Införande av Skolfederation. Erfarenheter i Sundsvalls kommun

Transkript

1 Införande av Erfarenheter i Sundsvalls kommun

2 Innehåll 1. OM DOKUMENTET OM SKOLFEDERATION INFÖRANDE AV SKOLFEDERATION FASTSLÅ VERKSAMHETENS MÅLBILD FÖR SKOLFEDERATION Strategi kring IT-infrastruktur UTRED ANSLUTNING TILL SKOLFEDERATION I BEFINTLIG INFRASTRUKTUR UTRED KRAV PÅ ATTRIBUT Inget behov av utökade attribut UTRED OM VI KAN UPPFYLLA VERKSAMHETENS KRAV PÅ ATTRIBUT UTRED HUR VI FYLLER ATTRIBUT I SKOLFEDERATION MED KORREKT INFORMATION FASTSTÄLL OCH INFÖR TEKNISK LÖSNING INLOGGNING VIA SKOLFEDERATION UNSOLICITED RESPONSE Nackdelen med Unsolicited response SKOLFEDERATIONENS ANVISNINGSTJÄNST/DISCOVERY SERVICE Nackdelar med anvisningstjänst/discover service DIREKTLÄNKAR TILL TJÄNSTELEVERANTÖR SAMMANFATTNING OCH REKOMMENDATION... 9

3 1. Om dokumentet I detta dokument beskrivs Sundsvalls kommuns erfarenheter kring det tekniska införandet av i kommunens IT-infrastruktur. Dokumentationen beskriver Sundsvalls kommuns resa kring under tiden september 2013-februari Om tillhandahåller en gemensam inloggningstjänst som gör digitala tjänster och läromedel åtkomstbara för elever och lärare inom skolverksamhet. Målet med är att en elev eller lärare ska kunna komma åt allt material, oavsett leverantör, genom en och samma inloggning. Läs mer om på 3. Införande av Sundsvalls kommuns införande av kan sammanfattas i form av en checklista, nedan följer checklistan och i efterföljande punkter beskrivs varje punkt mer ingående. 1. Fastslå verksamhetens målbild för Vad vill verksamheten uppnå med hjälp av? 2. Utred anslutning till i befintlig infrastruktur Har kommunen tekniskt stöd på plats för att ansluta till eller krävs det införande/upphandling av teknisk lösning? 3. Utred krav på attribut Vilka attribut i måste vi använda för att uppfylla verksamhetens målbild kring? 4. Utred om vi kan uppfylla verksamhetens krav på attribut Kan vi fylla de attribut som krävs med korrekt information? Finns rätt informationsmängder i rätt kvalitet för att fylla nödvändiga attribut? 5. Utred hur vi fyller attribut i med korrekt information Om informationsmängderna som krävs för attributen finns, har vi idag tekniskt stöd att fylla attributen vid inloggning via med korrekt informationsmängd? 6. Fastställ och inför teknisk lösning Fastställ den tekniska lösningen för anslutning till och inför den i praktiken. 3.1 Fastslå verksamhetens målbild för Sundsvalls kommun har redan idag en lösning där samtliga elever och lärare kan logga in mot skolans verksamhetssystem från vilken internetansluten dator som helst via Eleverna och lärarna använder samma inloggning på som de gör på sin dator och exempelvis e- post, de ska inte behöva ha koll på flera inloggningar för detta. Det finns dock ett problem när skolan köper in digitala läromedel från externa leverantörer, då får ofta eleven och läraren en egen kod att logga in med som de i bästa fall i slutändan kan knyta till ett konto på t ex Facebook för att förenkla inloggningen. Denna lösning tar mycket tid att administrera och är frustrerande för både elever och lärare, ett problem som kan eskalera ju mer digitala läromedel används.

