...

Principer för uppdragets leverabler

...

• Utfärdande organisation
• Hemorganisation/anställning
• Företrädd organisation i aktuellt uppdrag
• Roll och mandat i den specifika situationen

Leverabler

Förvaltningsstruktur

Ytterligare ett krav är att det i vissa situationer kan vara viktigt att kunna uttrycka från vilken källa ett attribut härrör sig. Till exempel vid utgivning av en mobil e-legitimation utifrån en legitimering med en fysisk e-legitimation kan det vara tvunget att säkerställa att identiteten härrör från den fysiska e-legitimationen och inte inte från en annan attributkällan.

Leverabler

Förvaltningsstruktur

För att säkerställa långsiktig hållbarhetFör att säkerställa långsiktig hållbarhet, interoperabilitet och tydligt ansvar behöver attributsdefinitioner och attributprofiler förvaltas i en definierad struktur med tydliga roller och mandat.

Exempel på domäner

...

TODOs

1. Modellera för hur en attributprofil kan ha multipla attributinstanser, tex beroende på källa (attribut på e-leg, från en katalog), relaterad till ett eller flera uppdrag.
2. Beskriv en modell för attributprofiler med personrelaterade attribut, e-leg-relaterade attribut, N x anställningsrelaterade attribut, M x uppdragsrelaterade uppdrag 
3. Beskriv skillnaden mellan en IdP per organisation och en Idp som representerar flera organisationer

Frågor

1. Personalidentity - både pnr och snr eller separata attribut?
2. Ska vi lägga in synonymer från andra federationer, t ex Sambi? JA, se lista
3. Kan vi lösa de olika synsätten på att peka ut e-legitimationen som källa i namnet genom att göra denna typ av attribut domänspecifika? (https://id.ena-infrastructure.se/attributes/surName jfr med https://id.ena-infrastructure.se/attributes/eid/health/surName). Ska källan i det första fallet vara okänd? Beroende på vilken IdP man använder?
4. Attribut som saknas i nuvarande Sambi, t ex Middlename, vad gör vi med dom?
5. Enhet som generellt attribut, andra är domänspecifika t ex vårdenhet, skolenh

Val av attribut

När man har behov av ett attribut som man vill inkludera i en attributlista bör man på ett strukturerat sätt söka om det finns ett redan definierat attribut som fyller behovet innan man definierar ett nytt attribut.

...

Val av attribut

När man har behov av ett attribut som man vill inkludera i en attributlista bör man på ett strukturerat sätt söka om det finns ett redan definierat attribut som fyller behovet innan man definierar ett nytt attribut.

Hur används attributlistor

När man slutit en överenskommelse kring en attributlista som ska användas behöver samverkande parter implementera stöd för den. Legitimeringstjänster behöver kunna informationsförsörja attribut i attributlistan och e-tjänster behöver implementera dem för att styra behörigheter i e-tjänsten. Man kan utöver en överenskommelse om vilka attribut som ska användas också definiera scopes för attributbeställningar för att underlätta beställning. E-tjänster kan beställa behörighetsattribut explicit via claims eller i bulk via scope.

Exempel: En E-tjänst begär legitimering av en användare och instruerar legitimeringstjänsten om vilka scopes och claims som krävs eller önskas.

GET https://op.example.se/authorize?
  response_type=code
  &client_id=rp-client-123
  &redirect_uri=https%3A%2F%2Frp.example.se%2Fcallback
  &scope=openid%20profile%20email
  &state=af0ifjsldkj
  &nonce=n-0S6_WzA2Mj
  &claims=%7B
    %22id_token%22%3A%7B
      %22acr%22%3A%7B%22essential%22%3Atrue%7D
    %7D%2C
    %22userinfo%22%3A%7B
      %22given_name%22%3A%7B%22essential%22%3Atrue%7D%2C
      %22family_name%22%3A%7B%22essential%22%3Atrue%7D%2C
      %22birthdate%22%3A%7B%22essential%22%3Afalse%7D
    %7D
  %7D

I exemplet begärs scopen openid, profile och email. Utöver dessa grupperingar begär man explicit attributen id_token och given_name, family_name och birthdate från userinfo. Betydelsen av essential-märkningen för respektive attributbegäran är om det attributet är obligatoriskt ("essential": true) eller valfritt att bifoga ("essential": false).

Legitimeringstjänsten (även 'OP' i OIDC, eller 'IdP' i SAML)

...

Hur tillämpas attributlistor

När man slutit en överenskommelse kring en attributlista som ska användas behöver samverkande parter implementera stöd för den:

1. E-tjänsten behöver "beställa" de scopes och claims

Behörighetsattribut

Ett behörighetsattribut inom Samordnad identitet och behörighet definieras behöver i sin definition inkludera följande metainformation:

...

...

...