...

Här beskrivet vi koppling till avtal, villkor och meta dataregistrering dataregistrering, Definierar när policyn gäller så som vid nyregistrering, uppdatering och avregistrering

Roller och ansvar

Här beskriver vi roller som träffas av policyn samt relationerna mellan roller .

Anslutningsoperatör 

Federationsmedlem 

Federationsmiljöer

Registreringsbara tekniska komponenter

Metadataregler

Tillitsidentifierare och entitetskategorier

Tekniska krav på komponenter

Attribut- och identitetsregler

Test och verifiering

Förändringshantering

Löpande uppföljning och kontroller

Avregistrering och återkallelse

Versionshantering och uppdatering 

Definitioner och roller

ex Anslutningsoperatör, Federationsmedlem 

Koppling/referens bör finnas till anslutnignspolicy/avtalhär?

Anslutningsoperatör

Anslutningsoperatör är den organisation/funktion som:

...

I federationsmodellen kan anslutningsoperatören ha delegerat ansvar från överordnad federationsfunktion och förväntas kunna godkänna/avregistrera komponenter och deras metadata?

Federationsmedlem

Federationsmedlem är en organisation som ansluter en eller flera tekniska komponenter till federationen och nyttjar federationens tillitsinformation för samverkan. Federationsmedlemmar förutsätts ingå avtal med anslutningsoperatör för att kunna placera komponenter i federationen.

Teknisk komponent
Med teknisk komponent avses i denna policy en federationsentitet som federationsmedlem ansluter och som ska kunna upptäckas och valideras genom federationens metadata/tillitsinformation. Exempel på komponenttyper (ej uttömmande):

legitimeringstjänst/OP,

förlitande part/RP,

auktorisationstjänst/AS,

resurs/API (RS) och API-klient,

attribut-/informationskälla??,

andra federationsprotokollentiteter enligt gällande tekniska profiler.

Federationsmiljöer

Beskriver krav kopplade till olika miljöer såsom test, QA och produktion. Reglerar hur komponenter får flyttas mellan miljöer och vilka krav som gäller per miljö.

Registreringsbara tekniska komponenter

Specificerar vilka typer av komponenter som får registreras, exempelvis IdP, SP, attributtjänster och underskriftstjänster. Klargör att varje instans är en separat registreringsenhet.

Process för verifiering och registrering av metadata

Villkor för organisatorisk koppling, behörigföreträdare mm

Metadataregler

Teknisk metadata - organisationnr, orgnamn, entity_id, nycklar mm
Reglerar struktur, innehåll och validering av metadata. Anger obligatoriska element såsom organisationsinformation, endpoints, certifikat och UI-information.
Egenskapsintyg

Tillitsidentifierare och entitetskategorier

Fastställer hur tillitsnivåer och entitetskategorier ska deklareras i metadata. Reglerar kopplingen mellan godkänd tillitsnivå och tillåtna identifierare.

Tekniska krav på komponenter

Anger krav på protokollstöd, säkerhetskonfiguration, signering och kryptering. Reglerar användning av specificerade profiler och tekniska standarder.

Attribut- och identitetsregler

Definierar vilka attributuppsättningar som får levereras och under vilka förutsättningar. Reglerar särskilda fall såsom organisationsidentiteter och samordningsnummer.

Test och verifiering

Beskriver processen för teknisk granskning och verifiering innan produktionssättning. Anger krav på testfall, interoperabilitet och säkerhetskontroller.

Förändringshantering

Reglerar hur ändringar i metadata, certifikat, endpoints eller funktionalitet ska hanteras. Anger krav på notifiering och eventuell "omgranskning".

Löpande uppföljning och kontroller

Fastställer mekanismer för kontinuerlig validering av metadata och teknisk efterlevnad i syfte att möjliggör revision, stickprov(er) och incidentbaserad kontroll(er).

Avregistrering och återkallelse

Reglerar hur komponenter avregistreras frivilligt eller genom beslut. Anger hur metadata tas bort och hur tillit återkallas vid allvarliga avvikelser.

