Denna sida är ett arbetsdokument och innehållet avser samla input för uppdatering av sidan Ena infrastruktur för identitet- och behörighetshantering.

Inledning

Förslag till ändring under avsnitt 1.1.2. Principer > Tekniken som gemensam grund: Den tekniska federationsinfrastrukturen ska vara generisk, standardiserad och möjliggöra interoperabilitet och valfrihet genom stöd för moderna, globala protokoll – vilket öppnar för att organisationer kan välja mellan olika leverantörer och ett brett utbud av IAM-teknik och lösningar. 

Motivering: Då får vi med idén om en infrastrukturen djupt ner som utgör grunden för IAM-lösningar som i sin tur möjliggör säker och effektiv samverkan mellan organisationer. 

Kommentar till avsnitt 1.1.2. Principer > Återanvändbarhet: Återanvändbarhet kan även handla om kompetens, rutiner och processer också, t ex systematisk säkerhetsarbete. 

Förslag till ändring under avsnitt 2.1. Principer: kanske istället för "både tekniskt och organisatoriskt.", skriva "avseende teknik, organisation och styrning." 

Avsnitt 2.2. Federationsinfrastruktur behöver ändras: En tillitskedja är en verifierbar kedja av signerade metadata som kopplar en federationsmedlem med en annan – exempelvis en klient och intygstjänst via ett gemensamt Tillitsankare. Varje länk i kedjan utgörs av en signerande part (t.ex. en Anslutningpunkt eller Tilitsmärkesutfärdare) som står i relation till nästa, som kan stegras ända upp till federationens rot - ett Tillitsankare.

Roller & ansvar

Förslag till ändringar under avsnitt 2.2.1.1. Roller i federationsinfrastrukturen:

• Anslutningsoperatör: Det bör framgå att i rollen ingår även att verifiera organisationer, hantera avtal samt administrera deras företrädare så att de kan hantera ärenden och hålla kontakt relaterad till organisationens användning av federationen, t ex ansöka om att tillgängliggöra/publicera metadata. En annan viktig uppgift handlar om incidenthantering där anslutningsoperatören ska både kunna avlägsna tjänster och verka förebyggande för att motverka incidenter och oönskade fenomen.
• Tillitsmärkesutfärdare bör endast ligga under Federationsinfrastrukturkomponenter. Om vi vill ha en roll/aktör bör den vara något i stil med Ombud för utfärdande av tillitsmärken. 

• Federationsmedlem är en organisation som ingår avtal. En medlem kan sedan ha en eller flera tekniska komponenter i federationen. Dessa kan dessutom vara av olika typer. Förslagsvis kan vi kalla dem för "digitala tjänster". Sen behöver det egentligen inte framgå under avsnitt 2.2.1.1. Det viktigaste är att beskriva rollen som en organisation på samma sätt övriga (ledningsaktör, operatör, tillitsmärkesägare, osv.)

Förslag till ändringar under avsnitt 2.2.1.3. Anslutna federationskomponenter:

• Legitimeringstjänst utfärdar identitetsintyg. Legitimeringstjänst handlar också om en kombination av federationskomponent och tillitsmärke. Legitimeringstjänst ska tas bort ur listan. Istället skriva Intygstjänst https://github.com/diggsweden/ena-authorization/blob/main/introduktion/ordlista.md#intygstjanst
  • Legitimeringstjänst, är alltså en typ av intygstjänst som genom e-legitimering (identitetskontroll med godkänd e-legitimation) ställer ut intyg i enlighet med ett erkänd tillitsmärke, såsom tillitsramverk för Svensk e-legitimation, eIDAS eller annan granskning som kan förekomma inom ramen för Ena. En icke-granskad IdP/OP hos en skola där elever loggar in med användarnamn och lösenord är exempel på intygstjänst som inte kan kallas Legitimeringstjänst. 
  • Utifrån denna resonemang kan intygstjänst beroende på tillitsmärke vara kopplad till en e-legitimation eller användarorganisation. Intyg kan vara assertion i SAML-världen. Kör vi OAuth/OIDC är OP/AS förmodligen samma så länge de ställer ut intyg. Därför ska Auktorisationstjänst ses som den AS som fattar beslut om åtkomst. I princip kan både användarorganisation för förlitande part ha AS:ar där ena fungerar som intygstjänst och den andra (även om den ställer ut intyg för åtkomst till resursserver) ses som auktorisationstjänst som beviljar åtkomst till en resurs. 
• Auktorisationstjänst, se ovan.
• Resursserver - visst inbegriper det även api? Kanske förtydliga beskrivningen?

