Page History

...

Federationsinfrastrukturen realiserar denna förmåga genom ett nätverk av distribuerade, samverkande komponenter som hanterar signerad metadata. Den tekniska lösningen bygger på vedertagna standarder, såsom OpenID Federation, och skapar förutsättningar för dynamisk anslutning, decentraliserad hantering och policybaserad tillitsförmedlingförmedling av tillitsinformation.

Infrastrukturen är decentraliserad men kontrollerad – varje aktör ansvarar för sin del av ekosystemet, samtidigt som federativa regler och gemensamma format säkerställer att tillitsinformation kan tolkas och verifieras entydigt. Genom signerad metadata och verifierbara tillitskedjor möjliggörs beslut om åtkomst, identitet och behörighet även mellan parter som inte har en etablerad relation i förväg.

...

Tillitsankartjänst

Tillitsankartjänsten (motsvarar Trust Anchor i OpenID Federation-specifikationen),  fungerar som den yttersta källan till tillit. Den publicerar metadata, signerade så kallade Entity statements, för de Anslutningstjänster och Tillitsmärkestjänster som den erkänner. Dessa uttalanden utgör roten i varje tillitskedja och verifieras kryptografiskt. Endast aktörer som kan härledas till en gemensam Tillitsankartjänst anses ingå i samma federationfederativa kontext.

Anslutningstjänst

Anslutningstjänsten (motsvarar Intermetidate Entity i OpenID Federation-specifikationen) fungerar som ett tekniskt nav som aggregerar, hanterar och publicerar metadata, signerade Entity statements, om underordnade entiteter – t.ex. e-tjänster, API:er, legitimeringstjänster eller attributkällor. Den kan även tillföra policies , vilket gör det möjligt att tillämpa lokala villkor utan att bryta den federativa strukturen.

Digitala tjänster

Digitala tjänster som legitimeringstjänster, auktorisationstjänster eller e-tjänster (motsvarar Leaf Entity i OpenID Federation-specifikationen) publicerar sina egna Entity statements som tillhandahåller teknisk metadata om endpoints, kryptonycklar och tillämpade policyer. Dessa är signerade och refererar till anslutningstjänster genom Authority hints.

Tillitsmärkestjänst

En Tillitsmärkestjänst (motsvarar Trust Mark Issuer i OpenID Federation-specifikationen) fungerar som en oberoende aktör som utfärdar tillitsmärken – signerade och strukturerade bevis på att en viss komponent uppfyller angivna tillitsskapande krav kopplade till en viss IAM-förmåga (

Tillitsmärket (benämns Trust Mark i OpenID Federation) är ett fristående JWT-signat som bifogas i entitetens metadata. Det kan valideras separat från övriga delar av tillitskedjan, vilket möjliggör att mottagande parter – till exempel e-tjänster eller verifieringstjänster – kan fatta policybaserade beslut om tillit och åtkomst utifrån om rätt tillitsmärke finns och är giltigt.

Uppslags- och verifieringstjänst

För att åstadkomma teknisk verifiering vid användning används en Uppslags- och verifieringstjänst (motsvarar Resolver i OpenID Federation) som dynamiskt bygger tillitskedjor genom att följa Authority hints och kontrollera signaturer, certifikat och policyvillkor. Detta möjliggör realtidsvalidering av entiteter, utan att dessa måste vara kända i förväg.

Tillitskedjor – dynamisk och verifierbar metadata

Digitala tjänster

Digitala tjänster (motsvarar Leaf Entities i OpenID Federation) som legitimeringstjänster, auktorisationstjänster, e-tjänster och API:er publicerar egna Entity statements med metadata om endpoints, nycklar och policyer. De refererar till anslutningstjänster via Authority hints, och anslutas till federationsinfrastrukturen genom en Anslutningstjänst. När sådana tjänster ska utbyta information med andra aktörer inom federationen behöver de hämta och validera tillitsinformation. Genom att konsumera signerad metadata och digitala intyg från andra federationskomponenter – som legitimeringstjänster, auktorisationstjänster eller attributkällor – kan dessa tjänster säkerställa att motparten är korrekt identifierad och behörig. 

