Anslut NemLog-in med SAML 2.0 (Legacy standardkonfiguration)

Detta är legacy guiden för att konfigurera NemLog-in med standard SAML 2.0 inställningar. För NemLog-in mall UI, se Anslut NemLog-in med SAML 2.0 (Mall).

Du kan ansluta FoxIDs till NemLog-in (dansk IdP) med en SAML 2.0 autentiseringsmetod och låta användare autentisera med MitID. NemLog-in är ansluten som en SAML 2.0 Identity Provider (IdP).

Genom att konfigurera en SAML 2.0 autentiseringsmetod och en OpenID Connect applikationsregistrering blir FoxIDs en bro mellan SAML 2.0 och OpenID Connect. FoxIDs hanterar därefter SAML 2.0 anslutningen som en Relying Party (RP) / Service Provider (SP) och du behöver bara fokusera på OpenID Connect i din applikation. Om det behövs kan du erbjuda flera inloggningsalternativ (autentiseringsmetoder) från samma OpenID Connect applikationsregistrering.

FoxIDs stöder NemLog-in och den SAML 2.0 baserade OIOSAML 3.0.3 inklusive single logout (SLO), loggning, issuer naming, krav på OCES3 (RSASSA-PSS) certifikat och NSIS stöd.

Du kan testa NemLog-in login med online web app sample (sample docs) genom att klicka Log in och sedan Danish NemLog-in TEST för testmiljön eller Danish NemLog-in för produktion. Se NemLog-in sample konfigurationen i FoxIDs Control: https://control.foxids.com/test-corp Få read åtkomst med användaren reader@foxids.com och lösenord gEh#V6kSw och välj sedan nemlogin eller nemlogin-test miljön. Sample är konfigurerad med en separat miljö för NemLog-in SAML 2.0 integrationen.

NemLog-in dokumentation:

• NemLog-in utvecklingsportalen med dokumentation
  • test, där du kan hitta NemLog-in IdP metadata för test
  • produktion, där du kan hitta NemLog-in IdP metadata för produktion
• OCES3 certifikat:
  • Ladda ner test OCES3 certifikatet och lösenordsfilen eller skapa ett OCES3 test certifikat
  • Skapa ett produktions OCES3 certifikat i certifikat administrationen
• Du måste vara ansluten till NemLog-in för att skapa IT system.
• NemLog-in administrationsportalen där du konfigurerar IT system
• Testmiljö
  • Skapa medborgare testanvändare i MitID emulator
  • Skapa medborgare och anställda testanvändare i MitID simulator (inloggning med användarnamn och lösenord)

Transformera DK privilege XML claim till en JSON claim.

Överväg en separat miljö

NemLog-in kräver att Relying Party (RP) använder ett OCES3 certifikat och omfattande loggning. Överväg därför att ansluta NemLog-in i en separat miljö där OCES3 certifikatet och logg nivån kan konfigureras utan att påverka något annat.

Du kan ansluta två miljöer i samma tenant med en Environment Link.

Certifikat

NemLog-in kräver att alla requests (authn och logout) från Relying Party (RP) signeras. NemLog-in kräver också att RP signerar med ett OCES3 certifikat. Det är inte möjligt att använda ett certifikat utfärdat av en annan certifikat myndighet, ett självsignerat certifikat eller ett certifikat utfärdat av FoxIDs.

OCES3 test certifikat används i testmiljön och OCES3 produktions certifikat används i produktion. Ett OCES3 certifikat är giltigt i tre år. Därefter måste det uppdateras manuellt. Du behöver separata FoxIDs miljöer för att hantera test och produktion respektive. Miljöerna kan valfritt kombineras i en app miljö med environment links.

Lägg till .P12 OCES3 certifikatet i FoxIDs Control Client:

1. Välj (eller skapa) miljön som ska användas för NemLog-in
2. Välj fliken Certificates
3. Klicka pilen ner på Swap certificate knappen och klicka sedan Change container type i sektionen Contained certificates

4. Klicka primary certifikatet, ange lösenordet och ladda upp .P12 OCES3 certifikatet

Det är därefter möjligt att lägga till ett sekundärt certifikat och att växla mellan primary och secondary certifikat.

Konfigurera NemLog-in 3 som Identity Provider (IdP)

Du måste konfigurera OCES3 certifikatet innan du följer denna guide.

1) - Börja med att skapa en SAML 2.0 autentiseringsmetod i FoxIDs Control Client

1. Välj Authentication fliken
2. Klicka New authentication och sedan SAML 2.0
3. Lägg till namnet
4. Välj Show advanced
5. Välj dot URL binding pattern

6. Inaktivera automatic update
7. Klicka Read metadata from file och välj NemLog-in IdP metadata

8. Konfigurera en custom SP issuer, issuer kan valfritt börja med https://saml.
   • Issuer i detta exempel är https://saml.foxids.com/test-corp/nemlogin-test/
9. Ta bort eventuellt * och konfigurera claims, följande claims används oftast:
   • https://data.gov.dk/concept/core/nsis/loa
   • https://data.gov.dk/model/core/eid/cprNumber
   • https://data.gov.dk/model/core/eid/cprUuid
   • https://data.gov.dk/model/core/eid/email
   • https://data.gov.dk/model/core/eid/firstName
   • https://data.gov.dk/model/core/eid/lastName
   • https://data.gov.dk/model/core/eid/professional/cvr
   • https://data.gov.dk/model/core/eid/professional/orgName
   • https://data.gov.dk/model/core/eid/professional/uuid/persistent
   • https://data.gov.dk/model/core/specVersion
   • valfritt inkludera privilege claim, se steg 3)

10. Sätt Login hint i Authn request i Subject NameID till Disabled
11. I produktion, sätt valfritt Certificate validation mode till Chain trust om OCES3 root certifikatet är trusted på din plattform och sätt Certificate revocation mode till Online
12. Välj att inkludera encryption certifikatet i metadata
13. Sätt NameID format i metadata till urn:oasis:names:tc:SAML:2.0:nameid-format:persistent

14. Lägg till en attribute consuming service i metadata och lägg till service namnet.
15. Lägg till alla claims konfigurerade i steg 11 som requested attributes med formatet urn:oasis:names:tc:SAML:2.0:attrname-format:uri. Sätt valfritt varje attribut som required.

