cdaefa:EFA Sicherheitsdienste (logische Spezifikation) - Versionsgeschichte

Jcaumanns: Markup-Fehler behoben

2015-01-26T16:05:00Z

Markup-Fehler behoben

Jcaumanns: Querverweise

2015-01-13T17:40:30Z

Querverweise

Jcaumanns: Seitentemplate an Konvention angepasst.

2014-09-09T13:48:53Z

Seitentemplate an Konvention angepasst.

Jcaumanns: /* EFA Sicherheits(token)dienste */

2013-11-15T13:20:21Z

‎EFA Sicherheits(token)dienste

Jcaumanns am 23. April 2013 um 07:20 Uhr

2013-04-23T07:20:10Z

Rkuhlisch: /* Spezifikation */

2013-04-08T08:38:07Z

‎Spezifikation

Rkuhlisch: /* EFA Sicherheits(token)dienste */

2013-04-02T13:31:41Z

‎EFA Sicherheits(token)dienste

Jcaumanns: /* EFA Sicherheits(token)dienste */

2013-03-25T12:20:31Z

‎EFA Sicherheits(token)dienste

Foemig am 20. März 2013 um 08:06 Uhr

2013-03-20T08:06:42Z

Jcaumanns: /* EFA Sicherheits(token)dienste */

2013-03-17T20:48:49Z

‎EFA Sicherheits(token)dienste

@@ Zeile 46: / Zeile 46: @@
 * Normative Spezifikation: [[cdaefa:EFA Identity Provider SFM|EFA Identity Provider Service Functional Model]]
 * Normative Spezifikation: [[cdaefa:EFA_Policy_Provider_SFM|EFA Policy Provider Service Functional Model]]
 }}

@@ Zeile 37: / Zeile 37: @@
 |}
 * [[cdaefa:EFA_Spezifikation_v2.0|EFA-2.0-Spezifikation]]
 * Normative Spezifikation: [[cdaefa:EFA Identity Provider SFM|EFA Identity Provider Service Functional Model]]
 * Normative Spezifikation: [[cdaefa:EFA_Policy_Provider_SFM|EFA Policy Provider Service Functional Model]]

@@ Zeile 1: / Zeile 1: @@
-{{Infobox Dokument
+{{DocumentPart
 }}
 ''Anmerkung: Die unter den einzelnen Überschriften in geschweiften Klammern angegebenen Kürzel dienen der Unterstützung des Kommentierungsverfahrens. Bitte geben Sie bei einem Kommentar oder einem Verbesserungsvorschlag zu dieser Spezifikation immer das Kürzel des Abschnitts an, auf den sich Ihr Kommentar bezieht. Alle Kommentare werden in der Lasche "Diskussion" zu der kommentierten Seite gesammelt und gegenkommentiert.<br>Hinweise zum Kommentierungsverfahren einschließlich aller Formulare und Kontaktadressen finden Sie auf der Seite "[[cdaefa:Kommentierung EFAv2.0|Kommentierung EFAv2.0]]".''
 ----