Övriga kommentarer och frågor

Jag gillar neutrala begrepp, t ex intyg och attribut, så kan juridiska beskrivningar sätta prefix såsom identitetsintyg, behörighetsintyg, osv.

Kanske ska det framgå att tillitsmärken är stämplade (signerade) tokens som utfärdaren ger till medlemsorganisationen som sedan inkluderar den i metadata för sin tjänst (entitet)? 

Måste alla tjänster ha ena tillitsmärken? Är det inte förlitande part som avgör kraven? Om svaret är alla måste ha tillitsmärken, inbegriper det även Anslutningspunkt, Tillitsmärkesutfärdare och Tillitsankare? 

Text från tidigare version....

Det federativa ekosystemet består av ett antal definierade roller med specifika ansvar. Dessa roller omfattar bland annat:

• Ledningsaktör
• Tillitsankare
• Anslutningsoperatör
• Tillitsmärkesägare
• Tillitsmärkesutfärdare

samt deltagande parter såsom Intygsutfärdare (Identity Providers) och förlitande parter (Relying Parties).

Ledningsaktören är den överordnade styrande aktören som ansvarar för att fastställa det gemensamma regelverket, tillitsnivåer och den övergripande styrningen av federationen. Den säkerställer att övriga roller verkar inom en tydlig och förutsägbar ram.

En och samma aktör kan inneha flera roller i ekosystemet – exempelvis vara både Trust Mark Issuer och Intermediate Entity – förutsatt att det inte uppstår intressekonflikter eller jäv som kan äventyra tilliten inom federationen. Det är särskilt viktigt att rollkombinationer som innebär granskning eller certifiering av sig själv undviks eller hanteras med särskilda mekanismer för transparens och oberoende.

Rollfördelningen syftar till att möjliggöra ett flexibelt men kontrollerat ekosystem, där ansvar och tillit kan delegeras på ett sätt som är både skalbart och spårbart.

Ledningsaktör

Beskrivning
En central och betrodd aktör som fungerar som styr det federativa ekosystemet – den som initierar och fastställer anslutningsregler.

Ansvar

• Definiera och äga regelverket.

• Formellt godkänna vilka aktörer som får agera som Trust Anchors, Trust Mark Issuers m.fl.

Teknisk verksamhet

• Tillhandahålla information om federationens struktur och anslutna Tillitsankare
• tex https://ena-infrastructure.se

Tillitsankare - Federation inom Ena, federativt kontext

Beskrivning
En central och betrodd aktör som fungerar som en rot i federationen – den som initierar och fastställer reglerna för ett federativt kontext

Ansvar:

• Etablera policyramverk (t.ex. tekniska krav, metadata, tillitsmärken).

• Godkänna Anslutningsoperatörer

• Hanterar rot-certifikat för ett eller flera federativa kontext

Teknisk komponent

• Trust Anchor
  En Trust Anchor är en central betrodd part i en OpenID Federation som fungerar som startpunkt för att etablera tillit mellan entiteter (t.ex. Identity Providers och Relying Parties).
  Den:
  • Publicerar signerad metadata som anger vilka entiteter och policies som ingår i federationen.

  • Möjliggör att andra entiteter kan bygga och verifiera förtroendekedjor (trust chains) genom kryptografisk signaturvalidering.

  • Är den yttersta källan till tillit – entiteter som litar på Trust Anchorn kan också lita på entiteter vars metadata går att validera mot den.

  • Metadata från en Trust Anchor innehåller

    • Entity identifier (t.ex. URL eller ID)

    • Publika nycklar för signering och kryptering

    • Policyregler och federationskrav

    • Lista över godkända underordnade entiteter

Anslutningsoperatör

Beskrivning
En mellanhand som registrerar och aggregerar metadata och gör det möjligt att skala federationen genom delegerad tillit.

Ansvar:

• Registrera och validera metadata från underliggande enheter (t.ex. Identity Providers och Relying Parties).

