Ohjeistus. Hyväksytty pilotointia varten (13) Virtu - Määrittely. Attribuuttien muodostamisen ohjeistus

Transkriptio

1 (13) Virtu - Määrittely Attribuuttien muodostamisen ohjeistus

2 (13) Sisällysluettelo 1 Johdanto Yhteiset luottamusverkoston attribuutit Uuden attribuutin muodostaminen Virtu-federaatioon yhteensopivaksi Esimerkkinä LDAP-attribuutista SAML Attribute Assertionin muodostaminen OID:n muodostaminen Semantiikan määrittely Virtussa SAML Attribute Assertion esimerkki Julkaisu Esimerkkinä uuden attribuutin muodostaminen omaa koodistoa käyttäen OID:n muodostaminen Semantiikan määrittely Virtussa SAML Attribute Assertion esimerkki Julkaisu Virtu-skeeman pakollisten ja suositeltavien attribuuttien soveltamisen ohjeistus virtupersonprincipalname OID Semantiikka SAML esimerkki virtupersonprincipalname Julkaisu virtupersonentitlement OID Semantiikka SAML esimerkki virtupersonentitlement Julkaisu virtuorgnumber OID Semantiikka SAML esimerkki virtuorgnumber Julkaisu virtuhomeorganization OID Semantiikka SAML esimerkki virtuhomeorganization Julkaisu virtuhomeorganizationtype OID Semantiikka SAML esimerkki virtuhomeorganizationtype Julkaisu cn OID Semantiikka SAML esimerkki cn Julkaisu... 10

3 (13) 4.7 sn OID Semantiikka SAML esimerkki sn Julkaisu employeenumber OID Semantiikka SAML esimerkki employeenumber Julkaisu mail OID Semantiikka SAML esimerkki employeenumber Julkaisu Soveltamisohje Liitteet Liite 1: Lista Virtu-skeeman attribuuteista... 12

4 (13) Attribuuttien muodostaminen ja käyttö Virtu-federaatiossa 1 Johdanto Dokumentissa kuvataan attribuuttien muoto ja muodostaminen Virtu-federaatiossa. Määrittelyn tarkoitus on myös kuvata miten laajentaa skeemaa kahdenkeskisillä attribuuteilla Virtu-federaation kanssa yhteensopivalla tavalla. Attribuuttien muodostaminen ohjeistuksen mukaan mahdollistaa kyseisen attribuutin käyttöönoton myöhemmin virallisessa Virtu-federaation skeemassa. Tästä on hyötynä se, että käyttäjäorganisaatiot ja palveluntuottajat pystyvät yhteisesti sopimaan tarvittavan tietosisällön välittämisestä ja julkaisemaan sen muille valmiiksi mietittynä. 2 Yhteiset luottamusverkoston attribuutit Virtu-federaatio julkaisee oman Virtu-skeemansa, joka perustuu Hakemistotiedot ja niiden ylläpito - suositukseen JHS Virtu-skeemassa on attribuutteja, joita tarvitaan osapuolten kesken yksilöimään ja kuvaamaan käyttäjiä käyttävässä organisaatiossa. Virtu-federaatio tulee käyttämään OID tunnistesarjaa X.Y.Z määrittelemilleen attribuuteille. Nämä ovat lueteltu liitteessä 1. Attribuutit ovat oletusarvoisesti moniarvoisia, jos asiaa ei ole erikseen tarkennettu. Esimerkeissä annetaan malli arvojoukon välittämisestä. 3 Uuden attribuutin muodostaminen Virtu-federaatioon yhteensopivaksi Muodostamissääntö: 1 Selvitä attribuutin tai määritä itse OID. Yksilöivä OID tunniste voidaan luoda koodistolle JHS standardia noudattaen. 2 Kuvaa attribuutin arvot, niiden merkitykset ja käyttötilanteet suhteessa henkilöön Virtu-federaatiosta. 3 Muodosta esimerkki SAML 2.0 Attribute Assertionista malliksi todenmukaisessa käyttötilanteessa 4 Julkaise kuvaus ja esimerkki Virtu-federaation julkaisualustalla 3.1 Esimerkkinä LDAP-attribuutista SAML Attribute Assertionin muodostaminen Seuraavassa käydään läpi vaiheittain edellä kuvatut vaiheet OID:n muodostaminen Tarkastellaan givenname attribuuttia, joka kuuluu X.500 käyttäjä (person) skeemaan, joka on määritelty RFC2256 ja sen myöhemmin korvanneessa RFC :ssä. Kyseisessä määrittelyssä givenname attribuutille on määritelty OID JHS 133 Hakemistotiedot ja niiden ylläpito, 2 JHS 159 ISO OID-yksilöintitunnuksen soveltaminen julkishallinnossa,

