinfrastrukturen (FI-serien) och används i faktiska samverkansflöden (DS-serien).
Pilotens komponenter byggs upp enbart för testmiljön. Det handlar alltså inte om en skarp pilot med riktiga aktörer i en produktionsmiljö, utan om en teknisk modell för att verifiera arkitektur, flöden och specifikationer.
Tabellerna nedan beskriver de användningsfall som piloten omfattar. Varje användningsfall dokumenteras med:
en kort beskrivning av vad som sker i steget,
POC-kriterier för att bedöma om steget lyckats,
en lista över ingående komponenter och ansvariga aktörer,
de lösningsmönster och specifikationer som används,
samt eventuella kommentarer som förklarar avgränsningar eller särskilda testfall.
Användningsfallen i FI-serien (FI010–FI040) fokuserar på den tekniska federationsinfrastrukturen: tillitsankartjänst, anslutningstjänst, uppslags- och verifieringstjänst samt tillitsmärkestjänst. Dessa visar hur federationens metadata, trust chains och tillitsmärken hanteras och verifieras.
Användningsfallen i DS-serien (DS001–DS004) demonstrerar den faktiska digitala samverkan mellan organisationer: från användarens inloggning i ett system (DS001), via lokal auktorisation och SSO (DS002), till en åtkomstbegäran riktad mot en annan organisation (DS003) och den bakomliggande metadatahanteringen via federationsinfrastrukturen (DS004).
Tillsammans visar dessa användningsfall hela kedjan: från att etablera federativ tillit via FI-serien till att praktiskt realisera digital samverkan mellan två organisationer via DS-serien.
Användningsfall
Översikt
<<Insert nice picture here!>>
...
| Användningsfall | Beskrivning | POC-kriterier | Ingående komponenter (ansvarig aktör) | Lösningsmönster & Specifikationer | Kommentar |
|---|---|---|---|---|---|
| FI010 – Metadatapublicering | En Tillitsankartjänst (Trust Anchor) publicerar och signerar sitt federation metadata statement. | Säkerställa att metadata kan publiceras, distribueras och signaturen verifieras av andra parter. |
| OpenID Federation 1.0, Entity Statements (Entity Configuration, Trust Chain) | Grund för teknisk tillit i federationen. |
| FI020 –Metadatapublicering | En Anslutningstjänst (Intermediate Entity) agerar länk mellan Tillitsankartjänst och underordnade entiteter (OP, RP, API:er). Den kan även applicera lokala policies. | Validera att Anslutningstjänst korrekt kan hämta metadata från Tillitsankartjänst, applicera policy och vidareförmedla metadata. |
| OpenID Federation 1.0, Policy claims, Authority Hints | Möjliggör skalbarhet och delegerad tillit. |
| FI030 – Metadatavalidering | En Uppslags- och verifieringstjänst (Resolver) kan hämta och verifiera metadata för en entitet genom att bygga en trust chain från Tillitsankartjänsten. | Kontrollera att trust chain kan byggas korrekt (top-down/bottom-up), signaturer verifieras och metadata returneras komplett. |
| OpenID Federation 1.0, Authority Hints, Trust Chain Resolution | Avlastar digitala tjänster från komplex verifieringslogik. |
| FI040 – Tillitsmärkeshantering | En Tillitsmärkestjänst (Trust Mark Issuer) utfärdar tillitsmärken som styrker att en entitet uppfyller definierade tillitsskapande krav. | Säkerställa att tillitsmärken är signerade, giltiga och verifierbara enligt policy. |
| OpenID Federation 1.0, Trust Marks (JWT), Policykrav | Bygger policybaserad tillit inom federationen. |
...
<<Insert nice picture here!>>
| Användningsfall | Beskrivning | POC-kriterier | Ingående komponenter (ansvarig aktör) | Lösningsmönster & Specifikationer | Kommentar |
|---|---|---|---|---|---|
| DS001 – Inloggning i system (MCSS) | En användare loggar in i System A via en legitimeringstjänst (SAML IdP). Resultatet är en aktiv inloggningssession i System A | Säkerställa att SAML-inloggning fungerar och att sessionen etableras. |
| SAML 2.0, Single Sign-On | Grundförutsättning för federativ åtkomst. |
| DS002 – Lokal auktorisation & SSO | Klient interagerar med en lokal auktorisationstjänst för att fastställa användarens behörigheter. SSO återanvänder sessionen mot IdP för andra system. | Verifiera att lokal auktorisation fungerar och att SSO-sessionen kan återanvändas. |
| OIDC/OAuth2 (Access Token, ID Token), SAML SSO | Möjliggör lokal policytillämpning och SSO-flöde. |
| DS003 – Åtkomstbegäran till annan organisation | System A begär åtkomstintyg från Organisation B:s auktorisationstjänst för att få åtkomst till resurs i B:s miljö. | Kontrollera att Organisation B:s auktorisationstjänst kan utfärda och returnera giltigt intyg som System A kan validera. |
| OIDC/OAuth2 Token Exchange, JWT Grants | Möjliggör system-till-system-samverkan över organisationsgränser. |
| DS004 – Metadatahantering via federationsinfrastruktur | Metadata för IdP, RP och auktorisationstjänster hanteras via OIDF-federationskomponenter. I piloten används Internetstiftelsens Resolver, Tillitsankartjänst, Tillitsmärkestjänst och Anslutningstjänst. Batch-jobb integrerar mot Resolver för schemalagd hämtning av metadata. | Säkerställa att metadata kan hämtas, verifieras och cache:as via Resolver, och att trust chain kan valideras till Tillitsankaren. | Tillitsankartjänst (Internetstiftelsen) Anslutningstjänst (Internetstiftelsen) Tillitsmärkestjänst (Internetstiftelsen) Uppslags- och verifieringstjänst (Internetstiftelsen)
| OpenID Federation 1.0, Entity Statements, Trust Chains, Trust Marks | Batch-lösningen är ett pilotval; i full drift används realtidsupplösning via Resolver. |
...