Regelverk för federationskontext BAS
inom Samordnad identitet och behörighet
Status: Utkast
Version: 0.1
Tillämpning: Produktion
Federationskontext: BAS
Ledningsaktör: Myndigheten för digital förvaltning, Digg
Federationsoperatör: Myndigheten för digital förvaltning, Digg
Om dokumentet
Detta dokument anger regelverk för federationskontexten BAS inom Samordnad identitet och behörighet.
Regelverket beskriver syfte, ansvar, anslutningsbar krets och grundläggande villkor för BAS. Det anger även vilka frågor som hanteras i andra styrande dokument, såsom anslutningspolicyer, registreringspolicyer, tekniska anslutningsregler, tekniskt ramverk, incidentprocess, förändringspolicy och tillämpliga avtalsvillkor.
Syfte
Syfte med BAS
Syftet med BAS är att skapa en gemensam grundnivå för verifierbar teknisk och organisatorisk tillit.
BAS ska göra det möjligt att verifiera:
a) vilken teknisk komponent som kommunicerar,
b) vilken organisation som ansvarar för komponenten,
c) under vilka regler som komponentens metadata har registrerats
BAS ska möjliggöra maskin-till-maskin-samverkan där ett mottagande system behöver kontrollera att ett anrop kommer från en viss teknisk komponent som kan kopplas till en viss ansvarig organisation.
BAS ska ge en verifierbar tillitsgrund som kan användas av en förlitande part i dennes egen åtkomstbedömning.
BAS ger inte i sig rätt till åtkomst, informationsutbyte, behandling av uppgifter eller användning av viss digital tjänst.
Krets av anslutningsbara aktörer
Primär målgrupp
Samordnad identitet och behörighet är i första hand till för verksamheter inom välfärdsområdet som helt eller delvis är offentligt finansierade.
Med välfärdsområdet avses här verksamheter där offentliga aktörer, eller aktörer som utför offentligt finansierade uppgifter, behöver säker digital samverkan över organisationsgränser.
Närmare avgränsning av välfärdsområdet och anslutningsbar krets regleras i anslutningspolicy och tillämpliga avtalsvillkor.
Aktörer som kan anslutas
Följande aktörer kan anslutas till BAS efter prövning enligt anslutningspolicy:
a) statliga myndigheter,
b) kommuner,
c) regioner,
d) offentligt styrda organ,
e) kommunala och regionala bolag,
f) organisationer som helt eller delvis bedriver offentligt finansierad verksamhet inom välfärdsområdet, och
g) andra organisationer som behöver delta i informationsutbyte med anslutna offentliga eller offentligt finansierade aktörer.
Andra organisationer
Informationsutbyte sker även med andra organisationer än offentliga och offentligt finansierade aktörer.
Andra organisationer får anslutas när anslutningen krävs för ett informationsutbyte som en offentlig eller offentligt finansierad aktör har behov av.
Sådana organisationer kan exempelvis vara:
a) privata leverantörer av digitala tjänster,
b) systemleverantörer,
c) tjänsteleverantörer,
d) privata utförare inom offentligt finansierad verksamhet,
e) underleverantörer, och
f) andra organisationer som behöver delta i ett konkret informationsutbyte med ansluten offentlig aktör.
Prövning av sådan anslutning sker enligt anslutningspolicy.
Federationsstruktur
Beskrivning och bild över TA, resolver, intermidiates samt beskrivningar av rollerna som tidigare fanns i kap 10 ff
-----
Federationsstruktur
BAS bygger på en federationsstruktur där tillit etableras genom ett tillitsankare, anslutningsoperatörer och verifierbara metadata. Strukturen gör det möjligt för förlitande parter att kontrollera tekniska komponenter, ansvarig organisation, metadata, nycklar, signaturer och tillitskedjor innan information från BAS används i en tjänst.
Översikt
Tillitsankaret är den betrodda roten i federationsstrukturen. Det används för att verifiera federationsmetadata och tillitskedjor inom BAS.
