Inledning
Denna sida beskriver administrativa processer vid anslutning till federationen samt vilka avtal som måste upprättas. Processerna beskriver det som sker mellan operatörer som bygger upp federationen och federationsmedlemmar som nyttjar federationen.
Det finns också övergripande information om teknisk påverkan utan att gå in på detaljer.
För att bättre förstå hur federationsstrukturen är uppbyggd och de roller och begrepp som används här, se se Federationsinfrastruktur och Termer och begrepp. Sidan börjar med dock med en sammanfattning av de principer som gäller för federationsinfrastrukturen och hur den kan nyttjas.
Sammanfattning
...
Tjänster och ansvar i Ena
Detta avsnitt sammanfattar vilka tjänster som gäller generellt för alla federationer av typen OpenID federation men tar även upp specifika roller som finns inom Ena.
Vi skiljer på aktörer som hanterar infrastruktutjänster och federationsmedlemmar som nyttjar federationsinfrastrukturen federationen för att på så sätt uppnå skalbarhet utan att kompromissa på säkerhet.
Diagrammet nedan visar på hur det ser ut om ledningsaktören (Ena-specifik roll) hanterar alla roller och tillhandahåller alla infrastrukturtjänster i federationen utan den skalbarhet som delegering innebär. Federationsmedlemmarna svarar för sina egna tjänster i form av komponenter.
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | Ledningsaktören agerar i alla roller |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth | 557558 |
|---|
| height | 388 |
|---|
| revision | 36 |
|---|
|
Ledningsaktören är ansvarig för federationsinfrastrukturen men kan delegera vissa uppgifter till andra organisationer som agerar aktörer inom infrastrukturen. Vilka uppgifter som måste finnas hos ledningsaktören och vilka som kan delegeras beskrivs i Federationsinfrastrukturi Federationsinfrastruktur. Nedan en bild på hur delegeringen ser ut principiellt.
| Embed draw.io Diagram |
|---|
| |
|---|
| diagramName | Aktörer inom infrastrukturen |
|---|
| includedDiagram | 1 |
|---|
| width | 381 |
|---|
| pageId | 296683482 |
|---|
|
Tillitsankartjänst, tillitsmärkestjänst, anslutningstjänst och uppslags- och verifieringstjänst är infrastrukturtjänster inom federationsinfrastrukturen. Dessa tjänster bygger upp tillitskedjan i federationen.
Tillitskedjan möjliggör teknisk verifiering av tilliten från en komponent, till exempel en Auktorisationstjänst, till tillitsankare i en hierarkisk struktur. Se diagram nedan för hur tjänstestrukturen är uppbyggd (från Federationsinfrastruktur)
| Embed draw.io Diagram |
|---|
| |
|---|
| diagramName | Federationsinfrastruktur-OIDF |
|---|
| includedDiagram | 1 |
|---|
| width | 841 |
|---|
| pageId | 296683482 |
|---|
|
| Excerpt |
|---|
Delegering av tjänster och ansvar inom EnaDetta avsnitt sammanfattar möjligheterna till delegering av ansvar och tjänster inom Ena för att uppnå skalbarhet men med bibehållande av tillit och säkerhet. Det uppnår vi genom att sluta avtal mellan organisationer så att de i sin tur kan ta ansvar för att upprätthålla regelverk och tillhandahålla tjänster. - Ledningsaktören kan ge en federationsoperatör ansvaret för tillitsankartjänsten.
- Federationsoperatören kan i sin tur delegera anslutningsansvaret till en anslutningsoperatör som är den som godkänner federationsmedlemmar och deras komponenter. Anslutningsoperatören sätter upp en anslutningstjänst.
- Ledningsaktören kan delegera uppgiften att upprätthålla regler och policy för tillitsmärken till en tillitsmärkesägare som i sin tur kan delegera till en tillitsoperatör.