5 (13) Semantiikan määrittely Virtussa Kuvaus käytöstä: Attribuutin arvoina ovat henkilön etunimet, joita käytetään palvelun käyttöliittymässä esittämässä käyttäjää. Kun attribuuttia käytetään, se sisältää arvon. JHS 133 suosituksessa poiketaan RFC 2256 vastaavan attribuutin määrittelystä siltä osin, että se voi sisältää kaikki etunimet SAML Attribute Assertion esimerkki Julkaisu SAML 2.0 -profiilimäärittelyssä velvoitetaan, että attribuutit nimetään yksikäsitteisesti seuraavasti sekaannusten välttämiseksi. Attribuutin name arvo muodostetaan URN:ksi RFC dokumentin kuvaamalla käytännöllä, jossa liitetään urn:oid: tunniste alkuun ja attribuutin OID tunniste loppuun. <saml:attribute name="urn:oid: " friendlyname="givenname"> <saml:attributevalue>tauno</saml:attributevalue> FriendlyName ja sen arvo givenname ovat vain ohjeellisena tunnisteena attribuutissa. Sitä ei käytetä osapuolien välisessä tietojen vaihdossa. Sen käyttö on vapaaehtoista, mutta käyttämisen etuna on attribuutin tulkinnan tai tunnistamisen helpottaminen virhetilanteiden jäljittämisessä. Attribuuttimääritys julkaistaan Virtu-federaation kotisivuilla formaalissa muodossa selityksineen. 3.2 Esimerkkinä uuden attribuutin muodostaminen omaa koodistoa käyttäen Tarpeena on välittää Virtu-operaattorin yhteiskäyttöiselle palvelulle yhteyshenkilön toimenkuva organisaatiossa suhteessa Virtu-federaatioon OID:n muodostaminen Virtu-koordinaattori on varannut oman OID avaruuden, josta se on varannut koodistolle tunnisteen X.Y.Z Kyseistä OID-avaruutta käytetään myöhemmin tässä dokumentissa oleville attribuuteille ja käytöstä vastaa Virtu-koordinaattori. Jos 3 RFC5126, Lightweight Directory Access Protocol (LDAP): Schema for User Applications A. Sciberras, Ed. [ Kesäkuu 2006 ] (vahentanut RFC2256), ftp://ftp.rfc-editor.org/in-notes/rfc5126.txt 4 RFC3061, A URN Namespace of Object Identifiers M. Mealling [ Helmikuu 2001 ] (vanhentanut RFC3001), ftp://ftp.rfceditor.org/in-notes/rfc3061.txt

