1. Dokumentinformation
1.1. Inledning
Detta dokument ska hjälpa till att beskriva vad leveransen av Säkerhetstjänster 2.x består av inklusive en kort beskrivning av de olika funktionerna/tjänsterna som paketet Säkerhetstjänster består av.
1.2. Målgrupp
Målgruppen som detta dokument vänder sig till är dels de som vill få en överblick av Säkerhetstjänsterna, dels applikationer/system som avser att ansluta sig till någon av de tjänster som levereras av Säkerhetstjänster.
1.1 Revisionshistorik
Version | Datum | Författare | Kommentar |
---|---|---|---|
0.1 | Första utgåva | ||
0.2 | Justeringar & tillägg | ||
0.3 |
| Justerad efter Tomas Fransson synpunkter | |
0.4 | Justeringar efter synpunkter från Logica | ||
1.0 | Lagt till adresser till Spärr, Samtycke & Patientrelation | ||
1.1 | För bakåtkompabilitet behålls 84XX för IdP’n, därför ny URL för autentiseringen | ||
1.2 | Lagt till adresser etc för prodtest | ||
1.3 | Fel portangivelse för url: https://prodtest.sakerhetstjanst.inera.se:8445/idp/saml Ska vara port: | ||
1.4 | Acceptansmiljöns portar uppdaterade | ||
1.5 | Uppdateringar i samband med version 2.3 av lokal Säkerhetstjänst. Referenser till dokument på www.inera.se och Google code uppdaterade. | ||
1.6 | Adressering ändrad för att passa TP | ||
1.7 | Dokument migrerat till Confluence samt uppdateringar för adresser till Säkerhetstjänsters nya miljö (på BaseFarm). OBS beskrivningen speglar hur säkerhetstjänsters nationella miljö är uppsatt fr.o.m. . | ||
1.8 | GetAccessLogsForPatient tillagd. | ||
1.9 | PingForConfiguration borttaget för konsumenter. Den finns kvar för att användas från Tjänsteplattformen. | ||
1.10 | Tjänsteplattformen går över till standardportar 443 för sjunet, använder ej 20000. Den senare slutar att fungera 2016-01-01. Påverkar anrop till informationsförsörjande Säkerhetstjänster, dvs konsumenter över sjunet. | ||
1.11 | Uppdaterat inför Säkerhetstjänster 2.12. Tagit bort inaktuell info om Åtkomstkontrollen och TGP samt referenser till gamla BIF-tjänsten och Projektplatsen. | ||
1.12 | Unknown User (lexhagenm) | Uppdaterat inför Säkerhetstjänster 2.16. Informerat om borttag av tjänsten Patientrelation samt tagit bort viss information kring denna tjänst. | |
1.13 |
| Uppdaterat inför Säkerhetstjänster 2.16. Lagt till info om nya tjänstekontrakt för spärr och logg. | |
1.14 |
| Unknown User (lexhagenm) | Uppdaterat inför Säkerhetstjänster 2.16. Editerat referenser. |
1.15 |
| Okänd användare (peterssond) | Uppdaterat info om loggningstjänstens konnektivitet |
1.16 |
| Uppdaterat inför Säkerhetstjänster 2.18. | |
1.17 |
| Niclas Hedlund | Info om deprikerade versioner/domäner |
1.18 |
| Unknown User (lexhagenm) | Lagt till adresser för Samtyckestjänstens tjänstekontrakt |
1.19 |
| Hänvisning till nya IdP 1.0 i stycket för Autentiseringstjänsten samt där adresser anges | |
1.20 |
| Lagt till spärrtjänstens GetPatientIds som nationellt realiserat. | |
1.21 |
| Lagt till information om hur länge ett ogiltigt Samtycke sparas i den nationella hotelltjänsten innan de raderas. | |
1.22 |
| Information och hänvisning till nya Spärrtjänsten. | |
1.23 |
| Tagit bort gamla domänversioner som inte längre erbjuds i Säkerhetstjänster. | |
1.24 |
| Information om lokal installation och hänvisningar till nya Samtyckestjänsten |
2. Inledning
Säkerhetstjänsterna levereras som nationella tjänster och fristående tjänster. De fristående tjänsterna kan installeras lokalt inom ett landsting eller hos en vårdgivare.
