Versions Compared

Old Version 34

changes.mady.by.user Martin Solberg

Saved on

compared with

New Version 35

changes.mady.by.user Martin Solberg

Saved on

Key

  • This line was added.
  • This line was removed.
  • Formatting was changed.

...

Beskrivning Pilot Appva-EHM

  1. Cross-domain

Relevanta specifikationer som används:

Kort-namnBeskrivning
authn-authz-patterns"Mönster för autentisering och auktorisation"
Övergripande beskrivning av mönster för autentisering och auktorisation. Konceptuell,  ej normativ.
inter-domain-calls"API-anrop över organisationsgränser"
Övergripande beskrivning av mönster för anrop över organisationsgränser. Konceptuell, ej normativ.
ena-oauth2-authn-bp

"Ena OAuth 2.0 User Authentication Best Practises"

Best practises för integration av befintlig inloggningslösning med OAuth 2.0. Konceptuell, ej normativ. 

ena-oauth2-profile"Ena OAuth 2.0 Interoperability Profile"
Ena Basprofil för användning av OAuth 2.0 i Ena-sammanhang. Grundläggande specifikation för all tillämpning av OAuth där den förekommer. Normativ. 
ena-oauth2-chaining

"Ena OAuth 2.0 Token Exchange Profile for Chaining Identity and Authorization"

Enaprofil för token exchange och auktorisation över organisationsgränser.

oidf-spec

"OpenID Federation 1.0 - draft 43"




AnvndningsfallBeskrivningPOC -kriterierAcceptanskriterier
Batch-lösningen är ett pilotval; i full drift används realtidsupplösning via Resolver.


Ingående komponenter (ansvarig aktör)Lösningsmönster & SpecifikationerKommentar
DS010 – Inloggning i systemEn användare loggar in i System A via en legitimeringstjänst (SAML IdP). Resultatet är en aktiv inloggningssession i System ASäkerställa att SAML-inloggning fungerar och att sessionen etableras

Kriterier verksamhet

  •  Kandidat: Inloggning av användare sker enligt / mha Sambi

Kriterier specifikation

  •  Kandidat: De delar i inloggningslösning som använder OAuth följer ena-oauth2-profile.
  • Legitimeringstjänst (IdP – Org A)
  • System A (System A– Org A)

SAML 2.0, Single Sign-On

Ena OAuth 2.0 Interoperability Profile

ena-oauth2-profile

ena-oauth2-authn-bpEna OAuth 2.0 User Authentication Best Practises

Grundförutsättning för federativ åtkomst.
DS020 – Lokal auktorisationKlient interagerar med en lokal auktorisationstjänst för att fastställa användarens behörigheter. SSO återanvänder sessionen mot IdP för andra system.

Verifiera att lokal auktorisation fungerar och att SSO-sessionen kan återanvändas.

Kriterier specifikation

  •  AS i domän A ("AS-A") har etablerat egen uppfattning om användaren. MCSS initierar Auth grant w. code enligt ena-oauth2-authn-bp, kap 2.2 eller 2.3.
  •  MSCC utför token exchange mot AS-A enligt ena-oauth2-chaining, kap 3.3
  •  MSCC som klient följer oauth-oauth2-profile i relevanta delar
  •  AS domän A följer oauth-oauth2-profile i relevanta delar
  • Auktorisationstjänst (Org A) Legitimeringstjänst (IdP – Org A) System A

OIDC/OAuth2 (Access Token, ID Token), SAML SSO

Ena OAuth 2.0 Interoperability Profile

ena-oauth2-profile

ena-oauth2-chainingEna OAuth 2.0 Token Exchange Profile for Chaining Identity and Authorization

Möjliggör lokal policytillämpning och SSO-flöde.
DS030 – Åtkomstbegäran till annan organisationSystem A begär åtkomstintyg från Organisation B:s auktorisationstjänst för att få åtkomst till resurs i B:s miljö.

Kontrollera att Organisation B:s auktorisationstjänst kan utfärda och returnera giltigt intyg som System A kan validera.

Kriterier specifikation

  •  MCSS utför authorization grant mot AS i domän B ("AS-B") enligt ena-oauth2-chaining, kap 3.4
  •  MSCC som klient följer oauth-oauth2-profile i relevanta delar
  •  AS domän B följer oauth-oauth2-profile i relevanta delar
  • Auktorisationstjänst (Org B) Resursserver (Org B) System A (Org A)

OIDC/OAuth2 Token Exchange, JWT Grants

Ena OAuth 2.0 Interoperability ProfileEna OAuth 2.0 Token Exchange Profile for Chaining Identity and Authorization

ena-oauth2-chaining

Möjliggör system-till-system-samverkan över organisationsgränser.
DS040 – Metadatahantering via federationsinfrastrukturMetadata för IdP, RP och auktorisationstjänster hanteras via OIDF-federationskomponenter.

Säkerställa att metadata kan hämtas, verifieras och cache:as via Resolver, och att trust chain kan valideras till Tillitsankaren.

Kriterier specifikation

  •  AS domän B som klient följer oauth-oauth2-profile i relevanta delar
  •  Resolver följer oauth-oauth2-profile i relevanta delar
  • Se tabell ovan 

OpenID oidf-spec OpenID Federation 1.0, Entity Statements, Trust Chains, Trust MarksEna OAuth 2.0 Interoperability Profile

ena-oauth2-profile
DS050 - API-anrop Cross Domain

Kriterier specifikation

  •  MSCC som klient följer oauth-oauth2-profile i relevanta delar
  •  NLL som Resursserver/API följer oauth-oauth2-profile i relevanta delar

ena-oauth2-profileEna OAuth 2.0 Interoperability Profile