6 (13) organisaatiolla ei ole ennestään varattu omaa OID-aliavaruutta, sellainen on haettavissa esimerkiksi Suomen Standardisoimisliitto SFS ry kautta 5 tai IANAlta Semantiikan määrittely Virtussa Attribuutilla kuvataan henkilön toimenkuva organisaatiossa suhteessa Virtufederaatioon. Sanasto on hallinnollinen yhteyshenkilö, tekninen yhteyshenkilö ja laskutusyhteyshenkilö SAML Attribute Assertion esimerkki Julkaisu <saml:attribute name="urn:oid:x.y.z.2.1.1" friendlyname="virtuorgcontacttype"> <saml:attributevalue>hallinnollinen yhteishenkilö</saml:attributevalue> Virtu-operaattorin palvelun tuottaja ylläpitää sivustollaan määrittelyä, johon on linkki Virtu federaation skeemakuvauksen yhteydessä Virtu-federaation kotisivuilla. 4 Virtu-skeeman pakollisten ja suositeltavien attribuuttien soveltamisen ohjeistus 4.1 virtupersonprincipalname OID Semantiikka virtupersonprincipalname attribuutin OID tunniste on: X.Y.Z.1.2 Käyttäjän yksilöivä tunniste Virtu-federaatiossa. On tai on ollut liitettynä yhteen henkilöön domainissa. Arvon muoto: alkuosa + erotinmerkki + domain Attribuutin tulee olla yksiarvoinen. Erotinmerkkinä käytetään prosenttimerkkiä (%) ja se saa esiintyä vain kerran arvossa. Alkuosan muodon organisaatio määrittää itsenäisesti. Vaatimuksena on, ettei samaa tunnistetta uudelleen käytetä eri henkilölle. Jälkiosa on Virtu-kotiorganisaation rekisteröinnin yhteydessä Virtu-federaation operaattorille ilmoittama DNS nimiavaruus. DNS nimiavaruuksia voi olla useita. 5 SFS, Kortinantajan-, AID-, RID-,OID- ja NSAP-tunnukset, 6 IANA, Private Enterprise Number (PEN) Request Template,

7 (13) SAML esimerkki virtupersonprincipalname Julkaisu Arvon muodostamisessa organisaatio käyttää itse määrittelemäänsä sääntöä, joka täyttää semantiikan ja vaatimukset. Esimerkkinä Tauno Tammen tunniste, joka on muodostettu vuonna 2008 käyttäen tietojärjestelmän käyttäjätunnusta ttammi. Virasto Y on rekisteröinyt toimialueensa virastoy.fi tunnisteena, jota he hallinnoivat. <saml:attribute name="urn:oid: X.Y.Z.1.2" friendlyname=" virtupersonprincipalname"> <saml:attributevalue>2008ttammi%virastoy.fi</saml:attributevalue> 4.2 virtupersonentitlement OID Semantiikka virtupersonentitlement attribuutin OID tunniste on: X.Y.Z.1.4 Luettelo resursseista, joihin käyttäjälllä on käyttöoikeus ja mahdollinen rooli-informaatio. Arvojoukko on moniarvoinen. Kyseinen URL-tunniste voi olla keinotekoinen, kunhan se on yksilöllinen eikä ole päällekkäinen toisen organisaation kanssa tai viittaa toisen organisaation hallinnoimaan verkkopalveluun SAML esimerkki virtupersonentitlement Moniarvoinen välittäminen Virtu-federaatiossa 7. <saml:attribute name="urn:oid:x.y.z.1.4" friendlyname="virtupersonentitlement "> <saml:attributevalue> </saml:attributevalue> <saml:attribute name="urn:oid:x.y.z.1.4" friendlyname="virtupersonentitlement "> <saml:attributevalue> </saml:attributevalue> 7 Saattaa muuttua, jos ilmenee teknisiä yhteensopivuusongelmia eri toteutusten välillä. Vaihtoehtoisia tapoja on esitetty: Feide-federation: How SAML 2.0 is used in Feide, [ ] Katso-Karva: Katso-kirjautuminen ja Karva-roolikysely, Karva-roolikyselyn määrittely, SAML 2.0 attribuuttikyselyn vastausviesti, sivut 6 ja 10, [ ]

