...
- Ledningsaktören (Digg) utser Transportstyrelsen till domänkoordinator för Transport-domänen.
- Transportstyrelsen är domänkoordinator
- Transportstyrelsen ansvarar även för attributkällor för vissa domänunika attribut - tex fordonsägare i Fordionsregistret.
- Trafikverket ansvarar för andra centrala attributkällor inom Transport-domänen och koordinerar tillhörande attributsdefinitioner med Transportstyrelsen - tex registreringsinformation om enskild väg.
Attributdefinitioner
Namnsättning (identifiering) av attribut
Detta avsnitt definierar relationen mellan Object Identifier (OID) och HTTP-URI vid identifiering av attribut eller andra semantiska objekt i en interoperabel infrastruktur.
Object Identifier (OID)
En OID som URN (t ex urn:oid:2.5.4.42) är en globalt unik och hierarkiskt strukturerad identifierare bestående av en numerisk sträng enligt ITU-T X.660 / ISO/IEC 9834.
...
”Exakt vilket begrepp pratar vi om, oavsett kontext?”
HTTP-URI
En HTTP-URI är en kontextuell identifierare som används inom en specifik modell, profil eller implementation för att referera till ett objekt som definieras av en OID.
...
”Hur refererar vi till det här begreppet i just den här modellen eller profilen?”
Relationen mellan OID och HTTP-URI
Följande princip gäller: En HTTP-URI refererar till ett objekt vars semantiska identitet definieras av en OID.
...
HTTP-URI är ett kontextuellt alias.
Interoperabilitetskrav
Inom en federation och/eller vid federationsspecifik attributidentifiering BÖR attribut exponeras och refereras med den attributreferens som definieras i en attributprofil som erkänns av federationens medlemmar. Med andra ord, OID BÖR INTE användas som attributnamn i federativ kommunikation.
...
Detta attribut har denna specifika semantik enligt federationens regelverk.
...
Attributkategorier
Detta avsnitt syftar till att redogöra för attributtyper i federativa B2B- och G2G-infrastrukturer. Målet är att etablera en modell som skapar semantisk tydlighet och utgör en tillförlitlig grund för beslut.
Person
I federativa B2B- och G2G-miljöer används attribut för att:
- identifiera och tekniskt representera individer,
- beskriva organisatorisk tillhörighet,
- förmedla mandat och rättigheter, samt
- dokumentera förutsättningarna för autentisering och intygsutgivning.
Trots detta behandlas attribut ofta som en enhetlig mängd egenskaper. I praktiken representerar de dock fundamentalt skilda semantiska kategorier. När dessa kategorier inte hålls isär uppstår otydliga behörighetsbeslut, bristande tillitsbedömningar, juridisk osäkerhet och försämrad interoperabilitet, vilket i sin tur försvårar standardisering.
Begreppet organisation är ett tydligt exempel på denna problematik. Det används i flera olika betydelser, exempelvis som:
- utfärdare av identitetsintyg vid e-legitimering,
- individens organisatoriska hemvist, eller
- uppdragsgivare i en specifik handling/situation.
När dessa betydelser sammanblandas uppstår otydlighet i ansvar, mandat och tillit, vilket leder till felaktiga behörighetsbeslut, oklara rättsliga relationer och interoperabilitetsproblem.
Grundprinciper
Alla attribut är inte av samma slag. Attribut kan exempelvis:
- Avse individen som sådan,
- Uttrycka en teknisk representation av individen,
- Definiera en relation kopplad till individen
- Ange ett mandat som individen har tilldeltas
- Definiera en rättighet inom vilken individen får agera, eller
- Beskriva en händelse om autentisering och intygsutgvining.
Dessa är ontologiskt olika.
Attribut ska därför kategoriseras efter vad de representerar och efter deras semantiska natur.
Attribut som påverkar åtkomstbeslut får inte blandas med beskrivande eller "dekorativa" attribut.
Övergripande attributkategorier
Attribut delas in i sex huvudkategorier där varje kategori har distinkt semantik:
- Identitetsattribut
- Representationsattribut
- Relationsattribut
- Mandatattribut
- Rättighetsattribut
- Kommunikationsattribut
- Transaktionella attribut (utanför subjektet)
Identitetsattribut
Attribut som beskriver individens juridiska eller officiella identitet. Det rör sig om egenskaper som tillhör individen oberoende av organisationstillhörighet, roll eller uppdrag. Dessa uppgifter har typiskt sin grund i officiella register och är, relativt sett, långlivade och stabila över tid.
Exempel: personnummer, officiellt namn, födelsedatum.
Representationsattribut
Representationsattribut delas in i lokal personrespresentation respektive federationsrepresentation.
Lokal personrepresentation
Attribut som beskriver hur hemorganisationen representerar individen. Det rör sig om identifierande egenskaper som är kopplade till individen och genom vilka denne är känd, identifierbar eller tekniskt representerad inom den egna organisationen. Dessa attribut är organisatoriskt kontextbundna och kan förändras över tid, exempelvis vid byte av roll, system eller organisatorisk tillhörighet.
