Behörigheter och roller. Ladok-inkubatordagar 2 april 2014 BTH, Karlskrona Ola Ljungkrona

Transkript

1 Behörigheter och roller Ladok-inkubatordagar 2 april 2014 BTH, Karlskrona Ola Ljungkrona 1

2 Jag Ola Ljungkrona Chalmers verksamhetsarkitekt, Business Analyst OPÄ Infrastruktur och teknik Utredningar Attestering och signering Bevarande Expert ISP och examenskrav (mönsterdesign) 2

3 Två delar Behörighetshantering för GUI-användare Behörighetshantering för integrerade system 3

4 Begrepp inom ramen för behörighetshantering Systemfunktion Den lägsta tekniska behörighetsnivån. Varje systemfunktion har en namnsatt unik identitet och är definierad i kod och därmed ej konfigurerbar. Dessa systemfunktioner är i sin tur grupperade i systemaktiviteter Systemaktivitet En systemaktivitet innehåller de systemfunktioner som krävs för att en användare ska kunna utföra en minsta aktivitet (t ex registrera en student på ett kurstillfälle). Systemaktiviteter konfigureras på nationell bas och är därmed gemensamma för alla lärosäten. Behörighetsprofil Behörighetsprofiler definieras på lärosätesnivå (d v s varje lärosäte har sin egen uppsättning behörighetsprofiler). Dessa kopplas till de systemaktiviteter som motsvarar önskad behörighet för behörighetsprofilen Användarbehörighet En användarbehörighet är en kombination av en behörighetsprofil och en organisation kopplad till en användare och ger den slutliga behörigheten för användaren. En användare kan ha flera olika användarbehörigheter 4

5 Begrepp - fortsättning Organisation Organisationen beskriven som lärosätet själv ser den. Beställning Den aktivitet användaren måste göra för att få en behörighet 5

6 Behörighetsmodell 6

7 Vilken systemfunktion finns i vilken systemaktivitet? På följande länk finns de aktuella mappningarna mellan: Behörighetsprofil -> Systemaktivitet -> Systemfunktion Systemaktivitet -> Systemfunktion Systemfunktion -> Systemaktivitet Exempel Systemaktivitet -> Systemfunktion: Användarbehörighet - behörighet att aktivera, inaktivera eller markera som obehandlad Aktivera användarbehörighet Inaktivera användarbehörighet Obehandla användarbehörighet 7

8 Flödet just nu Användaren beställer behörigheter via Mina inställningar Lokal administratör godkänner beställningen Lokal administratör kan inaktivera beställning Lokal administratör kan ta bort, ändra status 8

9 Vilka begränsningar finns nu? Man måste beställa behörighet Detta görs under mina inställningar Detta sätt kommer inte vara aktuellt i slutprodukten. Vi tittar på hur skall hantera till Leverans 1 9

10 Flöde i Ladok på sikt Lokal administratör lägger in användare Lokal administratör kan sätta en behörighet direkt utan beställning Lokal administratör kan ta bort, ändra status: inaktiv, obehandlad Alternativt görs detta ett eget user provisioning -system via REST 10

11 Behörighetshantering för integrerade system Egen portal/system används REST / Atom feeds som gränssnitt mot Ladok3 Ömsesidig autentisering, genom att även klienten använder ett eget certifikat 11

12 Behörighetshantering för integrerade system konceptuell bild Systembehörighet - lokal användarbehörighet Transparent användarbehörighet mellan Ladok - lärosäte 12

13 Systembehörighet - lokal användarbehörighet Lärosätet väljer att låta det lokala systemet hantera behörigheten, varvid systemet agerar användare mot Ladok3. Systemet tilldelas lämplig behörighet mot Ladok och kommer bara åt det egna lärosätets information och tjänster. 13

14 Transparent användarbehörighet mellan Ladok - lärosäte Ytterligare säkerhetslösningar där användarens identitet vidarebefordras från t.ex. SAML-inloggningen eller via OAuth utreds till Ladok3 för behörighetshantering i Ladok3 14

15 Organisation just nu Det går att uttrycka en rak hierarki klassiskt organisationsschema Det går att uttrycka samarbeten inom lärosätet men det används inte Det går att uttrycka centrum inom lärosäte men det används inte 15

16 Framtida önskemål inte spikat Arv inom organisation En användare som har rättigheter på fakultetsnivå kommer att ha rättigheter på alla underliggande organisationsenheter, om så önskas Explicit behörighet på exempelvis kurs Att det skall vara möjligt att ge behörighet på en specifik kurs Kunna uttrycka matrisorganisationer Exempelvis en parallell utbildningsorganisation Samarbeten inom ett lärosäte 16

17 Frågor? 17