Architectuurscan Entree Federatie

Uit ROSA Wiki
Ga naar: navigatie, zoeken

Deze pagina toont een samenvatting van de ROSA Architectuurscan van het onderwerp Entree Federatie. Met de ROSA Architectuurscan worden op systematische wijze alle architectuuraspecten van een bij Edustandaard ingebracht onderwerp in kaart gebracht en worden knelpunten en kansen gesignaleerd. Niet alleen kan de indiener er zijn voordeel mee doen, ook kan ROSA ermee worden verrijkt. En tot slot stelt het andere ketenpartijen in staat om kennis te nemen van architectuurwijzigingen en het belang hiervan voor de eigen organisatie of achterban te bepalen (transparantie in de keten, informatiepositie).

De architectuurscan is uitgevoerd op 12 april 2021. Zie voor meer informatie, waaronder de adviezen die naar aanleiding van de scan door de Architectuurraad zijn uitgebracht, het adviesdeel en het bevindingendeel.

ROSA onderdeelBevindingen uit project: Entree FederatieRelatie met ROSA (blauw: ROSA, geel: Entree Federatie)
Werkingsgebied

Compliant.pngCompliant - De Entree Federatie heeft betrekking op het PO, VO en MBO. Daarnaast bestaat er ook een relatie met software leveranciers. In het bijzonder softwareleveranciers die opereren als Identity en Service Providers. (Bron: Pitch (4))

Toepassingsgebied

Compliant.pngCompliant - De Entree Federatie heeft een relatie met de toepassingsgebieden Identificatie en toegang en IBP.

Bovensectorale samenwerking

Koppelen - niet kantelen

“Entree Federatie zorgt ervoor dat digitale identificatie en authenticatie zo min mogelijk het onderwijsproces onderbreken.” Deze doelstelling uit H2 van de Marktverkenning (2), sluit aan bij het ROSA Basisprincipe Koppelen - niet kantelen.


Een gezamenlijke basisinfrastructuur:

Het ROSA basisprincipe Koppelen - niet kantelen, wordt verder ingevuld door het leveren van een gezamenlijke basisinfrastructuur. Deze basisinfrastructuur realiseert de Entree Federatie door online authenticatie van gebruikers te centraliseren; “waarbij onderwijsinstellingen en dienstaanbieders met elkaar gekoppeld worden via een centrale voorziening” (Bron: H2 Marktverkenning (2))


Samenwerking met SURFconext:

SURFConext wordt in §4.3.2 van de Marktverkenning (2) genoemd als vergelijkbare partij met een andere doelgroep. In §6.3.1 van de Marktverkenning wordt OpenConext genoemd als de meest kansrijke optie om de vernieuwde Entree Federatie op te baseren. Dit is dezelfde open source software waar SURFConext op gebaseerd is. Uit de gesprekken met de Entree Federatie (5) bleek dat direct gebruik van SURFConext niet mogelijk is, omdat de Zeggenschappen te veel verschillen. In het bijzonder speelt daarbij de rol van instellingen in het ho als eigen ID-provider ten opzichte van scholen in het po en vo die in de regel het LAS c.q. de LAS-leverancier als ID-provider gebruiken.

De samenwerking tussen Kennisnet en SURF wordt aangemerkt als gemakkelijk te organiseren. Daarnaast, wordt erkend dat wanneer Kennisnet en SURF OpenConext doorontwikkelen, dit ook van waarde is voor een bredere doelgroep.

Compliant.pngCompliant - De Entree Federatie heeft raakvlakken met het ROSA basisprincipe Koppelen - niet kantelen.

De implementatie van dit principe leidt tot een relatie met het afgeleide ROSA principe Een gezamenlijke basisinfrastructuur. Deze relatie wordt versterkt door de keuze om de nieuwe versie van de Entree Federatie te baseren op software die binnen het HO wordt toegepast.

IBP

AVG is drijfveer voor verbeteringen aan Architectuur:

In §2.2.2 van de Marktverkenning (2) wordt de AVG genoemd als één van de redenen waarom vernieuwing van de Entree Federatie (EF) nodig is. De AVG biedt gebruikers het recht op meer inzicht in en controle over hun gegevens. Met het huidige platform gaat dit lastig en is innoveren duur, aangezien deze gebaseerd is op verouderde technologie. Daarnaast speelt ook mee dat leerlingen tot 14 jaar zelf niet de verantwoordelijkheid over hun eigen identiteit dragen, waardoor de onderwijsinstelling daarvoor verantwoordelijk is.

