Teknisk gränssnittsbeskrivning

I artikeln presenteras den tekniska gränssnittsbeskrivningen och verksamhetsmiljön för Suomi.fi-identifikation, en allmän beskrivning av tjänstens verksamhet och de allmänna tekniska egenskaperna.

Suomi.fi-identifikationens verksamhetsmiljö

Identifieringstjänsten erbjuder e-tjänsterna identifiering av slutanvändaren via ett gränssnitt som följer SAML 2.0-standarden. För slutanvändaren skapar Identifikationen en möjlighet att välja lämpligt identifieringssätt samt en engångsinloggning till de e-tjänster som kopplats till Identifikationen.

E-tjänsten kan begränsa de tillåtna identifieringsverktygen som slutanvändaren kan använda för att identifiera sig. Om slutanvändaren har autentiserats starkt kompletterar tjänsten Identifikation användarens uppgifter från befolkningsdatasystemet.

I bilden nedan beskrivs Identifikationens verksamhetsmiljö.

Bild: Bild 1. Tjänsten Identifikations verksamhetsmiljö.

Visa större bilden

En allmän beskrivning av tjänsten Identifikations verksamhet

E-tjänsten använder Suomi.fi-identifikationen för att identifiera användaren. Suomi.fi-identifikationen visar användaren de av e-tjänsten godkända erbjudarna av identifieringsverktyg och användaren väljer den identifiering som passar bäst.

För finländska identifieringsverktygs del kontrollerar tjänsten Identifikation i befolkningsdatasystemet att den identifierade slutanvändaren har ett aktivt personnummer och att ägaren är vid liv samt kompletterar slutanvändarens uppgifter från befolkningsdatasystemet. Tjänsten Identifikation producerar ett meddelande enligt SAML 2.0-standarden efter en lyckad identifikation. I meddelandet förmedlas önskad information via slutanvändarens webbläsare till e-tjänsten.

För eIDAS-identifierade användares del förmedlas den individualiserande PID-koden och uppgifter om namn och födelsetid och användaren styrs till e-tjänsten. För dessa användares del kan uppgifterna inte kompletteras från befolkningsdatasystemet.

Identifieringsverktyget ”urn:oid:1.2.246.517.3002.110.7” returnerar identifikationskod, födelsedatum och namnuppgifter för den identifierade användaren.

I tjänsten Identifikations arkitektur behövs inga direkta förbindelser mellan Identifikationen och de tjänster som identifieringsverktygsleverantörerna erbjuder, utan all trafik sker enligt SAML 2.0-standarden via slutanvändarens webbläsare.

HTTPS-förbindelser används för att skydda den datakommunikation som används för att identifiera slutanvändaren och parternas identiteter. Meddelandenas enhetlighet säkerställs enligt SAML 2.0-standarden.

Identifieringens säkerhetsnivåer

I identifikationen används de tillitsnivåer för identifikationen som fastställts enligt Kommunikationsverkets definitioner av tillitsnivånätet. Med tillitsnivå avses hur ”starkt” identifieringsverktyget är, dvs. tillitsnivån hos de identitetsuppgifter det erbjuder. E-tjänsterna bestämmer själva vilken den tillräckliga nivån på identifikationen är. Redskap utöver de starka verktygen ska väljas ett åt gången.

En beskrivning av tillitsnivåerna:

• Hög tillitsnivå – den starka autentiseringens högsta tillitsnivå. För den här nivån har en certifikatkortsläsare fastställts bland de finländska identifieringsverktygen.
• Höjd tillitsnivå – en höjd tillitsnivå för stark autentisering. För den här nivån har hightrust.id, Bank- och mobil ID -identifikatorer fastställts bland de finländska identifieringsverktygen.
• Ingen tillitsnivå – en del av identifieringsverktygen har inte fastställts för någon tillitsnivå och de fastställs separat.

Identifikationens tillitsnivåer gäller även den europeiska eIDAS-identifikationen. Hög och höjd tillitsnivå som definierats i Finland motsvarar till sina definitioner eIDAS-identifikationens höga (high) och höjda (substantial) tillitsnivåer.

Från och med september 2018 måste eIDAS-identifikationens tillitsnivåer definieras som godkända vid sidan av det finländska förtroendenätets tillitsnivåer. Svaret som förmedlas om identifikationshändelserna till e-tjänsten är beroende på tillitsnätets tillitsnivå eller eIDAS-identifikationens tillitsnivå beroende på om användaren identifierat sig med ett finländskt identifieringsverktyg eller med eIDAS-identifikationen.