Versionshantering och uppdatering

Beskriver hur nya versioner av tekniska krav införs och tidsramar för anpassning. Fastställer hur policyn själv uppdateras och träder i kraft.

Krav
anslutningsoperatör ska endast utfärda Subordinate Statement efter genomförd verifiering enligt avsnittet “Verifiering och granskning”.
anslutningsoperatör ska dokumentera vilka kontroller som utförts och vilket beslutsdatum som gäller för utfärdandet.
anslutningsoperatör ska inkludera policy-identifierare så att andra parter kan förstå vilket regelverk som gällde vid intag

...

Krav
Federationsmedlem ska kunna initiera akut ändringsärende (t.ex. nyckelkompromettering) via någon form av ingång och ange åtgärdsplan.
Anslutningsoperatören ska ha dokumenterad rutin för hur incidentkontakt används för att kunna avregistrera/stoppa komponent vid behov

Draft av dokumentsdisposition

Registreringspolicy (RP) – Rubriknivå med scope

• 1. Inledning
  Beskriver syftet med registreringspolicyn och dess roll i federationsstyrningen. Klargör att policyn reglerar hur tekniska komponenter får registreras och publiceras i federationen.
• 2. Omfattning och tillämpning
  Anger vilka aktörer och komponenter som omfattas av policyn. Definierar när policyn gäller – vid nyregistrering, uppdatering och avregistrering.
• 3. Roller och ansvar
  Fastställer ansvarsfördelningen mellan federationsoperatör, anslutningsoperatörer och federationsmedlemmar. Klargör vem som ansvarar för korrekt metadata, teknisk konfiguration och löpande efterlevnad.
• Avtal?
  • Koppling till anslutnignspolicy/avtal?
• 4. Federationsmiljöer
  Beskriver krav kopplade till olika miljöer såsom test, QA och produktion. Reglerar hur komponenter får flyttas mellan miljöer och vilka krav som gäller per miljö.
• 5. Registreringsbara tekniska komponenter
  Specificerar vilka typer av komponenter som får registreras, exempelvis IdP, SP, attributtjänster och underskriftstjänster. Klargör att varje instans är en separat registreringsenhet.
• 6. Process för verifiering och registrering av metadata
  • Villkor för organisatorisk koppling, behörigföreträdare 
  • Metadataregler
  • Teknisk metadata - organisationnr, orgnamn, entity_id, nycklar mm
    Reglerar struktur, innehåll och validering av metadata. Anger obligatoriska element såsom organisationsinformation, endpoints, certifikat och UI-information.
  • Egenskapsintyg
    7. Tillitsidentifierare och entitetskategorier
    Fastställer hur tillitsnivåer och entitetskategorier ska deklareras i metadata. Reglerar kopplingen mellan godkänd tillitsnivå och tillåtna identifierare.
• 8. Tekniska krav på komponenter
  Anger krav på protokollstöd, säkerhetskonfiguration, signering och kryptering. Reglerar användning av specificerade profiler och tekniska standarder.
• 9. Attribut- och identitetsregler
  Definierar vilka attributuppsättningar som får levereras och under vilka förutsättningar. Reglerar särskilda fall såsom organisationsidentiteter och samordningsnummer.
• 10. Test och verifiering
  Beskriver processen för teknisk granskning och verifiering innan produktionssättning. Anger krav på testfall, interoperabilitet och säkerhetskontroller.
• 11. Förändringshantering
  Reglerar hur ändringar i metadata, certifikat, endpoints eller funktionalitet ska hanteras. Anger krav på notifiering och eventuell omgranskning.
• 12. Löpande uppföljning och kontroller
  Fastställer mekanismer för kontinuerlig validering av metadata och teknisk efterlevnad. Möjliggör revision, stickprov och incidentbaserad kontroll.
• 13. Avregistrering och återkallelse
  Reglerar hur komponenter avregistreras frivilligt eller genom beslut. Anger hur metadata tas bort och hur tillit återkallas vid allvarliga avvikelser.
• 14. Versionshantering och uppdatering
  Beskriver hur nya versioner av tekniska krav införs och tidsramar för anpassning. Fastställer hur policyn själv uppdateras och träder i kraft.

...