Principper for sikkerhed / Identity Access Management på SIT platformen (Adgang og filtrering)
Adgang og filtrering
I services og servicemetoder der benytter sig af DFDG Foundation, er der i dag et mønster for adgang, ud over dette mønster, er der et mønster for filtrering ved benyttelse af Filterable.
Filterable er ikke i dag en del af DFDG Foundation men er et mønster der ønskes udbredes til de resterende projekter efter behov. Se desuden https://starwiki.atlassian.net/wiki/spaces/CITY/pages/2739666965.
I nedenstående vises de mønstre som der i dag bliver behandlet samt med rød det der påtænkes udfaset med Rød og med Grøn det som i stedet overtager dette.
Brugeradministration på sigt (Plateau 5), automatiseret + scripts (Plateau 1)
I det nye datagrundlag for brugeradgang vil der være mulighed for at tilknytte bruger der er oprettet via (Certifikat/Nemlog-in/Medarbejder ErhvervsID certifikat/ADFS), til adgangsroller og/eller IAM scopes
Burger vil kunne blive tilknyttet nul til mange adgangsroller
Bruger vil kunne blive tilknyttet nul til mange IAM scopes
Roller indeholder indeholder nul til mange IAM scopes
Det er påkrævet at bruger er kendt af datagrundlaget for bruger adgang, for at tilgå DFDGs webservices.
Af Plateau 1 i IAM udføres ovenstående tilknytning af brugers adgangsroller/IAM scopes automatisk på baggrund af events + script eksekvering mod datagrundlaget for brugeradgang.
Af Plateau 5 er det planlagt, at udarbejde en brugeradministration, hvor man via applikationen kan udføre dette.
Vist i nedenstående figur:
Adgang Domæne / Forretningsområde / DelForretningsområde / ForretningsBegreb action via IAM Scopes
Hvis aftager af en service/servicemetode er kommet igennem første adgangs tjek, Brugeradministration på sigt (plateau 5), automatiseret + scripts (plateau 1), vil der blive fortaget endnu et adgangs tjek på IAM scopes.
IAM scope kan være dekoreret på forskellige niveauer og er blevet vurderet af forretningen med stillingstagen til, hvor højt man kan løfte IAM scopet op for stadig, at kunne understøtte granulariteten med at STAR ikke ønsker at give unødig adgang til områder, samtidigt med at der er et ønske om, at det skal være til at administrere.
Disse IAM scopes vurderer, om den kaldende aftager (bruger), må få adgang, baseret på de adgangsroller og deraf IAM scopes, eller IAM scopes tilknyttet bruger direkte fra forrige afsnit Brugeradministration på sigt (Plateau 5), automatiseret + scripts (Plateau 1).
Vist i nedenstående figur:
Adgang service/servicemetode adgang via sikkerhedsattributter
Nedenstående beskrives, hvorledes sikkerhedsattributterne virker.
Generelt
Nedenstående overstreget vil fremadrettet blive understøttet af afsnittet Adgang Domæne / Forretningsområde / DelForretningsområde / action via IAM Scopes
AllowAccessToAll
Giver adgang til alle organisationer som der af afsnittet, Adgang service/servicemetode adgang via AmpAdmin2, er kommet igennem.
Generelt tjek (uagtet organisation)
Hvis organisationen har lov til at kalde (At der er en sikkerhedsattribut på servicemetode for organisationen)
Der ikke er CPR nummer i request, vil kalder kunne kalde servicemetoden uagtet om den er sat til egne/ alle borgere.
Giver adgang
Kommune
Hvis Egne borgere er markeret som sikkerhedsattribut for Kommune tjekkes samtlige forekomster af PersonCivilRegistrationIdentifier i request, skal tilhøre den kaldende Kommune,
Dette gøres via CprAuthority.
Gæsteadgang for Kommune i kombination med, Kommune Alle borgere skal ikke sættes, da Kommune i dette tilfælde i forvejen har lov til at kalde alle borgere.