16. Lägg till minst en technical kontaktperson

17. Klicka create
18. Gå till toppen av SAML 2.0 autentiseringsmetoden
19. Ladda ner SAML 2.0 autentiseringsmetod SP metadata, i detta fall https://foxids.com/test-corp/nemlogin-test/.nemlogin./saml/spmetadata.
20. SP metadata filen används för att konfigurera NemLog-in IT systemet.

2) - Gå sedan till NemLog-in administrationsportalen

Först behöver du skapa ett NemLog-in IT system eller låta någon annan skapa ett NemLog-in IT system och ge dig åtkomst.

1. Välj IT systemet
2. Klicka upload metadata file och ladda upp SAML 2.0 autentiseringsmetod SP metadata filen
3. Gå tillbaka till IT systemet
4. Klicka knappen Save the technical details
5. Klicka Provision to integrationtest och sedan Apply for integration test

För att konfigurera produktion behöver du ladda upp en testrapport, få den godkänd och sedan upprepa FoxIDs och NemLog-in konfigurationen.

3) - Valfritt - Konfigurera MitID app switch till mobil app i FoxIDs Control Client

Valfritt, konfigurera MitID app switch om du använder NemLog-in / MitID i en mobil app.

• Du kan hitta mer information i NemLog-in Integration med NemLog-in3 kapitel 9.6 och 9.7.

NemLog-in stöder mobil app switch genom att använda antingen Universal Links på iOS eller App Links på Android, baserat på en return URL som skickas till NemLog-in i en SAML 2.0 extension som en del av authn (login) request.

Return URL är din mobil app URL och används för att växla tillbaka till din app från MitID appen efter autentisering.

Om return URL för din Android app är https://myapp.page.link/zyx konfigurera SAML 2.0 authn request extension XML som:

<nl:AppSwitch xmlns:nl="https://data.gov.dk/eid/saml/extensions">
  <nl:Platform>Android</nl:Platform>
  <nl:ReturnURL>https://myapp.page.link/zyx</nl:ReturnURL>
</nl:AppSwitch>

Välj show advanced settings och lägg till extension XML i Authn request extensions XML och klicka Update

Du kan konfigurera authn request extensions XML i profiler på autentiseringsmetoden. Och därefter stödja flera mobila plattformar i profiler.

För närvarande kräver iOS inte en return URL för att göra app switch. Men detta kan ändras över tid! Därför behöver du för närvarande bara två autentiseringsmetoder; en för din webbplats och iOS app utan en redirect URL och en för din Android app med en redirect URL.

4) - Valfritt - lägg till privilege claim transformation i FoxIDs Control Client

Valfritt, om du använder privilege claim.

FoxIDs kan transformera DK privilege XML claim till en JSON claim. Det rekommenderas att lägga till transformationen för att få mindre claims och tokens. Dessutom gör det tokens läsbara.

1. Lägg till DK privilege claim transformern.
2. Ta bort den ursprungliga privilege claim från claims pipeline.

FoxIDs konverterar internt SAML 2.0 claims till JWT claims. Mappningen mellan SAML 2.0 och JWT claims skapas automatiskt som standard. Du kan hitta och ändra mappningen i fliken Settings.

SAML 2.0 autentiseringsmetoden kan nu användas som en autentiseringsmetod för applikationsregistreringar i miljön.

Loggning

NemLog-in kräver att requests och responses (inklusive signatur bevis) loggas och lagras i ett halvår (180 dagar). Det krävs också att logga vilken identitet som har loggat in och ut ur vilken session, vid vilken tidpunkt och IP adressen. FoxIDs standard log registrerar fel och händelser inklusive tidpunkt och IP adress.

Med en Pro eller Enterprise plan på FoxIDs.com lagras logg data i 180 dagar.

Logg nivån som NemLog-in kräver konfigureras i FoxIDs logg inställningar:

1. Aktivera log info trace
2. Aktivera log claims trace
3. Aktivera log message trace
4. Klicka update

Begär autentiseringskontext

Du kan begära en önskad NSIS assurance nivå som en authn context class reference.

Möjliga NSIS assurance nivåer:

• https://data.gov.dk/concept/core/nsis/loa/Low
• https://data.gov.dk/concept/core/nsis/loa/Substantial
• https://data.gov.dk/concept/core/nsis/loa/High

Du kan även ange ID type som en authn context class reference.

Möjliga ID types:

• https://data.gov.dk/eid/Person
• https://data.gov.dk/eid/Professional

Och möjliga credential types:

• https://nemlogin.dk/internal/credential/type/nemidkeycard
• https://nemlogin.dk/internal/credential/type/nemidkeyfile
• https://nemlogin.dk/internal/credential/type/mitid
• https://nemlogin.dk/internal/credential/type/local
• https://nemlogin.dk/internal/credential/type/test

Du kan konfigurera authn context class references i profiler på autentiseringsmetoden om du behöver leverera olika uppsättningar. Till exempel för att stödja step-up autentisering, skapa en profil med authn context class reference https://data.gov.dk/concept/core/nsis/loa/Substantial och en annan profil med authn context class reference https://data.gov.dk/concept/core/nsis/loa/High.