Tillit till utbytta uppgifter baseras på federationsinfrastrukturens förmåga att tekniskt validera tillitskedjor och säkerställa att alla parter uppfyller angivna säkerhetskrav.

Digitala tjänster som hanteras av federationsinfrastrukturen:

• Legitimeringstjänster – autentiserar användare och utfärdar identitetsintyg.

• Auktorisationstjänster – fattar beslut om och utfärdar åtkomstintyg.

• E-tjänster – webbtjänster som initierar åtkomstförfrågningar.

• Resursservrar (API:er) – exponerar skyddade resurser och kontrollerar åtkomst.

• Attributkällor – tillhandahåller behörighetsgrundande attribut.

Tillitskedjor – dynamisk och verifierbar metadata

En central mekanism i federationsinfrastrukturen är tillitskedjan – en verifierbar, kryptografiskt signerad sekvens av metadata, Entity statements, En central mekanism i federationsinfrastrukturen är tillitskedjan – en verifierbar, kryptografiskt signerad sekvens av metadata, Entity statements, som knyter samman en tjänstekomponent (t.ex. en e-tjänst) med federationens Tillitsankartjänst. Kedjan visar vem som intygar vem, på vilket sätt, och med vilka tillitsvillkor.

...

Federationsinfrastrukturen är utformad för att stödja ett distribuerat och sektorsövergripande ekosystem. En viktig egenskap i detta är att en och samma entitet – komponent– exempelvis en legitimeringstjänst eller auktorisationstjänst – kan delta i flera federativa kontext samtidigt utan att duplicera sin metadata eller upprätthålla separata instanser. Att delta i flera federativa kontext innebär att vara ansluten till flera tillitsankartjänster, där varje kontext kan ha en annan uppsättning av regler, tillitsnivåer och policykrav.

Detta möjliggörs genom att varje komponent publicerar en egen Entity Configuration – signerat metadata om sig själv – som innehåller information om vilka överordnade aktörer (via så kallade authority hints) som intygar komponenten i olika federativa sammanhang. Det innebär att en komponent kan delta i flera flera federativa kontext parallellt, genom att hänvisa till olika Anslutningstjänster eller Tillitsankartjänster beroende på vilken kontext den verkar i.

Exempelvis kan en legitimeringstjänst samtidigt ingå i både ett vårdkontext och ett utbildningskontext, och därmed möta skilda krav på policyer, tillitsnivåer och informationshantering – utan att behöva duplicera sin tekniska lösning eller metadatahantering.sin tekniska lösning eller metadatahantering. 

På motsvarande sätt kan en anslutningstjänst användas för att ansluta flera tjänster från en organisation till olika federativa kontext. En kommunal anslutningsoperatör kan till exempel representera både skolplattformar och socialtjänstens e-tjänster, där varje tjänst blir synlig i det federativa kontext där den hör hemma – utbildningskontext respektive välfärdskontext – men utan att behöva skapa separata tekniska instanser för varje del.

Till skillnad från traditionella mer statiska SAML-baserade federationer – där metadata ofta hanteras centralt och uppdateras manuellt – bygger OpenID Federation på dynamisk, decentraliserad och signerad metadata som valideras i realtid genom tillitskedjor. Detta innebär att federationstillhörighet inte behöver hanteras som fasta konfigurationsposter, utan uttrycks och verifieras genom digitalt intygade relationer.

...

Denna arkitektur realiseras i Ena - – Sveriges digitala infrastruktur – genom att specifika roller och komponenter tillhandahålls av godkända operatörer, med ansvar för att upprätthålla och förmedla tillit inom en eller flera federativa kontext. Strukturen möjliggör verksamhetsgemensam organisering utan att kompromissa med interoperabilitet eller teknikneutralitetfederativa kontext. Arkitekturen gör det möjligt för olika verksamheter att organisera sig gemensamt kring identitets- och behörighetshantering – utan att begränsa sig till specifika tekniska lösningar, verktyg eller leverantörer, så länge interoperabilitet och gemensamma specifikationer upprätthålls.

