Status:
Målgrupp: Taktiskt utskott och de arbetsgrupper som ska bidra i steg 2
Syfte: Ge en gemensam riktning för arbetet med steg 2, så att de principiella vägvalen är prövade innan detaljerna låses
Detta dokument beskriver vad som ska åstadkommas i steg 2 i Taktisk färdplan - Federationsplattform. Det beskriver riktning, bärande principer och ansvarsfördelning, inte lösningar i detalj.
Dokumentet avser federationsplattformen. Plattformen är den gemensamma normativa grunden för hur identitets- och behörighetsfederationer byggs i Sverige. Den ska vara generell där den kan vara generell och tillåta flexibilitet där olika typer av samverkan kräver det, oavsett om samverkan sker inom skola, vård eller något annat område. Hur plattformens artefakter tillämpas i en enskild federationskontext beskrivs separat och ligger utanför detta dokument.
Steg 2 innehåller två leveranser som ska hållas isär. Egenskapsintyg och företrädarskap löser olika problem. Delar av lösningarna kan visa sig gemensamma, men de ska inte förklaras som samma sak. Därutöver inleds ett avgränsat tredje spår som beskrivs sist.
Dokumentet håller isär tre typer av utsagor. Ställningstaganden är det som gäller tills något annat beslutas. Hypoteser är antaganden som ska prövas under steg 2. Öppna frågor saknar svar i dag och är placerade i det avsnitt där de hör hemma.
Steg 1 gör det möjligt för en mottagande part att verifiera vilken teknisk komponent som anropar, vilken organisation som ansvarar för komponenten och enligt vilka krav komponentens metadata har registrerats. Det är grunden för allt som följer, eftersom frågor om egenskaper och behörigheter saknar fäste innan det är fastställt vem som anropar.
För många informationsutbyten räcker det inte, eftersom två saker återstår att avgöra maskinellt.
Vilka egenskaper har den anropande parten? Att veta att det är en viss kommun eller ett visst system räcker inte om beslutet om åtkomst förutsätter att motparten exempelvis bedriver en viss verksamhet, är ett visst slags system eller uppfyller vissa krav på hur användarens identitet hanteras.
För vems räkning sker anropet? Många organisationer driver inte sina egna system. När en leverantör driftar en tjänst åt en kommun är det kommunen som är den verkliga avsändaren av en begäran. Om mottagaren prövar leverantören i stället för kommunen blir prövningen felaktig.
Steg 2 löser dessa två saker. Tilliten är fortsatt maskin- och organisationsbaserad. Användare tillkommer först i senare steg.
Ett egenskapsintyg representerar en definierad och verifierbar egenskap hos en aktör, teknisk komponent eller annan entitet. Intyget bär inte egenskapen i sig utan hänvisar till den, och innebörden framgår av den dokumenterade definitionen av intygstypen.
Egenskapsintyg realiseras med det som i OpenID Federation 1.0 benämns trust mark. Definitionen av trust mark följer av standarden och ska inte omdefinieras. Standarden reglerar den tekniska bäraren men inte vad ett intyg betyder verksamhetsmässigt, vem som ansvarar för dess innebörd eller under vilka förutsättningar det får utfärdas. Det är den inramningen som är leveransen i steg 2.
Egenskapsintyg är det normerande begreppet inom Samordnad identitet och behörighet. Enskilda aktörer kan använda andra ord i sina egna sammanhang, men i plattformens artefakter heter det egenskapsintyg.
Ställningstagande. Ett egenskapsintyg är aldrig ett åtkomstbeslut. Det är underlag. Den mottagande parten avgör vilken betydelse intyget har tillsammans med annan information som parten har rätt att använda, och ansvarar för det beslutet. Ansvaret för beslutet kan inte flyttas till infrastrukturen.
Egenskapsintyg kan användas långt utanför det som plattformen normerar. Tekniken tillåter att två parter kommer överens om en intygstyp helt bilateralt, utan att någon federationsoperatör har godkänt den, och en förlitande part kan verifiera ett sådant intyg genom ett direkt anrop mot utfärdaren. Det är förenligt med standarden. Det som uteblir är att infrastrukturens uppslags- och verifieringstjänster inte omfattar den hanteringen.
Plattformen ska därför inte försöka reglera all användning av tekniken, eftersom det varken är möjligt eller önskvärt. Normeringen ska i stället riktas mot det som är kostnadsdrivande och fragmenterande för anslutande parter, framför allt att kommuner och regioner tvingas visa i huvudsak samma sak flera gånger mot olika mottagare.