@@ Zeile 31: / Zeile 31: @@
 ;EFA Identity Provider
-:Der EFA Identity Provider ist ein Sicherheitstoken-Dienst. Er wird vom EFA-Teilnehmersystem aufgerufen und stellt einen Identitätsnachweis für authentifizierte Nutzer aus. Dieser Nachweis enthält neben einem ''Proof-of-Possession'' Merkmal auch Angaben zu Rollen und Gruppenzugehörigkeiten des Nutzers. Der EFA Identity Provider unterstützt potenziell beliebige Verfahren der Authentifizierung (z.B. mittels Passwort, HBA oder SMC-B). Bei einer Authentifizierung mittels HBA werden die Nutzerattribute aus dem HBA-Zertifikat in den Identitätsnachweis übernommen. Zusätzlich wird anhand der genutzten SMC-B die Organisationszugehörigkeit eingetragen. Bei der Authentifizierung mittels SMC-B hat sich der Nutzer bereits innerhalb seiner Organisation sicher authentisiert. Auch alle Attribute wurden bereits durch die Organisation zugewiesen. Beim Aufruf des EFA Identity Providers bestätigt die Organisation die durchgeführte Authentifizierung und die Authentizität der Attribute in Form eines selbst ausgestellten, von der SMC-B signierten Identitätsnachweises (Guarantor Assertion). Dieser Nachweis wird vom EFA Identity Provider geprüft und in einen für EFA-Anwendungs- und EFA-Sicherheitsdienste nutzbaren Authentifizierungsnachweis überführt.
+:Der EFA Identity Provider ist ein Sicherheitstoken-Dienst. Er wird vom EFA-Teilnehmersystem aufgerufen und stellt einen Identitätsnachweis für authentifizierte Nutzer aus. Dieser Nachweis kann neben  Angaben zu Rollen und Gruppenzugehörigkeiten des Nutzers je nach Sicherheitspolitik auch ein ''Proof-of-Possession'' Merkmal enthalten, über der Provider die Authentizität des Nutzers unmittelbar verifizieren kann (im Gegensatz hierzu wird bei einer mittelbaren Authentizitätsprüfung die Nutzer-Authentizitätsprüfung eines als authentisch geprüften Clientsystems akzeptiert).
 ;EFA Policy Provider
 :Der EFA Policy Provider ist ein Sicherheitstoken-Dienst. Er wird vom EFA-Client oder einem EFA-Anwendungsdienst aufgerufen und liefert einen Verweis auf die für den aufrufenden Nutzer gültigen Berechtigungsregeln (Policy) zu einer Anwendungsinstanz (z. B. einer spezifischen eFA) oder die zum Verweis gehörende Policy. Diese Verweise sind transparent, d. h. sie können sowohl selber bereits eine Semantik tragen (z. B. gemäß IHE BPPC) oder eine Policy-Datei referenzieren. Um auch ein "Policy Pull" zu erlauben (siehe [http://www.ihe.net/Technical_Framework/upload/IHE_ITI_TF_WhitePaper_AccessControl_2009-09-28.pdf IHE White Paper on Access Control]), wird auch ein Aufruf des Policy Provider durch einen EFA-Anwendungsdienst unterstützt.

@@ Zeile 15: / Zeile 15: @@
 }}
-= Sicherheitstoken und Sicherheitstokendienste =
+''Anmerkung: Die unter den einzelnen Überschriften in geschweiften Klammern angegebenen Kürzel dienen der Unterstützung des Kommentierungsverfahrens. Bitte geben Sie bei einem Kommentar oder einem Verbesserungsvorschlag zu dieser Spezifikation immer das Kürzel des Abschnitts an, auf den sich Ihr Kommentar bezieht. Alle Kommentare werden in der Lasche "Diskussion" zu der kommentierten Seite gesammelt und gegenkommentiert.<br>Hinweise zum Kommentierungsverfahren einschließlich aller Formulare und Kontaktadressen finden Sie auf der Seite "[[cdaefa:Kommentierung EFAv2.0|Kommentierung EFAv2.0]]".''
 Jeder EFA-Anwendungsdienst und jeder EFA-Sicherheitsdienst besitzt eine Sicherheitspolitik, in der u. a. definiert ist, wie der Sicherheitskontext aussehen muss, aus dem heraus der Dienst aufgerufen werden kann. Hierdurch „weiß“ ein EFA-Client, welches Sicherheitstoken er von welchem GDD-Sicherheitsdienst abrufen und in den Ablaufkontext laden muss, bevor der gewünschte Dienst aufgerufen werden kann. Dadurch dass auch Sicherheitsdienste Sicherheitspolitiken besitzen, lässt sich die komplette Ablaufsteuerung über den Sicherheitsdiensten deklarativ abbilden. Beispielsweise kann ein EFA-Anwendungsdienst für den Zugriff auf eine Ressource ein Sicherheitstoken verlangen, über das die entsprechende Berechtigung des Nutzers verifizierbar ist. Der dieses Token ausstellende Autorisierungsdienst wiederum kann eine Politik definieren, dass Berechtigungsnachweise nur ausgestellt werden, wenn der Nutzer über ein entsprechendes Token seine Authentizität nachweist, d.h. vor dem Autorisierungsdienst ein Authentifizierungsdienst aufgerufen wurde.
 Im Rahmen des ''IHE Cookbook'' und der EFA-2.0 Spezifikation werden verschiedene Sicherheitstokendienste (föderierte Authentifizierung, Pseudonymisierung, Zugang zu Anwendungen, Autorisierung auf Ressourcen) spezifiziert, die nach dem oben skizzierten Prinzip von allen Aktendiensten genutzt werden können. Welche Sicherheitsdienste ein Aktendienst in Anspruch nimmt, definiert er über seine Sicherheitspolitk, die im Fachmodul in Aufrufe an die Sicherheitstokendienste übersetzt wird.
-= EFA Sicherheits(token)dienste =
+== EFA Sicherheits(token)dienste ==
 [[Datei:Sicherheitsdienste_5_Domains.png|480px]]
@@ Zeile 43: / Zeile 49: @@
 |}
-=== Spezifikation ===
+== Querverweise und Referenzen ==
-* zurück zur [[cdaefa:EFA_Spezifikation_v2.0|EFA-2.0-Spezifikation]]
+* [[cdaefa:EFA_Spezifikation_v2.0|EFA-2.0-Spezifikation]]

