Versions Compared

Key

  • This line was added.
  • This line was removed.
  • Formatting was changed.

Titel

H2M identificatie en authenticatie

Status

Status
colourPurple
titleIn ontwikkeling
Status
colourGreen
titleROSA-Architectuurscan
Status
titleBEsluitvorming
Status
titlein beheer

Versie

0.0.67

Datum

5 April 24 Mei 2024

Auteur

Architectenraad Edu-V

Acties

Werkgroep Doorgifte identiteiten is nog bezig met ontwikkeling van:

  • [1] Afspraken maken over uniformeren werking federatieve authenticatiedienstverleners

  • [2] Afspraken maken over de wijze waarop attributen gedeeld worden

  • [3] Afspraken maken over aanvullen van profiel na inloggen

  • [4] Afspraken maken over betrouwbaarheidsniveaus van identiteitsverklaringen

Hierbij wordt intensief samengewerkt met de Werkgroep Toegang van Edustandaard.
  • Geen openstaande acties

Op deze pagina is het Human-to-Machine (H2M) kader uitgewerkt voor het idenficeren en authenticeren van Onderwijsdeelnemers en -medewerkers in de Edu-V praktijksituaties. In de diverse praktijksituaties vervullen deze eindgebruikers cruciale activiteiten om een scenario uit te voeren. Zodra een eindgebruiker deze rol vervult in een scenario, dan is aangegeven welke eisen er gesteld worden aan de identificatie en authenticatie.

...

Federatieve toegang is één van de toepassingspatronen binnen de Architectuurkaders toegang en digitale identiteit onderwijs, die onder beheer zijn in de Werkgroep Toegang van Edustandaard. Meer informatie over de werking van dit toepassingspatroon kan daar gevonden worden.

Panel
panelIconIdatlassian-note
panelIcon:note:
bgColor#FFEBE6

[1] Werkgroep: afspraken maken over uniformeren werking federatieve authenticatiedienstverleners

  • Analyseren van de huidige federatieve authenticatiedienstverleners Basispoort, Entree en SURFConext en bepalen van verschillen en overeenkomsten in functionele en technische implementatie.

  • De verschillenanalyse van de federatieve authenticatiedienstverleners leidt tot een advies voor het al dan niet normaliseren van de functionele en technische oplossing om het aansluiten bij deze voorzieningen voor Leveranciers laagdrempeliger te maken.

Accountgegevens in de Identiteitsverklaring

...

Identiteitsverklaring

Via een toegangsketen (van Identity Providers met al dan niet een Federatieve hub) kan een Dienst met SSO een identiteitsverklaring verkrijgen van een Onderwijsdeelnemer of -medewerker. Een identiteitsverklaring is een geverifieerde digitale identiteit met een minimale set aan attributen, eventueel aangevuld met vooraf overeengekomen aanvullende attributen.

In deze identititeitsverklaring wordt tenminste de volgende gegevens attributen opgenomen:

  • Primaire identifier Persoon

    • Secundaire identifier Persoon (verplicht indien primaire identifier niet bekend is)

  • Primaire identifier Onderwijsorganisatie

    • Secundaire identifier Onderwijsorganisatie (verplicht indien primaire identifier niet bekend is)

  • Aanduiding of de Persoon een onderwijsdeelnemer, onderwijsmedewerker of betrokkene is.

Info

Sectorspecifieke attributen zijn mogelijk

In aanvulling op de hierboven genoemde gegevens in de identiteitsverklaring zijn er sectorspecifieke attributen die vanuit de federatieve authentiatiedientsverlener gedeeld kunnen worden. Zo wordt in het primair onderwijs bijvoorbeeld aangegeven of de Persoon thuis of op school is ingelogd.

Aandachtspunt bij het delen van (sector)specifieke attributen is om de juiste consent op het juiste moment te hebben van de partijen die de gegevens moeten delen (de onderwijsinstellingen). 

Panel
panelIconIdatlassian-note
panelIcon:note:
bgColor#FFEBE6

[2] Werkgroep: afspraken maken over de wijze waarop attributen gedeeld worden

De federatieve authenticatiedienstverleners delen allen op een verschillende wijze attributen als onderdeel van de identiteitsverklaring. Tevens is er binnen Edu-K een afspraak gemaakt in het attributenbeleid. Binnen de Entree federatie worden er standaard attributen gedeeld en kunnen aanvullende attributen aangevraagd worden.

Het is zinvol om deze werkwijzen te evalueren en toe te werken naar een eenduidige werking waarbij dataminimalisatie en doelbinding centraal staan. Hierbij kan bijvoorbeeld gedacht worden aan het delen van een minimale set en het uitvoeren van callback op de attributen die van belang zijn voor de situatie.

Hierbij is een belangrijk aandachtspunt om de contexten goed te definiëren en ook een afweging te maken welke andere personen federatief geïdentificeerd en geauthenticeerd dienen te worden. Gedacht wordt onder meer aan ouders/verzorgens en afspraken over gast accounts.

Dit vraagstuk is breed van toepassing in alle onderwijssectoren. Vandaar dat de werkgroep Doorgifte identiteiten dit vraagstuk in samenwerking met de Werkgroep Toegang van Edustandaard zal gaan uitwerken.

...

panelIconIdatlassian-note
panelIcon:note:
bgColor#FFEBE6

...

