You are viewing an old version of this page. View the current version.

Compare with Current View Page History

« Previous Version 42 Next »

 Övergripande struktur

Aktörer

Ledningsaktör, som granskas och godkänner

  • Operatörer

Ledningsaktör och Ägare av tillitsmärke, som granskar och godkänner:

  • Utfärdare av tillitsmärke

Operatörer som ansvarar för registrering av entiteter och anslutning av:

  • Samverkande organisationer

Tekniska komponenter

Federationsinfrastrukturskomponenter

  • Tillitsankare (kan finnas på olika nivåer, men de gemensamma godkänns av ledningsaktören)
  • Resolver (kan finnas på olika nivåer, men de gemensamma godkänns av ledningsaktören)
  • Intermediär anslutningspunkt (sätts upp av godkända operatörer och ansluts till tillitankare när kraven är uppfyllda)
  • Utfärdare av tillitsmärke (kan finnas på olika nivåer, men de gemensamma godkänns av ledningsaktören)
  • Stödtjänster för äldre tekniska protokoll såsom metadatatjänster för interfederering av SAML, mTLS, m.m. (vid behov)

Komponenter för digital samverkan

  • IdP/OP
  • AS
  • SP/API Client
  • RS

Anslutningsprocesser

Samverkande organisation registrerar en komponent (entitet) → Anskaffning av tillitsmärke (som leder till att entitet uppfyller krav för att exponeras i tillitsankare och resolver)

I praktiken, exempel med en OP

  • BankID har en enitet av typen OP och ansöker om tillitsmärke för svensk e-leg tillitsnivå 3 hos Digg
  • Kommunen har en entitet av typen OP och ansöker om tillitsmärke för Användarorgantioner på LoT-nivå 3 hos sin operatör (idag, i framtiden TBD)


Ansvarsfördelning

Enas federationsinfrastruktur behöver en samordnande ledningsaktör som ansvarar för gemensamma regler, exempelvis för anslutning av Tillitsankare och hantering av Tillitsmärken. Denna aktör säkerställer att alla deltagare följer en gemensam styrning och att interoperabilitet inom Ena upprätthålls.
 Samtidigt kan andra aktörer använda samma tekniska lösningar men ha egen styrning, och därmed vara tekniskt kompatibla men organisatoriskt fristående. Det möjliggör bredare samverkan utan att alla måste ingå i samma federation.

Denna tabell utgår från Ena där Digg är ledningsaktör.

ProcessTeknisk komponentTypResultat (tex Tillitsmärke)Ansvarig aktör

Kommentar

Anslutning av Federationinsfrastrukturssaktör (Organisation)
VerksamhetAnsluten = organisatorisk metadata registrerad hos ledningsaktörenLedningsaktör

Anslutning av en aktör som står för en federationsinfrastrukturtjänst aka webbtjänst

https://ena-infrastructure/ena-trustanchors

Anslutning av Tillitsankare

Trust Anchor

Resolver

Verksamhet

Rot-certifikat registrerat eller tilldelat

Trustmark? Ena-TrustAnchor


LedningsaktörFinns det en anledning att ett TA att ha ett Trustmark?
Anslutning av OperatörIntermediate EntityTeknisk

Registrerad i metadata dvs tilldelat EntityID

Trustmark = Ena-Intermediate

Tillitsankare
Anslutning av TillitsmärkesutfärdareTrust Mark IssuerTeknisk

Registrerad i metadata dvs tilldelat EntityIDEna

TrustMarkIssuer

Tillitsankare
Utgivning av Tillitsmärke

Verksamhet

Teknisk

Ena-Trustmark-xyzTillitsmärkesutfärdareBehövs även en process för registrering av Tilitsmärke (hos ett Tillitsankare?)






Anslutning av Fedarationsmedlem (Organisation)
VerksamhetAnsluten = organisatorisk metadata registrerad hos operatörenOperatörAnslutning av aktör som ansluter tjänster till federationsinfrastrukturen
Anslutning av LegitimeringstjänstOpenID Provider - OPTekniskRegistrerad i metadata dvs tilldelat EntityIDOperatör
Anslutning av Förlitande partRelying Party - RPTekniskRegistrerad i metadata dvs tilldelat EntityIDOperatör
Anslutning av Auktorisationstjänst Authorization server - ASTekniskRegistrerad i metadata dvs tilldelat EntityIDOperatör
Anslutning av API klient ClientTekniskRegistrerad i metadata dvs tilldelat EntityIDOperatör












ProcessGranska och godkännaAnsvarigt Leveransteam
Anslutning av OrganisationLedningsaktör ansvarar för process och krav,  andra aktörer granskar och godkännerFederationsinfrastruktur
Anslutning av TillitsankareLedningsaktörFederationsinfrastruktur
Anslutning av OperatörTillitsankareFederationsinfrastruktur
Anslutning av Utfärdare av TillitsmärkenLedningsaktörFederationsinfrastruktur
Anslutning av OpenID Provider (OP)OperatörVerksamhet och juridik
Anslutning av Relying Party (RP)OperatörVerksamhet och juridik
Anslutning av Authorization server (AS)OperatörVerksamhet och juridik
Anslutning av Tillitsmärke till OP, RP, AS, API, API klientTillitsmärkesutfärdareFederationsinfrastruktur
Anslutning av APIOperatörVerksamhet och juridik
Anslutning av API klientOperatörVerksamhet och juridik
Anslutning av SAML IdPLedningsaktör?
Anslutning av SAML SPLedningsaktör?
Anslutning av attributkälla??




Processbeskrivningar för anslutningar som team Verksamhet och juridik ansvarar för

TBD process för anslutning av medlemsorg och federationsinfrakturerorg

TBD process ansluta operatörer.

TBD börja med att kolla org

TBD ta med konsekvenserna för revokering av intermediate och trust issuer på tilliten.








 Process of Assigning a Trust Anchor
Define Federation Policies

Establish the governance model, including roles, responsibilities, and technical requirements.
Define metadata policies, such as signing algorithms, metadata formats, and validation rules.
Create or Select the Trust Anchor Organization

Choose an organization with the authority and capability to act as a trust anchor.
This organization must have a secure infrastructure for managing cryptographic keys and metadata.
Generate Trust Anchor Metadata

Create a signed metadata statement that includes:
Organization details
Public keys
Federation policies
Endpoints for metadata distribution
Distribute Trust Anchor Metadata

Publish the metadata at a well-known URL or through a secure distribution mechanism.
Ensure it is digitally signed using the trust anchor’s private key.
Register the Trust Anchor

Entities (e.g., identity providers, relying parties) configure the trust anchor’s metadata in their systems.
This may involve manual configuration or automated discovery using OpenID Federation protocols.
Validation and Trust Establishment

Participating entities validate the trust anchor’s metadata using its public key.
Once validated, they trust the anchor to vouch for other entities in the federation.
Ongoing Maintenance

Rotate keys periodically.
Update metadata as needed.
Monitor for security incidents or policy violations.
🛠️ Standards and Tools
OpenID Connect Federation 1.0 (draft standard)
JOSE (JSON Object Signing and Encryption)
Tools like pyOIDC, SATOSA, or FedLab can help implement federation logic.


  • No labels