@@ Zeile 44: / Zeile 44: @@
 === Spezifikation ===
-* Normative Spezifikation: [[cdaefa:EFA Identity Provider SFM|EFA Identity Provider Service Functional Model]], [[cdaefa:EFA_Policy_Provider_SFM|EFA Policy Provider SFM]]
+* Normative Spezifikation: [[cdaefa:EFA Identity Provider SFM|EFA Identity Provider Service Functional Model]], [[cdaefa:EFA_Policy_Provider_SFM|EFA Policy Provider Service Functional Model]]
-* Binding: [[cdaefa:EFA Identity Provider WS Trust Binding|EFA Identity Provider WS Trust Binding]], [[cdaefa:EFA Policy Provider SAML-XACML Binding|EFA Policy Provider SAML-XACML Binding]]
+* Binding: [[cdaefa:EFA_Identity_Provider_WS_Trust_Binding|EFA Identity Provider WS Trust Binding]], [[cdaefa:EFA_Policy_Provider_WS Trust_Binding|EFA Policy Provider WS Trust Binding]]

@@ Zeile 24: / Zeile 24: @@
 [[Datei:Sicherheitsdienste_5_Domains.png|480px]]
-;Identity Provider
+;EFA Identity Provider
-:Der Identity Provider ist ein Sicherheitstoken-Dienst. Er wird vom EFA-Client aufgerufen und stellt eine für beliebige Gesundheitsdatendienste nutzbaren Identitätsnachweis für authentifizierte Nutzer aus. Dieser Nachweis enthält neben einem ''Proof-of-Possession'' Merkmal auch Angaben zu Rollen und Gruppenzugehörigkeiten des Nutzers. Der Identity Provider unterstützt potenziell beliebige Verfahren der Authentifizierung (z. B. mittels Passwort, HBA oder SMC-B). Bei einer Authentifizierung mittels HBA werden die Nutzerattribute aus dem HBA-Zertifikat in den Identitätsnachweis übernommen. Zusätzlich wird anhand der genutzten SMC-B die Organisationszugehörigkeit eingetragen. Bei der Authentifizierung mittels SMC-B hat sich der Nutzer bereits innerhalb seiner Organisation sicher authentifiziert. Auch alle Attribute wurden bereits durch die Organisation zugewiesen. Beim Aufruf des Identity Providers bestätigt die Organisation die durchgeführte Authentifizierung und die Authentizität der Attribute in Form eines selbst ausgestellten, von der SMC-B signierten Identitätsnachweises. Dieser Nachweis wird vom Identity Provider geprüft und in einen für Gesundheitsdatendienste nutzbaren Idnetitätsnachweis überführt (siehe auch eFA Sicherheitsarchitektur: Direct and Brokered Trust).
+:Der EFA Identity Provider ist ein Sicherheitstoken-Dienst. Er wird vom EFA-Teilnehmersystem aufgerufen und stellt einen Identitätsnachweis für authentifizierte Nutzer aus. Dieser Nachweis enthält neben einem ''Proof-of-Possession'' Merkmal auch Angaben zu Rollen und Gruppenzugehörigkeiten des Nutzers. Der EFA Identity Provider unterstützt potenziell beliebige Verfahren der Authentifizierung (z.B. mittels Passwort, HBA oder SMC-B). Bei einer Authentifizierung mittels HBA werden die Nutzerattribute aus dem HBA-Zertifikat in den Identitätsnachweis übernommen. Zusätzlich wird anhand der genutzten SMC-B die Organisationszugehörigkeit eingetragen. Bei der Authentifizierung mittels SMC-B hat sich der Nutzer bereits innerhalb seiner Organisation sicher authentisiert. Auch alle Attribute wurden bereits durch die Organisation zugewiesen. Beim Aufruf des EFA Identity Providers bestätigt die Organisation die durchgeführte Authentifizierung und die Authentizität der Attribute in Form eines selbst ausgestellten, von der SMC-B signierten Identitätsnachweises (Guarantor Assertion). Dieser Nachweis wird vom EFA Identity Provider geprüft und in einen für EFA-Anwendungs- und EFA-Sicherheitsdienste nutzbaren Authentifizierungsnachweis überführt.
-;Access Token Service