Ingående tjänster enligt figur nedan:
Följande tjänster ingår i den ”nationella leveransen”, dvs levereras såsom en tillgänglig IT-tjänst:
Autentisering(Nationella IdP’n) - Autentiseringstjänsten har brutits ut till en egen tjänst. Ny sida med information finns här: Autentisering via SITHS eIDSamtyckestjänst(”hotelltjänst” för samtyckeshantering) - Samtyckestjänsten har brutits ut till en egen tjänst. Ny sida med information finns här: SamtyckestjänstPatientrelation(”hotelltjänst” för hantering av patientrelation) - Tjänsten patientrelation togs bort som nationell tjänst i release 2.16 (september 2017)Spärrtjänst(dels som ”hotelltjänst”, dels som ”nationell toppnod” för replikerade spärrar. Spärrtjänsten har brutits ut till en egen tjänst under mars 2021. Dokument för den nya tjänsten hittas nu här: Dokumentation Spärr- Loggtjänst (nationell tjänst för att lagra åtkomstloggar och nationell tjänst för loggrapporter)
Support upphör 2023
Efter 1/1 2020 erbjuder inte längre Inera installation eller support av lokal säkerhetstjänst. Se https://www.inera.se/nyheter/nyheter/mojlighet-att-installera-lokala-sakerhetstjanster-for-sparr-samtycke-och-logg-upphor-2023/
Erforderlig dokumentation finns dels på RIV TA-siten (tjänstekontrakt & tjänstekontraktsbeskrivningar) på www.rivta.se samt på www.inera.se
Exempel på referensapplikationer –hur man använder RIV TA- finns på RIV TA-siten. Se ref [R20] & [R21]
3. Översikt
Tjänst | Funktion | Lokal / Nationell | Operativsystem för lokal installation |
---|---|---|---|
| Autentiseringstjänsten har brutits ut till en egen tjänst. Ny sida med information finns här: Autentisering via SITHS eID Autentiseringstjänsten har till uppgift att kontrollera och fastställa en användares identitet vid inloggning i ett IT-system. När en användare loggar in eller loggar ut från ett system sker detta på ett koordinerat sätt. Det innebär att kontroll av identitet endast behöver göras en gång, oavsett hur många system användaren loggar in i. Hur fungerar Autentiseringstjänsten? När en användare loggar in eller ansluter till ett IT-system måste användarens identitet kontrolleras och fastställas. Detta är Autentiseringstjänstens uppgift. Tjänsten sammanställer användarens uppgifter och intygar att de är korrekta. Denna information lagras sedan i en så kallad biljett, som används som underlag för styrning av rättigheter i de system och tjänster som biljetten används av. | L + N | Windows, Linux |
| Spärrtjänsten har brutits ut till en egen tjänst under mars 2021. Dokument för den nya tjänsten hittas nu här: Dokumentation Spärr Spärrtjänsten registrerar spärrar och kontrollerar om en patient har spärrat tillgång till patientinformation inom och mellan vårdgivare. Hur fungerar Spärrtjänsten? För att en patient ska kunna spärra information, måste berörd organisation ha informerat patienten om möjligheten till detta, samt vilka konsekvenser detta kan innebära. Patienten kan därefter begära hos vilken vårdenhet/vårdgivare som informationen ska spärras. Det finns möjligheter för vårdgivaren att låta patienten undanta läkemedel och/eller varningar från att bli spärrade. Om det finns en spärr för en patients uppgifter, så gäller den alltid före eventuella registrerade samtycken. En spärr fungerar så att patientuppgifter inom en viss vårdenhet (inre spärr) eller inom en vårdgivare (yttre spärr) blir spärrad för hälso- och sjukvårdspersonal som arbetar "utanför" denna vårdenhet eller vårdgivare. Inre spärrar kan tillfälligt hävas, antingen med en patients uttryckliga medgivande eller vid en nödsituation. Den tillfälliga hävningen är tidsbegränsad, och kan återkallas innan tidsbegränsningen gått ut | L + N | Windows, Linux |
