Den lokale identity provider

Præsentationer af emnet: "Den lokale identity provider"— Præsentationens transcript:

1 Den lokale identity provider

2 Hvordan tilsluttes identity provideren?

3 Overblik Støttesystemet adgangsstyring for brugere (Context Handleren) registreres i Identity Provideren som en Service Provider / Relying Party. Metadata udtrækkes af Kommunens Identity Provider, og registreres i adgangsstyring for brugere Identity Provideren tilpasses/konfigureres til at overholde KOMBITs Attributprofil For at teste at integrationen er korrekt udført, gennemføres et login mod et demo-system opsat af KOMBIT Sådan bestiller kommunen en anmodning om tilslutning af IdP til det eksterne testmiljø

4 Registrering af Context Handler som RP/SP

5 Registrering af metadata i Identity Provider
Metadata (en XML fil) for adgangsstyring for brugere kan downloades direkte fra støttesystemerne Test-miljø Produktions-miljø Typisk er registrering af metadata en del af oprettelses-processen når man opretter en ny Service Provider i sit Identity Provider produkt

6 Registrering af metadata i Identity Provider (Safewhere Identify)

7 Registrering af metadata i kommunal Identity Provider (Safewhere Identify)

8 Registrering af metadata i Identity Provider (AD FS 3.0)

9 Registrering af metadata i kommunal Identity Provider (AD FS 3.0)

10 Metadata udtrækkes og registreres hos kombit

11 Udtræk metadata fra Identity Provider
Krav om anvendelse af OCES certifikat

12 Registrering af metadata hos KOMBIT

13 Når metadata er udvekslet

14 Identity provider tilpasses kombits attributprofil

15 Attributprofilen

16 KOMBIT Attributprofil
Krævede attributter Standard formatering, Serial skal være unik! Lad os snakke om den her lige om lidt…

17 Statiske attributter (AD FS 3.0)

18 Jobfunktionsroller angives som OIO-BPP

19 Jobfunktionsroller i Attributprofilen
Base64 enkodet OIO-BPP struktur <bpp:PrivilegeList xmlns:bpp=" <PrivilegeGroup Scope="urn:dk:gov:saml:cvrNumberIdentifier: "> <Privilege> </PrivilegeGroup> <Privilege> </bpp:PrivilegeList>

20 Hvordan enkodes én Jobfunktionsrolle
<bpp:PrivilegeList xmlns:bpp=" <PrivilegeGroup Scope="urn:dk:gov:saml:cvrNumberIdentifier: "> <Privilege> </PrivilegeGroup> <Privilege> </bpp:PrivilegeList> 1 PrivilegeGroup = 1 Jobfunktionsrolle CVR nummeret på den kommune der ejer rollen (typisk egen kommune) ID på Jobfunktionsrollen (matcher ID registreret hos KOMBIT)

21 OIO-BPP er bare en enkelt attribut/claim
Identity Provideren skal tilpasses, så den kan danne en OIO-BPP struktur, indeholdende de ID’er på Jobfunktionsroller som medarbejderen er tildelt OIO-BPP strukturen base64 enkodes, og udstedes som en SAML attribut på lige fod med de statiske attributter dk:gov:saml:attribute:Privileges_intermediate

22 Registrering af dataafgrænsninger

23 Statisk registrering af dataafgrænsninger
Jobfunktionsrolle Brugersystemrolle Dataafgrænsning Sagsbehandler i ydelsescenter vest Fuld visning af sager, ydelser og dokumenter KLE = 32.* Org.Enhed = a26e4cdc-48c8-4b58-b8f2-6accfc1ef988 Opret Journalnotat på part Visning af adviser i overblik Registrering af konkrete værdier direkte i Administrationsmodulet

24 Dynamisk registrering af dataafgrænsninger
Registreringen af ”pladsholdere” i Administrationsmodulet Jobfunktionsrolle Brugersystemrolle Dataafgrænsning Sagsbehandler Fuld visning af sager, ydelser og dokumenter KLE = Org.Enhed = Opret Journalnotat på part Visning af adviser i overblik

25 Navnestandard Når en dataafgrænsningsværdi angives med en pladsholder, så skal pladsholderen overholde en navnestandard Fx

26 Angivelse af dataafgrænsningsværdier i token

27 Dataafgrænsningsværdier i token
Samme som før Dynamiske dataafgrænsningsværdier

28 Dataafgrænsninger er også attributter/claims
Identity Provideren skal tilpasses, så den kan udstede attributter for hver enkelt dataafgrænsning Den konkrete værdi kunne fx aflæses direkte på bruger-objektet, eller på den afdeling/enhed som brugeren er tilknyttet Hvis en Jobfunktionsrolle anvender dynamiske dataafgrænsningsværdier, så SKAL et token der indeholder denne Jobfunktionsrolle også indeholde en konkret værdi for dataafgrænsningen

29 Test af identity provider

30 Test mod demo-system I test-miljøet stiller KOMBIT et demo system til rådighed, hvor man kan foretage et login Systemet har ingen anden funktionalitet end login Efter succesfuld login, vises et skærmbillede der viser det token som demo systemet har modtaget I produktion er der ikke et demo-system (endnu…)

31 Test mod demo-system

32 Test mod demo-system

33 Anmodning om føderationsaftale til testmiljø

34 Sådan er proceduren…. Download blanket 2. Udfyld blanket
I skal udfylde en anmodning om føderationsaftale til det eksterne testmiljø – hent den på kombit.dk/implementering 2. Udfyld blanket KMD tilbyder support i forbindelse med jeres test I skal derfor huske at angive dato for, hvornår I forventer at teste 3. Send blanketten til KMD Send den til 4. KMD opretter føderationsaftale KMD orienterer jer om at aftalen er oprettet 5. I tester