Tillitsankartjänst tillhandahålls av en eller flera federationsoperatörer och etablerar

...

det federativa

...

kontextet – det vill säga vilka regler, policyer och tillitsmärken som gäller

...

för informationsutbyte inom

...

ramen för detta kontext.

Anslutningstjänst drivs av anslutningsoperatörer,

...

såsom sektorsmyndigheter, samordnande offentliga aktörer eller branschorganisationer

...

. Den fungerar som ett tekniskt

...

gränssnitt för anslutning av tjänster och komponenter till det federativa kontextet.

Tillitsmärkestjänst administreras av tillitsoperatörer som, i enlighet med Enas modell, utfärdar tillitsmärken

...

baserade på tillitsskapande krav kopplade till olika IAM-förmågor.

Uppslags- och verifieringstjänst används av e-tjänster, API:er eller andra klientkomponenter för att i realtid kontrollera metadata, tillitsmärken och tillitskedjor.

För att möjliggöra bred anslutning och säkerställa att aktörer från olika verksamhetsområden kan delta i flera federativa kontext parallellt, krävs att flera både offentliga och privata aktörer etablerar och driver federationsinfrastrukturkomponenter. Detta inkluderar Det kan till exempel innebära att sektorsmyndigheter etablerar tillhandahåller egna anslutningstjänster, att kommersiella aktörer erbjuder verifieringstjänster som följer gemensamma regler, och att tillitsmärken kan utfärdas inom flera parallella federativa kontext.

Genom en sådan mångfald av operatörer kan anslutande aktörer – som såsom kommuner, regioner, statliga myndigheter, privata tjänsteleverantörer eller ideella organisationer – delta i flera federativa kontexter kontext samtidigt. Detta ger skapar förutsättningar för valfrihet, sektorsövergripande samverkan och återanvändning av gemensamma digitala komponenter.

...

För att möjliggöra ett brett och inkluderande införande av federationsinfrastrukturen i Sverige genomförs vissa praktiska anpassningar av specifikationen och dess tillämpning. OpenID Federation specifikation är kraftfull men tekniskt komplex, särskilt för mindre aktörer. Därför kommer Uppslags och verifieringstjänster – det vill säga funktionaliteten för att hämta och verifiera metadata och tillitskedjor – att tillhandahållas av operatörer inom infrastrukturen. På så sätt behöver inte varje enskild komponent implementera fullständig verifieringslogik lokalt.

...

Ledningsaktör inom Ena

Ledningsaktören har det övergripande ansvaret för att samordna och förvalta den gemensamma federationsinfrastrukturen inom Ena. Rollen är inte operativ i teknisk mening, utan fokuserar på styrning, samordning och gemensamma spelregler.

...

Federationsoperatör

En federationsoperatör ansvarar för att etablera och upprätthålla en teknisk och organisatorisk rot av tillit inom ett federativt kontext. Rollen innebär att operatören tillhandahåller centrala funktioner i den tekniska federationsinfrastrukturen och skapar förutsättningar för att andra aktörer ska kunna samverka på ett säkert, förutsägbart och interoperabelt sätt.

...

Som mottagare och användare av tillitinformation bär federationsmedlemmen också ansvar för korrekt tolkning och tillämpning av federativ information – till exempel att fatta åtkomstbeslut eller leverera korrekt behörighetsinformation i linje med federationeninfrastrukturens regelverkkorrekt behörighetsinformation i linje med federationeninfrastrukturens regelverk.

Den digitala samverkan mellan olika federationsmedlemmar som federationen möjliggör regleras av federationsmedlemmarna själva.

Processer

Under Stödprocesser hittar du kompletta beskrivningar av anslutningsprocesser. 

Nästa avsnitt är en sammanfattande beskrivning av anslutningsprocesserna.

Avtalsstruktur