...
Tekniska anslutningsregler per federationskontext (teknikneutral federationsnivå)
Normerar: vad som gäller, vilka gemensamma tekniska krav som gäller i federationskontexten, men uttryckt teknikneutralt (t.ex. “stark autentisering”, “spårbarhet”, “nyckelhantering”, “metadata-kvalitet”).
Innehåller inte: exakta SAML/OIDC-fält eller profilparametrar.
- Operatörer
- Vilka villkor ska gälla för de tekniska komponenter som de tillhandhåller
- Federationmedlemmar
- Vilka villkor ska gälla för de tekniska komponenter som de tillhandhåller
Registreringspolicy vid anslutning av teknisk komponent
Normerar: processen för hur en operatör registrerar en aktörs tekniska komponent (IdP, OP, SP, RP, API-gateway, attributkälla etc.), vilken evidens som krävs, test/validering, driftsättning, ändringshantering.
Innehåller: teknikberoende krav och flöden (eftersom registreringen skiljer sig mellan SAML och OIDC).
- Organisationsidentifierare
- Fastställande av företrädare
- Registrering av grundläggande metadata
- Eventuell utfärdande av egenskapsintyg?
- Operatörer
- Verifiering av teknisk interoperabilitet
- Federationmedlemmar
- Krav på teknisk interoperabilitet
- Hantering av avvikelser och uppföljning av åtgärdsplaner
- Policy för tilldelning av egenskapsintyg/egenskapsintygsutfärdartjänst
Tekniskt ramverk (teknikspecifik normnivå: standarder + profiler)
Normerar: exakta standarder, profiler, options, “MUST/SHOULD/MAY”, interoperabilitet, samt referens till testprofiler.
Beroende: både teknik och federationskontext
...
Tekniskt ramverk konkretiserar – det får inte motsäga högre nivå.
Registreringspolicy får inte skapa nya materiella krav som saknar stöd i regler eller ramverk.
Tekniska anslutningsregler får inte smyga in avtalskrav.
Anslutningspolicy får inte smyga in tekniska implementationer.
6. Praktiska exempel
| Exempel | Var hör det hemma? | Varför? |
|---|---|---|
| “Aktören ska ha incidenthanteringsförmåga” | Anslutningspolicy | Organisationskrav |
| “Incidenter ska rapporteras inom 24h” | Tekniska anslutningsregler | Federationskrav på samverkan |
| “Byte av signeringscertifikat kräver ny registrering” | Registreringspolicy | Processregel |
| “SAML Assertions MUST be signed with RSA-3072” | Tekniskt ramverk | Protokollkrav |
7. Mental modell: Fyra olika målgrupper
Detta är ofta den tydligaste distinktionen:
| Dokument | Primär målgrupp |
|---|---|
| Anslutningspolicy | Juridik, ledning, styrning |
| Tekniska anslutningsregler | Säkerhetsarkitekter, federationsansvariga |
| Registreringspolicy | Onboarding-/driftansvariga |
| Tekniskt ramverk | Utvecklare och produktleverantörer |
Om fel målgrupp måste läsa dokumentet för att förstå det – då är något felplacerat.
...