JobCenter
Hvis Egne borgere er markeret som sikkerhedsattribut for JobCenter tjekkes samtlige forekomster af PersonCivilRegistrationIdentifier i request, skal tilhøre det kaldende JobCenter,
Dette gøres via CprAuthority.
Gæsteadgang for JobCenter i kombination med, JobCenter Alle borgere skal ikke sættes, da JobCenter i dette tilfælde i forvejen, har lov til at kalde alle borgere.
Anden Aktør
Anden Aktør er kun implementeret for JobCenter.
Anden Aktør kræver, at en af følgende sikkerhedsattributter for JobCenter er dekoreret på servicemetoden:
Alle borgere
Egne borgere
Anden Aktør kald, forespørges med CVR på Anden Aktør som kaldende organisation med angivelse af jobcenteret, som der handles få vejene af.
Der vil derefter tjekkes op på, hvorvidt der er en åben henvisning til Anden Aktør fra det pågældende JobCenter, hvor henvisningen ikke er blevet lukket (IsCanceled = 1)
Giver adgang
Anden Aktør kan af ovenstående bullit, ikke komme med i spejlings projektet, da samme kaldemønster bliver benyttet til at bestemme sagsbehandlerlogin på Jobnet.
Anden Aktør henvisning gælder per default 14 dage før henvisning startdato og 30 dage efter slutdato, hvor henvisningen ikke er blevet lukket (IsCanceled = 1)
Default dagene kan dog undtagelsesvis ændres per servicemetode. Dette gøres eksempelvis på UnemplomentEnrollment, som først kan kaldes på henvisnings startdato for Anden Aktør.
Anden Aktør - gæsteadgang, hvis Anden Aktør har gæsteadgang, behøver Anden Aktør ikke også have en henvisning, dog skal AA have en henvisning for at oprette gæsteadgangen og henvisningen gælder i 24 timer.
A-kasse
Hvis Egne borgere er markeret som sikkerhedsattribut for A-kasse
Tjekkes samtlige forekomster af PersonCivilRegistrationIdentifier i request, skal tilhøre den kaldende A-kasse,
Dette gøres via tabellen UnemploymentFundMembership.
Hvis Tidligere egne borgere er markeret som sikkerhedsattribut for A-kasse
Tjekkes samtlige forekomster af PersonCivilRegistrationIdentifier i request, skal have været medlem af den kaldende A-kasse inden for de seneste 120 dage som default.
Default dagene for seneste medlemskab, kan dog undtagelsesvis ændres per servicemetode.
Dette gøres via tabellerne UnemploymentFundMembership og UnemploymentFundMembershipHistory.
Hvis Gæsteadgang for A-kasse
Kræves sikkerhedsattributten Egne borgere på servicemetoden.
Gæsteadgang for A-kasse i kombination med, A-kasse Alle borgere skal ikke sættes, da A-kasse i dette tilfælde i forvejen, har lov til at kalde alle borgere.
Alle andre organisationer end de tidligere beskrevene
Tjekkes at der er en adgangsattribut for organisationen.
Giver adgang
Farve forklaring
Bør ikke sættes |
Hvis Gæsteadgang sættes skal Egne borgere også sættes. |
XxXx Anden organisation end de typiske. |
Understøttes ikke længere via sikkerhedsattributter, men i stedet igennem IAM scopes / adgangsroller |
Ovenstående sikkerhedsattributter bliver automatisk vist som nedenstående matrice, ved benyttelse af CodeFirst services med nye sikkerhedsattributter
Tilladte organisationer
Alle borgere | Egne borgere | Tidligere egne borgere | Gæsteadgang | Anden Aktør - egne borgere | Anden Aktør - gæsteadgang | |
---|---|---|---|---|---|---|
A-kasse |
| |||||
JobCenter |
| |||||
Kommune |
| |||||
STAR |
| |||||
XxXx |
Filtrering af data givet til servicekalder via Filterable
Filtrering af data givet til servicekalder via Filterable (A-kasse)
Filtrering af data givet til servicekalder via Filterable (Anonymiseret data)