Inledning

Behovet av säker och interoperabel digital samverkan mellan organisationer ökar snabbt. Allt fler digitala tjänster kräver att identitets- och behörighetsinformation kan hanteras på ett tillitsfullt och effektivt sätt – ofta mellan aktörer som inte har någon direktrelation. För att möjliggöra detta krävs en gemensam teknisk infrastruktur som kan etablera, förmedla och verifiera tillitsinformation mellan parter på ett standardiserat och automatiserat sätt.

Federationsinfrastrukturen realiserar denna förmåga genom ett nätverk av distribuerade, samverkande komponenter som hanterar signerad metadata. Den tekniska lösningen bygger på vedertagna standarder, såsom OpenID Federation, och skapar förutsättningar för dynamisk anslutning, decentraliserad hantering och policybaserad tillitsförmedling.

Infrastrukturen är decentraliserad men kontrollerad – varje aktör ansvarar för sin del av ekosystemet, samtidigt som federativa regler och gemensamma format säkerställer att tillitsinformation kan tolkas och verifieras entydigt. Genom signerad metadata och verifierbara tillitskedjor möjliggörs beslut om åtkomst, identitet och behörighet även mellan parter som inte har en etablerad relation i förväg.

Federationsinfrastrukturen tillhandahålls av särskilda operatörer, vars tjänster fungerar som tekniska noder i infrastrukturen. Dessa roller – federationsoperatör, anslutningsoperatör och tillitsoperatör – är nyckelaktörer för anslutning, publicering, aggregering och intygande av metadata och tillitsinformation.

Flera aktörer kan inneha samma typ av operatörsroll inom en federation, vilket möjliggör ett distribuerat ekosystem där ansvar och funktionalitet fördelas. Det kan alltså finnas flera federationsoperatörer, anslutningsoperatörer och tillitsoperatörer, som var och en verkar inom sina respektive kontexter men med gemensamma regler och teknisk interoperabilitet. Detta stödjer målet om skalbarhet, valfrihet och sektorsövergripande samverkan.

Tillsammans skapar dessa funktioner en skalbar, distribuerad och återanvändbar teknisk grund som kan stödja samverkan över organisations- och domängränser.

Syfte med dokumentet

Detta dokument beskriver den tekniska arkitekturen för federationsinfrastrukturen inom Ena, med fokus på hur tillit etableras, distribueras och verifieras i ett decentraliserat ekosystem. Syftet är att ge arkitekter, tekniska beslutsfattare en strukturerad förståelse för hur federativ samverkan möjliggörs genom standardiserade komponenter, väldefinierade roller och formella metadataflöden.

Dokumentet redogör för de byggblock och designprinciper som ligger till grund för infrastrukturen – inklusive komponenternas ansvar, interoperabilitet, separation av roller samt mekanismer för förmedling av tillitsinformation. Det beskriver även hur infrastrukturen stödjer modularitet och återanvändbarhet, så att olika domäner och verksamheter kan införa de delar som är relevanta för deras kontext – utan att avvika från den gemensamma arkitekturens principer eller säkerhetsmodell

Målgrupp

Dokumentet riktar sig till arkitekter och tekniska beslutsfattare som ansvarar för tekniska tjänster och planerar att bygga, tillhandahålla eller ansluta komponenter till federationsinfrastrukturen. Det kan också användas som vägledning för organisationer som behöver förstå hur den tekniska delen av Enas identitets- och behörighetsinfrastruktur är uppbyggd och hur den kan tillämpas i egna samverkanslösningar.

Drivkrafter och principer

Federationsinfrastrukturen svarar mot behovet av en teknisk grund som möjliggör säker, flexibel och återanvändbar digital samverkan mellan organisationer. I takt med att fler tjänster blir beroende av tillitsfull hantering av identitet och behörighet, krävs en infrastruktur där nya aktörer enkelt kan anslutas och interagera utan att bygga punkt-till-punkt-lösningar.