Engångsinloggning och engångsutloggning

Tjänsten Identifikation skapar en engångsinloggningssession för slutanvändaren som gör det möjligt att använda alla e-tjänster som kopplats till Identifikationen med samma inloggning. ”Engångsinloggningssessionen gäller i 32 minuter. E-tjänsten får välja sin egen sessiontid oberoende av Suomi.fi-sessiontiden.“

För engångsinloggningen utnyttjas e-tjänsternas godkända verktyg och tillitsnivåer. Tillträde till e-tjänsten utan återidentifikation är möjligt endast om den tillitsnivå eller det verktyg som använts för att skapa sessionen motsvarar minst det som fastställts för e-tjänsten.

E-tjänsten som kopplas till tjänsten Identifikation måste stöda en engångsinloggning enligt standarden SAML 2.0. När slutanvändaren loggar ut avslutas även de övriga sessionerna som tillhör samma engångsinloggningssession. E-tjänsten måste kunna både inleda utloggningsprocessen och hantera den begäran om utloggning som kommer från Identifikationen. Lokal utloggning bör göras innan utloggningsbegäran skickas till Suomi.fi.

E-tjänsten kan inte skicka SLO-meddelandet i back-channel, eftersom användaren vid utloggning kommer att se SLO-statusinformationen för alla tjänster som var inloggade med samma SSO-session och användaren måste bekräfta utloggningen manuellt.

På grund av den tekniska implementeringen av Suomi.fi-identifikation överförs SLO-svaret från e-tjänsten i iframe. E-tjänsten måste tillåta detta. (Content-Security-Policy: frame-Ancestors 'self' https://tunnistautaminen.suomi.fi;)

Ingen engångsinloggningssession skapas då användaren har loggat med eIDAS-identifikation. Då tvingas användaren att identifiera sig på nytt vid förflyttning till en annan e-tjänst.

Krav på den användningsmiljö som Identifikationens slutanvändare har

Tjänsten Identifikation är avsedd att användas i webbläsare. Dess gränssnitt är webbläsaranvända på samma sätt som gränssnitten för de identifieringsverktyg som utnyttjas för identifikationen.

Tjänsten Identifikation kan användas med olika språkalternativ (finska, svenska eller engelska).

Användningen av tjänsten Identifikation förutsätter inte att slutanvändaren installerar några program på sin arbetsstation. De identifieringsverktyg som används för att identifiera slutanvändaren kan dock förutsätta tilläggskomponenter såsom en certifikatkortsläsare.

Slutanvändarens webbläsarprogram

Tjänsten Identifikations krav på webbläsaren:

• Tjänsten Identifikation har skapats enligt standarden HTML 5.0, men fungerar även med ett avskalat utseende om webbläsaren inte stöder HTML 5.0-standarden.
• Tjänsten Identifikation förutsätter godkännandet av sessionskakor (HTTP session cookies) och JavaScript i webbläsaren.
• Tjänsten Identifikation använder TLS version 1.2.

Användningen av identifieringsverktyg

Identifieringsverktygen kan förutsätta att slutanvändaren använder särskilda redskap eller program:

• Bankkoderna kan till exempel basera sig på en nyckelkodslista eller en mobilapplikation.
• Identifikation med ett certifikatkort beviljat av Myndigheten för digitalisering och befolkningsdata (t.ex. ett identitetskort, aktivkort för social- och hälsovården, organisationskort) sker med hjälp av en kortläsare och ett kortprogram som installerats på arbetsstationen.
• Identifikation som baserar sig på mobil ID utnyttjar operatorns SIM-kort och mobiltelefonen.
• Hightrust.id - Ett certifikatkort och en mobilapplikation nedladdad från appbutiken krävs för att aktivera plånboksapplikationen.

Tjänsten Identifikation i mobila enheter

Tjänsten Identifikations användargränssnitt fungerar med en webbläsare. Tjänsten kan även användas med mobila enheter med de begränsningar som presenteras under punkten Slutanvändarens webbläsarprogram. Olika identifieringsverktyg kan ställa upp begränsningar på användningen av mobila enheter.

Tjänsten Identifikations allmänna tekniska egenskaper

Tjänsten Identifikations gränssnitt är SAML 2.0. Meddelandena komprimeras med Deflate och Base64-kodas innan de överförs.

