Forslag for anbudsprosess
Dette er et forslag for å hjelpe anbudsprosesser med å legge inn kravene til SSO. Dette er et utkast, og vi ønsker tilbakemeldinger til usit-weblogin@rt.uio.no.
Hvis svar fra leverendører er uklare, kan du som innkjøper ta kontakt med oss på usit-weblogin@rt.uio.no for bistand.
Disse punktene kan legges inn i anbud fra UiO, for tjenester som skal ha pålogging. Bytt ut teksten som er uthevet og farget grønt:
- Tjenesten skal bruke en av UiOs løsninger for SSO. Tjenesten skal IKKE behandle brukeres passord (til innkjøper: dette må i så fall håndteres som et avvik som må godkjennes av IT-sikkerhetssjef).
- Hvis styringsreglene for autentisering sier at weblogin er preferert for denne tjenesten:
- Tjenesten skal støtte SSO vha OIDC eller SAML mot UiOs lokale autentiseringspunkt Weblogin. Se Tilgang til Weblogin for mer tekniske detaljer.
- Tjenesten skal hente ut relevante opplysninger (for eksempel brukernavn) fra attributter som følger Feides informasjonsmodell. UiO kan eventuelt utvide med flere attributter ved behov.
- For OIDC støtter vi ikke Implicit Flow, av sikkerhetsmessige grunner.
- Hvis styringsreglene for autentisering sier at Feide er preferert for denne tjenesten:
- Tjenesten skal støtte autentisering via Feide. Se Feide sine sider for tjenestelevandører for kravene som må oppfylles.
- Hvis tjenesten som tilbys også brukes av andre institusjoner/bedrifter, skal leverandør ha en egen avtale med Feide. Hvis UiO får en egen dedikert tjeneste, for eksempel som en egen tenant, eller on-prem, kan UiO selv håndtere det avtale- og forvaltningsmessige med Feide, men tjenesten må fremdeles støtte de tekniske kravene til Feide. Utdyp om Leverandør har egen avtale med Feide, eventuelt hva som er planen for en slik avtale. Eventuelt, hvis Leverandør ikke ønsker ha avtale med Feide, beskriv hva Kunde må gjøre for å koble opp tjenesten mot Feide selv, og hvordan vi kan administrere dette.
- Tjenesten skal hente ut relevante opplysninger (for eksempel brukernavn) fra Feides informasjonsmodell. Beskriv hvilke personopplysninger tjenesten henter ut, og hva de brukes til.
- Tjenesten skal støtte autentisering via Feide. Se Feide sine sider for tjenestelevandører for kravene som må oppfylles.
- Hvis tjenesten skal begrenses til et utvalg personer, for eksempel bare studenter eller bare ansatte på ett fakultet (ofte grunnet lisenskostnader):
- Tjenesten skal kunne begrense tilgangen til funksjonalitet, blant annet hvis tilgangen medfører ekstra kostnader for UiO.
- Adgangsbegrensningen BØR gjøres basert på attributter fra SSO-innloggingen. Noen eksempler:
- Attributtet eduPersonAffiliation kan brukes til å isolere studenter eller ansatte
- Attributtet eduPersonEntitlement kan brukes til mer fingranulert tilgangsstyring, der UiO bestemmer hvem som skal ha tilgang
- Attributtet eduPersonOrgUnitDN kan brukes til å isolere personer fra en gitt enhet
- Attributtet origin forteller hvor brukeren kommer fra (UiO, Feide eller WebID), og kan brukes til å filtrere bort grupper som ikke skal med.
- Hvis tjenesten trenger å bli populert med personopplysninger for å kunne bruke funksjonalitet, trenger vi detaljer om dette. Hvis dette medfører bruk av API trenger vi også dokumentasjon til dette API-et.
- Har Tjenesten muligheter for lokale brukerkontoer? Beskriv hvordan disse håndteres, hvordan vi som Kunde kan administrere de, og spesielt hvordan eventuelle passord håndteres.