Ställningstagande. Plattformen ska skilja mellan tre nivåer av tillit till ett egenskapsintyg.
| Nivå | Vad som kännetecknar den | Vem som är involverad |
|---|---|---|
| Sektorsgemensam | Egenskapen återkommer i många olika samverkanssammanhang och bör vara gemensam över sektorsgränser | Ledningsaktören verkar för harmonisering och erkänner ägare |
| Federationsbetrodd | Intygstypen är registrerad av federationsoperatören och ingår i tillitskedjan, det vill säga i uppslags- och verifieringstjänstens svar | Federationsoperatören registrerar och gör intyget verifierbart i kontexten |
| Samverkansbetrodd | Innebörd och tillitsgrund har definierats och accepterats mellan de samverkande parterna, utan att intygstypen är registrerad i tillitskedjan | Parterna själva |
Skillnaden mellan federationsbetrodd och samverkansbetrodd är inte en gradskillnad i kvalitet utan en skillnad i var tilliten etableras och hur intyget verifieras. Ett samverkansbetrott intyg verifieras direkt mot utfärdaren. Ett federationsbetrott intyg verifieras genom tillitskedjan.
Ställningstagande. Plattformen ska ange en prövningsordning för den som avser att införa en ny egenskap. Först prövas om egenskapen är sektorsgemensam och bör hanteras i samverkan med ledningsaktören. Därefter prövas om den bör vara federationsbetrodd inom en eller flera federationskontexter. Först därefter etableras den som samverkansbetrodd mellan parterna. Ordningen styr mot återanvändning utan att hindra att parter löser sina egna behov.
Öppen fråga. Var går gränsen för vad plattformen normerar? Avtalsrelaterade markörer, exempelvis att en part har tecknat ett visst anslutningsavtal, kan behöva vara federationsbetrodda i en kontext, men bör inte förutsätta ledningsaktörens medverkan. Gränsdragningen behöver preciseras under steg 2.
Tilliten till vad ett intyg betyder och tilliten till att ett enskilt intyg är äkta är två olika saker som bärs av olika roller. Om de blandas samman uppstår förväntningen att federationsoperatören går i god för intygens sakinnehåll, vilket varken är möjligt eller önskvärt.
Rollerna är åtskilda även när samma juridiska person innehar båda. Eftersom rollerna är åtskilda kan en anslutningsoperatör inneha utfärdarrollen, och det är sannolikt att så kommer att ske. För en kommun eller region innebär det att en enda affärsmässig relation kan bära både anslutning i flera federationskontexter och möjligheten att visa sina egenskaper. Det är en av de tydligaste förenklingarna som steg 2 kan ge, och plattformen ska utformas så att den är möjlig.
Ställningstagande. En egenskapsintygstyp har en ägare. Utfärdare kan vara en eller flera. Eftersom det som bär tilliten är den dokumenterade prövningsordningen, inte antalet utfärdare, kan en ägare delegera utfärdandet till hur många parter som helst så länge prövningsordningen är dokumenterad och följs.
Hypotes. Ansvaret fördelas enligt följande. Fördelningen ska prövas under steg 2.
| Roll | Går i god för | Går inte i god för |
|---|---|---|
| Ledningsaktör | Att en sektorsgemensam egenskapsintygstyp har en erkänd ägare och en dokumenterad innebörd | Egenskapens sakinnehåll eller hur den ska värderas i ett enskilt utbyte |
| Egenskapsintygsägare | Innebörd, tillitsgrund, krav för utfärdande, prövningsordningens tillräcklighet och vilka som får utfärda | Det enskilda utfärdandet |
| Egenskapsintygsutfärdare | Att det enskilda intyget utfärdats enligt kraven, att underlaget är tillräckligt och spårbart, och att intyget återkallas när förutsättningarna brister | Att uppgifter som lämnats som underlag är korrekta |
| Federationsoperatör | Att utfärdaren är registrerad och betrodd i federationskontexten och att intyget är tekniskt verifierbart i tillitskedjan | Innebörd eller sakinnehåll |
| Mottagande part | Sin egen användning av intyget i beslutet |
Ställningstagande. Federationsoperatören går enbart i god för teknisk äkthet och för att utfärdaren är betrodd. Ett vidare åtagande skulle förutsätta att federationsoperatören förstår varje sektors verksamhetsnära tillämpning för att kunna svara för vad ett intyg betyder, vilket inte skalar.