Drivkrafterna bakom infrastrukturen är:

• Minskad integrationsbörda: En gemensam mekanism för hantering av metadata och tillitsinformation minskar behovet av anpassning och manuell hantering.

• Återanvändbarhet och valbarhet: Infrastrukturen är uppdelad i delar som kan användas var för sig eller tillsammans. Det gör det möjligt för aktörer att använda de delar som är relevanta för deras behov.

• Decentralisering och flexibilitet: Varje aktör ansvarar för sin del av tillitskedjan, men kan ändå samverka med andra inom ramen för gemensamma spelregler.

Federationsinfrastrukturen vilar på följande principer:

• Standardisering och interoperabilitet: Lösningen baseras på öppna standarder, särskilt OpenID Federation, för att möjliggöra brett systemstöd och interoperabilitet.

• Distribuerad tillit: Tillitsinformation förmedlas tekniskt via signerad metadata och validerbara kedjor.

• Modularitet: Komponenter kan kombineras utifrån behov och rollerna kan fyllas av olika aktörer i olika kontexter.

• Automation: Validering av metadata sker i realtid vilket möjliggör dynamisk åtkomst och minimerar förhandsregistrering.

Sammanfattning

Förslag på teknisk modell för federationsinfrastruktur

Den föreslagna tekniska modellen för federationsinfrastruktur inom Ena bygger på OpenID Federation-specifikationen och utgår från principen om distribuerad publicering och verifiering av signerad metadata.

Varje aktör i infrastrukturen representeras av en eller flera komponenter som publicerar metadata i form av så kallade Entity statements – signerade JSON Web Tokens (JWT) som innehåller information om komponentens identitet, tekniska kapacitet, policykrav, kryptonycklar och eventuella tillitsmärken.

Den tekniska tilliten i infrastrukturen etableras genom att metadata kan kopplas ihop till en verifierbar tillitskedja, där varje led i kedjan intygar nästa, upp till en gemensam Tillitsankartjänst. Denna tillitskedja möjliggör att beslut om identitet, åtkomst och behörighet kan fattas även mellan parter som inte har en etablerad relation i förväg.

Modellen bygger på maskinell tolkning och kryptografisk verifiering av metadata, vilket skapar förutsättningar för en flexibel, decentraliserad och automatiserad federationsstruktur. Den möjliggör både sektorsvisa och sektorsövergripande informationsutbyten, där varje aktör kan delta i flera federativa kontexter samtidigt – med gemensamma tekniska mekanismer men med möjlighet att hantera olika tillitskapande krav och policyer.

Tillitsankartjänst

Tillitsankartjänsten (motsvarar Trust Anchor i OpenID Federation-specifikationen),  fungerar som den yttersta källan till tillit. Den publicerar metadata, signerade så kallade Entity statements, för de Anslutningstjänster och Tillitsmärkestjänster som den erkänner. Dessa uttalanden utgör roten i varje tillitskedja och verifieras kryptografiskt. Endast aktörer som kan härledas till en gemensam Tillitsankartjänst anses ingå i samma federation.

Anslutningstjänst

Anslutningstjänsten (motsvarar Intermetidate Entity i OpenID Federation-specifikationen) fungerar som ett tekniskt nav som aggregerar, hanterar och publicerar metadata, signerade Entity statements, om underordnade entiteter – t.ex. e-tjänster, API:er, legitimeringstjänster eller attributkällor. Den kan även tillföra policies , vilket gör det möjligt att tillämpa lokala villkor utan att bryta den federativa strukturen.

Digitala tjänster

Digitala tjänster som legitimeringstjänster, auktorisationstjänster eller e-tjänster (motsvarar Leaf Entity i OpenID Federation-specifikationen) publicerar sina egna Entity statements som tillhandahåller teknisk metadata om endpoints, kryptonycklar och tillämpade policyer. Dessa är signerade och refererar till anslutningstjänster genom Authority hints.