| Samtyckestjänsten har brutits ut till en egen tjänst under september 2021. Dokument för den nya tjänsten hittas nu här: Dokumentation Samtycke Samtyckestjänsten registrerar och lagrar information om patientens samtycke till åtkomst av sammanhållen vårddokumentation. Tjänsten kan svara ja eller nej på frågan om en patient har gett sitt samtycke till att information får lämnas ut mellan vårdgivare. Hur fungerar Samtyckestjänsten? För att vårdpersonalen ska få åtkomst till patientens information hos andra vårdgivare krävs patientens samtycke. Utan samtycke, ingen åtkomst. Detta samtycke lagras i ett samtyckesintyg som innehåller uppgifter inom vilken tidsperiod samtycket ska gälla, och för vilken vårdpersonal/vårdenhet som detta samtycke ska gälla. Ett samtycke anger alltid vem/vilka som får ta del av patientens information. Vill patienten göra undantag och exkludera en vårdenhet eller liknande, hanteras detta via säkerhetstjänsten Spärr | L + N | Windows, Linux |
| Tjänsten patientrelation togs bort som nationell tjänst i release 2.16 (september 2017) Patientrelationstjänsten registrerar och lagrar information om relationer mellan hälso-och sjukvårdspersonal och patienter. Tjänsten kan svara ja eller nej på frågan om en ”vårdpersonal-till-patient-relation” existerar. Registrering av patientrelationen utförs manuellt. Hur fungerar Patientrelationtjänsten? Syftet med Patientrelationstjänsten är att administrera och intyga att hälso- och sjukvårdspersonal har en relation med patienten. I tjänsten registreras och lagras den relation som finns och tjänsten svarar ja eller nej på frågan om en patientrelation existerar. En förutsättning för tjänsten ska kunna fungera är att verksamheten har fastställt regler för vad som definierar en patientrelation |
|
|
Loggtjänst | Loggtjänsten lagrar information om åtkomstrelaterade händelser från olika system på ett strukturerat sätt. Loggtjänsten innehåller även en rapportfunktion som kan användas för uppföljning av åtkomstloggar. Hur fungerar Loggtjänsten? Syftet med Loggtjänsten är att lagra uppgifter om vem som har begärt och haft åtkomst till vilken information, samt inom vilket uppdrag åtkomsten skedde. Detta för att man i efterhand ska kunna se om åtkomsten varit berättigad eller inte. Loggtjänsten tar emot åtkomstloggar från vårdsystem som bland annat innehåller uppgifter om användare, vårdenhet, aktuell patient, vilka åtgärder som vidtagits med patientuppgifterna, samt när detta skedde | L + N | Windows, Linux |
4. Tjänstebeskrivning
4.1. Autentiseringstjänsten
IdP 1.0
Informationen har flyttats till Anslutningsguide till IdP då en ny version av Autentiseringstjänsten driftsattes i januari 2019.
4.2. Spärrtjänsten
Spärr har flyttat...
Spärrtjänsten har brutits ut till en egen tjänst under mars 2021.
Dokument för den nya tjänsten hittas nu här: Dokumentation Spärr
4.3. Samtyckestjänsten
Samtycke har flyttat...
Samtyckestjänsten har brutits ut till en egen tjänst under september 2021.