Ställningstagande. Ledningsaktören ska inte äga innebörden i en enskild samverkan. Innebörden måste bo nära behovet, eftersom en central aktör är sämst rustad att förstå alla samverkanssammanhang. Ledningsaktörens uppgift är i stället att verka för harmonisering av det som är gemensamt över sektorsgränser och att erkänna vilka aktörer som är normerande inom sina domäner.
Ägarrollen är den viktigaste spärren mot kravfragmentering. Om många aktörer definierar snarlika egenskaper som betyder nästan samma sak men uttrycks olika, uppstår just den kostnad som infrastrukturen ska ta bort.
Fragmenteringen har en känd grundorsak. Den uppstår inte främst av att aktörer vill olika, utan av att parallella initiativ inte känner till varandra och därför löser samma sak på olika sätt trots att kompetens och vilja finns. Normeringen ska därför göra samordning till förstahandsalternativet, inte till ett undantag.
Ställningstagande. Ägarskap hör hemma hos aktörer med ett normerande ansvar inom sin domän, inte hos den enskilda tjänsten eller den enskilda anslutna organisationen. Om enskilda tjänster tillåts äga egna intygstyper växer antalet okontrollerat.
Ställningstagande. Normeringen ska inledningsvis vara stramare än vad framtiden sannolikt medger, eftersom syftet är att förmå de aktörer som har ett sektorsansvar att faktiskt ta det. Att parter därutöver etablerar egna intygstyper sinsemellan är förenligt med plattformen och är inte något som normeringen ska lägga kraft på.
Hypotes. Ägarskap bör kvalificeras genom kriterier snarare än genom organisationsform. Föreslagna kriterier är ett normerande mandat inom domänen genom författning, uppdrag eller erkänd samordnande roll, uthållig förvaltningsförmåga över tid, transparent och icke-diskriminerande kravutformning, oberoende i förhållande till dem som ska uppfylla kraven, samt erkännande av ledningsaktören med möjlighet till återkallelse.
En begränsning medför risker som ska hanteras öppet. Om aktörer med reellt normeringsbehov utestängs är det troliga utfallet att de bygger en egen ordning utanför modellen, vilket ökar fragmenteringen i stället för att minska den. Alla domäner har inte en självklar normerande aktör, och kommunal sektor är det tydligaste exemplet. Om varje ny egenskap kräver att en myndighet tar ägarskap riskerar staten dessutom att bli flaskhals.
Öppen fråga. Hur hanteras delat ägarskap? Inom flera domäner finns flera myndigheter med angränsande ansvar, och en enskild myndighet kan inte rimligen ta ägarskap för en hel domän utan att övriga är involverade. Formerna för gemensamt eller koordinerat ägarskap behöver utredas, och de behöver rymmas inom principen att en intygstyp har en tydlig ansvarig.
Öppen fråga. Hur hanteras intygstyper vars innebörd vilar på en extern standard? Om egenskapen är att en part är certifierad enligt en given standard finns ingen naturlig ägare i vår mening, samtidigt som prövningsordningen och utfärdarledet fortfarande behöver regleras.
Öppen fråga. Hur etableras en ny egenskapsintygstyp och hur prövas den mot befintliga typer så att snarlika dubbletter undviks? Detta är den mekanism som i praktiken bär spärren mot fragmentering, och den saknas i dag.
Öppen fråga. Namngivning och avgränsning behöver hanteras medvetet, eftersom en egenskap som definieras av en sektorsaktör tenderar att uppfattas som sektorsspecifik även när den är generell. Sektorsgemensamma egenskaper bör därför definieras och benämnas på ett sätt som gör deras generella karaktär tydlig.
Egenskapsintyg och uppslag mot en betrodd källa är två sätt att ge en mottagande part underlag inför ett beslut. Valet mellan dem ska vara medvetet.
Ställningstagande. En part ska inte ställa ut egenskapsintyg för att spegla uppgifter som finns i en betrodd källa hos en annan part. Skälet är att en spegling skapar en parallell sanning med en egen livscykel, som riskerar att glida isär från originalet. När den som äger källan i stället själv utfärdar intyget, eller äger intygstypen, uppstår inte det problemet.
Detta innebär inte att uppslag mot en källa alltid är att föredra. Egenskapsintyg är väl lämpade för att förmedla kunskap som härrör från en betrodd källa och kan minska behovet av att varje förlitande part bygger en egen integration mot varje källa. Att det finns ett gränssnitt någonstans är i sig inte skäl nog att utesluta intyg, särskilt inte på plattformsnivå.
Ställningstagande. Följande ska vägas vid valet.
