SPOR 1: ADGANGSSTYRING

Transkript

1 SPOR 1: ADGANGSSTYRING v. Rasmus Halkjær Iversen og Karin Hindø Data- og infrastrukturdage 16. og 19. september 2019

2 Formål med dagen: At få overblik over hele adgangsstyring med specielt fokus på STS Administration

3 PROGRAM 1. Intro til Adgangsstyring konceptet - Adgangsstyring for brugere - Adgangsstyring for systemer - Administration af rettigheder 2. Administrationsmodulet (STS ADM) - Ny GUI til Serviceaftaler - Pipeline - Brugerinddragelse 3. Fremadrettet for Adgangsstyring

4 INTRO TIL ADGANGSSTYRING

5 Overblik over adgangsstyring Fagsystem Brugerrettigheder Støttesystem Serviceaftale Informationer

6 Komponenter Den centrale del af Adgangsstyringen består af flere komponenter: En Context Handler for håndtering af brugeradgang: Udgør et centralt integrationspunkt og trust broker Oversætter mellem brugerroller og systemroller Husker på brugerens tilhørsforhold (kontekst) En Security Token Service for håndtering af systemadgang: Centralt integrationspunkt og trust broker Formidler adgange fra serviceaftaler Et Administrationsmodul for håndtering af tilslutning, serviceaftaler og myndighedens rolledefinitioner.

7 Adgangsstyring for brugere SAPA Bruger Log på IdP Bruger + Job funktions roller Veksler Context Handler Bruger + Brugersystem roller KSD KY Administreres i Administrations modul Myndighed Leverandør

8 4: Anmod om vekslet token Adgangsstyring for Systemer Myndighed Leverandør 0: Service Aftale Security Token Service Administrations modul 5: Vekslet token Anvendersystem 3: Webservice kald med token Anvendersystem 8: Svar på webservice kald Serviceplatformen Serviceplatform 6: Webservice kald med vekslet token 7: Svar på webservice kald Service

9 Opdeling i funktionalitet Bruger- og systemtilslutning Aftaler og rettigheder Distribution af rettighedsopsætning Brugere & roller Brugervendte Systemer Føderationssystemer (Identity Provider) Anvendersystemer (f.eks. SAPA) Serviceudbydere (f.eks. CPR) Jobfunktionsroller og rollemapning Føderationsaftaler Serviceaftaler Provisionering til Context Handler Provisionering til Serviceplatformen Provisionering til Beskedfordeleren Provisionering til Token Service

10 ADMINISTRATIONSMODULET

11 NY GUI TIL SERVICEAFTALER

12 Serviceaftaler nu It-System Serviceaftale Service Myndighed 3 Myndighed 2 Myndighed 1 Serviceaftale Service Myndighed 3 Myndighed 2 Myndighed 1 Service Myndighed 3 Myndighed 2 Myndighed 1

13 Serviceaftaler nu SAPA Serviceaftale1 Organisation Myndighed 3 Myndighed 2 Myndighed 1 Serviceaftale2 Ydelse Myndighed 3 Myndighed 2 Myndighed 1 Sag Myndighed 3 Myndighed 2 Myndighed 1

14 Overblik Myndighed 1. Hvilke organisationer har adgang til mine data 2. Hvilke systemer har adgang til mine data It-System 1. Hvilke data (services) har systemet adgang til på vegne af hvilke myndigheder 2. Hvilke anvendersystemer anvender systemets services Aftalen bliver til en tildelt rettighed, men stadig godkendt af en myndighed. Går fra mange serviceaftaler til ét sæt af rettigheder pr. system pr. myndighed.

15 Serviceaftaler på sigt - Et Anvendersystem view It-System Service 1 Rettigheder Myndighed 3 Myndighed 2 Myndighed 1 Service 2 Rettigheder Myndighed 3 Myndighed 2 Myndighed 1 Rettigheder Myndighed 3 Myndighed 2 Myndighed 1

16 Serviceaftaler på sigt - Et Anvendersystem view SAPA KLA Læs KLE Myndighed 3 Myndighed 2 Myndighed 1 S&D Se sag Myndighed 3 Myndighed 2 Myndighed 1 Opdater sag Myndighed 3 Myndighed 2 Myndighed 1