Dokument för den nya tjänsten hittas nu här: Dokumentation Samtycke
4.4. Loggtjänsten
4.4.1. Sammanfattning
Säkerhetstjänsterna Central loggtjänsthantering syftar till att stödja processen att hantera kraven på uppföljning av verksamhetens åtkomst till patientinformation enligt Patientdatalagen och SOSFS 2008:14 §11 & §12. Modellen för detta baserar sig bl.a på PDLiP-arbetet samt utredningar av AL-S (AL-S Loggning i NPÖ) samt ett antal kravmöten med AL-S.
Tjänster med motsvarande funktionalitet är idag i drift som stöd till Nationell Patientöversikt för att där hantera PDLs krav på loggning av åtkomst till vårdinformation.
4.4.2. Leverans
Loggtjänsten (se SAD, ref [R7]) levereras dels som:
- En nationell lagringstjänst för lagring av åtkomstinformation (åtkomstloggar) [R11]
- Läsande tjänster för åtkomst av åtkomstinformation [R11]
- Hämtningstjänst via REST-API för ”bulkhämtning” av en vårdgivares åtkomstloggar för uppföljning i lokalt loggsystem [R17]
- GUI och loggrapporter för manuell uppföljning av åtkomstloggar [R7]
För adresser till produktion, acceptanstest & utvecklingsmiljöer, se Adresser.
4.4.3. Förutsättningar för att använda Loggtjänsten
Den nationella loggtjänsten anropas dels via Nationella tjänstekontrakt, enligt RIV TA 2.1, och dels via ett speciellt tjänstekontrakt (ej RIV TA) såsom en Hämtningstjänst för överföring av åtkomstloggar till ett lokalt logguppföljningssystem. För mer information kring tjänsterna, se ref [R11 & R17]. Kommunikation för RIV-TA tjänster sker via Nationell Tjänsteplattform, medans tjänster som inte är enligt RIV-TA (utan REST) kräver direktanslutning, dvs ej via Tjänsteplattformen
Kommunikation förutsätter SITHS funktionscertifikat. För information om aktuell SITHS-version, kontakta Säkerhetstjänsternas förvaltning. Anropande system måste ha ett HSA-id.
Loggtjänsten finns från och med version 2.3 även som lokal tjänst.
5. Adresser/URL
5.1. Exempelkod och nedladdningssite
Support upphör 2023
Efter 1/1 2020 erbjuder inte längre Inera installation eller support av lokal säkerhetstjänst. Se https://www.inera.se/nyheter/nyheter/mojlighet-att-installera-lokala-sakerhetstjanster-for-sparr-samtycke-och-logg-upphor-2023/
Tjänst | Adress | Kommentar |
---|---|---|
Nedladdnings-site för | https://public.cgi.com/~sakerhetstjanster/ | Inloggningsuppgifter erhålles av CGI |
Exempelkod SP | Exempelkod |
5.2. Adresser tjänster för nationell Spärr, Samtycke och Logg för olika miljöer.
Hur adressen till en tjänst ser ut beror på följande saker:
- Miljö
- Om anropet går via Sjunet eller Internet
- Om anropet går via Tjänsteplattformen eller ej
- Namnet på själva tjänsten
Miljöerna Utvtest och Acctest har ingen koppling till Tjänsteplattformen.
Loggtjänsterna är f. n inte upplagda på Tjänsteplattformen i någon miljö.
Anropen till Säkerhetstjänsterna från Tjänsteplattformen går alltid via Sjunet.
För att förstå hur kopplingarna fungerar se 4.2.1 och 4.3.1. Användningen av de olika miljöerna styrs av förvaltningen av Säkerhetstjänster.