Detta förutsätter något som inte levereras inom steg 2. Nationella betrodda källor behöver kunna exponeras inom federationen som skyddade resurser, så att de kan frågas inför ett åtkomstbeslut på samma sätt som andra resursservrar.
Öppen fråga. Vem driver att betrodda nationella källor exponeras inom federationen, och hur förhåller sig det till steg 2:s leveranser?
Antalet egenskapsintyg som en entitet behöver bära är en reell begränsning. Om intyg bäddas in i metadata växer metadatamängden med antalet egenskaper, och erfarenheten från befintlig infrastruktur visar att detta blir ohanterligt redan vid måttliga volymer.
Ställningstagande. Egenskapsintyg i metadata ska betraktas som en indikation, inte som en säker informationskälla. Den part som ska förlita sig på ett intyg verifierar det, antingen genom tillitskedjan när intyget är federationsbetrott eller direkt mot utfärdaren.
Den som ställer krav har också ett ansvar för proportionalitet. En tjänst som kräver ett stort antal intyg blir i praktiken oanvändbar, eftersom anslutande parter väljer bort den. Plattformens vägledningar bör innehålla rekommendationer om detta.
Öppen fråga. Hur hanteras referenser i stället för inbäddade intyg? Detta har ett beroende till hur den underliggande standarden utvecklas och behöver följas.
Ställningstagande. Ansvaret för att prövningen bakom ett egenskapsintyg är tillräcklig ligger hos egenskapsintygsägaren. Ägaren normerar egenskapen och är därmed den enda som kan bedöma om en prövning svarar mot vad egenskapen ska betyda. Att lägga ansvaret centralt skulle kräva att ledningsaktören eller federationsoperatören förstår all verksamhetsnära tillämpning i hela offentlig sektor, och det skulle motsäga att federationsoperatören enbart går i god för äkthet. Ansvaret ska ligga där rådigheten finns.
Ställningstagande. Redan etablerad tillit ska kunna erkännas. En organisation som redan har genomgått en granskning inom en befintlig federation eller ett befintligt tillitsramverk ska kunna tillgodoräkna sig den granskningen, så att endast skillnaden mot de nya kraven behöver prövas. Att det som är nytt inte ska vara nytt för nytthetens skull är en bärande princip, eftersom alternativet är att samma organisation granskas om och om igen för i huvudsak samma sak.
Det innebär inte att medlemskap i en befintlig federation i sig blir en egenskapsintygstyp. Det som ska återanvändas är den genomförda granskningen, efter att kraven har mappats mot varandra.
Öppen fråga. Hur normeras erkännande av granskningar som utförts i annan ordning, och vad krävs för att en granskning ska kunna erkännas?
Öppen fråga. Behöver plattformen normera formerna för granskning, exempelvis krav på oberoende, dokumentation eller granskningsstandard, även när ansvaret ligger hos ägaren? Frågan har en rättslig dimension, eftersom det har ifrågasatts om det finns rättslig grund att avkräva granskning. Den behöver hanteras tillsammans med juridik.
Ställningstagande. En egenskapsintygstyp ska ha dokumenterade giltighets- och återkallelsevillkor, och utfärdaren ska ha rutiner för hela livscykeln inklusive felaktigt utfärdade intyg.
Omedelbar återkallelse finns inte i praktiken. All spridning av information i en distribuerad infrastruktur är fördröjd, och det som kan utlovas är att en förändring får genomslag inom en angiven tid.
Ställningstagande. Plattformen ska ange vilken fördröjning som gäller för federationsbetrodda egenskapsintyg, uttryckt som en längsta tid till genomslag. För tillämpningar med hårdare krav ska direkt verifiering mot utfärdaren, eller uppslag mot källan, anvisas som alternativ. Denna nivå är tillräcklig för det stora flertalet tillämpningar, och alternativet ska finnas för dem där den inte är det.
Ställningstagande. Ett egenskapsintyg ska kunna återkallas av den som utfärdat det. Eftersom giltigheten vilar på en prövning som i sin tur ofta vilar på ett avtal bör intygets giltighetstid inte överstiga giltighetstiden för det avtal eller den prövning som ligger till grund för det.
Öppen fråga. Vilken tid till genomslag ska gälla, och hur förhåller den sig till cachning i uppslags- och verifieringstjänster?
Öppen fråga. Behöver även egenskapsintygstyper omprövas periodiskt, och vad händer med utfärdade intyg när en typ ändras eller upphör?
Digitalt stämplade egenskapsintyg utgör urkunder, vilket innebär att osant intygande kan vara straffsanktionerat beroende på egenskapsintygets utformning (d.v.s. vad som intygas). Det är ett skäl till att utfärdarrollen kan behöva begränsas och till att kraven på spårbart underlag ska vara höga.