17 PIPELINE FOR STS ADMINISTRATION

18 Planlagte ændringer til Q4 Godkendte ændringer Boblere (et lille udsnit) - Robust Provisionering af Context Handler - Automatisk opdatering af status for opgaver i opgaveoversigt - Understøttelse af Serviceaftaler for SFTP-integrationer - Brug af dataafgrænsningstyper i servicesystemroller - Nye rapporter - Sletning af Brugersystemroller i STS ADM - Ændring i oprettelses flow for jobfunktionsroller - Søgekriterier skal huskes - Obligatorisk for brugerprofiler - Udstilling af dataafgrænsningstypebeskrivelse - Integration til Organisation - Integration til Klassifikation - Integration til CVR - Opdatering af Services og aftaler rapporten Nye input

19 Robust provisionering af Context Handler Formål: Sikre, at data i Context Handler altid afspejler den information, der er defineret i STS ADM. Ændringsindhold: STS Administration skal kunne læse i Context Handler og rette informationer der ikke er konsistente med STS Administrations egne informationer.

20 Automatisk opdatering af status for opgaver i opgaveoversigt Organisation- og anvendersystemcertifikater SAML metadata udløb (Brugervendt system og Identity Provider) Service- og føderationsaftaler Callback certifikater

21 Automatisk opdatering af status for opgaver i opgaveoversigt As is: Brugeren får en opgave med at opdatere SAML metadata ved certifikatudløb. Men den fjernes ikke automatisk. SAML metadata udløb (Brugervendt system og Identity Provider) To be: Efter brugeren har opdateret SAML metadata præsenteres brugeren for en dialog, hvor det er muligt enten at markere den tilhørende opgave Behandlet eller lade den være Under behandling. Vælges at ændre status, vil opgaven skifte fra at være Under behandling til Behandlet.

22 Certifikater As is: Opgaver der vedrører udløbet certifikat slettes automatisk, når certifikatet udskiftes og organisationen/it-systemet gemmes. Organisation- og anvendersystemcertifikater To be: Automatisk sletning af opgaven bliver fjernet. Brugere får mulighed for at ændre status på opgaven til Behandlet, når opgaven er løst. As is: Manuel ændring af opgavestatus. Callback certifikater As is: Opgavebeskrivelsen bliver justeret, så det står klart, at opgavens status skal ændres manuelt.

23 Service- og føderationsaftaler som det er nu Trin 1 Trin 2 Trin 3 Trin 4 Trin 5 Trin 6 Åben afventende opgave Start behandling Godkend/afvis aftale Opgavens status ændret til Under behandling 1. Åben opgaven på ny 2. Marker som udført 1. Opgavens status ændret til Behandlet 2. Opgaven flyttet til fanen Behandlede

24 Service- og føderationsaftaler som det er nu Trin 1 Trin 2

25 Service- og føderationsaftaler som det er nu Trin 3

26 Service- og føderationsaftaler som det er nu Trin 4 Trin 5

27 Service- og føderationsaftaler som det er nu Trin 6

28 Service- og føderationsaftaler to be Trin 1 Trin 2 Trin 3 Trin 4 Trin 5 Trin 6 Åben afventende opgave Start behandling Godkend/afvis aftale Opgavens status ændret til Under behandling 1. Åben opgaven på ny 2. Marker som udført 1. Opgavens status ændret til Behandlet 2. Opgaven flyttet til fanen Behandlede

29 Understøttelse af Serviceaftaler for SFTP-integrationer Formål: Anvendelsen af Serviceplatformens SFTP services skal dækkes af Serviceaftaler. Ændringen skal understøtte overholdelse af GDPR for så vidt angår Serviceplatformens integrationer, som anvender SFTPkomponenten. Ændringsindhold: Serviceaftaler på SFTP med dataafgrænsninger Provisionering af aftaler Serviceplatformens håndhævelse af serviceaftaler med dataafgrænsninger

30 Brug af dataafgrænsningstyper i servicesystemroller Formål: At muliggøre opdatering på dataafgrænsningstyper i STS ADM. Ændringsindhold: Mulighed for ændring af dataafgrænsningstype Mulighed for fjernelse af en dataafgrænsningstype fra en systemrolle Mulighed for sletning af en dataafgrænsningstype fra et it-system En slettet dataafgrænsningstype kan ikke længere anvendes, men vil dog stadigvæk optræde på eksisterende serviceaftaler og jobfunktionsroller.