5.2.1. Miljö för konsumenter på Sjunet
Adress | |
---|---|
Acctest (via Tjänsteplattformen eller direkt) | https://qa.esb.ntjp.sjunet.org:443/vp/<tjänst_enligt_nedan> eller https://ws.acctest.sakerhetstjanst.sjunet.org:443/<tjänst_enligt_nedan> |
Produktion (via Tjänsteplattformen eller direkt) | https://esb.ntjp.sjunet.org:443/vp/<tjänst_enligt_nedan> eller https://ws.sakerhetstjanst.sjunet.org:443/<tjänst_enligt_nedan> |
5.2.2. Miljö för konsumenter på Internet
Adress | |
---|---|
Acctest(endast via Tjänsteplattformen) | https://qa.esb.ntjp.se:443/vp/<tjänst_enligt_nedan via Tjänsteplattformen> |
Produktion (endast via Tjänsteplattformen) | https://esb.ntjp.se:443/vp/<tjänst_enligt_nedan> |
5.2.3. Spärr version 4
Spärrtjänsten har brutits ut till en egen tjänst. För information om nya Spärrtjänsten se Guide till Ineras Spärrlösning
5.2.4. Logg version 2 (konsument anropar via Tjänsteplattformen)
Nytt från och med Säkerhetstjänster 2.16 med stöd för reservidentiteter.
www.rivta.se/domains/informationsecurity_auditing_log.html
Tjänsteadress |
---|
informationsecurity/auditing/log/StoreLog/2/rivtabp21 |
informationsecurity/auditing/log/GetAccessLogsForPatient/2/rivtabp21 |
informationsecurity/auditing/log/GetLogs/2/rivtabp21 |
informationsecurity/auditing/log/GetInfoLogs/2/rivtabp21 |
5.2.5. Logg version 2 (som den anropas från Tjänsteplattformen eller i förekommande fall, direktanrop)
Nytt från och med Säkerhetstjänster 2.16 med stöd för reservidentiteter.
www.rivta.se/domains/informationsecurity_auditing_log.html
Tjänsteadress |
---|
logService/StoreLog/2/rivtabp21 |
logReportService/GetAccessLogsForPatient/2/rivtabp21 |
logService/PingForConfiguration/2/rivtabp21 |
logReportService/PingForConfiguration/2/rivtabp21 |
logReportService/GetLogs/2/rivtabp21 |
logReportService/GetInfoLogs/2/rivtabp21 |
5.2.6. Samtycke version 2 (konsument anropar via Tjänsteplattformen)
Samtyckestjänsten har brutits ut till en egen tjänst. För information om Samtyckestjänst 3.0 se Guide till Samtyckestjänsten
5.3. Acceptanstest, autentisering och administration
IdP-adresserna gäller den gamla IdP:n. Se Guide till Inera IdP för adresser till fristående IdP
Tjänst | Adress | Kommentar |
---|---|---|
Sjunet | ||
|
| |
WEBadmin | Administrationsgränssnitt för logg | |
| ||
Metadata SP | ||
Internet | ||
|
| |
WEBadmin | Administrationsgränssnitt för logg | |
| ||
Metadata SP | ||
5.4. Produktion, autentisering och administration
IdP-adresserna gäller den gamla IdP:n. Se Guide till Inera IdP för adresser till fristående IdP
Tjänst | Adress | Kommentar |
---|---|---|
Sjunet | ||
|
| |
WEBadmin | Administrationsgränssnitt för logg | |
| ||
Metadata SP | ||
Internet | ||
|
| |
WEBadmin | Administrationsgränssnitt för logg | |
| ||
Metadata SP | ||
6. IP-Adresser
6.1. Produktionsmiljö
DNS-namn | IP-adress | Nät | Notering |
---|---|---|---|
sakerhetstjanst.inera.se | 164.40.177.103 | Internet | Administration logg |
ws.sakerhetstjanst.inera.se | 164.40.177.106 | Internet | Webservices |
sakerhetstjanst.sjunet.org | 81.89.154.98 | Sjunet | Administration logg |
ws.sakerhetstjanst.sjunet.org | 81.89.154.101 | Sjunet | Webservices och REST-tjänster |