Öppen fråga. Vad innebär urkundsstatusen närmare, och vilka konsekvenser får den för kraven på ägare respektive utfärdare? Frågan ska utvecklas tillsammans med juridik under steg 2.
Steg 1 kopplar en teknisk komponent till den organisation som ansvarar för den. I anropskedjan syns endast den kopplingen. När komponenten används för en annan organisations räkning är den relationen dold och saknar teknisk verifierbarhet.
Frågan har hittills formulerats som ett behov, alltså när företrädarskap behövs. Den formuleringen är för svag. Den bärande frågan är i stället vad konsekvensen blir när företrädarskap inte går att verifiera maskinellt.
Konsekvensen är att vilken registrerad komponent som helst kan påstå sig agera för vilken organisation som helst. Anslutningskontrollerna i steg 1 verifierar vem som ansvarar för en komponent, men de begränsar inte vad komponenten påstår om andra. Utan en mekanism för företrädarskap är kontrollerna därför verkningslösa i just det led där de skulle behövas mest. Detta är en känd angreppsväg mot federationsinfrastruktur och inte ett teoretiskt scenario.
Behovet är inte hypotetiskt. Motsvarande relationer hanteras i dag manuellt eller bilateralt i flera etablerade utbyten, exempelvis när en region företräder privata vårdgivare som arbetar i regionens journalsystem, eller när en kommun vid registrering hos en producent anger att en leverantör kommer att anropa för kommunens räkning. Bilateral hantering per relation är precis det som federation ska ersätta, och den skalar inte mot de volymer det handlar om. Hälsodata når infrastrukturen via hundratals journalsystem som drivs av i storleksordningen ett hundratal leverantörer, och anslutningsmodellen ska klara den volymen utan särlösningar.
Ställningstagande. Företrädarskap ska normeras på federationsplattformens nivå, inte lösas per federationskontext.
Skälen är två.
Den som drabbas behöver inte vara med i federationen. En organisation som väljer att inte ansluta kan ändå påstås vara företrädd av någon som är ansluten. Ansvaret för att det inte kan ske kan därför inte vila på den enskilda organisationens eget val att delta.
Olika lösningar i olika kontexter upphäver interoperabiliteten. Om varje federationskontext löser företrädarskap på sitt sätt kan tillit etablerad i en kontext inte förstås i en annan, vilket är precis den fragmentering plattformen finns till för att motverka.
Begreppsvalet är inte en formfråga. Kraven på anslutningsoperatörer och den kommunikation som ska gå ut till leverantörsledet blir otydlig på just den punkt där precision är dyrast, om begreppen inte sitter.
Ställningstagande. Följande begrepp gäller.
| Term | Definition |
|---|---|
| Företrädarskap | Förmågan att visa och verifiera att en teknisk komponent agerar för en annan organisations räkning. Avser en relation mellan juridiska personer avseende systemnyttjande |
| Företrädd organisation | Den organisation för vars räkning anropet sker och som har informationsbehovet |
| Företrädande federationsmedlem | Den organisation som ansvarar för den komponent som gör anropet |
| Systemleverantör | Organisation som utvecklar och tillhandahåller programvara utan att själv driva någon komponent i federationen. Har ingen roll i federationen |
Ställningstagande. Ordet företrädare ska inte användas som självständigt begrepp om en organisation eller en komponent. Behörig företrädare är redan definierat i normativt material och avser en namngiven fysisk person med rätt att binda organisationen. Eftersom den betydelsen redan är fastställd och materialet har gått på delning ska den behållas, och företrädarskap i steg 2 uttryckas genom sammansättningarna ovan.
Ställningstagande. Följande begrepp ska inte användas för denna förmåga. Ombud, eftersom det kolliderar med avtalslagens fullmaktsbegrepp och med etablerade tjänster och anslutningsformer där ordet har en annan innebörd. Underleverantör, eftersom det förutsätter en upphandlingsrelation som inte alltid finns. Delegering, som bör reserveras för det rättsliga ledet och inte användas om den tekniska bäraren. Tjänsteleverantör, eftersom det redan används om den part som tillhandahåller en tjänst som andra anropar.