• Publicera signerad aggregerad metadata som andra kan konsumera.

• Underlätta anslutning av deltagare enligt gällande regler per Tillitsankare

Teknisk komponent

• Intermediate 

  En Intermediate Entity är en mellanliggande entitet i en federationsstruktur.
  Den:

  • Bygger och vidareförmedlar signerad metadata från andra entiteter under sig.

  • Deltar i skapandet av förtroendekedjor (trust chains) genom att lägga till sin egen signerade metadata ovanpå andras.

  • Fungerar som en lokal federation eller mellanled, till exempel en branschspecifik eller nationell federation som i sin tur är kopplad till en Trust Anchor.

  • Metadata från en Intermediate Entity innehåller

    • Entity identifier och organisationsinformation

    • Signerad metadata för underliggande entiteter (t.ex. Identity Providers eller andra intermediärer)

    • Policystyrning för sin underfederation

    • Publika nycklar för att verifiera metadata

Tillitsmärkesutfärdare 

Beskrivning
En oberoende eller specialiserad part som granskar och tilldelar Trust Marks enligt vissa kriterier eller standarder (Auktoriserad av en Trust Mark Owner)

Ansvar:

• Bedöma om en part uppfyller vissa krav (t.ex. säkerhet, integritet, tillgänglighet).

• Utfärda Trust Marks som digitala bevis på uppfyllda krav.

• Publicera Trust Marks så att andra parter kan verifiera dem.

Teknisk komponent

• Trust Mark Issuer
  En Trustmark Issuer är en specialiserad entitet i federationen som utfärdar trustmarks – digitala bevis eller intyg om att en viss entitet uppfyller särskilda krav eller policys.
  Den:
  • Utfärdar och signerar trustmarks kopplade till specifika egenskaper, exempelvis säkerhetsnivå, regelefterlevnad eller branschspecifik ackreditering.
  • Gör det möjligt att komplettera den tekniska tilliten i federationen med policybaserad eller juridisk tillit.
  • Fungerar oberoende eller som del av en federation, och kan användas av andra entiteter för att visa att de uppfyller externa eller interna krav.
  • Metadata från en Trustmark Issuer innehåller
    • Identifierare för trustmark-utgivaren
    • Publika nycklar för signaturvalidering
    • Definitioner av tillgängliga trustmarks
    • Eventuellt information om bedömningsprocesser eller ackreditering

Tillitsmärkesägare

Beskrivning
En standardiserande eller regelgivande aktör som definierar vad ett visst Tillitsmärke (Trust Mark) står för.

Ansvar:

• Formulera kravspecifikation för ett Trust Mark (t.ex. tekniska standarder, regelverk).

• Auktorisera en eller flera Tilllitsmärkesutfärdare (Trust Mark Issuers) att utfärda Trust Marks enligt dessa krav.

• Publicerar/hänvisar till definitioner och semantik för varje Trust Mark (t.ex. i en katalog eller dokumentation).

• Säkerställa att utfärdade Trust Marks håller förväntad kvalitet och tolkning.

Federationsmedlem

Beskrivning

En i deltagande aktör i federationen, ansluter tex en e-tjänst, API, auktorisationstjänst eller legitimeringstjänst via en anslutningoperatör.

Ansvar

Följa federationens regelverk för anslutning

Teknisk komponent

• Leaf entity
  Alla Leaf Entities:

  • Har signerad federation metadata.

  • Bygger eller validerar en trust chain till en Trust Anchor (via ev. Intermediate Entities).

  • Kan kombinera teknisk och policybaserad tillit via trustmarks.

• TJänstekonsumenter (Clients / Relying Parties)

  • Initierar autentisering mot en OP.

  • Tar emot ID- och access-tokens.

  • Verifierar trust chains för att säkerställa tillit.

  • Metadata innehåller:

    • entity ID,

    • redirect URIs,

    • nycklar

• Identitets- och auktorisationstjänster (OP / Auth Server / Resource Server)

  • OP/AS: Utfärdar tokens, hanterar identitet.

  • RS: Skyddar resurser, validerar tokens.

  • Metadata innehåller:

    • endpoints,

    • nycklar,

    • scopes,

    • claims.