Duidelijke eisen en verwachtingen:

Op P.11 van de technische verkenning (1) wordt het idee van de Attribute Release Policy service uitgelegd. Uit gesprekken met de EF (5) bleek dat iedere school met iedere service provider een eigen ARP afsluit. De scope van de Attribute Release Policy lijkt te passen bij de scope van Services waarvoor in het OSR mandaten worden vastgelegd. Scholen zullen voor een dienst zowel mandateringen in het OSR als ARPs voor Entree moeten vastleggen.. In de Developer documentatie (3) bestaat een pagina waar aanvullende attributen en richtlijnen op te vinden zijn. Uit brondocument (5) blijkt dat in de nieuwe situatie dit anders zal werken. Bij het aansluiten van een service provider kan de attributenset ingericht worden conform, bijvoorbeeld, het Attributenbeleid van Edu-K of andere relevante afspraken.

Continuïteit van de dienstverlening:

De uitgangspunten op p.14 technische verkenning (1) gaan in op een technische implementatie om de continuïteit van de dienstverlening te waarborgen. De maatregelingen om de continuïteit te waarborgen zijn goed uitgewerkt en zouden potentieel van toegevoegde waarde kunnen zijn voor de ROSA om de implicatie binnen het ontwerpkader te verrijken met voorbeelden.

Consistent.pngConsistent - Op pagina 14 van de technische verkenning (1) worden continuïteit, performance en betrouwbaarheid genoemd als de focuspunten om de architectuur te verbeteren. Deze focuspunten hebben veel raakvlakken met het ROSA ontwerpgebied IBP.

Het Attribute release policy heeft een relatie met ROSA ontwerpkader Duidelijke eisen en verwachtingen.

De uitgangspunten op p.14 van de technische verkenning (1) hebben een relatie met ROSA ontwerpkader Continuïteit van de dienstverlening.

IAA

Het huidige Entree Federatie platform loopt tegen grens aan van het aantal authenticaties p.22 technische verkenning (1), daarnaast wil Kennisnet nieuwe technologieën op het gebied van Identity Management kunnen ondersteunen zoals SSO voor mobiele devices. [§2.2.2 van de Marktverkenning (2)]

Marktpartijen kunnen IAA-diensten leveren

Volgens p.8 vd technische verkenning (1) maakt de Entree Federatie (EF) gebruik van een Hub-and-spoke model. Dit houd in dat de EF erin voorziet dat meerdere Service providers gebruik kunnen maken van identiteiten vanuit verschillende ID providers via een centrale hub.

Meerdere expliciete betrouwbaarheidsniveaus

Op p.24 van de technische verkenning (1) staat de impact omschreven van het ondersteunen van betrouwbaarheidsniveaus op de Entree Federatie. ID providers zijn verantwoordelijk om deze betrouwbaarheidsniveaus in te stellen. Er zijn momenteel geen attributen ingericht om een betrouwbaarheidsniveau uit te wisselen binnen de Entree Federatie.

Compliant.pngCompliant - Er is een relatie met ROSA ontwerpkader Meerdere expliciete betrouwbaarheidsniveaus. Het inrichten van deze betrouwbaarheidsniveaus is niet de verantwoordelijkheid van de EF, maar zal dit wel gaan ondersteunen.

Daarnaast is er een relatie met het ontwerpkader Marktpartijen kunnen IAA-diensten leveren, aangezien de EF de dienstverlening van ID providers makkelijker maakt.

Gegevensuitwisseling in de keten

Behoeftegerichte en doelgebonden gegevensuitwisseling

De EF biedt een manier om identiteit van een gebruiker uit te wisselen op het moment dat die gebruiker zich bij een systeem aanmeldt. Daarvoor wordt gebruik gemaakt van het SAML-protocol of OpenID-connect. De Entree Federatie is zelf geen gegevensbron voor identiteitsgegevens. Ook de attributen die via de Entree Federatie kunnen worden meegestuurd worden niet binnen Entree opgeslagen. De registratie en het gebruik van Attribute Release Policies ondersteunt het behoeftegericht en doelgebonden uitwisselen van deze gegevens.