Tillitsmärkestjänst

En Tillitsmärkestjänst (motsvarar Trust Mark Issuer i OpenID Federation-specifikationen) fungerar som en oberoende aktör som utfärdar tillitsmärken – signerade och strukturerade bevis på att en viss komponent uppfyller angivna tillitsskapande krav kopplade till en viss IAM-förmåga (TODO infoga länk till tillitsmodell)som en komponent realiserar, såsom autentisering eller attributhantering.

Tillitsmärket (benämns Trust Mark i OpenID Federation) är ett fristående JWT-signat som bifogas i entitetens metadata. Det kan valideras separat från övriga delar av tillitskedjan, vilket möjliggör att mottagande parter – till exempel e-tjänster eller verifieringstjänster – kan fatta policybaserade beslut om tillit och åtkomst utifrån om rätt tillitsmärke finns och är giltigt.

Uppslags- och verifieringstjänst

För att åstadkomma teknisk verifiering vid användning används en Uppslags- och verifieringstjänst (motsvarar Resolver i OpenID Federation) som dynamiskt bygger tillitskedjor genom att följa Authority hints och kontrollera signaturer, certifikat och policyvillkor. Detta möjliggör realtidsvalidering av entiteter, utan att dessa måste vara kända i förväg.

Tillitskedjor – dynamisk och verifierbar metadata

En central mekanism i federationsinfrastrukturen är tillitskedjan – en verifierbar, kryptografiskt signerad sekvens av metadata, Entity statements, som knyter samman en tjänstekomponent (t.ex. en e-tjänst) med federationens Tillitsankartjänst. Kedjan visar vem som intygar vem, på vilket sätt, och med vilka tillitsvillkor.

Tillitskedjan byggs dynamiskt vid behov – exempelvis när en e-tjänst begär ett åtkomstintyg eller konsumerar metadata. Varje led i kedjan är ett signerat uttalande där:

• Tjänstekomponenten (t.ex. e-tjänst eller API) signerar och publicerar ett uttalande om sig själv – detta kallas Entity Configurations. Den innehåller metadata om entiteten, tillämpade policyer, samt en eller flera Authority hints som pekar ut vilken överordnad aktör (t.ex. en Anslutningstjänst) som är ansvarig för att intyga komponenten i federationen

• Anslutningstjänsten signerar publicerar utöver ett Entity Configuration om sig själv ett även ett så kallat Entity statements om den underordnade komponenten –– som innehåller tillitsmärke, policys och eventuell ytterligare metadata.

• Tillitsankartjänsten signerar och publicerar ett Entity statement om anslutningstjänsten och fungerar som rot för tillitskedjan.

Det är alltså två typer av Entity statements som används i infrastrukturen:

• Entity configuration: metadata om sig själv, som varje komponent publicerar på en fördefinierad URL.

• Entity statements: metadata från en överordnad part (t.ex. Anslutningstjänst) om en annan entitet.

En Uppslags- och verifieringstjänst eller annan komponent i federationen kan rekonstruera denna tillitskedja genom att följa Authority hints i metadata, hämta uttalanden, validera signaturer och kontrollera att tillitsmärken och policies uppfyller aktuella krav.

Om kedjan kan spåras till en gemensam Tillitsankare, och alla ingående entiteter kan verifieras och uppfyller ställda krav på tilitsmärken, kan parterna tekniskt verifiera att kommunikationen sker med rätt motpart – enligt en entydig, gemensam tolkning av roller, säkerhetsnivå och tillitsinformation.

Möjligheten att bygga upp tillitskedjor dynamiskt ersätter behovet av manuella relationer, bilaterala avtal och statisk konfiguration mellan parter. Istället för att varje organisation i förväg måste känna till och konfigurera alla andra aktörer de vill samverka med, gör federationens arkitektur det möjligt att automatiskt och i realtid avgöra om en motpart är betrodd. Detta skapar en flexibel och skalbar struktur där nya aktörer kan anslutas utan att hela infrastrukturen behöver uppdateras – och där tilliten etableras och verifieras tekniskt, enligt gemensamma regler och tillitsmärken. Det är denna mekanism som möjliggör bred och säker digital samverkan över organisationsgränser och verksamhetsområden.