Exempel: uuid, användarnamn, tjänstebeteckning.
Federationsrepresentation
Hemorganisationens tekniska identifierare som används i federationen. Dessa attribut är säkerhetskritiska och deras stabilitet regleras av federationen. De är inte personliga egenskaper utan tekniska identifieringsartefakter.
Exempel: subject-id, pairwise-id, eduPersonPrincipalName, healthCareProviderHsaId.
Relationsattribut
Attribut som beskriver strukturell koppling mellan individ och en organisation. Detta är en relation – inte en egenskap hos personen.
Exempel: organisationsnamn, organisatorisk enhet/avdelning, skolenhetskod, affiliation (t ex personal, elev).
Mandatattribut
Attribut som beskriver att individen representerar en organisation i en viss funktion eller ett uppdrag. Dessa attribut kan vara tidsbegränsade, transaktionsbundna och representera en funktionell roll.
Mandat är inte samma sak som affiliation.
Exempel: commissionHsaId, sisSchoolCourseTeacher.
Rättighetsattribut
Policybärande attribut som anger vad individen får göra – rätt att använda en resurs eller utföra en handling.
Exempel: eduPersonEntitlement
Kommunikationsattribut
Attribut som beskriver kanaler genom vilka individen kan kontaktas eller nås.
Exempel: e-postadress, telefonnummer, mobilnummer.
Transaktionella attribut
Attribut utanför subjektet som beskriver händelser om autentisering och/eller intygutgivning vid en specifik tidpunkt.
Beskriver händelsen och är inte en egenskap hos individen, snarare tillhör intygsmetadata.
Grundprinciper
Alla attribut är inte av samma slag. Attribut kan exempelvis:
- Avse individen som sådan,
- Uttrycka en teknisk representation av individen,
- Definiera en relation kopplad till individen
- Ange ett mandat som individen har tilldeltas
- Definiera en rättighet inom vilken individen får agera, eller
- Beskriva en händelse om autentisering och intygsutgvining.
Dessa är ontologiskt olika.
Attribut ska därför kategoriseras efter vad de representerar och efter deras semantiska natur.
Attribut som påverkar åtkomstbeslut får inte blandas med beskrivande eller "dekorativa" attribut.
Attributkategorier
Attribut delas in i sex huvudkategorier där varje kategori har distinkt semantik:
- Identitetsattribut
- Representationsattribut
- Relationsattribut
- Mandatattribut
- Rättighetsattribut
- Kommunikationsattribut
- Transaktionella attribut (utanför subjektet)
Identitetsattribut
Attribut som beskriver individens juridiska eller officiella identitet. Det rör sig om egenskaper som tillhör individen oberoende av organisationstillhörighet, roll eller uppdrag. Dessa uppgifter har typiskt sin grund i officiella register och är, relativt sett, långlivade och stabila över tid.
Exempel: personnummer, officiellt namn, födelsedatum.
Representationsattribut
Representationsattribut delas in i lokal personrespresentation respektive federationsrepresentation.
Lokal personrepresentation
Attribut som beskriver hur hemorganisationen representerar individen. Det rör sig om identifierande egenskaper som är kopplade till individen och genom vilka denne är känd, identifierbar eller tekniskt representerad inom den egna organisationen. Dessa attribut är organisatoriskt kontextbundna och kan förändras över tid, exempelvis vid byte av roll, system eller organisatorisk tillhörighet.
Exempel: uuid, användarnamn, tjänstebeteckning.
Federationsrepresentation
Hemorganisationens tekniska identifierare som används i federationen. Dessa attribut är säkerhetskritiska och deras stabilitet regleras av federationen. De är inte personliga egenskaper utan tekniska identifieringsartefakter.
Exempel: subject-id, pairwise-id, eduPersonPrincipalName, healthCareProviderHsaId.
Relationsattribut
Attribut som beskriver strukturell koppling mellan individ och en organisation. Detta är en relation – inte en egenskap hos personen.
Exempel: organisationsnamn, organisatorisk enhet/avdelning, skolenhetskod, affiliation (t ex personal, elev).
Mandatattribut
Attribut som beskriver att individen representerar en organisation i en viss funktion eller ett uppdrag. Dessa attribut kan vara tidsbegränsade, transaktionsbundna och representera en funktionell roll.
Mandat är inte samma sak som affiliation.
Exempel: commissionHsaId, sisSchoolCourseTeacher.
Rättighetsattribut
Policybärande attribut som anger vad individen får göra – rätt att använda en resurs eller utföra en handling.
Exempel: eduPersonEntitlement
Kommunikationsattribut
Attribut som beskriver kanaler genom vilka individen kan kontaktas eller nås.
Exempel: e-postadress, telefonnummer, mobilnummer.
Transaktionella attribut
Attribut utanför subjektet som beskriver händelser om autentisering och/eller intygutgivning vid en specifik tidpunkt.
