Denna sida beskriver attribut och värden samt dess mappning inom SAML och OIDC.
Revisionshistorik
Version | Datum | Författare | Kommentar |
---|---|---|---|
0.8 |
| Upprättad | |
1.0 |
| Former user (Deleted) | Fastställd |
1.1 | Kompletterat standard claims listan med at_hash | ||
1.2 |
| Uppdaterat med nya attribut i IdP 2.0 | |
1.3 |
| Information om datakällor och användarval |
- Introduktion
- Datakällor
- Sammanställning och mappning
- Attributbeskrivningar
- urn:sambi:names:attribute:authnMethod
- urn:sambi:names:attribute:levelOfAssurance
- http://www.w3.org/2000/09/xmldsig#X509SubjectName
- http://www.w3.org/2000/09/xmldsig#X509IssuerName
- urn:credential:givenName
- urn:credential:surname
- urn:credential:personalIdentityNumber
- urn:credential:displayName
- urn:credential:organizationName
- urn:credential:certificatePolicies
- urn:allCommissions
- urn:allEmployeeHsaIds
- http://sambi.se/attributes/1/commissionHsaId
- http://sambi.se/attributes/1/commissionName
- http://sambi.se/attributes/1/commissionPurpose
- http://sambi.se/attributes/1/commissionRight
- http://sambi.se/attributes/1/employeeHsaId
- http://sambi.se/attributes/1/givenName
- http://sambi.se/attributes/1/surname
- http://sambi.se/attributes/1/groupPrescriptionCode
- http://sambi.se/attributes/1/healthcareProfessionalLicense
- http://sambi.se/attributes/1/healthcareProfessionalLicenseIdentityNumber
- http://sambi.se/attributes/1/healthCareProfessionalLicenceSpeciality
- http://sambi.se/attributes/1/healthCareProviderHsaId
- http://sambi.se/attributes/1/healthcareProviderId
- http://sambi.se/attributes/1/healthCareProviderName
- http://sambi.se/attributes/1/healthCareUnitHsaId
- http://sambi.se/attributes/1/healthCareUnitName
- http://sambi.se/attributes/1/mail
- http://sambi.se/attributes/1/mobileTelephoneNumber
- http://sambi.se/attributes/1/occupationalCode
- http://sambi.se/attributes/1/organizationIdentifier
- http://sambi.se/attributes/1/organizationName
- http://sambi.se/attributes/1/paTitleCode
- http://sambi.se/attributes/1/personalIdentityNumber
- http://sambi.se/attributes/1/personalPrescriptionCode
- http://sambi.se/attributes/1/pharmacyIdentifier
- http://sambi.se/attributes/1/systemRole
- http://sambi.se/attributes/1/telephoneNumber
- authorizationScope
- name
- Exempel
Introduktion
IdP tillhandahåller identifierande och behörighetsstyrande användarattribut till anslutna SP/RP.
Grundflöde för att begära attribut
- Vilka attribut en SP/RP maximalt får begära registreras i IdP vid anslutning av SP/RP, och bestäms utifrån vilka attribut som begärts i förstudien för anslutning.
- För SAML så anges attributen i SP-metadata, i ett eller flera
<AttributeConsumingService>
-element innehållandes önskad uppsättning attribut. - För OIDC så registreras tillåtna attribut manuellt av IdP-administratör i samband med registrering av RP.
- För SAML så anges attributen i SP-metadata, i ett eller flera
- Vid autentiseringsbegäran så anger SP/RP vilka attribut som efterfrågas.
- För SAML anges vilken kollektion av attribut (vilken
<AttributeConsumingService>
) som skall användas. - För OIDC så anges direkt i anropet vilka attribut som önskas.
- För SAML anges vilken kollektion av attribut (vilken
Se Attributstyrning SAML respektive Attributstyrning OIDC för mer detaljerad information om hur attributbegäran sker i respektive protokoll samt FAQ - IdP för hur kontroll kan göras av hur befintlig SP/RP begäran ser ut.
Datakällor
Autentiserings- och användarattribut som IdP levererar härstammar från en handfull olika datakällor.
Autentiseringsmetadata
Dessa attribut innefattar information om själva autentiseringen, t.ex. tidpunkt för autentisering, utfärdande entitet, osv.
Användarcertifikat
Dessa attributvärden hämtas direkt från användarens certifikat.
HSA
HSA innehåller information om vårdpersonal och deras behörigheter.
Strukturen grovt är att en fysisk person (identifierad med personnummer) har en eller flera personposter i HSA (identifierade med employeeHsaId) som i sin tur kan ha ett eller flera medarbetaruppdrag kopplade till sig (identifierade med commissionHsaId).
- Fysisk person (personnummer)
- Personpost1 i HSA (employeeHsaId)
- uppdrag1 (commissionHsaId)
- uppdrag2
- Personpost2
- uppdrag3
- uppdrag4
- Personpost1 i HSA (employeeHsaId)
HSA-attribut som IdP levererar kan härstamma från antingen personpost-nivån eller från uppdragsnivån.
Användarnas id-bärare har antingen personnummer eller employeeHsaId ( = personHsaId i HSA-katalogen) som identifierare. Beroende på vilken id-bärare som används vid autentisering så kommer alltså personpost redan vara förvalt eller inte.
Användarval i autentiseringsflödet
Användarval av Personpost
Användaren kommer att ställas inför ett val av personpost om:
- SP/RP har begärt HSA-attribut (på personpost- eller uppdragsnivå) OCH
- användaren autentiserar sig med en id-bärare som har hens personnummer som identifierare OCH
- användaren har multipla personposter i HSA.
Användarval av medarbetaruppdrag
Användaren kommer att ställas inför ett uppdragsval om:
- SP/RP har begärt HSA-attribut på uppdragsnivå OCH
- användaren har multipla uppdrag i HSA.
Sammanställning och mappning
Valbara attribut/claims
Tabellen nedan listar alla valbara attribut, definierade för SAML respektive OIDC, huruvida de är multivärda eller inte, vilken datakälla de kommer ifrån, samt huruvida de kan leda till ett användarval eller ej.
Default attribut/claims
Nedanstående attribut/claims (element inom SAML) är en del av standarderna (SAML/OIDC) och är ej valbara. De levereras alltid när de kan erhållas, och det är applicerbart i förhållande till request.
OIDC Scopes
Detta är de scope som definierats i OIDC standard eller av Inera.
Scope | Claims |
---|---|
openid (OIDC standard) | sub, iss, aud, exp, iat, amr, acr, auth_time, jti, at_hash |
authorization_scope | authorizationScope |
personal_identity_number | personalIdentityNumber |
commission | Alla resterande attribut (d.v.s. claims som inte ingår i något annat scope) |
Attributbeskrivningar
Se https://www.sambi.se/attributes/1/ för mer information om SAMBI attribut.