Företrädarskap ska göra följande möjligt.
| Vad | För vem |
|---|---|
| Härleda vilken organisation ett anrop görs för | Förlitande part |
| Verifiera att påståendet om företrädarskap har sitt ursprung hos någon annan än den företrädande parten | Förlitande part |
| Avgöra att den företrädda organisationen existerar och är identifierbar mot auktoritativ källa | Förlitande part |
| Begränsa vad ett företrädarskap omfattar | Företrädd organisation |
| Återkalla ett företrädarskap och få genomslag inom definierad tid | Företrädd organisation |
| Spåra i efterhand vem som agerade för vems räkning vid en viss tidpunkt | Alla parter, särskilt vid incident |
| Uttrycka att en organisation endast företräder sig själv, vilket är normalfallet | Alla |
| Säkerställa att en organisation som inte deltar i federationen inte kan företrädas av någon | Icke deltagande organisation |
| Genomföra kontrollen med en insats som gör att den faktiskt implementeras | Förlitande part |
| Bära förvaltningen med proportionerlig börda | Anslutningsoperatör |
| Låta mekanismen fungera likvärdigt över flera federationskontexter | Federationsplattformen |
De fyra sista raderna berördes inte i den ursprungliga diskussionen men är avgörande. Återkallelse och spårbarhet avgör om en lösning är driftbar. Förvaltningsbördan avgör om anslutningsoperatörer vill och kan bära rollen. Likvärdighet över kontexter avgör om frågan hör hemma i plattformen eller i tillämpningen.
Ställningstagande. Ett företrädarskap får inte vara självutfärdat. Om påståendet bärs i den företrädande partens egen metadata kan den lägga till ett företrädarskap, utnyttja det och ta bort det igen. Mekanismen blir då verkningslös som förebyggande kontroll och ger endast spårbarhet i efterhand. Påståendet ska därför ha sitt ursprung hos den företrädda organisationen eller intygas av en överordnad entitet.
Ställningstagande. Ett företrädarskap ska ha en giltighetstid och ska kunna återkallas med definierat genomslag. Eftersom ett företrädarskap normalt vilar på en avtalsrelation ska det upphöra när relationen upphör, och det får inte förutsätta att någon manuellt kommer ihåg att avregistrera det.
Ställningstagande. Företrädarskap är inte en anslutningsform. Om företrädarskapet uttrycks som en relation mellan komponent och organisation, i stället för som sättet på vilket en organisation deltar, blir byte av leverantör enklare. Detta ska vara ett uttalat designkriterium, eftersom risken annars är att ett fåtal företrädande parter får en position som är svår att lämna.
Ställningstagande. Att en organisation företräder sig själv är normalfallet och ska inte medföra någon extra hantering.
Två frågor blandas lätt samman och har olika karaktär.
Fråga A. Får denna komponent tala för denna organisation? Frågan är avgränsad, binär och realiserbar.
Fråga B. Får den göra det för vad, i vilken omfattning och mot vilka tjänster? Frågan öppnar ett variabelrum som växer med antalet företrädarskap multiplicerat med antalet tjänster och ändamål, och som växer ytterligare med federationskontextens bredd.
Hypotes. Ansvarsgränsen bör dras enligt följande. Federationsplattformen besvarar fråga A, alltså om en komponent får tala för en organisation och vem som har intygat det. En federationskontext kan skärpa vilken granularitet som krävs för att en komponent ska accepteras inom kontexten. Verksamhetslagret besvarar fråga B, alltså om organisationen får göra just detta i just denna tjänst.
Detta är ett vägval och inte ett faktum. Det ska beslutas uttryckligen, eftersom det avgör om företrädarskapet ska bäras i federationsmetadata eller i åtkomstintyg. Skälet att pröva just denna gräns är att avgränsningsmöjligheten samtidigt är en förutsättning för att aktörer med stora skyddsvärden ska våga öppna tjänster i en bredare federation. Om plattformen inte kan uttrycka någon avgränsning alls riskerar den att inte användas av dem som har mest att skydda.
Tre förhållanden styr designen mer än övriga.
Ursprunget för påståendet avgör om mekanismen fungerar. Detta är den enda punkt där det redan finns full enighet, och all vidare design ska utgå från den.
Granulariteten avgör kostnaden. Oavsett vägval multipliceras antalet variabler med antalet företrädarskap och antalet tjänster. Vid de volymer det handlar om blir detta en förvaltningsfråga snarare än en teknisk fråga.
Kravnivån avgör om lösningen används. Erfarenheten från befintliga federationer är att när kraven inte kan bäras av en liten organisation hamnar arbetet antingen kvar hos någon som inte klarar det, eller hos leverantören till ett pris som organisationen inte klarar. Utfallet blir då att behovet löses utanför infrastrukturen i punktlösningar. Detta ska designas bort från början.