- Federationsoperatören kan delegera ansvaret för tillitsmärkestjänsten till en tillitsoperatör
|
...
...
Tillitskedjan möjliggör teknisk verifiering av tilliten från en komponent, till exempel en Auktorisationstjänst, till tillitsankare i en hierarkisk struktur, se diagram nedan för hur tjänstestrukturen är uppbyggd (från Federationsinfrastruktur)
...
...
- Federationsmedlemmar måste ha ett avtal med en anslutningsoperatör för att kunna placera komponenter i federationen och ett avtal med tillitsoperatör för att kunna få tillitsmärken.
- En organisation kan förlora sin status i federationen och det
|
...
- därför måste det finnas revokeringsprocesser, inklusive påverkan på teknik och tillit för övriga aktörer i federationen.
Nedan en översiktsbild över parternas förhållande till varandra när |
...
ledningsaktören har valt att delegera ut ansvar för uppgifter som kan delegeras. Texten på pilarna motsvarar rubriken på respektive processbeskrivning |
...
. Formatet på rubriken är <Organisation godkänner organisation: innebörd> Innebörd omfattar ofta en överenskommelse mellan två organisationer och någon form av teknisk påverkan |
...
| Tip |
|---|
Klicka på pilarnas text för att komma till motsvarande processbeskrivning.
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | Summering ansl processer |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth |
|---|
|
|
...
...
...
| Tip |
|---|
Klicka på pilarnas text för att komma till motsvarande processbeskrivning. |
Innehållsförteckning
Avgränsningar
Utanför denna beskrivning är
- vilka tillitsankare som kommer att finnas.
- vilka specifika krav som gäller för varje anslutningsprocess.
- vilka tillitsmärken som kan utfärdas.
- vilka typer av komponenter som kommer att finnas.
- vilka stödsystem en organisation behöver för att upprätta sin funktion i federationen
- detaljer vad gäller teknisk påverkan vid anslutning
- detaljer i avtal mellan organisationer
Processbeskrivningar för anslutningar
lyft upp detaljer i text.
...
- Organisationen godkänns i en roll av en annan organisation, detta leder ibland till ett avtal och ibland till någon form av teknisk förändring.
- Teknisk förändring i form av hantering av metadata beskrivs i detalj i Federationsinfrastruktur
- Avtalen som tecknas mellan parterna ska beskriva rättigheter och skyldigheter i federationen. Detta beskrivs mera i detalj i Avtalsstruktur Open ID federation.
- Processen beskrivs i textformat och i ett enklare flödesdiagram.
| Tip |
|---|
Vissa former i flödesdiagrammen innehåller mer information som visas om du ställer muspekaren över formen. Detta gäller speciellt teknisk påverkan, till exempel hantering av metadata och tjänster. |
- Ledningsaktören tar emot ansökan från den ansökande organisationen och kontrollerar om den är komplett, annars begär ledningsaktören mer information
- Ledningsaktören kontrollerar om den ansökande organisationen tillhör en kategori av organisationer som tillåts vara federationsoperatör
- Ansökan granskas av ledningsaktören för att se om kraven uppfylls
- Om kraven uppfylls kan organisationen godkännas som federationsoperatör:
- Om den ansökande organisationen inte uppfyller kraven eller inte tillhör kategorin av organisationer som tillåts vara federationsoperatörer, avslås ansökan.