8 (13) Julkaisu 4.3 virtuorgnumber OID Semantiikka Virtu-skeemakuvauksen yhteydessä Virtu-federaation kotisivuilla, josta löytyy tieto tai linkit eri palveluntarjoajien auktorisointitunnisteisiin. virtuorgnumber attribuutin OID tunniste on: X.Y.Z.1.3 Henkilön kotiorganisaation y-tunnus. Virtu-federaation käyttämä organisaatiotunniste perustuu patentti- ja rekisterihallituksen yritys- ja yhteisötunnukseen. Muotona käytettään JHS 159 suositusta y-tunnuksen esittämisessä OID muodossa, missä tarkistusnumeron erotinviiva poistetaan ja 7-numeroisessa tunnuksessa ei käytetä etunollaa. Attribuutin tulee olla yksiarvoinen SAML esimerkki virtuorgnumber Julkaisu Turun kaupungin y-tunnuksesta johdettu esimerkki. <saml:attribute name="urn:oid:x.y.z.1.3" friendlyname="virtuorgnumber"> <saml:attributevalue> </saml:attributevalue> 4.4 virtuhomeorganization OID Semantiikka virtuhomeorganization attribuutin OID tunniste on: X.Y.Z.1.5 Organisaation DNS domain tunnukseen perustuva tunniste, joka voi sisältää tarkemman hierarkian tarvittaessa. Attribuutin arvolla voidaan kuvata henkilön sijainti organisaatiossa tarkalla tasolla. Loppuosan on oltava sama kuin virtupersonprincipalname-attribuutin arvon domainosa.

9 (13) SAML esimerkki virtuhomeorganization Julkaisu <saml:attribute name="urn:oid:x.y.z.1.5" friendlyname="virtuhomeorganization"> <saml:attributevalue>esikunta.virastoy.fi</saml:attributevalue> 4.5 virtuhomeorganizationtype OID Semantiikka virtuhomeorganizationtype attribuutin OID tunniste on: X.Y.Z.1.6 Henkilöön liittyvä organisaation tyyppi, jota käytetään valtuuttamisessa. Organisaation suhdetta julkishallintoon kuvaava sanasto: valtionhallinto, kunnallishallinto, valillinen-hallinto ja muu. Organisaation tyyppiä kuvaava sanasto: ministerio, virasto, liikelaitos, kunta, kuntayhtyma osakeyhtio ja muu-organisaatio. Arvolle muu on varattu erityinen merkitys, jos suhdetta julkishallintoon ei ole määriteltävissä. Arvoa muu-organisaatio käytetään organisaation tyyppiä kuvaavana silloin, jos sopivaa ei löydy Virtu-skeemamäärittelyn sanastosta. Sanastojen sallittuja arvoja lisätään tarpeen mukaan. HUOM! On varauduttava, että palautettavia arvoja on monta.vain 7-bittisen ASCII merkistön arvot ovat sallittuja. Arvot eivät sisällä skandinaavisia merkkejä vaan ne konvertoidaan; Ä->A, å ->a, ä->a, ö->o jne periaatteella SAML esimerkki virtuhomeorganizationtype Valtion virastoa kuvaava esimerkki <saml:attribute name="urn:oid: X.Y.Z.1.6" friendlyname="virtuhomeorganizationtype"> <saml:attributevalue>valtionhallinto</saml:attributevalue> <saml:attribute name="urn:oid: X.Y.Z.1.6" friendlyname="virtuhomeorganizationtype"> <saml:attributevalue>virasto</saml:attributevalue> Kuntaa kuvaava esimerkki:

10 (13) Julkaisu 4.6 cn OID Semantiikka SAML esimerkki cn Julkaisu 4.7 sn OID Semantiikka SAML esimerkki sn <saml:attribute name="urn:oid: X.Y.Z.1.6" friendlyname="virtuhomeorganizationtype"> <saml:attributevalue>kunnallishallinto</saml:attributevalue> <saml:attribute name="urn:oid: X.Y.Z.1.6" friendlyname="virtuhomeorganizationtype"> <saml:attributevalue>kunta</saml:attributevalue> Virtu-skeemakuvauksen yhteydessä Virtu-federaation kotisivuilla sanastoineen. cn attribuutin OID tunniste on: Henkilön koko nimi JHS 133 mukaisesti. <saml:attribute name="urn:oid: " friendlyname="cn"> <saml:attributevalue>tammi Tauno Antero</saml:AttributeValue> sn attribuutin OID tunniste on: Henkilön sukunimi suosituksen JHS 133 mukaisesti. <saml:attribute name="urn:oid: " friendlyname="sn"> <saml:attributevalue>tammi</saml:attributevalue>

