Login og step-up i Aula

Aula kan enten tilgås via understøttede webbrowsere på www.aula.dk eller app (Aula og Aula for medarbejdere), som kan downloades i Apples App-store eller Google Play.

Der findes forskellige login-metoder afhængig af om man er barn, værge eller medarbejder.

• Børn og værger anvender UNI-login

Et barn eller værge bliver altid logget på Aula på Assurance Level 2 – se spørgsmål om ”Hvad er Assurance Levels og 2-faktor-login?”. Assurance Level 2 giver adgang til hele Aula, med undtagelse af indhold af personfølsom karakter, såsom følsomme beskeder.

Hvis et barn eller værge skal tilgå udvalgt materiale i Aula som fx en besked markeret som følsom, skal brugeren op på Assurance Level 3 og give sig selv autoritet til at handle på et højere sikkerhedsniveau. For at en bruger kan komme op på Assurance Level 3, kræver det et yderligere login, en så kaldt step-up-metode. Det er for at sikre, at følsomme data er beskyttet af et ekstra sikkerhedslag. For yderligere spørgsmål om log-in og step-up, se spørgsmålet ”Hvilke kombinationer af login og step-up løsninger kan Aula håndtere for forældre/børn”

• Medarbejdere kan anvende UNI-login, Fælleskommunal Adgangsstyring eller Identity Provider

Fælleskommunal Adgangsstyring og Identity Provider kan kun benyttes forudsat at disse er opsat som login-metode i den pågældende institution eller kommune.

Login via UNI-login: Her gælder samme login og step-up-metode som for børn og forældre.

Fælleskommunal Adgangsstyring eller Identity Provider: Alt efter hvordan dette er sat op i den enkelte kommune eller institution, er det muligt at logge ind i Aula med Fælleskommunal Adgangsstyring og Identity Provider på enten Assurance Level 2 eller Assurance Level 3. Ved login på Assurance Level 2 vil medarbejderen opleve at skulle lave et såkaldt step-up for at tilgå indhold i Aula med følsomme personoplysninger. Ved login direkte på Assurance Level 3 vil medarbejdere kunne tilgå disse uden et ekstra step-up. For spørgsmål om Assurance Levels, se spørgsmål om ”Hvad er Assurance Levels og 2-faktor-login”. For yderligere spørgsmål om log-in og step-up, se spørgsmålet ”Hvilke kombinationer af login og step-up løsninger kan Aula håndtere for medarbejdere?”

• Specielt i forhold til appen

På nuværende tidspunkt er det muligt at logge ind i Aula APP med UNI-log-in, kommunal Identity Provider med Assurance Level 3 og Fælleskommunal Adgangsstyring. Hvis en kommune har en Assurance Level 2 kommunal IdP, men har købt en Level 3 IdP til step up (hvilket er muligt fra release 1.1.5), kan de benytte sidstnævnte til at logge i appen. Indtil da, er den eneste mulighed for at skifte fra Level 2 til 3 UNI-Login’s step-up-metode bestående af NemID eller NemID Erhverv.

I appen skal der steppes up med den metode, som er tilgængelig, allerede ved første login (medmindre at login-metoden giver direkte adgang til Assurance Level 3). Her bliver det muligt at vælge anden login-metode fremadrettet (pinkode eller biometri). Hvis pinkode eller biometri vælges, vil en forælder eller medarbejder automatisk få adgang til Assurance Level 3, når denne logger ind i appen, og derfor vil følsomt indhold være tilgængeligt. Hvis pinkode eller biometri ikke er valgt som loginmåde, kræves der step-up ved hvert login. Derfor anbefales det at sætte applikationen op til pin/biometri.

OBS: Hvis den kommunale Identity Provider vælges som login-metode, og den ikke er opsat til automatisk at kæde dit UNI-Login ID sammen med brugernavnet fra den pågældende kommunale IdP, skal det gøres manuelt. Det gøres via UNI-login den første gang, du logger på. Dette skal ske via webbrowser og kan altså ikke foretages i appen.  Da vi forventer, at medarbejdere i de kommuner, der ønsker at bruge kommunal IdP på app, allerede har været logget ind via kommunal idP på web, forventer vi ikke, at dette blive en kilde til udfordringer med login. Derudover oplever vi, at de fleste IdP’er sender ID med, hvorfor der ikke er behov for yderligere sammenkædning.