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | Ledningsaktör godkänner federationsoperatör tillitsankare |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth | 694695 |
|---|
| height | 979 |
|---|
| revision | 1319 |
|---|
|
Ledningsaktör revokerar federationsoperatör och tillitsankartjänst
- När en federationsoperatör blir godkänd börjar en process för att övervaka dess kravuppfyllnad
- Om det upptäcks att kraven inte uppfylls så behöver beslutet att godkänna organisationen omprövas och utvärderas igen
- Om avvikelserna inte kan åtgärdas så innebär det att
- federationsoperatörens status revokeras och tillitsankaret tas bort
- avtalet mellan ledningsaktören och federationsaktören sägs upp
- tillitskedjan bryts för samtliga underliggande parter
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | Ledningsaktör revokerar federationsinfraaktör |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth | 592 |
|---|
| height | 446 |
|---|
| revision | 1516 |
|---|
|
Federationsoperatör godkänner anslutningsoperatör: avtal, anslutningstjänst, metadata
- Federationsoperatören godkänner ansökan om ansökan är giltig och om den ansökande organisationen uppfyller kraven
- Den ansökande organisationen kan upprätta en anslutningstjänst i egenskap av anslutningsoperatör efter avtal med federationsoperatören
- Denna operation kan sägas vara en delegering av ansvar från federationsoperatören och innebär, förutom en anslutningstjänst hos anslutningsoperatören, ett antal åtgärder i metadata .hos federationsoperatörens tillitsankartjänst och anslutningsoperatörens anslutningstjänst
- Anslutningsoperatören kan nu utföra dessa operationer:
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | Godkänna operatör |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth | 694 |
|---|
| height | 862982 |
|---|
| revision | 1519 |
|---|
|
Federationsoperatör revokerar anslutningsoperatör och anslutningstjänst
- Federationsoperatören identifierar vilken anslutningsoperatör som behöver utredas för överträdelse
- Om inte anslutningsoperatören kan redovisa svar som är acceptabla inleds en revokeringsprocess och anslutningsoperatörens metadata blir invalida i federationen.
- Detta får konsekvenser för de federationsmedlemmar som blivit godkända via anslutningsoperatören.
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | Revokera operatör |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth | 592 |
|---|
| height | 446 |
|---|
| revision | 1112 |
|---|
|
Anslutningsoperatör godkänner federationsmedlem: avtal
- Anslutningsoperatören tar emot ansökan och kontrollerar om den är komplett, annars begär operatören mer information
- Anslutningssoperatören kontrollerar om den ansökande organisationen tillhör en kategori av organisationer som tillåts vara federationsmedlem
- Ansökan granskas av anslutningsoperatören och kan leda till ett godkännande då kundregistret hos anslutningsopertören uppdateras och ett avtal mellan anslutningsoperatören och den nyblivna federationsmedlemmen upprättas eller alternativt kan ansökan underkännas på grund av att kraven inte uppfylls
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | Federationsmedlem_godk |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth | 694 |
|---|
| height | 753 |
|---|
| revision | 36 |
|---|
|
Anslutningsoperatör revokerar federationsmedlem och avtalet sägs upp
- När en federationsmedlem blir godkänd börjar en process för att övervaka dess kravuppfyllnad
- Om det upptäcks att kraven inte uppfylls så behöver beslutet att godkänna organisationen omprövas och utvärderas igen
- Om avvikelserna inte kan åtgärdas så revokeras federationsmedlemen status och dess signerade metadata tas bort samt avtalet mellan operatören och federationsmedlemen sägs upp
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | revoker federationsmed |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth | 592 |
|---|
| height | 446 |
|---|
| revision | 47 |
|---|
|
Anslutningsoperatör godkänner federationsmedlemmars komponenter: metadata
- En federationsmedlems komponent kan bli godkänd av en anslutningsoperatör genom en ansökan
- Den första kontrollen är om den ansökande organisationen är en federationsmedlem och är kund hos anslutningsoperatören
- Federationsoperatören kontrollerar om ansökan kan godkännas om komponenten uppfyller federationens tekniska ramverk, komponentens metadata godkänns i federationen, det vill säga att samtliga krav är uppfyllda
- Om federationsmedlemmens metadata inte uppfyller federationens tekniska ramverk, kan anslutningsoperatören begära in nya metadata. Federationsmedlemmen bör ha möjligheten att göra en teknisk validering av metadata innan ansökan skickas in.