‘Mijn Entree’ biedt een aantal APIs voor metadata en rapportage. Via de Mijn Entree APIs kunnen alleen publieke gegevens worden ontsloten.

Toepassing van de UBV-TLS afspraak wordt als vanzelfsprekend gezien.

Compliant.pngCompliant - De inrichting van de Entree Federatie is gericht op het minimaliseren van de uit te wisselen attributen, waarmee invulling gegeven wordt aan het basisprincipe Behoeftegerichte en doelgebonden gegevensuitwisseling.

Governance

Volgens de Pitch (4) blijft het beheer van de Entree Federatie belegd bij Kennisnet.

Alle belangen in kaart

H4 van de Marktverkenning (2) beschrijft de positie van alle groepen belanghebbende waaronder kennisnet zelf, verschillende groepen gebruikers concurrenten en leveranciers.

Betrokken belanghebbenden

In H4 van de Marktverkenning (2) worden de groepen belanghebbenden benoemd. Uit de gesprekken met de EF blijkt dat via programma start schooljaar SEM de communicatie verloopt. Scholen worden geïnformeerd via de nieuwsbrief van Kennisnet en later ook via de raden.

Bewaak relaties met andere afspraken

Het governanceproces rondom de Entree Federatie haakt aan bij bestaande governance- en opverlegstructuren met overlappende doelstellingen. Dit governanceproces is vanuit de Entree Federatie zelf lastig te sturen.

Aanvullend

Het onderwijsdomein kent geen stelselconformiteit als eis of randvoorwaarde. Hoewel dit strikt genomen buiten de scope van de ROSA-governanceparagraaf valt, onderkennen we dat gebrek aan een overkoepelend stelsel hier wel als risico. De werking van de federatie is uiteindelijk afhankelijk van de op intenties gebaseerde samenwerking tussen ketenpartijen.

Compliant.pngCompliant - H4 van de Marktverkenning (2) beschrijft de positie van alle groepen belanghebbenden en heeft daarom een relatie met ontwerpkader Alle belangen in kaart.

Er is een relatie met Betrokken belanghebbenden. Er is bekend hoe de groepen belanghebbende betrokken zullen worden bij het beheer/doorontwikkelproces.

Relaties met andere afspraken worden bewaakt door bijvoorbeeld aan te sluiten bij werkgroepen met overlappende doelstellingen. Daarom wordt voldaan aan het ontwerpkader Bewaak relaties met andere afspraken.

Ketenprocessen

“De Entree Federatie doet dit door online authenticatie van gebruikers te centraliseren, waarbij onderwijsinstellingen en dienstaanbieders met elkaar gekoppeld worden via een centrale voorziening. Dit geeft onderwijsdeelnemers de mogelijkheid om via Single Sign-On met het account van hun onderwijsinstelling in te loggen bij alle dienstaanbieders in het onderwijs. Op deze manier kunnen dienstaanbieders beschikken over betrouwbare onderwijsidentiteiten zonder met elke onderwijsinstelling aparte afspraken of koppelingen te hoeven maken.” [Bron: Context H2 Marktverkenning (2)]

Dienstaanbieders binnen het PO, VO en MBO kunnen zich aansluiten bij de Entree Federatie. De scope van de EF beperkt zich hierbij niet tot diensten ter ondersteuning van een beperkt aantal ketenprocessen.

Compliant.pngCompliant - Volgens het stuk Context uit H2 van de Marktverkenning (2) is de Entree Federatie een aanmelddienst. Daarom heeft het een relatie met alle ketenprocessen.

Zeggenschappen en gegevenssoorten
Zeggenschappen rondom de Entree Federatie

Compliant.pngCompliant - Entree is zelf ook idP, maar daar is een aparte dienst voor gemaakt. Er zitten geen identiteiten in de Entree federatie zelf (alleen bij Idps).

Uit gesprekken blijkt dat de EF de uitwisseling van attributen en het goed vastleggen van zeggenschappen op attributen faciliteert. Entree is daarin geen verantwoordelijke partij. Rollen en verantwoordelijkheden zijn (juridisch) geregeld in een contract voor aansluiting.

Bouwstenen en voorzieningen

Compliant.pngCompliant - Uit de ROSA Wiki (7) wordt duidelijk dat er een relatie is met het referentiecomponent Toegangsdienst educatieve content.

Implementatie

Het project omvat een stevige infrastructurele vernieuwing die veel partijen raakt.

N.v.t. -