...
Status: Utkast
Version: 0.1
Tillämpning: Produktion
Federationskontext: BAS
Ledningsaktör: Myndigheten för digital förvaltning, Digg
Federationsoperatör: Myndigheten för digital förvaltning, Digg
Om dokumentet
Detta dokument anger regelverk för federationskontexten BAS inom Samordnad identitet och behörighet.
...
| draw.io Diagram | ||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
-----
Federationsstruktur
BAS bygger på en federationsstruktur där tillit etableras genom ett tillitsankare, anslutningsoperatörer och verifierbara metadata. Strukturen gör det möjligt för förlitande parter att kontrollera tekniska komponenter, ansvarig organisation, metadata, nycklar, signaturer och tillitskedjor innan information från BAS används i en tjänst.
Översikt
Tillitsankaret är den betrodda roten i federationsstrukturen. Det används för att verifiera federationsmetadata och tillitskedjor inom BAS.
Anslutningsoperatörer ansluts under tillitsankaret. De ansvarar för att ansluta federationsmedlemmar, registrera tekniska komponenter och hantera metadata enligt gällande regelverk.
Federationsmedlemmar ansluter en eller flera tekniska komponenter till BAS. Federationsmedlemmen ansvarar för sina egna uppgifter, sina tekniska komponenter och det nyckelmaterial som används.
Förlitande part använder en resolver, eller uppslags- och verifieringstjänst, för att hämta och verifiera metadata och tillitskedjor.
Diggs åtaganden
Digg som ledningsaktör
Digg ska som ledningsaktör:
a) hålla samman regelverket för BAS,
b) besluta om förändringar av BAS enligt beslutad förändringsprocess,
c) förvalta relationen mellan BAS och övriga federationskontexter,
d) besluta om krav på anslutningsoperatörer,
e) besluta om eller godkänna ändringar i tekniska anslutningsregler, och
f) fastställa vilka tekniska ramverk och profiler som gäller.
Digg som federationsoperatör
Digg ska som federationsoperatör:
a) drifta infrastrukturtjänsterna för BAS,
b) tillhandahålla tillitsankartjänst,
c) tillhandahålla uppslags- och verifieringstjänst,
d) säkerställa att tillitskedjor kan etableras och verifieras,
e) hantera anslutning av anslutningsoperatörer enligt tillämplig policy,
f) tillhandahålla tekniskt ramverk eller hänvisa till tekniskt ramverk,
g) följa upp väsentliga händelser som påverkar BAS, och
h) vid behov besluta om federationsgemensamma åtgärder.
Diggs ansvar som ledningsaktör respektive federationsoperatör ska hållas isär funktionellt, även när båda rollerna utförs av samma myndighet.
Åtaganden för anslutningsoperatör
Anslutningsoperatör ska:
a) ansluta federationsmedlemmar enligt anslutningspolicy,
b) verifiera organisation och behörig uppgiftslämnare enligt anslutningspolicy och registreringspolicy,
c) registrera tekniska komponenter enligt registreringspolicy,
d) hantera metadata enligt tekniskt ramverk,
e) hosta metadata för federationsmedlem när detta sker enligt registreringspolicy och tekniskt ramverk,
f) hantera ändringar och avregistrering,
g) hantera avstängning och återkallelse enligt anslutningspolicy,
h) rapportera väsentliga händelser till Digg, och
i) dokumentera anslutnings- och registreringsbeslut.
Vid avstängning eller återkallelse ska anslutningsoperatören genomföra teknisk avpublicering eller ogiltigförklaring enligt registreringspolicy. Beslutet ska dokumenteras, kommuniceras till federationsmedlemmen och, vid väsentliga händelser, rapporteras till federationsoperatören.
Åtaganden för federationsmedlem
Federationsmedlem ska:
a) följa BAS-regelverket,
b) följa tillämplig anslutningspolicy,
c) följa registreringspolicy för tekniska komponenter,
d) följa tekniskt ramverk för anslutna komponenter,
e) säkerställa att lämnade uppgifter är riktiga och aktuella,
f) ansvara för egna tekniska komponenter,
g) skydda nycklar och andra säkerhetskritiska uppgifter,
h) rapportera incidenter enligt gällande process,
i) anmäla ändringar som påverkar metadata, nycklar eller organisationskoppling,
j) avregistrera komponenter som inte längre används, och
k) ansvara för egna egenskapsintyg där sådana används.