Teknisk anslutning

E-tjänsten ansluts till tjänsten Identifikation genom att skicka in basuppgifterna (metadatan) till Identifikationens administration. Bekanta dig närmare med e-tjänstens metadata i tjänsten Identifikation.

Tjänsten Identifikation och e-tjänsten undertecknar de SAML 2.0-meddelanden de skickar, så för att säkerställa ursprunget måste mottagaren ha avsändarens publika nyckel (i certifikatet). I samband med anslutningen laddas Identifikationens certifikat upp på e-tjänstens server. E-tjänstens certifikat förmedlas till Identifikationen som en del av e-tjänstens basuppgifter (metadata).

Förmedling av SAML-meddelanden

SAML-meddelanden mellan tjänsten Identifikation och e-tjänsten går via slutanvändarens webbläsare med HTTP-standardens kommandon GET och POST. Standarden SAML 2.0 fastsäller hur SAML-meddelandet förmedlas i respektive HTTP-kommando.

E-tjänsten kallar tjänsten Identifikation till att skicka ett meddelande med begäran om identifikation som innehåller en returadress till slutanvändarens webbläsare med kommandot GET eller POST. Tjänsten Identifikation låter slutanvändaren identifiera sig på valfritt sätt. Tjänsten Identifikation skickar ett svarsmeddelande till e-tjänstens returadress med POST-kommandot.

Meddelandetrafiken krypteras med TLS, dvs. alla kallelser och svarsmeddelanden förmedlas via HTTPS-förbindelse. E-tjänsten ska se till att alla förbindelser mellan slutanvändarens webbläsare och e-tjänsten är HTTPS-krypterade.

Den del av svarsmeddelandet som innehåller personuppgifter är krypterad med symmetrisk kryptering, där krypteringsnyckeln är asymmetriskt krypterad med den publika nyckeln som finns i e-tjänstens metadata. E-tjänsten måste definiera nyckeln som används för kryptering i sin metadata med syftet “encryption” eller genom att lämna nyckelns syfte odefinierat.

Tjänsten Identifikation kallas via en HTTPS-förbindelse. Den returadress som e-tjänsten ger i sitt meddelande ska utnyttja HTTPS-protokollet.

Alla SAML-meddelanden undertecknas för att säkerställa meddelandets avsändare, integriteten och oföränderligheten. Parterna ska kontrollera signeringen av de meddelanden de tar emot.

Testning

Det går enklare att ansluta sig till tjänsten Identifikation om man har tillgång till ett verktyg som öppnar SAML-meddelanden. Det finns utvidgningar för webbläsarna, till exempel ”SAML tracer” för Firefox, ”SAML Chrome Panel” och ”SAML Message Decoder” för Chrome.

Identifikation

Identifieringen av slutanvändaren i tjänsten Identifikation är en engångsinloggning till alla de e-tjänster som kopplats till Identifikationen. Det är även möjligt att det identifieringsverktyg som används erbjuder en engångsinloggning, men detta kan inte Identifikationen beakta.

Ett exempel på en identifikationshändelse

Bild: Bild 2. Ett exempel på en identifikationshändelse.

Visa större bilden

1. Slutanvändaren aktiverar inloggningen.
2. E-tjänsten märker att slutanvändaren inte har identifierats.
3. E-tjänsten styr slutanvändaren till tjänsten Identifikation och förmedlar en SAML-begäran om identifiering till webbläsaren.
4. Slutanvändarens webbläsare förmedlar SAML-begäran om identifiering till tjänsten Identifikation.
5. Tjänsten Identifikation tar emot SAML-begäran om identifiering och returnerar till webbläsaren en sida där identifieringsverktyg kan väljas.
6. Slutanvändaren väljer önskat identifieringsverktyg och identifierar sig.
7. Leverantören av identifieringsverktyget styr webbläsaren tillbaka till Identifikationen.
8. Webbläsaren förmedlar identifieringsverktyget till Identifikationen tillsammans med den identifierande kod för slutanvändaren som leverantören ger.
9. Tjänsten Identifikation formar en engångsinloggningssession och skapar ett SAML-meddelande som innehåller slutanvändarens uppgifter och förmedlar meddelandet till webbläsaren samtidigt som tjänsten Identifikation styr webbläsaren till e-tjänsten.
10. Webbläsaren förmedlar de personuppgifter om ingår i SAML-identifikationssvaret till e-tjänsten, som inleder en session för den identifierade slutanvändaren.
11. E-tjänsten returnerar den skyddade resurs till slutanvändaren som denne begärt.

