OIO-it-arkitekturkomitémøde, 13. december 2007 Pkt. 1. Dagsorden ...

I relation til WSRP og Web Services er dette et bevidst fravalg og således
udenfor scope af profilen. Se svar til kommentar 8 og 39 for detaljer.
Kommentar 42
Afgrænsning til point-to-point interaktion via https. Da udgangspunktet i
arkitekturen er en point-to-point interaktion via https bliver det aktørernes
(IDP, SP) opgave eksplicit at tage hånd om sessioner (cookie baseret), ID
provider addresser, og Attribute server addresser, hvor de sidste to via
deres implementering som web service kald jo kunne routes igennem en broker,
hvis der altså indgik denne mulighed i arkitekturen. På samme måde skal
aktørerne også selv bidrage til transaktionsstyring ved, som det
foreslås,anvendelse af Assertion ID som transaktionsidentifier og logning af
disse til auditformål. Igen opgaver som en brokerbaseret arkitektur kan
håndtere - i brokeren.
Styrelsens svar
Styrelsen har ikke set det hensigtsmæssigt eller relevant at indføre en brokerbaseret
arkitektur til Web Browser SSO scenariet, som DK-SAML profilen
dækker. I senere profiler til identitetsbaserede web services kan dette dog blive
en mulighed, som skal overvejes. Se iøvrigt svar til kommentar 8, 39 og 41.
Kommentar 43
I afsnit 11.3.1 nævnes noget om at publicere meta data lokationer i DNS
records som en option???
Styrelsens svar
Publicering af meta datas lokation i DNS records er en af de mekanismer, der
beskrives i OASIS SAML Meta Data specifikationen. Denne er dog ikke
medtaget som et obligatorisk krav i DK-SAML profilen, da man meget vel kan
tænke sig, at føderationer vil anvende andre mekanismer.
Kommentar 44
Uklarhed omkring anvendelse af OCES virksomhedscertifikat eller lignende?
Flere steder nævnes det at der skal anvendes OCES virksomhedscertifikat eller
lignende ("or equivalent").
Styrelsens svar
Den lidt løse formulering omkring OCES certifikater flere steder skyldes, at
Styrelsen op til høringen overvejede, hvorvidt en ny type OCES certifikater
(Funktionscertifikater) skulle kunne anvendes som trust mekanisme (udover
Virksomhedscertifikater). Imidlertid er det efterfølgende blevet besluttet, at tage
eksplicitte krav om OCES som trust mekanisme ud af profilen, men i forhold til
den fællesoffentlige brugerstyringsorganisation må der forventes indførelse af en
politik, som stiller krav om brug af OCES certifikater til signering og kryptering
af meddelelser. Se i øvrigt svar til kommentar 32.
Kommentar 45
Service Provider og IDP MUST forbindes via en SSL sikret linie med anvendelse
af OCES Virksomhedscertifikat. Hvad menes der med "or equivalent" i afsnit
17
IT- og Telestyrelsen
Side 17