4 Därför gick Sundsvalls kommun in i med målbilden att den inloggning som eleverna och lärarna idag använder på sin dator eller via ska naturligtvis även gå att använda för att komma åt digitala läromedel. En inloggning för allt. Kommunen ser en stor potential i att elever och lärare i framtiden endast behöver ha koll på en enda inloggning, oavsett vad de ska använda för tjänster inom sin utbildning. En viktig del i kommunens målbild är att anslutningen till ska vara hållbar över tid och att digitala tjänster ska kunna tilldelas på kurs-, klass- samt rollnivå och inte enbart individnivå. Syftet med detta är att minimera administration på individnivå Strategi kring IT-infrastruktur Utöver kommunens målbild med har vi en strategi kring hur vi designar vår ITinfrastruktur som lösningen ska följa. Det innebär att anslutningen till ska vara: Flexibel Kommunen måste kunna växa och förändras i infrastrukturen, både tekniskt och verksamhetsmässigt. Modulär Infrastrukturen ska vara modulär, där varje del ska vara utbytbar. Information ska vara frånkopplat från system. 3.2 Utred anslutning till i befintlig infrastruktur Sundsvalls kommun använder sig av MobilityGuard ( som säkerhetslösning där samtliga elever och lärare redan idag kan logga in och nå skolans interna verksamhetssystem. MobilityGuard har stöd för SAML 2.0 och kommunen agerar redan Identity Provider via MobilityGuard i andra federationer. Utöver att agera IDP via MobilityGuard har kommunen tidigare erfarenhet av SAML 2.0 genom att kommunen agerar Service Provider inom ett par e-tjänster som används av flera externa parter (andra kommuner och vårdgivare inom vården). Vi involverade MobilityGuard i arbetet och verifierade att de har stöd för. 3.3 Utred krav på attribut I kommunens målbild fastslås det att anslutningen till ska vara hållbar över tid och att digitala tjänster ska kunna tilldelas på kurs-, klass- samt rollnivå och inte enbart individnivå. För att tjänsteleverantörer ska kunna tilldela lärresurser på kurs-, klass- och rollnivå krävs användning av attribut som kopplar till dessa informationsmängder. Vi kunde konstatera att följande attribut måste användas för att uppnå målbilden: noreduorgunituniqueidentifier (SCB kod för skolenhet) educourseoffering (Kursgrupper) educoursemember (Kursgrupper + Roll) edupersonaffiliation (Roll) Utöver dessa attribut konstaterade vi att vi mest troligt kommer att behöva använda samtliga övriga attribut inom Bas och Standard.

5 3.3.1 Inget behov av utökade attribut Vi konstaterade även under arbetet att inget av de utökade attributen i krävdes då Bas och Standard innehöll tillräckligt bra attribut för att kunna styra även på individnivå. Såsom unik identifierare och e-postadress. 3.4 Utred om vi kan uppfylla verksamhetens krav på attribut Vi började med att ladda hem attributdokumentationen via därefter granskade vi vilken information som krävdes för att uppfylla attributen. Därefter utredde vi vart denna information lagras idag, vart uppstår och administreras informationen för attributen? Det vi kom fram till var: Attribut kopplade till utbildningen fanns i kommunens skoladministrativa system IST Extens Attribut kopplade till personen/kontot fanns i kommunens centrala Metakatalog Uppgifter kopplat till utbildning Uppgifter kopplat till person IST Extens Årskurs Klass Kurs Skola Roll Metakatalog Kommun E-post Förnamn Efternamn Fullständigt namn Adress Ort Personnummer Födelsedatum Kön Vårdnadshavare Utefter detta sammanställde vi en lista där vi gick igenom vilka attribut vi faktiskt kunde fylla med korrekt information, vilka attribut har vi möjlighet att använda i? I utredningen kom vi fram till att vi har möjlighet att fylla samtliga attribut genom information både i Extens och Metakatalog. Men att vissa attribut krävde en del arbete innan de fanns på plats. 3.5 Utred hur vi fyller attribut i med korrekt information För att det ska vara en hållbar lösning över tid konstaterade vi att vi måste se till att samtliga attribut fanns i Metakatalogen, vi beslutade att vi inte bör integrera vår anslutning av direkt till Extens då detta skulle innebära ett mycket starkt beroende till den produkten. Samt att vi ändå var tvungen att ha kvar även kopplingen till Metakatalogen då stor del av informationen som krävdes även fanns där. Vi konstaterade även att informationen i attributen måste uppdateras löpande över tid, helt automatiserat. Detta för att inte utöka de administrativa kraven på verksamheten, ordinarie rutiner i det skoladministrativa ska gälla. Exempelvis när en elev byter kurs eller börjar en ny kurs ska få tillgång till de nya attributen utan att involvera IT-personal. Det ska räcka med de ordinarie arbetsprocesser och rutiner som finns inom skolverksamheten för att ska få aktuell information om eleven. Detta stöd hade vi redan i kommunens Metakatalog, där bland annat skolans administrativa system Extens redan var integrerat och ansvarade för vissa informationsmängder.

