...
Observera att en SP som skickar SLO till IdP:n samtidigt stoppar all fortsatt federering för användaren. En SP måste vara medveten om vad avsikten vid en utloggning är. En utloggning av användaren i SP:s egna system är en sak, men att även sända en SLO kan orsaka problem om användaren har för avsikt att från en federering arbeta vidare hos annan SP.
2 Metadata
Metadata-filerna filer beskriver IdP-funktionen mer formellt och innehåller även certifikatet som används för att signera assertions i både test och i produktion.
...
Ta alltid ut metadata direkt från IdP test eller IdP produktion för att vara säker på att få senaste version. Detta görs enklast genom att ange nedanstående länkar när ni hämtar hem metadatafilen (xml).
...
Metadata för test
...
Legitimation | Inloggningsmetod | LoA-nivå | Default Authentication Context | Metadata |
|---|---|---|---|---|
BankID | BankID annan enhet | 3 | ||
BankID | BankID samma enhet | 3 | ||
Freja | Freja+ annan enhet | 3 | ||
Freja | Freja+ samma enhet | 3 | ||
eIDAS | Foreign eID | 3 | ||
Telia | Telia | 3 | ||
Default IdP med samtliga ovanstående inloggningsmetoder, LoA och Authentication Context som är aktiva på kund/sp | ||||
2.2 Metadata för test - Tjänstelegitimationer
Legitimation | Inloggningsmetod | LoA-nivå | Authentication Context | Metadata |
|---|---|---|---|---|
Siths MTLS | - | 3 | METADATA KOMMER SNART | |
Siths | - | 3 | METADATA KOMMER SNART | |
Freja OrgID | - | 3 | ||
Default IdP med samtliga ovanstående tjänstelegitimationer, LoA och Authentication Context som är aktiva på kund/sp | ||||
2.3 Metadata för produktion - Privata legitimationer
Legitimation | Inloggningsmetod | LoA-nivå | Default Authentication Context | Metadata |
|---|---|---|---|---|
BankID | BankID annan enhet | 3 | ||
BankID | BankID samma enhet | 3 | ||
Freja | Freja+ annan enhet | 3 | ||
Freja | Freja+ samma enhet | 3 | ||
eIDAS | Foreign eID | 3 | METADATA KOMMER SNART | |
Telia | Telia | 3 | ||
Default IdP med samtliga ovanstående inloggningsmetoder, LoA och Authentication Context som är aktiva på kund/sp | ||||
2.4 Metadata för produktion - Tjänstelegitimationer
Legitimation | Inloggningsmetod | LoA-nivå | Authentication Context | Metadata |
|---|---|---|---|---|
Siths MTLS | - | 3 | ||
Siths | - | 3 | METADATA KOMMER SNART | |
Freja OrgID | - | 3 | ||
Default IdP med samtliga ovanstående tjänstelegitimationer, LoA och Authentication Context som är aktiva på kund/sp | METADATA KOMMER SNART | |||
3 SAML-attribut
Som utgångspunkt och grundkonfiguration följer vi DIGG Tekniskt Ramverk 1.1.4 ( Tekniska anslutningsregler för Sweden Connect-federationen ) samt 1.3.3 ( Tekniska anslutningsregler för Sweden Connect-federationen )
Vilket innebär att vi svarar uncertified-loa3 på LoA3. Observera att det tydligt framgår att "Det står en tredjeparts-legitimeringstjänst fritt att definiera egna identifierare" val av att så långt det går följa tekniskt ramverk görs för att upprätthålla en så god interopabilitet som möjligt.
3.1 Attributsprofiler
CGI har tagit hänsyn till den information som finns i privata e-legitimationer med statlig legitimitet i Sverige samt även arbetet inom EU kring federeringslösningar. Nya SAML-attribut kan komma att tillkomma.
Alla attribut i SAML-biljetten kommer direkt från certifikatet, och i vissa fall är det delar av datat i certifikatet som är utmappat. Attribut från externa datakällor kan framöver också komma att läggas in som tilläggstjänst.
Beroende på e-legitimationsutfärdare kan attribut skilja. Attribut som inte kan mappas mot certifikatinformation plockas bort i svaret.
Valbara attributsprofiler
...
NAME
...
FRIENDLY NAME
...
DESCRIPTION
...
ELN-AP-Pnr-01
...
ELN-AP-NaturalPerson-01
...
ELN-AP-OrgPerson-01
...
ELN-AP-eIDAS-NatPer-01
...
DIGG-AP-HSAid-01
...
urn:oid:2.5.4.4
...
sn
...
Surname
...
X
...
X
...
X
...
X
...
urn:oid:2.5.4.42
...
givenName
...
Given Name
...
X
...