+;EFA Policy Provider
-:Der Access Token Service ist ein Sicherheitstoken-Dienst. Er wird vom EFA-Client oder einem EFA-Anwendungsdienst aufgerufen und liefert einen Verweis auf die für den aufrufenden Nutzer gültigen Berechtigungsregeln (Policy) zu einer Anwendungsinstanz (z. B. einer spezifischen eFA). Diese Verweise sind transparent, d. h. sie können sowohl selber bereits eine Semantik tragen (z. B. gemäß IHE BPPC) oder eine Policy-Datei referenzieren. Um auch ein „Policy Pull“ zu erlauben (siehe IHE White Paper on Access Control), wird auch ein Aufruf des Access Token Service durch einen EFA-Anwendungsdienst unterstützt.
+:Der EFA Policy Provider ist ein Sicherheitstoken-Dienst. Er wird vom EFA-Client oder einem EFA-Anwendungsdienst aufgerufen und liefert einen Verweis auf die für den aufrufenden Nutzer gültigen Berechtigungsregeln (Policy) zu einer Anwendungsinstanz (z. B. einer spezifischen eFA) oder die zum Verweis gehörende Policy. Diese Verweise sind transparent, d. h. sie können sowohl selber bereits eine Semantik tragen (z. B. gemäß IHE BPPC) oder eine Policy-Datei referenzieren. Um auch ein "Policy Pull" zu erlauben (siehe [http://www.ihe.net/Technical_Framework/upload/IHE_ITI_TF_WhitePaper_AccessControl_2009-09-28.pdf IHE White Paper on Access Control]), wird auch ein Aufruf des Policy Provider durch einen EFA-Anwendungsdienst unterstützt.
+{| class="wikitable"
-{| border="1" cellpadding="4" cellspacing="2"
+!Dienst || Aufgaben || Datenhaltung
 |-
-!Identity Provider
+| EFA Identity Provider
-|Authenticates user while it verifies the user’s credentials. This service encapsulates the supported authentication methods.
+|| Authentifiziert einen EFA-Teilnehmer durch Verifikation seiner Credentials. Der Dienst bietet verschiedene Authentifizierungsmethoden an:
-|Retrieves supplemental user information as attributes from a directory service.	The identities of users (individuals and/or organizations), the verification data of their credentials, and the attributes of the identities.
+* Direktes Vertrauen: Authentifiziert einen EFA-Teilnehmer per X.509 Zertifikat oder Benutzername/Passwort-Kombination
 |-
-!eCR Access Token Service
+| EFA Policy Provider
-|Authorizes the user to access an electronic Case Record by assigning an access policy.
+|| Gibt eine Policy zu einem bestimmten (Behandlungs-)Zweck heraus. Je nach Autorisierungsmodell ("Policy Push"/"Policy Pull") kann eine explizite Access Control Policy oder ein Verweis (mit impliziter Semantik) die Autorisierung eines Benutzers (oder seiner Rolle) zu einer Fallakte bzw. dem festgelegten Zweck beschreiben.
-|The admission lists of the eCRs. These lists can be imagined as tables containing record identifiers, admission codes, and corresponding access policy identifiers.
+|| Policies, welche jeweils den konsentierten Kreis der Behandelnden zu einem Zweck definieren.
 |}
 === Spezifikation ===
-* Normative Spezifikation: [[cdaefa:EFA Identity Provider SFM|EFA Identity Provider Service Functional Model]]
+* Normative Spezifikation: [[cdaefa:EFA Identity Provider SFM|EFA Identity Provider Service Functional Model]], [[cdaefa:EFA_Policy_Provider_SFM|EFA Policy Provider SFM]]
-* Binding: [[cdaefa:EFA Identity Provider WS Trust Binding|EFA Identity Provider WS Trust Binding]]
+* Binding: [[cdaefa:EFA Identity Provider WS Trust Binding|EFA Identity Provider WS Trust Binding]], [[cdaefa:EFA Policy Provider SAML-XACML Binding|EFA Policy Provider SAML-XACML Binding]]