Sikringsniveauer beskrives efter standarden NSIS 2.0 (National Standard for Identiteters Sikringsniveauer) – og definerer krav til lokale elektroniske identifikationsordninger, der anvendes til transaktioner mellem parter i Danmark. NSIS Assurance Level 2 er det grundlæggende adgangsniveau til Aula, der svarer til et en-faktor-login, og NSIS Assurance Level 3 er step up-adgangsniveauet i Aula, der giver adgang til følsomme data vha. 2-faktor-login.

2-faktor-login er et selvstændigt login til Aula, som skal benyttes for at få adgang til følsomt materiale i Aula. Dette drejer sig om:

• Beskeder med følsomme personoplysninger
• Sikker fildeling (kun for medarbejdere)
• Administrationsmodulet (kun for medarbejdere)

For at få adgang til det udvalgte materiale og komme op på Assurance Level 3, skal der laves et ”Step-up” med et 2-faktor-login.

  
Et 2-faktor-login skal følge identifikationsfaktorer fra de tre kategorier:  

• Noget brugeren er (f.eks. biometri – at identificere en person ud fra specifikke kendetegn, såsom fingeraftryk)
• Noget brugeren ved (f.eks. Brugernavn, password)
• Noget brugeren er i besiddelse af (f.eks. nøglekort, nøglefil eller smart card)

Ved et 2-faktor-login skal to af de ovennævnte faktorer indgå. Det er altså ikke gyldigt at bede om password af to omgange i samme login. Som eksempel er NemID og NemID Erhverv et 2-faktor-login, da denne spørger om brugernavn/password samt en efterfølgende nøglefil. På samme måde skal et hvert andet 2-faktor-login indeholde mindst to ud af de tre faktorer i samme login procedure.

Det understreges, at 2-faktor-login til step-up er et selvstændigt login. Det er altså ikke nok, hvis der f.eks. logges ind med en kommunal Identity Provider, som efterspørger brugernavn og password, og den efterfølgende step-up-metode kun indeholder, at brugeren skal indtaste en nøglefil. Step-up-metoden skal i dette tilfælde mindst indeholde en af de resterende to identifikationsfaktorer – noget brugeren er, eller noget brugeren ved – som supplement til indtastningen af nøglefilen.   

Hvordan anvendes step-up-metode for forældre og børn på app?

Alle forældre og børn logger på Aula via UNI-Login og starter Aula med Assurance Level 2.

• Børn uden NemID under 15 år har på nuværende tidspunkt ikke mulighed for at foretage step-up, men det bliver muligt for børn ned til 13 år med MitID, som er planlagt til 2020.
• Forældre vil foretage step-up via deres private NemID

Første gang en forælder logger ind med UNI-login i Aula via en app, skal vedkommende foretage step-up med NemID. Hvis dette er allerførste login i Aula, vil en forælder også blive bedt om at udfylde samtykke. Her bliver det også muligt at vælge anden login-metode fremadrettet (pinkode eller biometri). Hvis pinkode eller biometri vælges, vil forælderen automatisk være på Assurance Level 3, når denne logger ind i appen, og derfor vil personfølsomt indhold være tilgængeligt. Hvis pinkode eller biometri ikke er valgt som loginmåde, bruges UNI-login og NemID ved hvert login. Derfor anbefales det at sætte applikationen op til pin/biometri.

Hvordan anvendes step-up-metoden for forældre og børn via browser?

Forældre og børn kan logge på Aula med NemID og få direkte adgang til Assurance Level 3. Vælger de i stedet at logge på Aula via UNI-Login, starter de Aula med Assurance Level 2 og skal steppe up for at tilgå følsomt data (fx følsomme beskeder).