X
...
X
...
X
...
urn:oid:2.16.840.1.113730.3.1.241
...
displayName
...
Display Name
...
X
...
X
...
X
...
X
...
urn:oid:1.2.752.29.4.13
...
personalIdentity-Number
...
National civic registration number/code
...
X
...
urn:oid:1.3.6.1.5.5.7.9.1
...
dateOfBirth
...
Date of birth
...
X
...
X
...
X
...
urn:oid:1.3.6.1.5.5.7.9.3
...
gender
...
Gender
...
X
...
urn:oid:1.2.752.201.3.8
...
birthName
...
Name at the time of birth
...
X
...
urn:oid:2.5.4.6
...
c
...
Country
...
X
...
urn:oid:1.3.6.1.5.5.7.9.2
...
placeOfBirth
...
Place of birth
...
X
...
urn:oid:2.5.4.10
...
o
...
Organizational name
...
X
...
urn:oid:2.5.4.97
...
organizationIdentifier
...
Organizational identifier code
...
X
...
urn:oid:1.2.752.201.3.1
...
orgAffiliation
...
<uid>@<orgnr>
...
X
...
urn:oid:1.2.752.201.3.2
...
transactionIdentifier
...
Transaction identifier
...
X
...
urn:oid:1.2.752.201.3.4
...
prid
...
Provisional identifier
...
X
...
urn:oid:1.2.752.201.3.5
...
pridPersistence
...
Provisional identifier persistence indicator
...
X
...
urn:oid:1.2.752.201.3.7
...
eidasPersonIdentifier
...
eIDAS uniqueness identifier for natural persons
...
X
...
urn:oid:1.2.752.201.3.9
...
eidasNatural-PersonAddress
...
eIDAS Natural Person Address
...
X
...
urn:oid:1.2.752.29.6.2.1
...
employeeHsaId
...
HSA-ID
...
X
3.3 e-tjänstelegitimationer
Vi har tagit hänsyn till den information som finns i de e-tjänstelegitimationer som idag har en spridning i Sverige, utgivna av SITHS och Freja OrgID.
eID-tjänsten har en IdP speciellt för e-tjänstelegitimationer, IdP företag. Se 2.2 Tjänstelegitimationer ovan.
BEHÖVS NEDAN TABELL SPECIFIKT FÖR ATT BESKRIVA ATTRIBUT FÖR TJÄNSTELEG? NEJ!
...
NAME
...
FRIENDLY NAME
...
DESCRIPTION
...
XX
...
YY
...
ZZ
...
ÅÅ
...
ÄÄ
...
ÖÖ
4 Exempelmeddelanden IdP
4.1 Authentication Request
Kort förklaring kring vad detta är behövs.
I produktion har CGI:s IdP kontroll på vilka SP som det är tillåtet att skicka svar till. Vi behöver alltså ha adressen AssertionConsumerServiceURL (ACS) som skall användas. Vi kan godkänna alla URL:er under en adress, som: https://sp.exempel.com/*
AssertionConsumerServiceURL kopplas till en SP och ett unikt ServiceID i eID-tjänsten. Om flera olika ”kunder” i samma e-tjänst använder samma AssertionConsumerServiceURL måste även saml:Issuer även användas och detta måste då vara unikt för varje SP.
Men IdP test godkänner * som Issuer/EntityID och AssertionConsumerServiceURL, så för testmiljön kan ni ange vilken adress ni vill.
| Expandera | ||
|---|---|---|
| ||
|
4.2 Authentication Response
...
| Expandera | ||
|---|---|---|
| ||
|
4.3 Logout Request
Observera att Logout Request inte per automatik fungerar hela vägen ut i IdP test. IdP:n vet inte var SLO-responsen skall skickas, men användaren blir ändå utloggad ur IdP:n. Skall hela SLO-flödet testas i IdP test måste test-SP konfigureras in speciellt i IdP test vilket normalt inte görs/ingår. I produktion konfigureras SLO normalt för varje SP.
| Expandera | ||
|---|---|---|
| ||
|
4.4 Logout Response
Exempel på en lyckad Logout Response.
| Expandera | ||
|---|---|---|
| ||
|
4.5 Authentication Response – Login Fail + Avbryt/Cancel
Om användaren misslyckas med inloggningen med sin e-legitimation hos IdP visar IdP:n direkt upp felmeddelanden till användaren.
OBS om ni önskar få tillbaka responsen så meddela CGI i samband med beställning.
```xml
https://my.sp/0MzT-aPAv;USER_CANCEL ```
StatusMessage innehåller ett ReferensID följt av något av följande fel.
