Denna sida beskriver attribut och värden samt dess mappning inom SAML och OIDC.

Revisionshistorik

Introduktion

IdP tillhandahåller identifierande och behörighetsstyrande användarattribut till anslutna SP/RP.

Grundflöde för att begära attribut

• Vilka attribut en SP/RP får begära registreras i IdP vid anslutning av SP/RP, och bestäms utifrån vilka attribut som begärts i förstudien för anslutning.
  • För SAML så anges attributen i SP-metadata, i ett eller flera <AttributeConsumingService>-element innehållandes önskad uppsättning attribut.
  • För OIDC så registreras tillåtna attribut manuellt av IdP-administratör i samband med registrering av RP.
• Vid autentiseringsbegäran så anger SP/RP vilka attribut som efterfrågas.
  • För SAML anges vilken kollektion av attribut (vilken <AttributeConsumingService>) som skall användas.
  • För OIDC så anges direkt i anropet vilka attribut som önskas.

Se Attributstyrning SAML respektive Attributstyrning OIDC för mer detaljerad information om hur attributbegäran sker i respektive protokoll

Datakällor

Autentiserings- och användarattribut som IdP levererar härstammar från en handfull olika datakällor.

Autentiseringsmetadata

Dessa attribut innefattar information om själva autentiseringen, t.ex. tidpunkt för autentisering, utfärdande entitet, osv.

Användarcertifikat

Dessa attributvärden hämtas direkt från användarens certifikat.

HSA

HSA innehåller information om vårdpersonal och deras behörigheter.

Strukturen grovt är att en fysisk person (identifierad med personnummer) har en eller flera personposter i HSA (identifierade med employeeHsaId) som i sin tur kan ha ett eller flera medarbetaruppdrag kopplade till sig (identifierade med commissionHsaId).

• Fysisk person (personnummer)
  • Personpost1 i HSA (employeeHsaId)
    • uppdrag1 (commissionHsaId)
    • uppdrag2
  • Personpost2
    
    • uppdrag3
    • uppdrag4

HSA-attribut som IdP levererar kan härstamma från antingen personpost-nivån eller från uppdragsnivån.

Användarnas id-bärare har antingen personnummer eller employeeHsaId ( = personHsaId i HSA-katalogen) som identifierare. Beroende på vilken id-bärare som används vid autentisering så kommer alltså personpost redan vara förvalt eller inte.

Användarval i autentiseringsflödet

Användarval av Personpost

Användaren kommer att ställas inför ett val av personpost om:

1. SP/RP har begärt HSA-attribut (på personpost- eller uppdragsnivå),
2. användaren autentiserar sig med en id-bärare som har användarens personnummer som identifierare, och 
3. användaren har multipla personposter i HSA.

Användarval av medarbetaruppdrag

Användaren kommer att ställas inför ett uppdragsval om:

1. SP/RP har begärt HSA-attribut på uppdragsnivå, och
2. användaren har multipla uppdrag i HSA.

Sammanställning och mappning

Valbara attribut/claims

Tabellen nedan listar alla valbara attribut, vad de heter i SAML respektive OIDC, huruvida de är multivärda eller inte,  vilken datakälla de kommer ifrån, samt huruvida de kan leda till användarval eller inte.

Default attribut/claims

Dessa attribut (element inom SAML) är den del av standarden (SAML/OIDC) och är ej valbara. De levereras alltid när de kan erhållas, och det är applicerbart i förhållande till request.

OIDC Scopes

Detta är de scope som definierats i OIDC standard eller av Inera.

Attributbeskrivning

Se https://www.sambi.se/attributes/1/ för mer information om SAMBI attribut.

Exempel

SAML AttributeStatement

OIDC ID Token