• Børn uden NemID under 15 år har på nuværende tidspunkt ikke mulighed for at foretage step-up, men det bliver muligt for børn ned til 13 år med MitID, som er planlagt til 2020.
• Forældre vil foretage step-up via deres private NemID

Første gang en forælder logger ind med UNI-login, skal vedkommende også lave step-up med NemID for at kunne udfylde samtykke. Hvis forældre ønsker at tilgå beskeder med følsomme personoplysninger, vil de foretage step-up via UNI-Login’s step-up model, hvor de foretager et step-up med NemID. Dette ekstra sikkerhedsniveau gælder for hele sessionen. Det betyder, at hvis en forælder først vælger step-up ifm. læsning af en besked med følsomme personoplysninger, men efterfølgende tilgår en anden funktionalitet for så at vende tilbage, skal vedkommende ikke foretage endnu et step-up.

Det er op til den enkelte kommune og institution at fastsætte, hvilket login og step-up-metode som de ønsker at benytte. Nedenstående skema viser, hvilke kombinationer af login op step-up-metoder, der er mulige. Det skal her desuden bemærkes, at den valgte step-up-metode skal være af typen 2-faktor-login.

*Ved brug af UNI-login som step-up-metode til Fælleskommunal Adgangsstyring eller Identity Providers menes der, at UNI-login’s step-up-metode skal anvendes. Det vil sige, at der anvendes NemID og NemID Erhverv som step-up.

Frem til release 1.1.5 er UNI-Login’s step-up den eneste metode, som understøttes og kan anvendes til at skifte fra Assurance Level 2 til Assurance Level 3. Det er dog muligt at opnå direkte adgang til level 3, hvis der logges ind via en kommunal Identity Provider eller Fælleskommunal Adgangsstyring, som automatisk understøtter dette

• Via app/tablet

Der findes to forskellige app’s for Aula – en for medarbejdere kaldet ”Aula for medarbejdere” og en for forældre/børn kaldet ”Aula”. De to individuelle app’s muliggør, at en bruger logger selvstændigt ind i de to forskellige app’s, alt afhængig af hvilken rolle, man ønsker at tilgå app’en fra, med samme login.

• Via browser

Aula for medarbejdere og forældre tilgås i samme browservindue. Via en dropdown menu vælges den profil, brugeren ønsker at agere som.

Hvis en bruger er logget ind som forælder via sit UNI-Login, vil brugeren ikke skulle logge ind igen, hvis personen skifter rolle til medarbejder. Skiftet mellem profilerne foregår som en dropdown menu i overblikket i Aula, og da det er verificeret at personen er den, som han/hun udgiver sig for at være (både forælder og medarbejder), kræves der ikke et yderligere login for brugeren.

Hvis personen vil tilgå følsomt indhold som forælder, og dermed tilgå Assurance Level 3, anvendes NemID. Hvis der efterfølgende skiftes profil (fra forælder til medarbejder), og man endnu engang ønsker at tilgå følsomt indhold, vil systemet udelukkende kigge på, hvilket Assurance Level brugeren allerede er på. Hvis vedkommende derfor allerede er på Assurance Level 3, vil der ikke blive bedt om et yderligere login.

Det er muligt for Aulas medarbejdere at vælge en ny login-metode efter at have været logget ind med en specifik metode førhen (afhængig af hvilke login-metoder, som er til rådighed: UNILogin, Fælleskommunal Adgangsstyring og/eller Identity Provider). Det gøres blot ved at logge ud og ind igen med den ønskede login-metode.

En kommunes Identity Provider er afhængigt at kommunens certifikat. Når kommunens certifikat udløber og skal udskiftes, er det vigtigt at informere Netcompany i god tid om, hvornår kommunen planlægger at skifte over til det nye certifikat – gerne senest 1 måned før. Dette gør, at Netcompany har mulighed for at opdatere metadata før certifikatets udløb, således at kommunens brugere ikke pludselig er forhindrede i at logge på Aula med kommunal IdP. Det er nemlig ikke muligt at benytte en kommunes Identity Provider, hvis det tilhørende certifikat er udløbet.