6 Det vi däremot saknade i Metakatalogen var vissa av attributens informationsmängder, dessa fanns endast i Extens. Vi valde därför att utöka den befintliga integrationen mellan Extens och Metakatalogen, IST tillförde de informationsmängder som saknades till den export som sker till kommunens metakatalog så att metakatalogen innehöll all information som krävs för samtliga attribut i. Uppgifter kopplat till utbildning Uppgifter kopplat till person IST Extens Årskurs Klass Kurs Skola Roll Metakatalog Kommun E-post Förnamn Efternamn Fullständigt namn Adress Ort Personnummer Födelsedatum Kön Vårdnadshavare 3.6 Fastställ och inför teknisk lösning Vid detta skede hade vi redan fastställt att: MobilityGuard ska användas för anslutning till Metakatalogen ska användas som informationskälla för attribut i Detta resulterade i följande slutliga lösning där Extens, Skatteverket och Heroma (lönesystem) är de primära källorna för informationen till de attribut som krävs för en fullskalig användning av. Informationen flyttas till Metakatalogen för central lagring av all information på en gemensam plats, där all information relateras till varje individ (elev och lärare). MobilityGuard autentiserar användare vid inloggning mot Active Directory och efter godkänd inloggning fylls attributen för användare direkt från Metakatalogen. Administration Extens Skatteverket Metakatalog MobilityGuard Metadata Lönesystem Active Directory

7 4. Inloggning via Under införandet skedde en hel del tester av inloggningsvarianter till Gleerups och Studentlitteraturs tjänster via. En utmaning som vi tidigt stötte på var HUR de digitala tjänsterna skulle nås. Det enda vi hade klart för oss var att verksamheten ville kunna länka direkt till specifika böcker och sidor från exempelvis e-learningsystem såsom IT s Learning. Vi började med att titta på två lösningar: Unsolicited response (IDP initierad inloggning) s discovery service/anvisningstjänst (SP initierade inloggning) 4.1 Unsolicited response Unsolicited response innebar att kommunen själva genererade/skapade länkar till tjänsteleverantören, där länkarna pekar direkt till kommunens inloggningslösning (MobilityGuard) men med en parameter (RelayState) som innehöll URL hos tjänsteleverantör. När sedan en användare klickade på länken skickas denna direkt till MobilityGuard och efter inloggning där skickades användaren till den URL som stod i RelayState. Gleerups Studentlitteratur Elever och Lärare Anvisningstjänst Metadata MobilityGuard Med denna lösning kunde kommunen lägga länkar vart som helst som pekade till en specifik bok eller sida i bok Nackdelen med Unsolicited response Under tester med unsolicited response-länkar uppkom ett problem med dess komplexitet. Att skriva en sådan länk var omöjlig för gemene man, vi testade att ta fram en webbapplikation som genererade länken för användaren men även då var det för omständigt. Såhär såg en länk ut: 2Felegitimation2.inloggning.se%252Fsimplesaml%252Fmodule.php%252Fsaml%252Fsp%252Fmeta data.php%252fstudentlitteratur På grund av länkarnas komplexitet avslutade vi tester med denna typ av länkar, det var för komplext/svårt för användare att använda.

