H2M identificatie en authenticatie

Op deze pagina is het Human-to-Machine (H2M) kader uitgewerkt voor het idenficeren en authenticeren van Onderwijsdeelnemers en -medewerkers in de Edu-V praktijksituaties. In de diverse praktijksituaties vervullen deze eindgebruikers cruciale activiteiten om een scenario uit te voeren. Zodra een eindgebruiker deze rol vervult in een scenario, dan is aangegeven welke eisen er gesteld worden aan de identificatie en authenticatie.

Op deze pagina is uitgewerkt hoe de identificatie en authenticatie plaats kan vinden en op welke betrouwbaarheidsniveau een eindgebruiker geïdentificeerd en geauthenticeerd kan worden. Deze pagina bestaat uit de volgende onderwerpen:

Toepassingspatroon federatieve toegang

In het Edu-V afsprakenstelsel ondersteunen we de mogelijkheid om als dienst gebruik te maken van single-sign-on toegang via de Identity Provider van de onderwijsorganisatie. Hierdoor kunnen Personen via single-sign-on gebruik maken van applicaties van verschillende Leveranciers. Deze wijze van identificeren en authenticeren is gebaseerd op het toepassingspatroon Federatieve toegang.

Het federatieve patroon is een manier van samenwerken en gegevensuitwisseling tussen een IAM-inrichting van een (onderwijs)organisatie, een systeem voor federatieve toegang en een dienstverlener, die tot doel heeft om de gebruiker op een veilige en transparante manier te autoriseren voor gebruik van een dienst. De samenwerking gaat als volgt:

1. Als een Eindgebruiker een Dienst met SSO wil gebruiken, vraagt de Dienst met SSO aan een (Authenticerende of Delegerende) Identity Provider of aan een Federatieve Hub om een Identiteitsverklaring voor de betreffende Eindgebruiker, zodat de autorisatievoorziening het proces van autorisateren kan uitvoeren en een autorisatiebeslissing kan nemen.

2. In het geval van een Federatieve hub gaat de Federatieve hub na of de Eindgebruiker al is geauthenticeerd door zijn organisatie, en stelt een identiteitsverklaring met gebruikersgegevens op als dat zo is (single sign-on).

3. Als de gebruiker nog niet is ingelogd, vraagt de Federatieve hub aan de (Authenticerende of Delegerende) Identity Provider van de onderwijsorganisatie om een Identiteitsverklaring voor deze Eindgebruiker. Als de Federatieve hub niet kan achterhalen bij welke onderwijsorganisatie de Eindgebruiker hoort, presenteert de Federatieve hub een selectiescherm aan de Eindgebruiker.

4. De Authenticerende Identity Provider van de onderwijsorganisatie presenteert de Eindgebruiker een scherm om zich met het authenticatiemiddel te identificeren (bijvoorbeeld, inloggen met gebruikersnaam en wachtwoord). Als de Eindgebruiker kan worden geauthenticeerd, stelt de Identity Provider een identiteitsverklaring op, met de overeengekomen attributen.

De werking van Federatieve toegang is nader uitgewerkt in de praktijksituatie Doorgifte identiteiten. Daarnaast is ook meer informatie te vinden over het toepassingspatroon Federatieve toegang en de Architectuurkaders toegang en digitale identiteit onderwijs in de ROSA die onder beheer is van de Werkgroep Toegang van Edustandaard.

Identiteitsverklaring

Via een toegangsketen (van Identity Providers met al dan niet een Federatieve hub) kan een Dienst met SSO een identiteitsverklaring verkrijgen van een Onderwijsdeelnemer of -medewerker. Een identiteitsverklaring is een geverifieerde digitale identiteit met een minimale set aan attributen.

In deze identititeitsverklaring wordt tenminste de volgende attributen opgenomen:

• Primaire identifier Persoon

  • Secundaire identifier Persoon (verplicht indien primaire identifier niet bekend is)

• Primaire identifier Onderwijsorganisatie

  • Secundaire identifier Onderwijsorganisatie (verplicht indien primaire identifier niet bekend is)

• Aanduiding of de Persoon een onderwijsdeelnemer, onderwijsmedewerker of betrokkene is.

Betrouwbaarheidsniveaus voor identificatie en authenticatie

De Edu-V praktijksituaties vragen om diverse betrouwbaarheidsniveaus om eindgebruikers te identificeren en te authenticeren. Dit betrouwbaarheidsniveau is afhankelijk van de context en de gegevens die gedeeld worden. Voor deze situaties zijn de volgende patronen ontwikkeld:

Identiteitsverklaring als input voor autorisatie door Dienst met SSO

De afspraken over identificatie en authenticatie dragen door een betrouwbare identiteitsverklaring met minimale set attributen bij aan een correcte autorisatie, maar schrijven niet voor op welke wijze de autorisatie plaatsvindt. Leveranciers beschikken in hun eigen Leer- en onderwijsmiddelen over adequaat rollen en rechtenbeheer waar de autorisatie plaats kan vinden. De daadwerkelijke autorisatie valt hiermee buiten de scope van het afsprakenstelsel. De identiteitsverklaring bevat wel voldoende informatie om als Leverancier in een applicatie deze autorisatiebeslissing ten aanzien van (het betrouwbaarheidsniveau van) de digitale identiteit te maken.

Technisch: Authenticatie-standaarden Forum standaardisatie

Binnen Edu-V hanteren we de afspraak om technisch interoperabel te zijn conform de Authenticatie-standaarden (OpenID.NLGov en SAML) van het Forum Standaardisatie.

Detailuitwerking in praktijksituatie Doorgifte identiteiten

De op deze pagina beschreven architectuurkaders voor H2M identificatie en authenticatie van eindgebruikers zijn nader uitgewerkt in de praktijksituatie Doorgifte identiteiten. In deze praktijksituatie wordt ingegaan op:

• Scenario’s voor SSO toegang tot (portaal)diensten en devices

• Conceptueel model Doorgifte identiteiten

• Referentiecomponenten toegangsketen

• Voorbeelden van toegangsketens (invulling van scenario’s met referentiecomponenten in een toegangsketen)

• Federatieve hubs

• Gegevensdiensten van Administratiesystemen onderwijsdeelnemer en –medewerker

Release notes