Lösningsmönster har identifierats men inte vägts mot varandra. Vägvalet görs under steg 2. Kandidaterna beskrivs här endast för att visa vilka frihetsgrader som finns och vad de kostar.
| Mönster | Var företrädarskapet bärs | Löser fråga B | Huvudsaklig svaghet |
|---|---|---|---|
| En registrering per relation | Egen entitet per kombination av komponent och företrädd organisation | Nej | Antalet registreringar växer multiplikativt och varje företrädd organisation måste vara federationsmedlem |
| Fixerat scope | I den företrädande partens metadata, men med värdet låst av överordnad entitet | Delvis | Kräver auktoritativt organisationsidentitetsbegrepp och ger hög uppdateringsfrekvens i signerade uttalanden |
| Egenskapsintyg med delegation | Som egenskapsintyg där den företrädda organisationen äger rätten och en operatör utfärdar | Delvis | Kopplar samman de två leveranserna i steg 2 och kräver att den kopplingen hanteras uttryckligt |
| Åtkomstintyg | I det utfärdade åtkomstintyget | Ja | Flyttar frågan till var delegeringen registreras och vem som är auktoritativ för den |
| Externt delegeringsregister | I ett register utanför federationsmetadata | Ja | Ny komponent, ny förvaltning, ny finansiering och en integritetsrisk vid uppslag |
| Hybrid | Fråga A i federationen, fråga B i åtkomstintyg eller verksamhetslager | Ja | Skiktad förvaltning och skiktad återkallelse |
Hypotes. Två kandidater bör utvärderas först. Egenskapsintyg med delegation är prövbar inom befintlig standard utan extension och uttrycker rättsligt korrekt att rätten härrör från den företrädda organisationen medan den praktiska utfärdandeuppgiften ligger hos en operatör. Hybridmönstret svarar bäst mot ansvarsgränsen ovan och mot hur andra har löst samma problem.
Ställningstagande. Kandidater ska bedömas mot följande kriterier. Kan påståendet verifieras utan att förlita sig på den företrädande partens egen metadata. Kan det återkallas och med vilken fördröjning. Vilken förvaltningsbörda uppstår per relation och vem bär den. Hur många steg krävs av förlitande part. Skalar mekanismen till hundratals komponenter. Går den att uttrycka inom OpenID Federation 1.0 och den svenska profilen utan extension. Fungerar den likvärdigt över flera federationskontexter. Skyddar den organisationer som står utanför federationen.
Ställningstagande. Egenutvecklade avvikelser från den underliggande standarden ska undvikas, eftersom de medför både interoperabilitetsförlust mot internationella implementationer och en förvaltningsbörda som blir vår egen. Befintliga byggblock ska uttömmas innan en extension övervägs.
Problemet är löst på flera håll, men inte som ett standardmönster i OpenID Federation. Ingen av lösningarna är direkt återanvändbar, men alla visar samma grundmönster. Företrädarskapet uttrycks av någon annan än den företrädande parten och kan återkallas av den som utfärdat det.
| Ordning | Var företrädarskapet bärs | Granularitet |
|---|---|---|
| Italien, SPID och CIE | Federationsmetadata, med egen entitet per aggregerad organisation samt tillitsmärken | Organisationsnivå |
| Norge, Maskinporten | Åtkomstintyg, mot delegering registrerad i en separat nationell tjänst | Scope-nivå, och finare i systembrukarmodellen |
| iSHARE | Separat delegeringsbevis från auktorisationsregister | Resurs- och handlingsnivå |
| Etablerade svenska federationer | Metadata och anslutningsform | Organisationsnivå |
Mönstret över samtliga är att organisationsnivån löses i infrastrukturen medan finare granularitet löses i ett auktorisationslager. Ingen av dem bär full granularitet i federationsmetadata. Det stärker den föreslagna ansvarsgränsen.
Motsvarande fråga behandlas inom internationellt federationssamarbete och ska följas.
Företrädarskap är den förmåga i steg 2 som har tydligast affärsmässig laddning, och det påverkar vilka som vill ta vilka roller.
För anslutningsoperatören blir förvaltning av företrädarskapsrelationer en tjänst med löpande intäkt. Det ger incitament att ta rollen, men ger också incitament att förorda den lösning som medför mest förvaltningsarbete. Detta ska vägas in när kravnivån sätts.
För leverantörsledet sänker företrädarskap tröskeln avsevärt, eftersom en teknisk anslutning kan betjäna många kundorganisationer. Det är den enskilt starkaste nyttoargumentationen mot leverantörer.