31 Nye rapporter Brugersystemrollerapport Jobfunktionsrollerapport

32 Brugersystemrollerapport Kan tilgås af brugere med rollen Leverandøradministrator. Således kan brugere fra både leverandør- og myndighedsorganisationer tilgå rapporten.

33 Brugersystemrollerapport Kan tilgås af brugere med rollen Leverandøradministrator. Således kan brugere fra både leverandør- og myndighedsorganisationer tilgå rapporten.

34 Brugersystemrollerapport Kan tilgås af brugere med rollen Leverandøradministrator. Således kan brugere fra både leverandør- og myndighedsorganisationer tilgå rapporten.

35 Jobfunktionsrollerapport Kan trækkes af brugere med rollen Rolleadministrator. Således kan kun brugere fra myndighedsorganisationer tilgå denne rapport.

36 Jobfunktionsrollerapport Kan trækkes af brugere med rollen Rolleadministrator. Således kan kun brugere fra myndighedsorganisationer tilgå denne rapport.

37 Jobfunktionsrollerapport Kan trækkes af brugere med rollen Rolleadministrator. Således kan kun brugere fra myndighedsorganisationer tilgå denne rapport.

38 Sletning af brugersystemroller Mulighed for sletning af en (eller flere) brugersystemrolle(r) i et it-system uden, at brugersystemrollen først skal fjernes fra samtlige jobfunktionsroller hvor den er tilknyttet. Når en brugersystemrolle slettes, bliver den automatisk slettet fra alle jobfunktionsroller, den er knyttet til. Berørte myndigheder vil modtage en notifikation.

39 Input

40 BRUGERINDDRAGELSE

41 Arbejdsgruppe/Testkaniner/Superhelte søges Til specifikke udviklingsopgaver som vil bestå af følgende: Kravspecifikation Tests Kom med i klubben hvis Du vil have indflydelse på videreudviklingen af administrationsmodulet Du vil have mulighed for at give direkte feedback Du vil påvirke de langsigtede udviklingsmål Er du interesseret, så skriv til: KDI@kombit.dk

42 FREMADRETTET FOR ADGANGSSTYRING

43 Kommende udvidelser til CH og STS Understøttelse af NSIS niveau høj Opgradering fra OIOSAML 2.0 til OIOSAML 3.0 Opgradering fra Liberty Basic Soap Binding til OIO IDWS Binding

44 Føderationer Kommunalt system Kommunalt system Kommunalt system Regional system Regional system Kommune IdP Context Handler Regional Broker Regional system NemLog-In Nationalt system National system National system

45 Overgangsperiode - hybrid-scenarie Kommunal IdP NSIS 1.0 LoA 3 TU (krav NSIS 1.0) Context Handler LoA 3 LoA Betydelig LoA Betydelig Kommunal IdP NSIS 2.0 TU (krav NSIS 2.0) Ny og gammel LoA angivelse eksisterer parallelt. CH kan veksle nyt LoA Betydeligt til gammelt LoA 3, men ikke omvendt.

46 Tidslinje

47 Vejledninger til Adgangsstyring findes på KDI s hjemmeside her Vejledninger til Adgangstyring findes på KDI s hjemmeside her Næste ibrugtagningsworkshop kan I læse om her KOMBIT afholder ibrugtagningsworkshop den 21. oktober Læs mere her

48 Nu er der frokost Kommunernes data- og infrastrukturdag 2019 KOMBIT står klar i cafeen Næste spor starter Skab netværk og brug hinanden Hvem skal inspirere dig og hjælpe dig videre?

49 Nu er der kaffe og kage Kommunernes data- og infrastrukturdag 2019 Næste spor starter Skab netværk og brug hinanden Hvem skal inspirere dig og hjælpe dig videre?

50 Tak for at du deltog og bidrog Kommunernes data- og infrastrukturdag 2019 KOMBIT har brug for din feedback Hvad skal der være mere af? Hvad skal der være mindre af? Skal vi gøre det igen? Kig i din indbakke for link til evalueringen og link til dagens præsentationer Kontakt KOMBIT på KDI@kombit.dk