ALREADY_IN_PROGRESS
CANCELLED
CERTIFICATE_ERR
EXPIRED_TRANSACTION
INVALID_PARAMETERS
START_FAILED
USER_CANCEL
UNKNOWN
4.5.1 DIGG tekniskt ramverk
Ifall det finns behov av att få cancel enligt DIGG tekniska ramverk så är det möjligt, dock kräver det att kör mot specifik IDP som har den inställningen.
```xml
https://m00-mg-local.testidp.funktionstjanster.se/samlv2/idp/metadata/0/24User pressed cancel
```och produktion finns här: LÄNK
3 SAML-attribut
Som utgångspunkt och grundkonfiguration följer vi DIGG Tekniskt Ramverk 1.1.4 ( Tekniska anslutningsregler för Sweden Connect-federationen ) samt 1.3.3 ( Tekniska anslutningsregler för Sweden Connect-federationen )
Vilket innebär att vi svarar uncertified-loa3 på LoA3. Observera att det tydligt framgår att "Det står en tredjeparts-legitimeringstjänst fritt att definiera egna identifierare" val av att så långt det går följa tekniskt ramverk görs för att upprätthålla en så god interopabilitet som möjligt.
3.1 Attributsprofiler
CGI har tagit hänsyn till den information som finns i privata e-legitimationer med statlig legitimitet i Sverige samt även arbetet inom EU kring federeringslösningar. Nya SAML-attribut kan komma att tillkomma.
Alla attribut i SAML-biljetten kommer direkt från certifikatet, och i vissa fall är det delar av datat i certifikatet som är utmappat. Attribut från externa datakällor kan framöver också komma att läggas in som tilläggstjänst.
Beroende på e-legitimationsutfärdare kan attribut skilja. Attribut som inte kan mappas mot certifikatinformation plockas bort i svaret.
Valbara attributsprofiler
NAME | FRIENDLY NAME | DESCRIPTION | ELN-AP-Pnr-01 | ELN-AP-NaturalPerson-01 | ELN-AP-OrgPerson-01 | ELN-AP-eIDAS-NatPer-01 | DIGG-AP-HSAid-01 |
|---|---|---|---|---|---|---|---|
urn:oid:2.5.4.4 | sn | Surname | X | X | X | X | |
urn:oid:2.5.4.42 | givenName | Given Name | X | X | X | X | |
urn:oid:2.16.840.1.113730.3.1.241 | displayName | Display Name | X | X | X | X | |
urn:oid:1.2.752.29.4.13 | personalIdentity-Number | National civic registration number/code | X | ||||
urn:oid:1.3.6.1.5.5.7.9.1 | dateOfBirth | Date of birth | X | X | X | ||
urn:oid:1.3.6.1.5.5.7.9.3 | gender | Gender | X | ||||
urn:oid:1.2.752.201.3.8 | birthName | Name at the time of birth | X | ||||
urn:oid:2.5.4.6 | c | Country | X | ||||
urn:oid:1.3.6.1.5.5.7.9.2 | placeOfBirth | Place of birth | X | ||||
urn:oid:2.5.4.10 | o | Organizational name | X | ||||
urn:oid:2.5.4.97 | organizationIdentifier | Organizational identifier code | X | ||||
urn:oid:1.2.752.201.3.1 | orgAffiliation | <uid>@<orgnr> | X | ||||
urn:oid:1.2.752.201.3.2 | transactionIdentifier | Transaction identifier | X | ||||
urn:oid:1.2.752.201.3.4 | prid | Provisional identifier | X | ||||
urn:oid:1.2.752.201.3.5 | pridPersistence | Provisional identifier persistence indicator | X | ||||
urn:oid:1.2.752.201.3.7 | eidasPersonIdentifier | eIDAS uniqueness identifier for natural persons | X | ||||
urn:oid:1.2.752.201.3.9 | eidasNatural-PersonAddress | eIDAS Natural Person Address | X | ||||
urn:oid:1.2.752.29.6.2.1 | employeeHsaId | HSA-ID | X |
3. e-tjänstelegitimationer
Vi har tagit hänsyn till den information som finns i de e-tjänstelegitimationer som idag har en spridning i Sverige, utgivna av SITHS och Freja OrgID.
eID-tjänsten har en IdP speciellt för e-tjänstelegitimationer, IdP företag. Se 2.2 Tjänstelegitimationer ovan.
BEHÖVS NEDAN TABELL SPECIFIKT FÖR ATT BESKRIVA ATTRIBUT FÖR TJÄNSTELEG? NEJ!
NAME | FRIENDLY NAME | DESCRIPTION |
|---|---|---|
XX | ||
YY | ||
ZZ | ||
ÅÅ | ||
ÄÄ | ||
ÖÖ | ||
5.1 Certifikat för att verifiera XML-DSig
...