6.2. Acceptanstestmiljö
DNS-namn | IP-adress | Nät | Notering |
---|---|---|---|
acctest.sakerhetstjanst.inera.se | 81.89.154.114 | Internet | Administration logg |
ws.acctest.sakerhetstjanst.inera.se | 81.89.154.117 | Internet | Webservices |
acctest.sakerhetstjanst.sjunet.org | 164.40.177.111 | Sjunet | Administration logg |
ws.acctest.sakerhetstjanst.sjunet.org | 164.40.177.114 | Sjunet | Webservices och REST-tjänster |
7. Cipher suites
Lista över cipher suites som används i Säkerhetstjänster.7.1. Säkerhetstjänster 2.14 - 2.18
Stöds bara i TLS 1.2 1. TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 2. TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 3. TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 4. TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 5. TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA 6. TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA 7. TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 8. TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 9. TLS_DHE_RSA_WITH_AES_256_CBC_SHA256 10. TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 11. TLS_DHE_RSA_WITH_AES_256_CBC_SHA 12. TLS_DHE_RSA_WITH_AES_128_CBC_SHA Stöds i TLS 1.0 och senare 13. TLS_RSA_WITH_AES_256_GCM_SHA384 14. TLS_RSA_WITH_AES_128_GCM_SHA256 15. TLS_RSA_WITH_AES_256_CBC_SHA256 16. TLS_RSA_WITH_AES_128_CBC_SHA256 17. TLS_RSA_WITH_AES_256_CBC_SHA 18. TLS_RSA_WITH_AES_128_CBC_SHA
8. Referenser
Ref | Dokument ID | Dokument |
---|---|---|
R1 | Releasenotes | |
R2 | Användarhandbok Lokala Säkerhetstjänster | |
R3 | Installation & administration | |
R4 | SAD Autentiseringstjänsten | SAD - Autentiseringstjänsten - Se även SAD IdP för fristående IdP |
R5 | SAD Spärrtjänsten | SAD - Spärrtjanst - Se även SAD - Spärr för fristående Spärrtjänst |
R6 | SAD Samtycke | SAD - Samtyckestjänsten - Se även SAD - Samtyckestjänsten för fristående Samtyckestjänst |
R7 | SAD Loggtjänsten | |
R8 | Tjänstekontraktsbeskrivning Spärrtjänsten | |
R9 | Tjänstekontraktsbeskrivning Samtyckestjänsten | |
R10 |
| |
R11 | Tjänstekontraktsbeskrivning Loggtjänsten | |
R12 | SAMBI SAML specifikation | |
R13 | RIV TA 2.1 | |
R14 | RIV PDLiP | |
R15 | HSA-katalogen | Katalogtjänst HSA Befintlig koppling till HSA-tjänsten nyttjas i den webbapplikation som finns för administration av stödtjänsterna. Stödtjänsten själv nyttjar inte HSA-tjänsten. Notera att RIV TA Tjänstekontrakt för HSA ska användas vid nya integrationer mot HSA då HSA-WS är under avveckling, se även [B1], AB-4. |
R16 | Personuppgifter | Tjänstekontraktsbeskrivning Personuppgiftstjänsten. |
R17 | Hämtningstjänst åtkomstloggar | |
R18 | Testrapport - Lokala Säkerhetstjänster | |
R19 | Acceptanstestprotokoll | |
R20 | RIV TA Referensapplikation -Java | |
R21 | RIV TA Referensapplikation Microsoft | |
R22 | OpenSAML | https://wiki.shibboleth.net/confluence/display/OpenSAML/Home |
R23 | OIOSAML |
9. FAQ, Exempel
Typiska frågor kring anslutning till IdP’n finns här:
Anslutning Autentiseringstjänst - IdP (eller Ineras hemsida för IdP 1.x)
Typiska frågor kring Säkerhetstjänsterna finns här:
FAQ Nationella Säkerhetstjänster