8 4.2 ens anvisningstjänst/discovery service Efter misslyckade tester med unsolicited response-länkar tittade vi på ens anvisningstjänst (ds.skolfederation.se). Den bygger istället på tanken att en användare först surfar till en tjänsteleverantör (t ex Gleerups eller Studentlitteratur) och därifrån väljer sin kommun via ens anvisningstjänst och loggar in via denna. Elever och Lärare Gleerups Studentlitteratur Anvisningstjänst Metadata MobilityGuard Nackdelar med anvisningstjänst/discover service Även anvisningstjänsten har sina nackdelar, den kräver att användaren surfar till specifik tjänsteleverantör och loggar in där samt väljer bok efter inloggning. Det blir många steg för en elev eller lärare innan denne kan börja ta del av boken. Samt att denna lösning inte uppfyller verksamhetens krav på att kunna länka direkt till specifika böcker och sidor från andra IT-stöd. 4.3 Direktlänkar till tjänsteleverantör Den väg som slutligen visade sig vara den enklaste att jobba med är en variant av båda, men där tjänsteleverantören bygger in stöd för att hantera direktlänkar och koppla autentisering via en egen metadatatjänst eller via anvisningstjänsten. För att det ska vara enkelt för elever och lärare att skicka länkar ska det räcka med att kunna kopiera en direktlänk till en bok och sida direkt via tjänsteleverantörens webbtjänst eller genom att kopiera URL från adressfältet i webbläsaren. På detta sätt får eleven/läraren enkla webblänkar som kan se ut som nedan: Vid användning av sådana länkar är det dock viktigt för tjänsteleverantören att hantera inloggning på ett bra sätt när någon kommer in via en direktlänk. Är inte användaren som kommer via länken autentiserad ska användaren antingen skickas till den centrala anvisningstjänsten eller till användarens inloggningslösning inom sin kommun. Efter godkänd inloggning ska användaren skickas vidare till korrekt bok och sida som stod i länken.

9 Skulle användaren redan vara inloggad i ska tjänsteleverantören utföra samma procedur som ovan men då kommer användaren att bli automatiskt inloggad så för denne upplevs det som att denne blir direkt inloggad hos tjänsteleverantören. 5. Sammanfattning och rekommendation Utmaningen med ligger inte i den tekniska anslutningen till federation, utan det ligger i uppfyllnaden av attribut. Det är den främsta erfarenhet som Sundsvalls kommun kan dra av införandet av. Att ansluta till är idag ingen större teknisk utmaning med säkerhetsplattformar såsom MobilityGuard, Portwise, Svensk e-identitet etc. Samtliga dessa erbjuder anslutning till som standardlösningar. Det är även ingen större match att ansluta till och bara använda enkla attribut kopplat till en individ, dessa attribut finns ofta redan i det AD som ändå används för att autentisera eleven/läraren och kan således lätt skickas med i federationen. Utmaningen ligger i de mer komplexa attribut kring kursgrupper, roller etc. Dessa attribut finns ofta endast i det skoladministrativa systemet, vilket gör att den säkerhetslösning som ansluter kommunen till måste hämta attribut från flera platser. I Sundsvalls kommun såg vi det som en självklarhet att använda den centrala Metakatalogen vars grunduppgift är att samla information kopplat till personer med kundrelation till Sundsvalls kommun på en central plats för att kunna återanvända informationen på flera sätt. Med metakatalogen löser vi informationstillgången till attributen och det blir en hållbar lösning över tid där informationsuppdateringen från det skoladministrativa systemet sker per automatik. Elever och Lärare Administration Extens Gleerups Studentlitteratur Anvisningstjänst Metadata Skatteverket Lönesystem Metakatalog MobilityGuard Active Directory Kring inloggningar är det viktigt att välja lösningar från tjänsteleverantörer som erbjuder enkla sätt att distribuera länkar till elever och lärare via olika kommunikationskanaler. Om en tjänsteleverantör inte har stöd för att leverera direktlänkar kommer det innebära många extra klick för elever och lärare för att hitta till rätt material i undervisningen.