← Nächstältere Version		Version vom 25. März 2013, 12:20 Uhr
Zeile 21:		Zeile 21:

	= EFA Sicherheits(token)dienste =		= EFA Sicherheits(token)dienste =
		+
		+	[[Datei:Sicherheitsdienste_5_Domains.png\|480px]]

	;Identity Provider		;Identity Provider

@@ Zeile 25: / Zeile 25: @@
 :Der Identity Provider ist ein Sicherheitstoken-Dienst. Er wird vom EFA-Client aufgerufen und stellt eine für beliebige Gesundheitsdatendienste nutzbaren Identitätsnachweis für authentifizierte Nutzer aus. Dieser Nachweis enthält neben einem ''Proof-of-Possession'' Merkmal auch Angaben zu Rollen und Gruppenzugehörigkeiten des Nutzers. Der Identity Provider unterstützt potenziell beliebige Verfahren der Authentifizierung (z. B. mittels Passwort, HBA oder SMC-B). Bei einer Authentifizierung mittels HBA werden die Nutzerattribute aus dem HBA-Zertifikat in den Identitätsnachweis übernommen. Zusätzlich wird anhand der genutzten SMC-B die Organisationszugehörigkeit eingetragen. Bei der Authentifizierung mittels SMC-B hat sich der Nutzer bereits innerhalb seiner Organisation sicher authentifiziert. Auch alle Attribute wurden bereits durch die Organisation zugewiesen. Beim Aufruf des Identity Providers bestätigt die Organisation die durchgeführte Authentifizierung und die Authentizität der Attribute in Form eines selbst ausgestellten, von der SMC-B signierten Identitätsnachweises. Dieser Nachweis wird vom Identity Provider geprüft und in einen für Gesundheitsdatendienste nutzbaren Idnetitätsnachweis überführt (siehe auch eFA Sicherheitsarchitektur: Direct and Brokered Trust).
 ;Access Token Service
-:Der Access Token Service ist ein Sicherheitstoken-Dienst. Er wird vom EFA-Client oder einen EFA-Anwendungsdienst aufgerufen und liefert einen Verweis auf die für den aufrufenden Nutzer gültigen Berechtigungsregeln (Policy) zu einer Anwendungsinstanz (z. B. einer spezifischen eFA). Diese Verweise sind transparent, d. h. sie können sowohl selber bereits eine Semantik tragen (z. B. gemäß IHE BPPC) oder eine Policy-Datei referenzieren. Um auch ein „Policy Pull“ zu erlauben (siehe IHE White Paper on Access Control), wird auch ein Aufruf des Access Token Service durch einen EFA-Anwendungsdienst unterstützt.
+:Der Access Token Service ist ein Sicherheitstoken-Dienst. Er wird vom EFA-Client oder einem EFA-Anwendungsdienst aufgerufen und liefert einen Verweis auf die für den aufrufenden Nutzer gültigen Berechtigungsregeln (Policy) zu einer Anwendungsinstanz (z. B. einer spezifischen eFA). Diese Verweise sind transparent, d. h. sie können sowohl selber bereits eine Semantik tragen (z. B. gemäß IHE BPPC) oder eine Policy-Datei referenzieren. Um auch ein „Policy Pull“ zu erlauben (siehe IHE White Paper on Access Control), wird auch ein Aufruf des Access Token Service durch einen EFA-Anwendungsdienst unterstützt.
 ;Policy Token Service
 :Der Policy Token Service ist ein Sicherheitstoken-Dienst. Er wird vom EFA-Client oder einen EFA-Anwendungsdienst aufgerufen und liefert die zu einer Policy Referenz gehörige Policy Datei. Um auch ein „Policy Pull“ und „Policy Cache“ zu erlauben (siehe IHE White Paper on Access Control), wird auch ein Aufruf des Policy Token Service durch einen EFA-Anwendungsdienst unterstützt.