In de huidige praktijk vragen steeds meer Leveranciers nadat een Persoon is ingelogd om zijn profiel compleet te maken met aanvullende informatie zoals:

  • Koppelen van de school

  • Invullen van het e-mailadres

  • Aanvullen van persoonsgegevens

Deze werkwijze leidt ertoe dat er redundante data (bijvoorbeeld persoon e-mailadres in plaats van e-mailadres van de onderwijsorganisatie) ontstaat. Dit kan ook opgelost worden door het kunnen verkrijgen van gegevens via een koppeling met het Administratiesysteem onderwijsdeelnemers (via de /wiki/spaces/AFSPRAKENS/pages/21659714) of de attributen uit de federatieve authenticatiedienstverlener.

Betrouwbaarheidsniveaus voor identificatie en authenticatie

...

Eindgebruiker

Betrouwbaarheidsniveau identiteitsverklaring

Toepassingspatroon identificatie en authenticatie

Onderwijsdeelnemer

Laag

Federatieve toegang

Onderwijsmedewerker

Laag

Federatieve toegang

Gemiddeld/Hoog

Federatieve toegang

  • Tweefactorauthenticatie

Dit patroon is afhankelijk van de onderwijssector al meer of minder de praktijk. In het middelbaar beroepsonderwijs is tweefactorauthenticatie steeds meer de norm.

Applicatiebeheerder

Gemiddeld/Hoog

Federatieve toegang

  • Rol: Applicatiebeheerder

  • Multifactorauthenticatie

Dit patroon is van toepassing voor Regie op gegevens tussen Leveranciers ten behoeve van een Onderwijsaanbieder.

Onderwijsbestuurder

Gemiddeld/Hoog

eHerkenning, tekenbevoegd

Dit patroon is van toepassing voor het ondertekenen van een Verwerkersovereenkomst dat leidt tot een mandaat in het mandatenregister voor een onderwijsbestuur.

...

...

Werkgroep: Afspraken maken over betrouwbaarheidsniveaus substantieel voor Onderwijs

Op basis van eIDAS en eHerkenning uitwerken van een onderwijsprofiel voor de identificatie en authenticatie van personen met een betrouwbaarheidsniveau Substantieel.

Dit vraagstuk is breed van toepassing in alle onderwijssectoren. Vandaar dat de werkgroep Doorgifte identiteiten dit vraagstuk in samenwerking met de Werkgroep Uniforme Beveiligingsvoorschriften en Toegang van Edustandaard zal gaan uitwerken.

Identiteitsverklaring als input voor autorisatie door Dienst met SSO

De afspraken over identificatie en authenticatie dragen door een betrouwbare identiteitsverklaring met accountgegevens bij aan een correcte autorisatie, maar schrijven niet voor op welke wijze de autorisatie plaatsvindt. Leveranciers beschikken in hun eigen Leer- en onderwijsmiddelen over adequaat rollen en rechtenbeheer waar de autorisatie plaats kan vinden. De daadwerkelijke autorisatie valt hiermee buiten de scope van het afsprakenstelsel. De identiteitsverklaring bevat wel voldoende informatie om als Leverancier in een applicatie deze autorisatiebeslissing ten aanzien van (het betrouwbaarheidsniveau van) de digitale identiteit te maken.

...

...

Deze uitwerking is gebaseerd op basis van de volgende stappen:

  • 0.0.1: Verzamelen van de relevante onderwerpen voor H2M identificatie

  • 0.0.2: Draft uitwerking van H2M kader voor scope van de POCs, bestaande uit:

    • Conceptueel model: toepassingspatroon federatieve toegang

    • Digitale identiteit Onderwijsdeelnemer en –medewerker

    • Digitale identiteit Onderwijsorganisaties

    • Betrouwbaarheidsniveaus voor identificatie en authenticatie

    • Buiten scope: Autorisatie

  • 0.0.3: Na feedback van Architectenraad Edu-V is de inhoud over identiteiten verplaatst naar een separate pagina. Tevens is feedback op de inhoud van de Architectenraad Edu-V verwerkt in deze iteratie.

    • POC Scope voor betrouwbaarheidsniveaus bijgesteld naar 2FA voor alleen de applicatiebeheerder.

    • Passage over attributenbeleid aangepast naar huidige praktijk bij de federatieve authenticatiedienstverleners.

    • Ketens van rollen Beheerder identiteiten en Authenticatiedienstverleners expliciet gemaakt.

    • De onderwerpen voor de werkgroep Doorgifte identiteiten geëxpliciteerd.

  • 0.0.4: POC Scope verwijderd. Definities van referentiecomponenten aangepast. Plaatje over Federatieve toegang geactualiseerd op basis van ROSA wijziging. Link naar de pagina van ROSA ook geactualiseerd.

  • 0.0.5: ARP formulier gewijzigd in digitaal toestemming geven voor delen van attributen via Mijn Entree Federatie.

  • 0.0.6: Tekst is aangepast als kader voor de praktijksituatie Doorgifte identiteiten. Ook is een verwijzing gemaakt naar de detailuitwerking in deze praktijksituatie.

  • 0.0.7: Openstaande acties met betrekking tot Federatieve hubs, Betrouwbaarheidsniveaus, Attributenbeleid en aanvullen van attributen na inloggen verwerkt. Dit is onder meer verwerkt op deze pagina maar ook beschreven op de pagina Federatieve hubs.