E-tjänsten kan förmedla begäran om identifiering till exempel genom att ge webbläsaren en HTML-blankett som innehåller ett SAML-meddelande i de dolda fälten. Blanketten kan skicka ett skript som automatiskt utförs eller också skickar slutanvändaren detta genom att klicka på blankettens submit-knapp.

...
  <form name=”APRO” method=”POST” action= ”https://testi.apro.tunnistus.fi/idp/profile/SAML2/POST/SSO"> 
  <input type=”hidden” name=”SAMLRequest” value=”fZJBU8I...”/> 
  <input type=”hidden” name=”RelayState” value=”ss%3Amem%3Ac3”/>
  <input type=”hidden” name=”SigAlg” value”=http%3A%2F%2Fwww.w3.org%2F2001%2F04%2Fxmldsig-more%23rsa-sha256”/>
  <input type=”hidden” name=”Signature” value=”sO%2Fw..”/>
  </form>
 ...
 var form = document.APRO;
 form.submit();
 ...

<input type="submit" value="Siirry tunnistautumaan">

I exemplen nedan används följande namndefinitioner som ingår i hela SAML 2.0-meddelanden för förmedling av datainnehåll.

xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion"
xmlns:saml2p="urn:oasis:names:tc:SAML:2.0:protocol"

Identifieringsbegäran

De uppgifter som styr identifieringsbegäran har definierats i basuppgifterna (metadata) som e-tjänsten levererat till Identifikationen vid anslutning till tjänsten.

Genom att anpassa innehållet i autentiseringsbegäran kan du påverka det användargränssnitt som är synligt för användaren och svarsmeddelandet. Till exempel kan du i autentiseringsbegäran välja vilket språk Suomi.fi-identifikationen ska använda i sitt gränssnitt, vilka autentiseringsmetoder som visas för slutanvändaren och vart användarens webbläsare dirigeras efter autentisering.

Bindningar (bindings) som stöds är HTTP POST och HTTP REDIRECT.

Identifieringsbegäran måste signeras (med åtminstone SHA256-algoritmen).

E-tjänstens kod

<saml2p:AuthnRequest …>
   …
   <saml2:Issuer>https://kalastus.kunta.fi/lupa-asiat</saml2:Issuer>

Tabell 1. E-tjänstens kod, identifieringsbegäran.

Tjänsten Identifikations adress

<saml2p:AuthnRequest … Destination=”…”

Tabell 2. Tjänsten Identifikations adress, begäran om identifiering.

Tidsstämpling

<saml2p:AuthnRequest… IssueInstant=”2015-09-28T16:27:36Z”…>

Tabell 3. Tidsstämpel, begäran om identifikation.

Användargränssnittets språk

Gränssnittets språk bestäms av språket som valts vid den första autentiseringsbegäran i samma session. Med andra ord, om den första tjänsten som autentiseras väljer svenska som språk, kommer gränssnittets språk också att vara svenska när man loggar in på en annan tjänst (oavsett vilket språk som valts för autentiseringsbegäran i de följande tjänsterna). Detta val fortsätter tills man loggar ut.

<saml2p:AuthnRequest
   …
   <saml2p:Extensions>
       <vetuma xmlns="urn:vetuma:SAML:2.0:extensions">
          <LG>sv</LG>
       </vetuma>
    </saml2p:Extensions>

Tabell 4. Användargränssnittets språk, begäran om identifiering.

E-tjänstens returadress eller en hänvisning till returadressen

 <saml2p:AuthnRequest …
   AssertionConsumerServiceURL=”https://kalastus.kunta.fi/SAML2/POST"

<saml2p:AuthnRequest …
    AssertionConsumerServiceIndex=[0,1,2,3...]

Tabell 5. E-tjänstens returadress eller en hänvisning till returadressen, identifieringsbegäran.

Händelsekod

<form method="post" action=”….
   <input type="hidden" name="RelayState" value="token" />

Tabell 6. Händelsekod, identifieringsbegäran.