Beskriver händelsen och är inte en egenskap hos individen, snarare tillhör intygsmetadata.
Exempel: identifieringens tillitsnivå, transaktionsid, delegeringskedja.
Attributmodell
I federativa B2B- och G2G-miljöer används attribut för att:
- identifiera och tekniskt representera individer och systemaktörer,
- beskriva organisatorisk tillhörighet,
- förmedla mandat och rättigheter, samt
- dokumentera förutsättningarna för autentisering och intygsutgivning.
Trots detta behandlas attribut ofta som en enhetlig mängd egenskaper. I praktiken representerar de dock fundamentalt skilda semantiska kategorier. När dessa kategorier inte hålls isär uppstår otydliga behörighetsbeslut, bristande tillitsbedömningar, juridisk osäkerhet och försämrad interoperabilitet, vilket i sin tur försvårar standardisering.
Begreppet organisation är ett tydligt exempel på denna problematik. Det används i flera olika betydelser, exempelvis som:
- utfärdare av identitetsintyg vid e-legitimering,
- individens organisatoriska hemvist, eller
- uppdragsgivare i en specifik handling/situation.
När dessa betydelser sammanblandas uppstår otydlighet i ansvar, mandat och tillit, vilket leder till felaktiga behörighetsbeslut, oklara rättsliga relationer och interoperabilitetsproblemExempel: identifieringens tillitsnivå, transaktionsid, delegeringskedja.
Teknisk aktör
Placeholder för subject som kan vara api, api-klienter, etc.
Modell för attributprofiler
Frågeställningar
Här finns ett antal frågor att besvara innan vi kan detaljera attributramverket.
- Vem har givit ut e-legitimationen?
- Vem är personens huvudsakliga arbetsgivare?
- Vem är personens uppdragsgivare för den rolll personen agerar i just nu?
Ska namnet på attributet spegla källan, till exempel /eid för e-legitimation och /idp för IdP?
I den överenskommelse som finns mellan regionerna och E-hälsomyndigheten när det gäller den SAML-propageringslösning för åtkomst till NLL har man etablerat en namnstandard för attribut som härrör sig från IdP:n. Ett exempel på detta är https://idp.inera.se/attributes/identityProviderForSign Som man kan se så innehåller attributnamnet referens till en organisation. En mera neutral namngivning på detta attribut kunde vara https://federationer.se/attribute/idp/1.0/identityProviderForSign
...
https://id.ena-infrastructure.se/attributes/health/1.0/userOrgAffiliation
OID som attributnamn
Ska vi använda Sweden Connects namn på vissa av attributen vilket i praktiken innebär OID:ar? Ska vi då förutsätta att attributen härrör från e-legitimationen? Det stämmer inte med nuvarande realiseringar som t ex Inera har.
Så här är Sweden Connects namn på ett attribut givenName: urn:oid:2.5.4.42
Övrig semantik i attributnamnet
Vissa attribut kan relatera till en anställds organisationstillhörighet eller uppdrag/roll, hur ska e-tjänsten kunna skilja på detta? I Ineras fall när det gäller den anställdes HSAid beror det på vilka andra attribut som e-tjänsten begär. Observera skillnaden mellan ett HSAid som är knutet till e-legitimationen och HSA-id som finns i katalogen. I den senare kategorin finns ingen namnsättning som skiljer på organisationstillhörighet och uppdragssituation.
När det gäller domänspecifika attribut inom vård och omsorg finns "health" med i attributnamnet https://id.ena-infrastructure.se/attributes/health/healthcareProfessionalLicenseIdentityNumber bland de attribut som används för åtkomst till NLL och är överenskommet med E-hälsomyndigheten och regionerna.
Versionshantering av attribut
Ska attributnamnen ha en namnstandard som medger versionshantering enligt mönster från Sambi?
...
| Info |
|---|
En semantisk eller redaktionell uppdatering i profil → tekniskt breaking change Konsekvens: Versionsnumret i attributnamnet fryser på “1” för alltid. Det beror på att man undviker kostnaden för att byta – vilket gör versionen semantiskt meningslös. Designprinciper som brukar fungera bättre: Attributidentifieraren ska vara stabil Slutsats: inget versionsnummer i attributnamnet |
Attributlista
- Definiera skillnaden mellan attributdefinitioner, och attributprofiler
- Modellera för hur en attributprofil kan ha multipla attributinstanser, tex beroende på källa (attribut på e-leg, från en katalog), relaterad till ett eller flera uppdrag.
- Beskriv en modell för attributprofiler med personrelaterade attribut, e-leg-relaterade attribut, N x anställningsrelaterade attribut, M x uppdragsrelaterade uppdrag
- Beskriv skillnaden mellan en IdP per organisation och en Idp som representerar flera organisationer
...
| Table Filter | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
Referenser
Vägledning för hantering av behörighetsattribut (SKR)
...
Behörighetsmodell för vård och omsorg (Inera)
Exempel
Tomas Fransson referenser till nuvarnde och exempel för ny struktur.