...
| Expand | ||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| ||||||||||||||||
|
Introduktion
Autentiseringstjänsten tillhandahåller autentisering för legitimering och underskrift via SITHS eID Windowsklient och SITHS eID Mobilklient (SITHS eID-klienterna) för användare som har e-legitimation från Identifieringstjänst SITHS.
Denna guide har som syfte att stötta organisationer som avser att ansluta en lokal IdP till Inera Autentiseringstjänst (mönster 3 nedan).
Integrationsmönster
Läs Att ansluta e-tjänster för en övergripande beskrivning av tillgängliga integrationsmönster och hjälp med att välja integrationsmönster.
...
Detta dokument innehåller framförallt information om direktanslutning till Autentiseringstjänsten (fall 3 ovan). Anslutningsguide till IdP beskriver motsvarande för de två första mönstren.
Övergripande information
Oavsett val av integrationsmönster så finns det hänsynstaganden som behöver hanteras av alla organisationer som avser att använda sig av Autentiseringstjänsten för legitimering och signering, dessa hänsynstaganden följer nedan.
Generellt anslutningsflöde
- Anmäl intresse, teckna avtal med Inera för valt anslutningsmönster och därmed tjänst:
Beställ tjänsten för information om hur en beställning av IdP/Autentiseringstjänst-anslutning går till
- Fakturering påbörjas.
- Fyll i förstudiemall Autentiseringstjänst / Förstudie vid anslutning till IdP för testanslutning och skicka in för granskning via etjanster.inera.se/DokumentGranskning.
- När förstudien är godkänd kan anslutning upprättas mellan den lokala tjänstens testmiljö och testmiljö hos Ineras tjänst (IdP eller Autentiseringstjänsten).
- Testa anslutningen och funktionen i test.
- Fyll i separat förstudie för produktionsanslutning, bifoga testrapport som visar att integrationen fungerar som tänkt för de tänkta nyttjandescenarierna.
- När förstudien mot produktion är godkänd kan anslutning ske mellan produktionsmiljöerna.
Förutsättningar
Utöver de angivna generella förutsättningarna i Gemensam anslutningsinformation behöver följande förutsättningar vara på plats;
...
- upprätthålla kontaktvägar mot Inera:
- Minst en funktionsbrevlåda anges som kontaktpunkt i produktionsmiljö.
- Testanslutningar tillåts ha personkopplad epostadress
- prenumerara på nyhetsbrev från Inera och Säkerhetstjänster
Konnektivitet och nätverk
Se Nätverksinställningar för IAM-tjänster för mer detaljerad information.
SITHS eID-klienterna
Mobilklienterna laddas ner via App Store eller Google Play. Windowsklienten tillgängliggörs i detta confluence-space och organisationer kan välja att distribuera den själva eller att dela länken med sina användare.
Se SITHS eID app (Autentiseringsklienter) för mer information.
Anslutning av lokal IdP till Autentiseringstjänsten (direktanslutning)
En lokal IdP kan anslutas direkt till Autentiseringstjänsten via Ineras proprietära API.
- Lokal IdP ansvarar för eventuellt val av inloggningsmetod
- Lokal IdP förmedlar autostarttoken till SITHS eID-klienterna
- Se SITHS eID Appväxling - Exempel för inbäddade webbläsare ifall er IdP använder sig av en inbäddad webbläsare.
- Lokal IdP ansvarar för att tolka och förmedla tillitsnivå, utifrån information från användarcertifikatet som levereras från Autentiseringstjänsten.
- Se Tillitsnivå (LoA) för information om hur Ineras IdP tolkar tillitsnivåer.
Teknisk Information
Flödesbeskrivning
| draw.io Diagram | ||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
...
Se ex. SAD IdP för information om hur Ineras IdP realiserar autentiseringsflödet med hjälp av Autentiseringstjänsten.
Använding av iframes
System som har för avsikt att använda sig av iframes för att visa IdP:ns användargränssnitt för slutanvändaren blir inte godkända för att ansluta sig mot IdP:n. Detta med anledning av att vi inte kan lämna några garantier för att IdPn:s funktionalitet bibehålls när iframes används. Detta är ett hårt krav där inga undantag kommer göras. Vidare så avrekommenderar även DIGG emot användningen av iframes, se DIGGs artikel för mer information.