- Om komponenten blir godkänd, uppdaterar anslutningsopertören sin egen metadata och federationsmedlemmen uppdaterar metadata för sin komponent
- Då den ansökande organisationen redan är federationsmedlem behöver inget nytt avtal tecknas vid ett godkännande eller sägas upp om ansökan underkänns
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | Operatör godkänner eller underkänner löven |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth | 694724 |
|---|
| height | 657816 |
|---|
| revision | 1423 |
|---|
|
Anslutningsoperatör revokerar federationsmedlemmars komponenter: metadata
- Vid misstanke om att en redan godkänd komponent inte längre uppfyller villkoren som anslutningsoperatören har ställt upp så måste en utredning göras för identifierad federationsmedlem
- Skulle utredningen fastslå att komponenten inte längre uppfyller kraven, ser anslutningsoperatören till att komponentens metadata inte längre är godkända i federationen
- Ingen påverkan på avtalssituationen
- Federationsinfrastrukturen svarar för att tekniskt kommunicera förändringen
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | Revokera komponent |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth | 592 |
|---|
| height | 446 |
|---|
| revision | 1114 |
|---|
|
Ledningsaktör godkänner tillitsmärkesägare: avtal
- Om det behövs, inhämtas mer information från den ansökande organisation
- Om kraven från tillitsmärkesägaren uppfylls, kan organisationen godkännas som tillitsmärkesägare och avtal kan upprättas.
- Tillitsmärkesägaren kan nu hantera kraven på tillitsmärken
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | Ledningsaktör godkänner märkesägare |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth | 694 |
|---|
| height | 657 |
|---|
| revision | 12 |
|---|
|
Ledningsaktör revokerar tillitsmärkesägare: avtal sägs upp
- Ledningsaktören identifierar vilken organisation som gjort överträdelsen
- Om bevisen för överträdelsen är tillräckliga och om tillitsmärkesägaren inte kan motbevisa så fråntas organisationen sin status som tillitsmärkesägare och avtalet sägs upp.
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | Ledningsaktör revokerar tillitsmärkesägare |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth | 592 |
|---|
| height | 446 |
|---|
| revision | 13 |
|---|
|
Tillitsmärkesägaren godkänner tillitsoperatör: avtal
- Om det behövs, inhämtas mer information från den ansökande organisation
- Om kraven från tillitsmärkesägaren uppfylls, kan organisationen godkännas som tillitsoperatör och avtal kan upprättas mellan tillitsmärkesägaren och tillitsoperatören.
- Innan tillitsoperatören kan upprätta en tillitsmärkestjänst och utfärda tillitsmärken, måste tillitsoperatören godkännas av federationsoperatören.
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | Tillitsmärkesägare godkänner Tillitsoperatör |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth | 694 |
|---|
| height | 657 |
|---|
| revision | 12 |
|---|
|
Tillitsmärkesägaren revokerar tillitsoperatören: avtal sägs upp
- Tillitsmärkesägaren identifierar vilken organisation som gjort överträdelsen
- Om bevisen för överträdelsen är tillräckliga och om tillitsoperatören inte kan motbevisa så fråntas organisationen sin status som tillitsoperatör och avtalet sägs upp.
- De av tillitsoperatören utfärdade tillitsmärkena påverkas
- Tillitsoperatören kan inte längre utfärda tillitsmärken
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | Tillitsmärkesägaren revokerar tilliitsoperatören |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth | 592 |
|---|
| height | 555 |
|---|
| revision | 23 |
|---|
|
Federationsoperatör godkänner tillitsoperatör: avtal, tillitsmärkestjänst
- Om det behövs, inhämtas mer information från den ansökande organisation
- Om kraven från tillitsmärkesägaren uppfylls, kan organisationen godkännas som tillitsoperatör och avtal kan upprättas. En förutsättning är att tillitsmärkesägaren har tidigare godkänt tillitsoperatören.