För den lilla organisationen avgör lösningsvalet om deltagande blir möjligt över huvud taget.
Gränsdragningen mellan det som ska tillhandahållas av offentlig aktör och det som kan tillhandahållas på öppen marknad behöver omfatta även företrädarskapet, och bör läggas in i den pågående analysen av offentlig säljverksamhet.
Öppen fråga. Vilken längsta fördröjning vid återkallelse är acceptabel? Svaret styr valet mellan bärare, eftersom metadata och åtkomstintyg ger olika storleksordningar.
Öppen fråga. Kan ett företrädarskap sträcka sig över flera federationskontexter? Svaret avgör hur mycket som måste normeras på plattformsnivå.
Öppen fråga. Ska företrädarskap kunna vara flerledat, alltså att en företrädande part i sin tur anlitar någon annan?
Öppen fråga. Vad händer med etablerade företrädarskap när en federationsmedlem byter anslutningsoperatör? Kravet på medlemskontinuitet finns men adresserar inte företrädarskap.
Öppen fråga. Är företrädarskapet en fullmakt i avtalslagens mening? Svaret påverkar formkrav och återkallelseregler och ska hanteras i det juridiska spåret.
Öppen fråga. Vem är personuppgiftsansvarig respektive personuppgiftsbiträde i kedjan, och ska federationen förutsätta en biträdesrelation eller vara agnostisk?
Öppen fråga. Behövs motsvarande mekanism på producentsidan? På konsumentsidan är frågan för vems räkning någon frågar. På producentsidan är frågan för vems räkning någon lämnar ut, vilket har direkt bäring på utlämnandebedömningen och på personuppgiftsansvaret. Behovsbilden för producentsidan bör kartläggas separat innan en gemensam mekanism designas, eftersom den annars riskerar att designas mot halva problemet.
Egenskapsintyg uttrycker egenskaper hos komponenter och organisationer. Behörighetsgrundande attribut uttrycker egenskaper knutna till digitala identiteter. Frågeställningen är densamma i båda fallen. Utan samordning uppstår snarlika definitioner grundade i snarlik särlagstiftning, och anslutande parter får bära kostnaden.
Ställningstagande. Ett avgränsat arbete med behörighetsgrundande attribut inleds inom steg 2. Arbetet omfattar processer för hur attribut definieras, en form av domänindelning, och en gemensam katalog där befintliga attribut ska prövas och i första hand återanvändas innan nya införs.
Ställningstagande. Arbetet omfattar inte att definiera behörighetsgrundande attribut för samtliga domäner. En sådan ambition är inte genomförbar.
Det som ska koordineras är vilka attribut som behövs för att bedöma grund för behörighet inom de lagrum som gäller för en viss samverkan, och hur dessa attribut uttrycks. Behovet av en domän- eller sektorskoordinerande roll ligger nära egenskapsintygsägarrollen, och rollerna ska prövas mot varandra i stället för att definieras var för sig.
Öppen fråga. Hur avgränsas detta arbete så att det inte utvecklas till en samverkansarena för alla frågor?
De tre spåren delar samma risk. Om de släpps fria kommer varje aktör att uttrycka snarlika krav och begrepp på sitt eget sätt, och den fragmentering som infrastrukturen ska motverka uppstår på nytt, denna gång i kravmassan i stället för i tekniken.
Fyra positioner gäller genomgående.
Ledningsaktören verkar för harmonisering. Egenskaper, attribut och krav som är gemensamma över sektorer ska identifieras och harmoniseras i stället för att definieras om inom varje domän. Hur långt åtagandet sträcker sig i praktiken behöver läras fram och kan i dag inte preciseras närmare.
Prövningsordning före etablering. Den som avser att införa något nytt ska först pröva om det redan finns, därefter om det bör vara gemensamt, och först därefter etablera något eget.
Etablerad tillit ska återanvändas. En organisation ska inte behöva visa samma sak flera gånger mot olika mottagare.
Plattformen ska vara tillåtande, tillämpningen kan vara restriktiv. Plattformen ska generalisera det som kan och bör vara generellt och samtidigt tillåta tillräcklig flexibilitet för ändamålsenliga lösningar. Avgränsningar som gäller en viss tillämpning hör hemma i den kontextens regelverk.
De artefakter som gått ut på delning omhändertar steg 1. Behörighet på organisationsnivå ingår inte där, och steg 2 medför därför tillägg som ännu inte finns.
Vilka krav som slutligen hamnar var avgörs under arbetet. Detta dokument anger riktningen, inte artefaktstrukturen