Anslutningsoperatörer ansluts under tillitsankaret. De ansvarar för att ansluta federationsmedlemmar, registrera tekniska komponenter och hantera metadata enligt gällande regelverk.
Federationsmedlemmar ansluter en eller flera tekniska komponenter till BAS. Federationsmedlemmen ansvarar för sina egna uppgifter, sina tekniska komponenter och det nyckelmaterial som används.
Förlitande part använder en resolver, eller uppslags- och verifieringstjänst, för att hämta och verifiera metadata och tillitskedjor.
Diggs åtaganden
Digg som ledningsaktör
Digg ska som ledningsaktör:
a) hålla samman regelverket för BAS,
b) besluta om förändringar av BAS enligt beslutad förändringsprocess,
c) förvalta relationen mellan BAS och övriga federationskontexter,
d) besluta om krav på anslutningsoperatörer,
e) besluta om eller godkänna ändringar i tekniska anslutningsregler, och
f) fastställa vilka tekniska ramverk och profiler som gäller.
Digg som federationsoperatör
Digg ska som federationsoperatör:
a) drifta infrastrukturtjänsterna för BAS,
b) tillhandahålla tillitsankartjänst,
c) tillhandahålla uppslags- och verifieringstjänst,
d) säkerställa att tillitskedjor kan etableras och verifieras,
e) hantera anslutning av anslutningsoperatörer enligt tillämplig policy,
f) tillhandahålla tekniskt ramverk eller hänvisa till tekniskt ramverk,
g) följa upp väsentliga händelser som påverkar BAS, och
h) vid behov besluta om federationsgemensamma åtgärder.
Diggs ansvar som ledningsaktör respektive federationsoperatör ska hållas isär funktionellt, även när båda rollerna utförs av samma myndighet.
Åtaganden för anslutningsoperatör
Anslutningsoperatör ska:
a) ansluta federationsmedlemmar enligt anslutningspolicy,
b) verifiera organisation och behörig uppgiftslämnare enligt anslutningspolicy och registreringspolicy,
c) registrera tekniska komponenter enligt registreringspolicy,
d) hantera metadata enligt tekniskt ramverk,
e) hosta metadata för federationsmedlem när detta sker enligt registreringspolicy och tekniskt ramverk,
f) hantera ändringar och avregistrering,
g) hantera avstängning och återkallelse enligt anslutningspolicy,
h) rapportera väsentliga händelser till Digg, och
i) dokumentera anslutnings- och registreringsbeslut.
Vid avstängning eller återkallelse ska anslutningsoperatören genomföra teknisk avpublicering eller ogiltigförklaring enligt registreringspolicy. Beslutet ska dokumenteras, kommuniceras till federationsmedlemmen och, vid väsentliga händelser, rapporteras till federationsoperatören.
Åtaganden för federationsmedlem
Federationsmedlem ska:
a) följa BAS-regelverket,
b) följa tillämplig anslutningspolicy,
c) följa registreringspolicy för tekniska komponenter,
d) följa tekniskt ramverk för anslutna komponenter,
e) säkerställa att lämnade uppgifter är riktiga och aktuella,
f) ansvara för egna tekniska komponenter,
g) skydda nycklar och andra säkerhetskritiska uppgifter,
h) rapportera incidenter enligt gällande process,
i) anmäla ändringar som påverkar metadata, nycklar eller organisationskoppling,
j) avregistrera komponenter som inte längre används, och
k) ansvara för egna egenskapsintyg där sådana används.
Användning hos förlitande part
Förlitande part får använda BAS för att verifiera:
a) teknisk komponent,
b) ansvarig organisation,
c) metadata,
d) tillitskedja,
e) tekniska nycklar och signaturer, och
f) egenskapsintyg där sådana används.
Förlitande part ansvarar själv för hur verifierad information används i den egna tjänsten. BAS innebär inte att åtkomst automatiskt ska beviljas.