Autentiseringstjänstens API
Autentiseringstjänstens API är indelat i tre delar:
...
Anrop där förmedling av certifikat krävs ska ske mot adresser som är prefixade med "secure". T.ex. för test: https://secure-authservice.mobiltsiths.ineratest.org/.
Swaggerdokumentation
| Anchor | ||||
|---|---|---|---|---|
|
Autentiseringstjänstens API-dokumentation tillgängliggörs via swagger på Autentiseringstjänsten med följande sökväg: "/openapi/swagger-ui/index.html?configUrl=/v3/api-docs/swagger-config".
...
URL för anslutning: https://secure-authservice.mobiltsiths.ineratest.org/
Hänsynstaganden vid anrop mot /auth
Parametern "checkRevocation" anger huruvida Autentiseringstjänsten skall utföra revokeringskontroll på användarcertifikatet och bör sättas till "true". Det är fullt möjligt att endast utföra revokeringskontrollen i IdP efter autentiseringen är utförd, men det rekommenderas att be Autentiseringstjänsten utföra revokeringskontroll för att eventuella fel i autentiseringen skall upptäckas så tidigt som möjligt i flödet. Vi autentisering via Ineras IdP görs t.ex. revokeringskontroller både i IdP och AT.
...
Svarsfälten "qrStartToken" och "qrStartSecret" används till att beräkna animerade QR kod värden.
Hänsynstaganden vid anrop mot /collect
Pollning mot autentiseringstjänsten ska göras från servern. Det vill säga en användare ska inte kunna påverka hur ofta pollningen mot autentiseringstjänsten sker (annat än att påbörja sin inloggning).
Rekommenderat tidsinterval för pollning är 2 sekunder.
Starta klienten och förmedla autostarttoken
Kopplingen till klienten skapas genom att klienten från IdP får en autostarttoken (som IdP från från Autentiseringstjänsten i svaret ifrån anropet till /auth) som klienten sedan använder i sitt anrop mot Autentiseringstjänsten. Förmedligen av autostarttoken till klienten kan ske på två sätt:
...
Vid inloggning med annan enhet (mobil eller platta) ska en QR kod genereras och exponeras av IdP:n och skannas av med hjälp av Mobilklienten.
QR koden ska innehålla värdet <autostarttoken> eller den RP genererade animerade QR koden.
QR koder
Statisk QR
Statiska QR koder skall innehålla värdet av <autostarttoken> från auth/sign svaret.
...
| Expand | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
|
Introduktion
Autentiseringstjänsten tillhandahåller autentisering för legitimering och underskrift via SITHS eID Windowsklient och SITHS eID Mobilklient (SITHS eID-klienterna) för användare som har e-legitimation från Identifieringstjänst SITHS.
Denna guide har som syfte att stötta organisationer som avser att ansluta en lokal IdP till Inera Autentiseringstjänst (mönster 3 nedan).
Integrationsmönster
Läs Att ansluta e-tjänster för en övergripande beskrivning av tillgängliga integrationsmönster och hjälp med att välja integrationsmönster.
...
Detta dokument innehåller framförallt information om direktanslutning till Autentiseringstjänsten (fall 3 ovan). Anslutningsguide till IdP beskriver motsvarande för de två första mönstren.
Övergripande information
Oavsett val av integrationsmönster så finns det hänsynstaganden som behöver hanteras av alla organisationer som avser att använda sig av Autentiseringstjänsten för legitimering och signering, dessa hänsynstaganden följer nedan.
Generellt anslutningsflöde
- Anmäl intresse, teckna avtal med Inera för valt anslutningsmönster och därmed tjänst:
Beställ tjänsten för information om hur en beställning av IdP/Autentiseringstjänst-anslutning går till
- Fakturering påbörjas.
- Fyll i förstudiemall Autentiseringstjänst / Förstudie vid anslutning till IdP för testanslutning och skicka in för granskning via etjanster.inera.se/DokumentGranskning.
- När förstudien är godkänd kan anslutning upprättas mellan den lokala tjänstens testmiljö och testmiljö hos Ineras tjänst (IdP eller Autentiseringstjänsten).
- Testa anslutningen och funktionen i test.
- Fyll i separat förstudie för produktionsanslutning, bifoga testrapport som visar att integrationen fungerar som tänkt för de tänkta nyttjandescenarierna.