Stöd för flera federativa kontext

Federationsinfrastrukturen är utformad för att stödja ett distribuerat och sektorsövergripande ekosystem. En viktig egenskap i detta är att en och samma entitet – exempelvis en legitimeringstjänst eller auktorisationstjänst – kan delta i flera federativa kontext samtidigt utan att duplicera sin metadata eller upprätthålla separata instanser.

Detta möjliggörs genom att varje komponent publicerar en egen Entity Configuration – signerat metadata om sig själv – som innehåller information om vilka överordnade aktörer (via så kallade authority hints) som intygar komponenten i olika federativa sammanhang. Det innebär att en komponent kan delta i flera flera federativa kontext parallellt, genom att hänvisa till olika Anslutningstjänster eller Tillitsankartjänster beroende på vilken kontext den verkar i.

Exempelvis kan en legitimeringstjänst samtidigt ingå i både ett vårdkontext och ett utbildningskontext, och därmed möta skilda krav på policyer, tillitsnivåer och informationshantering – utan att behöva duplicera sin tekniska lösning eller metadatahantering.

Till skillnad från traditionella mer statiska SAML-baserade federationer – där metadata ofta hanteras centralt och uppdateras manuellt – bygger OpenID Federation på dynamisk, decentraliserad och signerad metadata som valideras i realtid genom tillitskedjor. Detta innebär att federationstillhörighet inte behöver hanteras som fasta konfigurationsposter, utan uttrycks och verifieras genom digitalt intygade relationer.

Stödet för flera federativa kontext är därmed en viktig förutsättning för återanvändning, flexibilitet och sektorsövergripande samverkan i en gemensam federationsinfrastruktur.

Enas anpassning och funktionell realisering

Denna arkitektur realiseras i Ena - Sveriges digitala infrastruktur genom att specifika roller och komponenter tillhandahålls av godkända operatörer, med ansvar för att upprätthålla och förmedla tillit inom en eller flera federativa kontext. Strukturen möjliggör verksamhetsgemensam organisering utan att kompromissa med interoperabilitet eller teknikneutralitet.

• Tillitsankartjänst tillhandahålls av en eller flera federationsoperatörer och etablerar den federativa kontexten – det vill säga vilka regler, policyer och tillitsmärken som gäller for informationsutbyte inom denna kontext.

• Anslutningstjänst drivs av anslutningsoperatörer, t.ex. sektorsmyndigheter, samordnande offentliga aktörer eller branschorganisationer, och fungerar som tekniskt och organisatoriskt gränssnitt för anslutning av tjänster och komponenter.

• Tillitsmärkestjänst administreras av tillitsoperatörer som utfärdar tillitsmärken enligt Enas modell för tillitsskapande krav kopplade till IAM-förmågor.

• Uppslags- och verifieringstjänst används av e-tjänster, API:er eller andra klientkomponenter för att i realtid kontrollera metadata, tillitsmärken och tillitskedjor.

För att möjliggöra bred anslutning och säkerställa att aktörer från olika verksamhetsområden kan delta i flera federativa kontext parallellt, krävs att flera offentliga och privata aktörer etablerar och driver federationsinfrastrukturkomponenter. Detta inkluderar till exempel att sektorsmyndigheter etablerar egna anslutningstjänster, att kommersiella aktörer erbjuder verifieringstjänster som följer gemensamma regler, och att tillitsmärken kan utfärdas inom flera parallella federativa kontext.

