Referensarkitektur för Identitet och åtkomst 2017-09-28 Per Mützell, Inera
Referensarkitektur för Identitet och åtkomst (IAM) En översikt - varför, vad och hur? Vilka möjligheter skapar vi? Hur påverkas IT-infrastrukturen? Vad har vi idag och imorgon? Vem behöver göra vad?
Everything should be made as simple as possible, but no simpler. Referensarkitektur för Identitet & åtkomst Varför?
Drivkrafter! Singelinloggning snabb, enkel och säker tillgång till information Nya inloggningsmetoder Mobila arbetssätt Kvalitetssäkring av e-identiteter Standardisering minska inlåsning och kostnader Säker samverkan över organisationsgränser
Genomförandet Samverkansprojekt drivet av Inera med representanter från regioner och landsting Förstudie nuläge, problem, drivkrafter (2015/16) Referensarkitektur Identitet & åtkomst (ht -2016) Kravunderlag för upphandling och utveckling av IT-stöd (ht -2016) Förankring Remittering & justering Beslut (2017) Resultatet förvaltas av Inera Arkitektur & Regelverk www.inera.se/riv-ta
Process för framtagande och förankring Förstudie 2015/16 Landstings/regionrepresentanter 17 lt/regioner, utsedda via SLIT - Strategi, Arkitektur, Klient, Katalog, Identitet och åtkomstshantering, SSO-projekt, SITHS osv. Avstämning med leverantörer, IAM och ehälsolösningar Projekt ht2016 Inera: Projektledning, Teknik/arkitektur & redaktör Arbetsgrupp IAM arkitektur, representation kundgrupperingar IAM Referensarkitektur IAM Kravunderlag
Process för framtagande och förankring Remiss & förankring 2017 Beställare, SLIT-gruppen, styrgrupp Landstings & regionrepresentanter inom IAM Swedish Medtech och Almegagruppen Inera Arkitektur & Regelverk SKL, Avd för digitalisering Avstämning mot E-identitet för Offentlig sektor Efos Remiss Inera Arkitekturråd Justering & fastställande aug-okt 2017 Överlämning Inera Arkitektur & Regelverk Slutjusteringar och vidare hantering inkomna synpunkter Utskick Rev A Inera Programråd Inera fastställer av Rev A
Vilka problem löser referensarkitekturen? Egna varianter av inloggning & behörighet per system Direktintegration med tekniken Ett sätt att logga in passar inte alla verksamheter à Svårt/dyrt att realisera säkerhet, singelinloggning osv. Dålig förvaltningsbarhet, svårt att förändra systemen
En smartare och mer skalbar arkitektur Säkerhetstekniken läggs i gemensam IT-infrastruktur Standardiserad integration (SAML2, OpenID Connect) Möjliggör ny teknik för inloggning, flerfaktorsautentisering, mobila bärare, biometri Underlättar att kvalitetssäkra identitetsdata
Referensarkitektur = Produktoberoende arkitekturmönster för design av lösningar inom visst område men vad består den av?
Referensarkitektur Identitet och åtkomst Ø Verksamhetsvy Singelinloggning, säker åtkomst till information, kvalitetssäkrad användardata, regulatoriska krav, förvaltningsbarhet Medarbetare invånare brukare Ø Styrande principer Federativ inloggning, lös koppling, öppna globala standarder, plattformsneutralitet, gemensamma tillitsramverk Ø Informationssystemsvy Tjänster i samverkan, vilka deltjänster behövs? Ø Teknisk vy Protokoll- och standardval
Teknisk vy Standarder & protokoll SOAP/XML HTTP/JSON/REST Globala standarder Infrastrukturen ger stöd för olika teknik i e-tjänster, appar osv. Revidering ca 1gg/år
Referensarkitekturen - några delmönster
Singelinloggning - federativ inloggning SSO till webb rik klient tunn klient nativa appar
Lägg till autentiseringmetoderna i infrastrukturen! Anpassa autentisering efter behov och krav Skydda e- tjänsterna mot ändringar Möjliggör mobil åtkomst!
Separata kanaler för information och säkerhet Logiskt skilda kanaler - på samma eller olika enheter Out-of-bound authentication Ökad flexibilitet - minskat teknikberoende
Självservice med ärvd legitimering mobila bärare Aktiveringskod
Identitets- och behörighetsfederation Federation Medlemmar Tillitsramverk Attribut Godkännandeprocess Ge åtkomst till externa aktörer - utan administration av externa användare
Säker granulär åtkomst till information via api Granulär åtkomst till information för behöriga användare
Hur kan vi använda referensarkitekturen? Ø Orienterande och normerande karta över området Ø Lösningsmönster för säkert informationsutbyte Ø Underlag vid anskaffning, vidareutveckling och utformning av üe-tjänster üit-infrastruktur gemensamma och lokala! www.inera.se/riv-ta
Hur mappar arkitekturen mot vad som finns idag?