Godkända identifieringsverktyg

<saml2p:AuthnRequest
   …
   <saml2p:RequestedAuthnContext    
                    xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion"
          Comparison="exact">
      <saml2:AuthnContextClassRef>http://ftn.ficora.fi/2017/loa3</saml2:AuthnContextClassRef>
      <saml2:AuthnContextClassRef>http://eidas.europa.eu/LoA/high</saml2:AuthnContextClassRef>
      <saml2:AuthnContextClassRef>http://ftn.ficora.fi/2017/loa2</saml2:AuthnContextClassRef>
      <saml2:AuthnContextClassRef>http://eidas.europa.eu/LoA/substantial</saml2:AuthnContextClassRef

<saml2p:AuthnRequest
   …
   <saml2p:RequestedAuthnContext    
                    xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion"
          Comparison="exact">
      <saml2:AuthnContextClassRef>http://ftn.ficora.fi/2017/loa3</saml2:AuthnContextClassRef>
      <saml2:AuthnContextClassRef>http://eidas.europa.eu/LoA/high</saml2:AuthnContextClassRef>
   </saml2p:RequestedAuthnContext>

Tabell 7. Godkända identifieringsverktyg, identifieringsbegäran.

Behandling av koden

<saml2p:AuthnRequest 
   …
   <saml2p:NameIDPolicy AllowCreate="true" 
        Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient"/>

Tabell 8. Behandling av koden, identifieringsbegäran.

Identifikationssvar

Tjänsten Identifikation returnerar som svar på identifieringen uppgifterna om den identifierade slutanvändaren. Utöver identiteten kan e-tjänsten till exempel få slutanvändarens namnuppgifter och uppdaterade kontaktuppgifter från befolkningsdatasystemet.

Den förbindelse som stöds är HTTP POST.

Retursvaret är krypterat. Standardalgoritmen som används för kryptering är AES-GCM.

Kryptering kan konfigureras med antingen AES-CBC- eller AES-GCM-algoritmer. Observera att användning av AES-CBC rekommenderas inte. Inställningen definieras i e-tjänstens metadata registrerade för Suomi.fi Identifiering.

Nedan presenteras uppgifter som gäller sessionen och identifieringshändelsen.

Tidsstämpling

<saml2p:Response …
   IssueInstant=”2015-09-28T16:27:36Z”

Tabell 9. Tidsstämpling, identifikationssvar.

Händelsekod

<form method="post" action=”….
   <input type="hidden" name="RelayState" value="token" />

Tabell 10. Händelsekoden, identifieringssvar.

Sessionens kod

<saml2p:Response …
   <saml2:Assertion …
      <saml2:Subject>
         <saml2:NameID
            Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient"
             NameQualifier="https://testi.apro.tunnistus.fi/idp1"
             SPNameQualifier="https://kalastus.kunta.fi/lupa-asiat">
AAd ... dsUA==
         </saml2:NameID>

Tabell 11. Sessionens kod, identifieringssvar.

Indexuppgift för engångsinloggningssessionen

<saml2:AuthnStatement AuthnInstant="2016-05-13T11:42:42.573Z" SessionIndex="_2c41c54f41a76ec6aaeede9a9bc46a24">
            <saml2:SubjectLocality Address="112.111.110.109" />
            <saml2:AuthnContext>
                <saml2:AuthnContextClassRef>http://ftn.ficora.fi/2017/loa2</saml2:AuthnContextClassRef>
            </saml2:AuthnContext>
        </saml2:AuthnStatement>

Tabell 12. Indexuppgiften för engångsinloggningssessionen.

Styrkan i identifieringshändelsen

<saml2p:Response …
   <saml2:Assertion …
      <saml2:AuthnStatement …
         <saml2:AuthnContext>
            <saml2:AuthnContextClassRef>
                http://ftn.ficora.fi/2017/loa2
            </saml2:AuthnContextClassRef>

Tabell 13. Identifieringshändelsens styrka, identifieringssvaret.

Returstatus

<saml2p:Response …
   <saml2p:Status>
      <saml2p:StatusCode
         Value="urn:oasis:names:tc:SAML:2.0:status:Success" />
   </saml2p:Status>

Tabell 14. Returstatus, identifieringssvar.

BDS-sökning lyckades

<saml2:Attribute Name="urn:oid:1.2.246.517.3002.111.2" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">

<saml2:AttributeValue>true</saml2:AttributeValue>

</saml2:Attribute>

Tabell 15. BDS-sökning lyckades.

