Den här registreringspolicyn beskriver hur en teknisk komponent tas in i federationen för Samordnad identitet och behörighet (”federationen”) och hur komponentens metadata och tillitsinformation hanteras under hela livscykeln från registrering, validering, publicering, uppdatering till avregistrering.
Policyn är styrande för anslutningsoperatörens registreringsarbete och används som stöd för federationsmedlemmars administrativa och tekniska kontaktpersoner.
Policyn beskriver processen och den tekniska hanteringen på artefaktnivå, dvs. vilka federationsobjekt som skapas och uppdateras:
Entity Configuration (komponentens egna metadata?)
Subordinate Statement (federationens ”registreringsintyg” för komponenten?)
Policy-pekare/URI (registration_policy) – kanske är detta en länk i Subordinate Statement som pekar på denna policy och visar vilken policy som gällde vid registreringen?
Trust Marks (om de används) – märkning som visar uppfyllda krav?
Detaljerade protokoll och interoperabilitetskrav (t.ex. exakta fältkrav, säkerhetsparametrar, endpoints) återfinns i separata tekniska profiler och tekniska anslutningsregler. Denna policy hänvisar till dessa dokument när de finns fastställda
Definitioner och roller
Anslutningsoperatör
Anslutningsoperatör är den organisation/funktion som:
tar emot och handlägger ansökningar från federationsmedlemmar,
genomför registreringskontroller och beslutsunderlag,
godkänner och avregistrerar federationsmedlemmar och deras komponenter, och
driver den tekniska funktionen för anslutning/registrering (t.ex. “anslutningstjänst”) och tillhörande register.
I federationsmodellen kan anslutningsoperatören ha delegerat ansvar från överordnad federationsfunktion och förväntas kunna godkänna/avregistrera komponenter och deras metadata?
Krav
anslutningsoperatör ska endast utfärda Subordinate Statement efter genomförd verifiering enligt avsnittet “Verifiering och granskning”.
anslutningsoperatör ska dokumentera vilka kontroller som utförts och vilket beslutsdatum som gäller för utfärdandet.
anslutningsoperatör ska inkludera policy-identifierare så att andra parter kan förstå vilket regelverk som gällde vid intag
Federationsmedlem
Federationsmedlem är en organisation som ansluter en eller flera tekniska komponenter till federationen och nyttjar federationens tillitsinformation för samverkan. Federationsmedlemmar förutsätts ingå avtal med anslutningsoperatör för att kunna placera komponenter i federationen.
Krav
Federationsmedlem ska utse både administrativ och teknisk kontaktperson med mandat att initiera och godkänna registreringsärenden för organisationens komponenter.
Federationsmedlem ska säkerställa att inlämnad metadata/tillitsinformation är korrekt, aktuell och att ändringar hanteras enligt denna policy. Återstår att beskriva
Teknisk komponent
Med teknisk komponent avses i denna policy en federationsentitet som federationsmedlem ansluter och som ska kunna upptäckas och valideras genom federationens metadata/tillitsinformation. Exempel på komponenttyper (ej uttömmande):
legitimeringstjänst/OP,
förlitande part/RP (e‑tjänst),
auktorisationstjänst/AS,
resurs/API (RS) och API-klient,
attribut-/informationskälla??,
andra federationsprotokollentiteter enligt gällande tekniska profiler.
Förutsättningar för ansökan
För att en ansökan ska handläggas ska följande förutsättningar vara uppfyllda:
Krav
Federationsmedlem ska ha ett giltigt anslutningsavtal med anslutningsoperatör innan komponentregistrering påbörjas.
Federationsmedlem ska kunna styrka att ansökande person har mandat att företräda organisationen i registreringsärendet här blir det nån koppling till anslutingspolicy
Komponentens avsedda produktionsmiljö ska vara definierad (t.ex. prod/test/utbildning) och kunna särskiljas i registreringsunderlaget.
Teknisk metadata/tillitsinfo som krävs för registrering
För registrering ska följande lämnas in:
Komponentens Entity Identifier (ID) samt angiven komponenttyp/roller?: vilka roller stöds i federationen?.
Länk/åtkomstväg till komponentens Entity Configuration (som komponenten själv publicerar?).
Komponentens federationsnyckelmaterial (publika nycklar via Entity Configuration eller annat?).
Uppgifter om driftmiljö: test/produktion, t.
Uppgifter om relevanta endpoints/åtkomstpunkter enligt tekniska profiler
Uppgift om vilka överordnade federationsentiteter som ska kunna utfärda Subordinate Statement
Om Trust Marks används: vilka Trust Mark-typer som krävs och hur de ska tillhandahållas
Komponentnamn och intern komponent‑ID hos federationsmedlem.
Referens till godkända testresultat och datum.
Referens till ansökningsärende-ID, och ansvarig beslutsfattare hos federationsmedlem.
Krav
För registrering ska federationsmedlem tillhandahålla åtkomst till komponentens Entity Configuration så att anslutningsoperatören kan validera den före godkännande.
För registrering ska federationsmedlem ange vilka planerade produktionsendpoints som gäller, samt från vilken dag/tid de ska anses aktiva (aktiveringstidpunkt).
Kontaktvägar för incident/förvaltning
För registrering ska följande lämnas in:
Incidentkontakt (24/7 eller definierad beredskap): e‑post, telefon, eskaleringsnivåer.
Förvaltningskontakt: kanal för planerade ändringar (t.ex. ärendeportal), och kanal för akuta ändringar.
Beskrivning av hur anslutningsoperatören ska nå federationsmedlem vid kritiska avvikelser (t.ex. nyckelkompromettering, felpublicerad metadata).
Anslutningsoperatören ska koppla varje registrering till ett unikt ärende-ID och spara vilken policy-URI och vilken beslutsversion som tillämpades.
Federationsmedlem ska vid senare ändringar kunna hänvisa till senaste godkända baseline (versionsinfo) och uppge vad som ändrats.
Krav
Federationsmedlem ska kunna initiera akut ändringsärende (t.ex. nyckelkompromettering) via någon form av ingång och ange åtgärdsplan.
Anslutningsoperatören ska ha dokumenterad rutin för hur incidentkontakt används för att kunna avregistrera/stoppa komponent vid behov