...
Förslag till ändringar under avsnitt 2.2.1.1. Roller i federationsinfrastrukturen:
- Anslutningsoperatör: Det bör framgå att i rollen ingår även att verifiera organisationer, hantera avtal samt administrera deras företrädare så att de kan hantera ärenden och hålla kontakt relaterad till organisationens användning av federationen, t ex ansöka om att tillgängliggöra/publicera metadata. En annan viktig uppgift handlar om incidenthantering där anslutningsoperatören ska både kunna avlägsna tjänster och verka förebyggande för att motverka incidenter och oönskade fenomen.
...
- Tillitsmärkesutfärdare bör endast ligga under Federationsinfrastrukturkomponenter. Om vi vill ha en roll/aktör bör den vara något i stil med Ombud för utfärdande av tillitsmärken.
Federationsmedlem är en organisation som ingår avtal. En medlem kan sedan ha en eller flera tekniska komponenter i federationen. Dessa kan dessutom vara av olika typer. Förslagsvis kan vi kalla dem för "digitala tjänster". Sen behöver det egentligen inte framgå under avsnitt 2.2.1.1. Det viktigaste är att beskriva rollen som en organisation på samma sätt övriga (ledningsaktör, operatör, tillitsmärkesägare, osv.)
Förslag till ändringar under avsnitt 2.2.1.3. Anslutna federationskomponenter:
- Legitimeringstjänst utfärdar identitetsintyg. Legitimeringstjänst handlar också om en kombination av federationskomponent och tillitsmärke. Legitimeringstjänst ska tas bort ur listan. Istället skriva Intygstjänst https://github.com/diggsweden/ena-authorization/blob/main/introduktion/ordlista.md#intygstjanst
- Legitimeringstjänst, är alltså en typ av intygstjänst som genom e-legitimering (identitetskontroll med godkänd e-legitimation) ställer ut intyg i enlighet med ett erkänd tillitsmärke, såsom tillitsramverk för Svensk e-legitimation, eIDAS eller annan granskning som kan förekomma inom ramen för Ena. En icke-granskad IdP/OP hos en skola där elever loggar in med användarnamn och lösenord är exempel på intygstjänst som inte kan kallas Legitimeringstjänst.
- Utifrån denna resonemang kan intygstjänst beroende på tillitsmärke vara kopplad till en e-legitimation eller användarorganisation. Intyg kan vara assertion i SAML-världen. Kör vi OAuth/OIDC är OP/AS förmodligen samma så länge de ställer ut intyg. Därför ska Auktorisationstjänst ses som den AS som fattar beslut om åtkomst. I princip kan både användarorganisation för förlitande part ha AS:ar där ena fungerar som intygstjänst och den andra (även om den ställer ut intyg för åtkomst till resursserver) ses som auktorisationstjänst som beviljar åtkomst till en resurs.
- Auktorisationstjänst, se ovan.
...
- Resursserver - visst inbegriper det även api? Kanske förtydliga beskrivningen?
Övriga kommentarer och frågor
...