Utlockning

I bilden nedan presenteras de SAML-meddelanden som gäller engångsutloggningen som förmedlas mellan e-tjänsterna och tjänsten Identifikation då slutanvändaren varit inloggad i de e-tjänster som kopplats till Identifikationen.

Bild: Bild 3. SAML-meddelanden som rör sig mellan e-tjänsten och tjänsten Identifikation vid utloggningsprocessen. Meddelandena går via slutanvändarens webbläsare.

Visa större bilden

Begäran om utloggning

E-tjänsten kan skicka en begäran om utloggning till tjänsten Identifikation eller tvärt om (se bild 3). Meddelandet har samma struktur i båda fallen.

E-tjänsten måste avsluta den lokala webbläsarsessionen innan begäran om utloggning skickas till tjänsten Identifikation.

Bindningar som stöds är HTTP POST och HTTP REDIRECT.

Vänligen observera att utloggnignssvaret skickas till tjänsten som statar utlogningen (I fall flera eTjänster blir utloggade) efter användaren klickar "TILLBAKA TILL ETJÄNSTEN" -länken.

E-tjänstens kod

<saml2p:LogoutRequest …
   <saml2:Issuer>https://kalastus.kunta.fi/lupa-asiat </saml2:Issuer>

Tabell 16. E-tjänstens kod, utloggning.

Tidsstämpling

<saml2p:LogoutRequest … IssueInstant=”2015-09-28T16:27:36Z”…>

Tabell 17. Tidsstämpel, utloggning.

Sessionens kod

<saml2p:LogoutRequest …
   <saml2:NameID
      xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion"
       Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient"
       NameQualifier="https://testi.apro.tunnistus.fi/idp1"
       SPNameQualifier="https://kalastus.kunta.fi/lupa-asiat">
         AAd ... dsUA==
   </saml2:NameID>

Tabell 18. Sessionens kod.

Sessionens indexuppgift

<saml2p:LogoutRequest …
<saml2p:SessionIndex>_2c41c54f41a76ec6aaeede9a9bc46a24</saml2p:SessionIndex>…

Tabell 19. Sessionens indexuppgift.

Händelsekod

<form method="post" action=”….
   <input type="hidden" name="RelayState" value="token" /> 

Tabell 20. Händelsekod, utloggning.

Utloggningssvar

E-tjänsten kan skicka ett utloggningssvar till tjänsten Identifikation eller tvärt om (se bild 3). Utloggningssvaret har samma struktur i båda fallen.

Om engångsinloggningssessionen saknas till exempel på grund av att identifikationen har gjorts med eIDAS-identifikation eller sessionen har föråldrats retrurneras LogoutREsponse som utloggningssvar med StatusCode "Requester" och StatusMessage "An error occurred".

Bindningar (bindings) som stöds är HTTP POST och HTTP REDIRECT.

Vänligen observera att utloggnignssvaret skickas till tjänsten som statar utlogningen (I fall flera eTjänster blir utloggade) efter användaren klickar "TILLBAKA TILL ETJÄNSTEN" -länken.

Tidsstämpling

<saml2p:LogoutResponse … IssueInstant=”2015-09-28T16:27:36Z” …

Tabell 21. Tidsstämpel, utloggningssvaret.

E-tjänstens kod

<saml2p:LogoutResponse …
   <saml2:Issuer>https://kalastus.kunta.fi/lupa-asiat </saml2:Issuer>

Tabell 22. E-tjänstens kod, utloggningssvaret.

Händelsekod

<form method="post" action=”….
   <input type="hidden" name="RelayState" value="token" />

Tabell 23. Händelsekod, utloggningssvar.

Returstatus

<saml2p:LogoutResponse …
   <saml2p:Status>
      <saml2p:StatusCode
         Value="urn:oasis:names:tc:SAML:2.0:status:Success" />
   </saml2p:Status>

Tabell 24. Returstatus, svar på utloggning.

Finnish Authenticator

Användningen av tjänsten Finnish Authenticator vid Suomi.fi-identifikation kräver ett separat avtal.

OBS! Finnish Authenticator är inte en stark identifieringsmetod.

Följande uppgifter förmedlas om utländska personer identifierade med identifieraren: 

Tabell 26. Uppgifter som förmedlas om utländska personer identifierade med identifieraren.

Finnish Authenticator kan tas i bruk med identifieringsverktyget "urn:oid:1.2.246.517.3002.110.7".