Genom en sådan mångfald av operatörer kan anslutande aktörer – som kommuner, regioner, statliga myndigheter, privata tjänsteleverantörer eller ideella organisationer – delta i flera federativa kontexter samtidigt. Detta ger förutsättningar för valfrihet, sektorsövergripande samverkan och återanvändning av gemensamma digitala komponenter.

Praktiska anpassningar för införande

För att möjliggöra ett brett och inkluderande införande av federationsinfrastrukturen i Sverige genomförs vissa praktiska anpassningar av specifikationen och dess tillämpning. OpenID Federation är kraftfull men tekniskt komplex, särskilt för mindre aktörer. Därför kommer Uppslags och verifieringstjänster – det vill säga funktionaliteten för att hämta och verifiera metadata och tillitskedjor – att tillhandahållas av operatörer inom infrastrukturen. På så sätt behöver inte varje enskild komponent implementera fullständig verifieringslogik lokalt.

Vidare kommer infrastrukturen att tillämpa en utökning av specifikationen som möjliggör att Anslutningstjänster kan publicera och tillgängliggöra metadata å digitala tjänsters vägnar. Detta innebär att en anslutande aktör – till exempel en kommun eller leverantör – inte behöver signera och exponera metadata själv, utan kan istället representeras av anslutningsoperatören. Det minskar teknisk komplexitet, sänker trösklarna för anslutning och ökar förutsättningarna för en bred och inkluderande federationsinfrastruktur.

Teknisk interoperabilitet med andra federativa kontexter

Federationsinfrastrukturen inom Ena är utformad för att vara normerande för offentlig sektor, men inte tvingande. Det innebär att aktörer inom exempelvis vård, utbildning eller kommunal verksamhet kan använda den tekniska infrastrukturen och de gemensamma tillitskapande kraven i Ena som grund – men att det samtidigt finns utrymme för andra federativa kontexter med särskilda behov, till exempel i form av kompletterande styrning, alternativa tillitsmodeller eller särskilda policykrav.

Sådana kontexter kan ha:

• en egen ansvarsfördelning,

• andra sätt att formulera tillitskapande krav,

• eller ytterligare ledningsfunktioner utifrån sektor- eller samverkansbehov.

Det viktiga är att den tekniska grunden – användning av OpenID Federation-protokoll, signerad metadata och verifierbara tillitskedjor – är gemensam. Det möjliggör interoperabilitet mellan olika kontexter, och gör det möjligt för en och samma aktör att delta i flera federativa sammanhang parallellt, utan att behöva bygga om sina tekniska komponenter.

Ena skapar därmed en gemensam grund för tillit och interoperabilitet, men utan att begränsa möjligheten till kompletterande initiativ eller anpassade modeller. På så sätt kan infrastrukturen stödja både samordning och mångfald – och bidra till en hållbar och flexibel digital samverkan över tid.

Roller och ansvar

För att federationsinfrastrukturen ska fungera tillförlitligt krävs inte bara tekniska komponenter, utan även tydligt definierade roller med fördelat ansvar för drift, tillit, metadatahantering och tillsyn. Den federativa modellen bygger på att flera oberoende aktörer delar på uppgiften att upprätthålla och förmedla tillit, snarare än att en central part har kontroll över hela systemet.

Detta avsnitt fokuserar på de aktörer som ansvarar för de tekniska komponenterna i federationsinfrastrukturen – såsom tillitsankartjänst, anslutningstjänst, tillitsmärkestjänst och uppslags- och verifieringstjänst – och redogör för deras respektive mandat, samverkansgränssnitt och förhållande till varandra. Syftet är att klargöra hur ansvar och tillit fördelas i praktiken, och hur detta möjliggör en decentraliserad men kontrollerad federationsinfrastruktur.

Rollfördelningen sker inom ramen för ett övergripande regelverk och gemensamma specifikationer som fastställs av en ledningsaktör. Ledningsaktören ansvarar för att definiera den gemensamma arkitekturen, samordna utveckling och versionering, samt säkerställa att infrastrukturen fungerar enhetligt, robust och långsiktigt hållbart över verksamhets- och domängränser.

