Denna sida beskriver attribut och värden samt dess mappning inom SAML och OIDC.

Revisionshistorik

Introduktion

IdP tillhandahåller identifierande och behörighetsstyrande användarattribut till anslutna SP/RP.

Grundflöde för att begära attribut

• Vilka attribut en SP/RP maximalt får begära registreras i IdP vid anslutning av SP/RP, och bestäms utifrån vilka attribut som begärts i förstudien för anslutning.
  • För SAML så anges attributen i SP-metadata, i ett eller flera <AttributeConsumingService>-element innehållandes önskad uppsättning attribut.
  • För OIDC så registreras tillåtna attribut manuellt av IdP-administratör i samband med registrering av RP.
• Vid autentiseringsbegäran så anger SP/RP vilka attribut som efterfrågas.
  • För SAML anges vilken kollektion av attribut (vilken <AttributeConsumingService>) som skall användas.
  • För OIDC så anges direkt i anropet vilka attribut som önskas.

Se Attributstyrning SAML respektive Attributstyrning OIDC för mer detaljerad information om hur attributbegäran sker i respektive protokoll samt FAQ - IdP för hur kontroll kan göras av hur befintlig SP/RP begäran ser ut.

Datakällor

Autentiserings- och användarattribut som IdP levererar härstammar från en handfull olika datakällor.

Autentiseringsmetadata

Dessa attribut innefattar information om själva autentiseringen, t.ex. tidpunkt för autentisering, utfärdande entitet, osv.

Användarcertifikat

Dessa attributvärden hämtas direkt från användarens certifikat.

HSA

HSA innehåller information om vårdpersonal och deras behörigheter.

Strukturen grovt är att en fysisk person (identifierad med personnummer) har en eller flera personposter i HSA (identifierade med employeeHsaId) som i sin tur kan ha ett eller flera vårdmedarbetaruppdrag kopplade till sig (identifierade med commissionHsaId).

• Fysisk person (personnummer)
  • Personpost1 i HSA (employeeHsaId 1)
    • uppdrag1 (commissionHsaId 1)
    • uppdrag2 (commissionHsaId 2)
  • Personpost2 (employeeHsaId 2)
    
    • uppdrag3 (commissionHsaId 3)
    • uppdrag4 (commissionHsaId 4)

HSA-attribut som IdP levererar kan härstamma från antingen personpost-nivån eller från uppdragsnivån.

Användarnas id-bärare har antingen personnummer eller employeeHsaId ( = personHsaId i HSA-katalogen) som identifierare. Beroende på vilken id-bärare som används vid autentisering så kommer alltså personpost redan vara förvalt eller inte.

Användarval i autentiseringsflödet

Användarval av Personpost

Användaren kommer att ställas inför ett val av personpost om:

1. SP/RP har begärt HSA-attribut (på personpost- eller uppdragsnivå) OCH
2. användaren autentiserar sig med en id-bärare som har hens personnummer som identifierare OCH
3. användaren har multipla personposter i HSA.

Användarval av medarbetaruppdrag

Användaren kommer att ställas inför ett uppdragsval om:

1. SP/RP har begärt HSA-attribut på uppdragsnivå OCH
2. användaren har multipla uppdrag i HSA.

Sammanställning och mappning

Valbara attribut/claims

Tabellen nedan listar alla valbara attribut, definierade för SAML respektive OIDC, huruvida de är multivärda eller inte,  vilken datakälla de kommer ifrån, samt huruvida de kan leda till ett användarval eller ej.

Default attribut/claims

Nedanstående attribut/claims (element inom SAML) är en del av standarderna (SAML/OIDC) och är ej valbara. De levereras alltid när de kan erhållas, och det är applicerbart i förhållande till request.

OIDC Scopes

Detta är de scope som definierats i OIDC standard eller av Inera.

Attributbeskrivningar

Se https://www.sambi.se/attributes/1/ för mer information om SAMBI attribut.

Exempel

SAML AttributeStatement

OIDC ID Token