11 (13) Julkaisu 4.8 employeenumber OID Semantiikka employeenumber attribuutin OID tunniste on: Organisaation myöntämä henkilönumero, jonka avulla henkilön muun tunnisteen muuttuminen pystytään havaitsemaan. Yksilöllinen eikä liitettävissä toiseen henkilöön. Suositellaan käytettäväksi henkilöstöhallinnon numeroa. Attribuutin tulee olla yksiarvoinen SAML esimerkki employeenumber Julkaisu 4.9 mail OID Semantiikka <saml:attribute name="urn:oid: " friendlyname="employeenumber"> <saml:attributevalue> </saml:attributevalue> mail attribuutin OID tunniste on: Organisaation henkilölle myöntämä ajantasainen sähköpostiosoite SAML esimerkki employeenumber Julkaisu <saml:attribute name="urn:oid: " friendlyname="mail">

12 (13) 5 Soveltamisohje 6 Liitteet Jos myöhemmässä vaiheessa tarvitaan uusi attribuutti, tai ilmenee päällekkäisiä vastaavaan tarkoitukseen tarkoitettuja attribuutteja, noudatetaan priorisoinnissa seuraavaa järjestystä: 1 Virallista Virtu-skeeman määritystä 2 X.500 person skeeman luokista -(esim. inetorgperson) johdettua attribuuttia 3 Vastaavaa Virtu-federaatiossa julkaistua skeeman ulkopuolista attribuuttia 4 Omaa attribuuttia ja sen koodistoa 6.1 Liite 1: Lista Virtu-skeeman attribuuteista

13 (13) LIITE 1: Lista Virtu-skeeman attribuuteista Henkilön tieto Attribuutti OID URN Pakollisuus A*) JUHTA JHS 133 Henkilön nimi cn urn:oid: MUST Sukunimi sn urn:oid: MUST Etunimi / etunimet givenname urn:oid: MUST Sähköpostiosoite mail urn:oid: RECOMMENDED Puhelinnumero telephonenumber urn:oid: MAY Organisaation nimi o urn:oid: OPTIONAL Organisaation yksikön nimi ou urn:oid: OPTIONAL Faksinumero facsimiletelephonenumber urn:oid: OPTIONAL Katuosoite street urn:oid: OPTIONAL Postilokero postofficebox urn:oid: OPTIONAL Postinumero postalcode urn:oid: OPTIONAL Postiosoite postaladdress urn:oid: OPTIONAL Paikkakunta l urn:oid: OPTIONAL Kuvaus description urn:oid: OPTIONAL Toimiala businesscategory urn:oid: OPTIONAL Organisaatiovarmenne (henk.koht.) usercertificate urn:oid: OPTIONAL Virtu laajennokset Henkilönyksillöintitunniste virtupersonprincipalname X.Y.Z.1.2 urn:oid:x.y.z.1.2 MUST X Organisaation yksilöivänumero virtuorgnumber X.Y.Z.1.3 urn:oid:x.y.z.1.3 MUST X Henkilön valtuutukset virtupersonentitlement X.Y.Z.1.4 urn:oid:x.y.z.1.4 RECOMMENDED X Kodin postiosoite homepostaladdress urn:oid: OPTIONAL Kotipuhelinnumero homephone urn:oid: OPTIONAL Kotiorganisaatio virtuhomeorganization X.Y.Z.1.5 urn:oid:x.y.z.1.5 RECOMMENDED X Henkilökuntanumero employeenumber urn:oid: RECOMMENDED X Työsuhteen tyyppi virtuemployeetype X.Y.Z.1.6 urn:oid:x.y.z.1.6 MAY X Titteli title urn:oid: MAY Kotiorganisaation tyyppi virtuhomeorganizationtype X.Y.Z.1.7 urn:oid:x.y.z.1.7 MUST X *) Auktorisointiattribuutteja käytetään valtuuttamiseen