----
Anslutning
Allmänt om anslutning
Anslutning av federationsmedlemmar BAS sker enligt Krav och vägledning för anslutning av federationsmedlemmar
Registrering av teknisk komponent
Allmänt om registrering
Tekniska komponenter registreras enligt Registrering - krav och vägledningar
Tekniskt ramverk
Tekniskt ramverk
Tekniska profiler finns beskrivna i Tekniskt ramverk för Samordnad identitet och behörighet.
Tekniskt ramverk anger exakta tekniska krav och ska tillämpas för de komponenttyper och profiler som omfattas av BAS.
Tekniska anslutningsregler och registreringspolicy ska hänvisa till tekniskt ramverk för protokollkrav, metadataformat, endpoints, claims, algoritmer och andra tekniska detaljer.
Tillitskedja
Tillitskedjan för federationsmedlem följer principen:
Federationsoperatör → Anslutningsoperatör → Federationsmedlem → Federationsmedlemmens entiteter
Tillitskedjan ska kunna verifieras enligt tekniskt ramverk.
Tillitsankare och uppslags- och verifieringstjänst
Digg ska som federationsoperatör tillhandahålla tillitsankartjänst och uppslags- och verifieringstjänst enligt tekniskt ramverk.
Digg ansvarar för att BAS har tillgång till de infrastrukturtjänster som krävs för att tillitskedjor ska kunna etableras och verifieras.
Egenskapsintyg
Allmänt
Egenskapsintyg kan förmedlas inom BAS när parter har behov av att uttrycka en viss egenskap hos en organisation, teknisk komponent eller funktion. Egenskapsintyg hanteras mellan de parter som har behov av egenskapsintyget. Det är dessa parter som kommer överens om vad egenskapsintyget betyder, vem som får utfärda det, vilka krav som ligger bakom det och när det ska accepteras.
Egenskapsintyg verifieras inte i BAS tillitsankare. Tillitsankaret används för att verifiera federationsmetadata och tillitskedjor, inte för att godkänna eller kontrollera egenskapsintygets innebörd.
Verifiering och acceptans av egenskapsintyg sker mellan de parter som bilateralt, eller inom en samverkanskontext, har kommit överens om att använda egenskapsintyget.
Varje part ansvarar själv för att avgöra om egenskapsintyget ska accepteras i den aktuella samverkan.
Federationsgodkänt egenskapsintyg
- Utfärdare och eventuell ägare av egenskapsintyget är publicerade och erkända av federationens Tillitsankare
- Egenskapsintyget kan användas interoperabelt inom federationen
- Andra federationmedlemmar kan förväntas förstå, verifiera och acceptera intyget enligt federationens policy
Samverkansgodkänt egenskapsintyg
- Utfärdare och eventuell ägare av egenskapsintyget är inte publicerade av federationens Tillitsankare
- Tilliten etableras genom överenskommelser inom ett samverkanskontext
Varje part avgör själv om intyget ska accepteras
Egenskapsintygsägaren ansvar för Egenskapsintyg
Egenskapsintygsägaren ansvarar själv för att skapa, kravställa och verifiera egenskaps intyg i den bilaterala relation eller samverkanskontext där de används.
BAS förmedlar eller möjliggör verifiering av tillitsmärken tekniskt, men BAS tar inte över egenskapsintygsägarens ansvar för kravställning, kontroll eller bedömning av egenskapsintygets betydelse.
Egenskapsintygs ägarens ansvarar för regelverket för de egenskaps intyg som egenskapsintygsägaren står bakom och beslutar om kontrollmekanismer, detta omfattar:
- vad egenskapsintyget betyder,
- vilka krav som ligger bakom egenskapsintyget,
- hur efterlevnad kontrolleras,
- vem som får utfärda eller intyga egenskapsintg,
- hur länge egenskapsintyg gäller,
- hur egenskapsintyg återkallas, och
- hur en förlitande part ska värdera egenskapsintyg.