Ledningsaktör inom Ena

Ledningsaktören har det övergripande ansvaret för att samordna och förvalta den gemensamma federationsinfrastrukturen inom Ena. Rollen är inte operativ i teknisk mening, utan fokuserar på styrning, samordning och gemensamma spelregler.

Ledningsaktören ska i första hand koordinera arbetet mellan federationsoperatörer och tillitsmärkesägare (det vill säga de aktörer som tillhandahåller Tillitsankartjänster respektive ansvarar för Tillitsmärken). Syftet är att säkerställa en enhetlig tillämpning av infrastrukturen, samordna vidareutveckling av dess funktioner och verka för sektorsövergripande interoperabilitet.

Ledningsaktören ansvarar även för att:

• Förvalta och vidareutveckla de gemensamma tillitskapande kraven som ligger till grund för tillitsmärken och federationens funktion,

• Tillhandahålla och förvalta modellavtal och avtalsstruktur för aktörer som deltar i federationsinfrastrukturen,

• Hantera ändringsförslag, tolkningar och vägledande beslut kopplade till tillämpningen av tillitskapande krav,

• Underlätta införande av federativa lösningar genom vägledningar, dialog och samordningsinsatser.

Ledningsaktören fungerar därmed som ett nav för strategisk samordning, legitimitet och långsiktig förvaltning av federationsinfrastrukturen inom Ena – med särskilt fokus på att möjliggöra effektiv och förtroendefull samverkan mellan olika sektorer och aktörer.

För att säkerställa delaktighet, transparens och gemensam vidareutveckling av infrastrukturen behöver samverkansforum etableras inom ramen för Ledningsaktörens ansvar. Dessa forum ska samla representanter för bland annat federationsoperatörer och tillitsmärkesägare, och fungera som en plattform för att:

• ta fram förslag till förändringar i gemensamma tillitskapande krav,

• diskutera och förankra ändringar i regelverk, policies och tekniska specifikationer,

• besluta om vägledande tolkningar eller tillämpningar inom infrastrukturen.

Syftet med samverkansforumen är att skapa en gemensam riktning för utvecklingen av federationsinfrastrukturen, samtidigt som det finns utrymme för sektorsspecifika behov och expertis. Forumens sammansättning och beslutskraft bör definieras i samverkan med berörda aktörer, med Ledningsaktören som koordinerande part.

Tillitsmärkesägare

Operatörer

Federationsoperatör

En federationsoperatör ansvarar för att etablera och upprätthålla en teknisk och organisatorisk rot av tillit i en federation. Verksamheten innefattar att tillhandahålla en tillitsankartjänst som publicerar signerad metadata, fastställer regler för federativt kontext och möjliggör verifiering av tillitskedjor. Operatören skapar förutsättningar för övriga aktörer att verka i enligt gemensamma regler och med hög interoperablitet.

Anslutningsoperatör

En anslutningsoperatör driver en anslutningstjänst som aggregerar, signerar och publicerar metadata för underordnade entiteter, såsom e-tjänster och intygstjänster. Verksamheten syftar till att möjliggöra en skalbar och delegerad federationsstruktur, där nya aktörer kan anslutas och få del av federationens tillit och interoperabilitet på ett kontrollerat sätt.

Tillitsoperatör

En tillitsoperatör ansvarar för att utfärda tillitsmärken till komponenter som uppfyller definierade säkerhets- och kvalitetskrav. Genom sin tillitsmärkestjänst bedriver operatören en verksamhet där krav kontrolleras, tillitsmärken tilldelas, och signerad metadata publiceras för verifiering inom federationen. Verksamheten är central för att tillitsmodellen i infrastrukturen ska kunna tillämpas i praktiken.

Federationsmedlem

Processer

TODO Beskriv processer för anslutning till infrastrukturen och anskaffning av tillitsmärken

Avtalsstruktur