Fördelning av subsystem mellan flera organisationer
I den här artikeln beskrivs exempel på genomförande som krävs för att dela ett subsystem mellan flera organisationer.
Subsystemen är vanligtvis organisationsspecifika och via dem kan organisationerna identifieras i Informationsleden. I en situation där flera organisationer använder samma subsystem är det inte möjligt att identifiera organisationen enbart utifrån subsystemet.
Frågor som ska beaktas innan ett delat subsystem tas i bruk
Tjänsteleverantören;
- Ta reda på om din tjänst kan tillåta användning av ett delat subsystem (ärenden som ska avgöras är bland annat genomförande av autentisering)
- Se till att användningsvillkoren för din tjänst vid behov beaktar det delade subsystemet samt informationssäkerhetskraven och ansvaren som det är förenat med.
Mellanaktören;
- Ta reda på om tjänsten som tas i bruk tillåter användning av delat subsystemet
- Bekanta dig med det autentiseringsförfarande som används i tjänsten
- Kom överens om praxis med tjänsteleverantören
Obs! Innan man tar i bruk det delade subsystemet bör man säkerställa att tjänsten som tas i bruk via Informationsled stöder det delade subsystemet. Beroende på vilken tjänst som används kan genomförandet skilja sig från exemplet nedan och saker som ska beaktas. Du får reda på om tjänsten kan användas med ett delat subsystem genom att kontakta den organisation som tillhandahåller tjänsten.
Vad innebär ett delat subsystem?
Ett delat subsystem gör det möjligt för flera organisationer att ansluta sig till Informationsleden med en färdig anslutningsserver och ett subsystem som ägs av en mellanaktör. Delandet av subsystemet mellan flera organisationer har möjliggjorts så att man till exempel inte behöver skapa en egen anslutningsserver och ett eget subsystem för varje kommun eller välfärdsområde när de ansluter sig till Informationsleden. I och med detta genomförande är det alltså lättare, snabbare och enklare att ansluta sig till Informationsleden.
Mellanaktören representerar organisationer som använder ett delat subsystem i Informationsleden.
- Ansökan om och hantering av certifikat för Informationsleden sker av den organisation som äger anslutningsservern, och inte av de organisationer som använder det delade subsystemet.
Bilden nedan visar en visualiserad situation där ett delat subsystem har tagits i bruk.
-90a7ab26fb0b01649a1d557d8fb35d84.webp)
Vad krävs för att använda ett delat subsystem?
Ett delat subsystem fungerar lite annorlunda än den traditionella integrationen av Informationsleden. Genomförandet kräver ändringar för att organisationerna ska kunna identifieras i förfrågningar som skickats via anslutningsservrar i andra datasystem. Genomförandet grundar sig på autentisering och i detta fall rekommenderar vi att man använder JSON Web Token (JWT) (på engelska)Öppnas i ett nytt fönster., eftersom det är det vanligaste och enklaste sättet att genomföra autentisering. Autentiseringsprocessens faser har visualiserats på bilden nedan.
Autentisering med JWT är en exempellösning. Om tjänsteleverantören så önskar kan den genomföra autentiseringen också på något annat sätt.
OBS. När det gäller test tjänster är det bra att beakta att vi erbjuder dem för det referensgenomförande som beskrivs i artikeln.
-1a700e34b1ca25c3d8df4c5876c8b98f.webp)
Autentiseringsprocessens faser ska genomföras exakt enligt anvisningarna eftersom genomförandet inte fungerar annars. Det är också viktigt att komma ihåg att använda HTTPS-förbindelse i trafiken mellan anslutningsservrarna och datasystemen.
I autentiseringsprocessen har tjänsteleverantören och den mellanaktör som representerar den som utnyttjar tjänsten sina egna ansvarsområden.
Tjänsteleverantörens ansvar
Tjänsteleverantören ansvarar för följande saker som beskrivs närmare i en separat artikel:
- Vi rekommenderar att ditt subystem är tjänstespecifikt, dvs. att det finns endast en tjänst i ett subsystem.
- Tjänsten har en API endpoint för autentisering.
- Tilldelande av användarnamn till en mellanaktör som representerar den som utnyttjar tjänsten.
- Autentisering av användare i identifieringsförfrågan.
- Att generera JWT-koden eller annan motsvarande tagg och skicka den som en del av svarsmeddelandet.
- Validering av JWT-kod eller annan motsvarande tagg när man anropar en tjänst efter autentiseringen.
Mellanaktörens ansvar
Mellanaktören som representerar den som utnyttjar tjänsten ansvarar för följande saker som beskrivs närmare i en separat artikel:
- Användning av mTLS-servercertifikatpraxis mellan mellanaktörens datasystem och en organisation som utnyttjar subsystemet.
- Användning av mTLS-servercertifikatpraxis mellan anslutningsservern och datasystemet.
- Att skicka organisationens identifierande uppgifter och användarnamn från tjänsteleverantören i den första identifieringsförfrågan.
- Fortsatt användning av JWT-kod eller annan motsvarande tagg som tjänsteleverantören returnerar efter den första identifieringsförfrågan.