...

Detaljerade protokoll och interoperabilitetskrav (t.ex. exakta fältkrav, säkerhetsparametrar, endpoints) återfinns i separata tekniska profiler och tekniska anslutningsregler. Denna policy hänvisar till dessa dokument när de finns fastställda.

Omfattning och tillämpning

...

Koppling/referens bör finnas till anslutnignspolicy/avtalhär?avtal här?

Federationsoperatör 

kanske ska beskrivas? 

Anslutningsoperatör

Anslutningsoperatör är den organisation/funktion som:

...

Teknisk komponent
Med teknisk komponent avses i denna policy en federationsentitet som federationsmedlem ansluter och som ska kunna upptäckas och valideras genom federationens metadata/tillitsinformation. Exempel på komponenttyper (ej uttömmande):

• legitimeringstjänst/OP,
• förlitande part/RP,
• auktorisationstjänst/AS,
• resurs/API (RS) och API-klient,
• attribut-/informationskälla??,
• övriga om jag missat nån federationsprotokollentiteter enligt

...

• tekniska profil(er).

Trust Mark Issuer kanske ska heta nåt annart så som egenskapsintygutföärdare 

Trust Mark Issuerär en federationsentitet som utfärdar Trust Marks, dvs signerade intyg om xyz

...

Specificerar vilka typer av komponenter som får registreras, exempelvis IdP, SP, attributtjänster osv. Ska vara tydligt att varje instans är en separat registreringsenhet. 

Process för registrering och verifiering av metadata

Villkor för organisatorisk koppling, behörigföreträdare mm koppling/referat till anslutningspolicy

Här reglerasorganisatorisk regleras organisatorisk koppling, behörig företrädare och publicerbarhet på någon nivå, samt att detaljerade tekniska krav/test test  det senare kanske ligger  ligger under tekniska anslutningsregleranslutnings regler?
Koppling finns troligen till  Anslutningspolicy (behörighet/anslutningsvillkor), Tekniska anslutningsregler (detaljer).

...

Här beskrivs beslutspunkten (godkänn/avvisa/kräv komplettering), hur publicering sker i federationen samt hur medlemmen får återkoppling. Här borde det finns en del klurigheter så som vad som händer vid avslag och vad som ses som myndighetsutövning osv? 

Hantering av avvikelser, spärrar och avregistrering

Här beskrivs vad som händer om organisatorisk koppling inte kan styrkas eller om metadata bedöms inte vara publicerbar.

Metadataregler

Beskriver övergripande regler för hur teknisk metadata för en federerad komponent ska vara utformad, vad den ska innehålla och hur den valideras. Syftet ät att metadata kan publiceras och användas för automatiserad tillitsetablering och interoperabilitet i federationen. Metadatareglerna gäller för federationsmedlemmars tekniska komponenter som registreras i federationen oavsett roll (t.ex. utfärdare/auktorisationsserver, förlitande part/klient, eller andra federationstjänster).

...

Metadata ska knytas till en teknisk komponent via en entydig identifierare dessutom ska metadata bära tillräcklig organisationsinformation för att koppla komponenten till ansvarig federationsmedlem det skulle kunna vara vara ex: 

• organisationsnummer,
• organisationsnamn,
• relevanta kontaktuppgifter (administrativ och teknisk kontakt),
• eventuell koppling till avtal/anslutningsrelation

Identifierare och organisationsuppgifter ska vara stabila över tid. Ändring av dessa uppgifter sker enligt nån process nånstans som inte beskrivits ännu. 

...

Det ska inte användas för att uttrycka juridisk behörighet eller beslutsmandat? (sånt hör hemma i särskilda behörighetsintyg/behörighetshandlingar).

Tillitsidentifierare och entitetskategorier

Fastställer hur tillitsnivåer och entitetskategorier ska deklareras i metadata. Reglerar kopplingen mellan godkänd tillitsnivå och tillåtna identifierare.

Tekniska krav på komponenter

Anger krav på protokollstöd, säkerhetskonfiguration, signering och kryptering. Reglerar användning av specificerade profiler och tekniska standarder.

Attribut- och identitetsregler

Definierar vilka attributuppsättningar som får levereras och under vilka förutsättningar. Reglerar särskilda fall såsom organisationsidentiteter och samordningsnummer.

Test och verifiering

Beskriver processen för teknisk granskning och verifiering innan produktionssättning. Anger krav på testfall, interoperabilitet och säkerhetskontroller.

Förändringshantering - kanske ska slå ihop med Kap 13. 

Reglerar hur ändringar i metadata, certifikat, endpoints eller funktionalitet ska hanteras. Anger krav på notifiering och eventuell "omgranskning".

Löpande uppföljning och kontroller

Fastställer mekanismer för kontinuerlig validering av metadata och teknisk efterlevnad i syfte att möjliggör revision, stickprov(er) och incidentbaserad kontroll(er).

Avregistrering och återkallelse

Reglerar hur komponenter avregistreras frivilligt eller genom beslut. Anger hur metadata tas bort och hur tillit återkallas vid allvarliga avvikelser.

Versionshantering och uppdatering

Beskriver hur nya versioner av tekniska krav införs och tidsramar för anpassning. Fastställer hur policyn själv uppdateras och träder i kraft.

...