Katalogtjänst HSA Lokala kataloger / behörighetsadministration Regelverks- Provisioneringstjänster Federation Medlemmar Tillitsramverk E-tjänster Attribut Åtkomstintygsutfärdare Godkännandeprocess API Säkerhet Identititetsdatalager Identifieringstjänst Identity Provider Identitets- och behörighetsadministration Identitetsintygsutfärdare Stödtjänster Samtycke Autentiseringstjänster Inloggning Spärr Logg Provisionering E-identitetsutfärdare e-id Personuppgifter Person Utfärdande
SITHS - fast snart Efos E-Identitet för Offentlig sektor Regelverkstjänst Lokala autentiseringstjänster Federation Medlemmar Tillitsramverk E-tjänster Attribut Åtkomstintygsutfärdare Godkännandeprocess API Säkerhet Identititetsdatalager Identifieringstjänst Identity Provider Identitets- och behörighetsadministration Identitetsintygsutfärdare Stödtjänster Samtycke Autentiseringstjänster Inloggning Spärr Logg Provisionering E-identitetsutfärdare e-id Personuppgifter Person Utfärdande
Inera Säkerhetstjänster Federation Medlemmar Tillitsramverk Attribut Godkännandeprocess Lokala/regionala Regelverkstjänst realiseringar/produkter Åtkomstintygsutfärdare E-tjänster API Säkerhet Identititetsdatalager Identifieringstjänst Identity Provider Identitets- och behörighetsadministration Identitetsintygsutfärdare Stödtjänster Samtycke Autentiseringstjänster Inloggning Spärr Logg Provisionering E-identitetsutfärdare e-id Personuppgifter Person Utfärdande
Inera Säkerhetstjänster - Samtycke - Spärr - Logg Regelverkstjänst Lokala realiseringar/instanser Federation Medlemmar Tillitsramverk E-tjänster Attribut Åtkomstintygsutfärdare Godkännandeprocess API Säkerhet Identititetsdatalager Identifieringstjänst Identity Provider Identitets- och behörighetsadministration Identitetsintygsutfärdare Stödtjänster Samtycke Autentiseringstjänster Inloggning Spärr Logg Provisionering E-identitetsutfärdare e-id Personuppgifter Person Utfärdande
Sambi - Identitets- och behörighetsfederation för vård och omsorg Regelverkstjänst Regionala federationer Federation Medlemmar Tillitsramverk E-tjänster Attribut Åtkomstintygsutfärdare Godkännandeprocess API Säkerhet Identititetsdatalager Identifieringstjänst Identity Provider Identitets- och behörighetsadministration Identitetsintygsutfärdare Stödtjänster Samtycke Autentiseringstjänster Inloggning Spärr Logg Provisionering E-identitetsutfärdare e-id Personuppgifter Person Utfärdande
Personuppgiftstjänst - Person - ReservID - Kontaktuppgifter Regelverkstjänst Federation Medlemmar Tillitsramverk E-tjänster Attribut Åtkomstintygsutfärdare Godkännandeprocess API Säkerhet Identititetsdatalager Identifieringstjänst Identity Provider Identitets- och behörighetsadministration Identitetsintygsutfärdare Stödtjänster Samtycke Autentiseringstjänster Inloggning Spärr Logg Provisionering E-identitetsutfärdare e-id Personuppgifter Person Utfärdande
Hur påverkas Ineras infrastruktur och e-tjänster?
Stöd för standarder: OIDC och OAuth2 Utfärda ID-intyg och Åtkomstintyg
Ny autentiseringstjänst Mobilt e-id såväl som kortbaserat med Efos Ny utfärdarportal
Administrativa uppdrag Tilldela behörigheter i administrativa processer och e-tjänster
Vad behöver göras på hemmaplan för att realisera nyttan?
Lokalt och regionalt vad behöver göras? Etablera IT-infrastrukturen prioriterade förmågor Befintlig lösning eller anskaffning, produkt eller tjänsteleverans Samutnyttja gemensamma tjänster eller egna tjänster Anpassa och anslut till infrastrukturtjänsterna Kravställning vidareutveckling upphandling Anslutning federation organisation & IT-system Samverkansbehov, t.ex. kommuner landsting nationellt, men även myndighetskrav kan styra
Tack! Frågor? Mer information: Identitet och åtkomsthantering - inera.se