Användning hos förlitande part
Förlitande part får använda BAS för att verifiera:
a) teknisk komponent,
b) ansvarig organisation,
c) metadata,
d) tillitskedja,
e) tekniska nycklar och signaturer, och
f) egenskapsintyg där sådana används.
Förlitande part ansvarar själv för hur verifierad information används i den egna tjänsten. BAS innebär inte att åtkomst automatiskt ska beviljas.
----
Anslutning
Allmänt om anslutning
...
- vad egenskapsintyget betyder,
- vilka krav som ligger bakom egenskapsintyget,
- hur efterlevnad kontrolleras,
- vem som får utfärda eller intyga egenskapsintg,
- hur länge egenskapsintyg gäller,
- hur egenskapsintyg återkallas, och
- hur en förlitande part ska värdera egenskapsintyg.
13.2 Åtkomstbeslut
Förlitande part ansvarar själv för att fatta åtkomstbeslut.
Förlitande part ska själv ange:
a) vilken tjänst eller vilket API som omfattas,
b) vilka organisationer som får använda tjänsten,
c) vilka tekniska komponenter som får anropa tjänsten,
d) vilka tillitsmärken eller andra underlag som krävs,
e) vilka ändamål som är tillåtna, och
f) vilka övriga villkor som gäller.
13.3 Ingen automatisk åtkomst
Verifiering enligt BAS innebär inte att åtkomst ska beviljas.
BAS ger endast ett verifierbart underlag. Den förlitande parten ansvarar för hur underlaget används.
14. Incidenter och avvikelser
14.1 Incidentprocess
Incidenter och avvikelser ska hanteras enligt vid var tid gällande incidentprocess för BAS.
Parter som deltar i BAS ska följa de rapporteringsvägar, tidsfrister, klassificeringar och åtgärdsrutiner som anges i incidentprocessen.
14.2 Incidenter som ska rapporteras
Minst följande händelser ska rapporteras:
a) misstänkt eller konstaterad kompromettering av nyckel,
b) felaktig metadata,
c) otillåten användning av teknisk komponent,
d) bristande kontroll av organisationskoppling,
e) otillgänglighet i federationskritisk komponent,
f) felaktigt tillitsmärke, och
g) annan händelse som kan påverka BAS tillit, säkerhet eller interoperabilitet.
14.3 Tillfälliga skyddsåtgärder
Anslutningsoperatör får vidta tillfälliga skyddsåtgärder inom sitt ansvarsområde om fortsatt användning av en komponent kan skada BAS tillit, säkerhet eller interoperabilitet.
Digg får som federationsoperatör vidta federationsgemensamma skyddsåtgärder om händelsen påverkar BAS som helhet.
Beslut om spärrning, avpublicering, återkallelse eller annan skyddsåtgärd ska fattas och dokumenteras enligt incidentprocess, anslutningspolicy och registreringspolicy.
16. Förändring av regelverket
16.1 Förändringsansvar
Digg ansvarar som ledningsaktör för förändring av detta regelverk.
Ändringar ska dokumenteras, versionshanteras och kommuniceras till berörda parter.
16.2 Förändringspolicy
Ändring ska ske enligt vid var tid gällande förändringspolicy för BAS.
Förändringspolicyn reglerar hur ändringar bereds, beslutas, kommuniceras och träder i kraft.
16.3 Övergångstid
Vid ändring av krav som påverkar anslutna parter ska övergångstid hanteras enligt förändringspolicy.
Säkerhetskritiska ändringar får genomföras utan ordinarie övergångstid om det krävs för att skydda BAS tillit, säkerhet eller interoperabilitet.
17.3 Driftens omfattning
Drift av BAS omfattar de parter, tekniska komponenter, metadata, tillitskedjor och tillitsmärken som är anslutna eller registrerade enligt gällande anslutningspolicy, registreringspolicy och tekniskt ramverk.
...
- .