- När förstudien mot produktion är godkänd kan anslutning ske mellan produktionsmiljöerna.
Förutsättningar
Utöver de angivna generella förutsättningarna i Gemensam anslutningsinformation behöver följande förutsättningar vara på plats;
...
- upprätthålla kontaktvägar mot Inera:
- Minst en funktionsbrevlåda anges som kontaktpunkt i produktionsmiljö.
- Testanslutningar tillåts ha personkopplad epostadress
- prenumerara på nyhetsbrev från Inera och Säkerhetstjänster
Konnektivitet och nätverk
Se Nätverksinställningar för IAM-tjänster för mer detaljerad information.
SITHS eID-klienterna
Mobilklienterna laddas ner via App Store eller Google Play. Windowsklienten tillgängliggörs i detta confluence-space och organisationer kan välja att distribuera den själva eller att dela länken med sina användare.
Se SITHS eID app (Autentiseringsklienter) för mer information.
Anslutning av lokal IdP till Autentiseringstjänsten (direktanslutning)
En lokal IdP kan anslutas direkt till Autentiseringstjänsten via Ineras proprietära API.
- Lokal IdP ansvarar för eventuellt val av inloggningsmetod
- Lokal IdP förmedlar autostarttoken till SITHS eID-klienterna
- Se SITHS eID Appväxling - Exempel för inbäddade webbläsare ifall er IdP använder sig av en inbäddad webbläsare.
- Lokal IdP ansvarar för att tolka och förmedla tillitsnivå, utifrån information från användarcertifikatet som levereras från Autentiseringstjänsten.
- Se Tillitsnivå (LoA) för information om hur Ineras IdP tolkar tillitsnivåer.
Teknisk Information
Flödesbeskrivning
| draw.io Diagram | ||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
...
Se ex. SAD IdP för information om hur Ineras IdP realiserar autentiseringsflödet med hjälp av Autentiseringstjänsten.
Autentiseringstjänstens API
Autentiseringstjänstens API är indelat i tre delar:
...
Anrop där förmedling av certifikat krävs ska ske mot adresser som är prefixade med "secure". T.ex. för test: https://secure-authservice.mobiltsiths.ineratest.org/.
Swaggerdokumentation
| Anchor | ||||
|---|---|---|---|---|
|
Autentiseringstjänstens API-dokumentation tillgängliggörs via swagger på Autentiseringstjänsten med följande sökväg: "/openapi/swagger-ui/index.html?configUrl=/v3/api-docs/swagger-config".
...
URL för anslutning: https://secure-authservice.mobiltsiths.ineratest.org/
Hänsynstaganden vid anrop mot /auth
Parametern "checkRevocation" anger huruvida Autentiseringstjänsten skall utföra revokeringskontroll på användarcertifikatet och bör sättas till "true". Det är fullt möjligt att utföra revokeringskontrollen i IdP efter autentiseringen är utförd, men det rekommenderas att delegera detta till Autentiseringstjänsten för att eventuella fel i autentiseringen skall upptäckas så tidigt som möjligt i flödet.
...
Svarsfälten "qrStartToken" och "qrStartSecret" används till att beräkna animerade QR kod värden.
Hänsynstaganden vid anrop mot /collect
Pollning mot autentiseringstjänsten ska göras från servern. Det vill säga en användare ska inte kunna påverka hur ofta pollningen mot autentiseringstjänsten sker (annat än att påbörja sin inloggning).
Rekommenderat tidsinterval för pollning är 2 sekunder.
Starta klienten och förmedla autostarttoken
Kopplingen till klienten skapas genom att klienten från IdP får en autostarttoken (som IdP från från Autentiseringstjänsten i svaret ifrån anropet till /auth) som klienten sedan använder i sitt anrop mot Autentiseringstjänsten. Förmedligen av autostarttoken till klienten kan ske på två sätt:
...
Vid inloggning med annan enhet (mobil eller platta) ska en QR kod genereras och exponeras av IdP:n och skannas av med hjälp av Mobilklienten.
QR koden ska innehålla värdet <autostarttoken> eller den RP genererade animerade QR koden.
QR koder
Statisk QR
Statiska QR koder skall innehålla värdet av <autostarttoken> från auth/sign svaret.
...