- Federationsoperatör godkänner vilka tillitsmärken som tillitsoperatören kan utfärda
(teknisk följsamhet, tillitsmärkestjänst) - Tillitsoperatören kan nu
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | Federationsoperatör godkänner tillitsoperatör |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth | 694 |
|---|
| height | 763 |
|---|
| revision | 35 |
|---|
|
Federationsoperatör revokerar tillitsoperatör: avtal sägs upp
- Federationsoperatören identifierar vilken organisation som gjort överträdelsen
- Om bevisen för överträdelsen är tillräckliga och om tillitsoperatören inte kan motbevisa så fråntas organisationen sin status som tillitsoperatör och dess metadata blir invalida.
- Samtliga tillitsmärken som tillitsoperatören tidigare har gett påverkas
...
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | Revokera trustissuer |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth | 592 |
|---|
| height | 446 |
|---|
| revision | 57 |
|---|
|
Tillitsoperatör godkänner federationsmedlem: avtal, kan få tillitsmärke
- För att en federationsmedlem ska kunna få tillitsmärke på sina komponenter behöver federationsmedlemmen avtal med en tillitsoperatör
- Om ansökan uppfyller alla kraven, upprättas ett avtal mellan federationsmedlemmen och tillitsoperatören
- Nu kan federationsmedlemmen få ett tillitsmärke
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | Etablera tillitsankare |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth | 694 |
|---|
| height | 657 |
|---|
| revision | 1215 |
|---|
|
Tillitsoperatör revokerar federationsmedlem: avtal sägs upp
- Tillitsoperatören identifierar vilken organisation som gjort överträdelsen
- Om inte federationsmedlemmen kan rätta avvikelserna sägs avtalet upp
- Status för federationsmedlemmens komponenter i federationen påverkas
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | Tillitsoperatör revokerar federationsmedlem |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth | 592 |
|---|
| height | 446 |
|---|
| revision | 25 |
|---|
|
Tillitsoperatör utfärdar tillitsmärken: tillitsmärke
- Under förutsättning att ansökan kommer från en federationsmedlem kan ansökan om tilldelning av tillitsmärke för den specifika komponenten granskas
- Uppfyller ansökan kraven från tillitsmärkesägaren efter eventuella kompletteringar kantillitsmärket utfärdas och metadata uppdateras
- Om eventuella kompletteringarna inte anses fullständiga, avslås ansökan
- Då ansökande organisation redan är federationsmedlem krävs ingen förändring av avtalet, oavsett reslutat av granskningen
...
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | Utfärda tillitsmärke |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth | 694 |
|---|
| height | 657812 |
|---|
| revision | 1018 |
|---|
|
Tillitsoperatör revokerar tillitsmärke: ogiltigt tillitsmärke
- Tillitsoperatören identifierar vilken organisation som gjort överträdelsen
- Om bevisen för överträdelsen är tillräckliga och om tillitsmärkesinnehavaren inte kan motbevisa så blir tillitsmärket ogiltigt.
| draw.io Board Diagram |
|---|
| border | false |
|---|
| |
|---|
| diagramName | Revokera tillitsmärkesutdelare |
|---|
| simpleViewer | false |
|---|
| width | |
|---|
| links | auto |
|---|
| tbstyle | inline |
|---|
| lbox | true |
|---|
| diagramWidth | 592896 |
|---|
| height | 352 |
|---|
| revision | 1517 |
|---|
|
Alternativt skrivsätt
Diagrammen i processbeskrivningarna är förenklade med tanke på målgruppen. Sekvensdiagram är ett mera lämpligt sätt att beskriva detaljer i processen så att de som ska förvalta federationsinfrastrukturen förstår vilka steg som krävs. Nedan ett exempel på ett sekvensdiagram då en ledningsaktör godkänner en federationsoperatör, fullständiga beskrivningar behöver tas fram senare i utvecklingsarbetet för samtliga processer.
...