Det anbefales at foretage et rullende certifikatskifte. Et rullende certifikatskifte gør, at certifikatet ikke skal udskiftes på ét bestemt tidspunkt, men at der er en overgangsperiode, hvor både det gamle og det nye certifikat gælder. Dermed mindskes risikoen for at det gamle certifikat udløber uden at være blevet erstattet. Herunder ses en vejledning til processen for rullende udskiftning af certifikat.

• Tilføj i god tid (gerne 1 måned før) det nye certifikat som signerings- og dekrypteringscertifikat i fx. AD FS, uden at fjerne det gamle certifikat
  • Dette er det afgørende punkt, da man godt kan tilføje det nye certifikat uden at fjerne det gamle.
• Lav udtræk af SAML metadata i god tid, inden det gamle certifikat udløber.
• Metadata vil nu indeholde både det nye og gamle certifikat, og de to overlapper, således at begge er gyldige.
• Send metadata via Servicekataloget i Aulas administrationsmodulet (Ændring af IdP-opsætning) og informér om, hvornår det nye certifikat er aktivt, samt hvornår det gamle certifikat fjernes – dette trin må gerne udføres senest 1 måned før certifikatskifte.
• Netcompany kan nu opdatere metadata på et vilkårligt tidspunkt i den periode hvor de to certifikater overlapper.
  • Det gamle certifikat er endnu ikke udløbet, så login fungerer i hele perioden
• Når Netcompany bekræfter at SAML metadata, med det nye certifikat, er indlæst kan kommunen skifte over til det nye certifikat og fjerne det gamle igen.

Du kan hente hjælp til problemer med Unilogin via denne side hos STIL:

https://viden.stil.dk/display/STILVIDENOFFENTLIG/2019/10/02/AULA+og+Unilogin+-+FAQ

Før i tiden var der en begrænsning på tre personer ifm. import til UNI-Login. Udmeldingen fra STIL, KMD og IST er, at der kan være op til ti kontaktpersoner af typen FAR, MOR eller ANDET – dvs. der ikke længere er en begrænsning på tre kontaktpersoner på et barn. Hvis du oplever at det er et problem, skal du derfor kontakte din leverandør (KMD eller IST)

Personale fra behandlingshjem skal have mulighed for at se skema, modtage beskeder, osv. fra de børn som bor på behandlingshjemmet. Mulighederne for at Aula kan håndtere dette er følgende:

• De skal fremgå i Uni-login som kontaktpersoner til barnet af typen “Andet”. Se evt. viden.stil.dk for uddybning.
• Alternativt kan de oprettes som ekstern bruger. Men så forsvinder relationen til barnet og dermed muligheden for at se skemaet. Medarbejdere vil dog godt kunne skrive til personalet fra behandlingshjemmet og omvendt.

Hvis en bruger har navne- og adressebeskyttelse, så medsendes deres navne og adressedata ikke til leverandørerne via Uni-login databasen. Konsekvensen er, at når de logger ind i digitale løsninger fx Aula, så fremgår deres navne ikke, men der står alene FE + ettal (fx FE245312). Der kan være god grund til at have navne- og adressebeskyttelse, men ofte er situationen den, at eleven
eller dennes kontaktperson alene er interesseret i adressebeskyttelse.
Det er muligt i de administrative systemer at give brugeren et alias som overføres til Aula. Dette bør altid ske under forudgående samtykke fra brugeren.

Som udgangspunkt, er der to måder at oprette eksterne brugere i Aula:

1. Kommunen køber et administrativt system til at oprette og håndtere brugere
2. Kommunen bruger Brugeradministrationen i UNI-Login og opretter brugere manuelt og knytter dem til kommuneinstitutionen – bemærk, at det fra 30.09.2019 kun kan lade sig gøre at oprette brugere manuelt vha. CPR-nummer.

Aula-projektet anbefaler, så vidt muligt, at benytte sig af punkt 1, til at oprette og håndtere brugere. Det skyldes, at når der oprettes brugere i brugeradministrationen i UNI-Login, bliver der ikke læst stamdata ind i Aula, udover fornavn og efternavn. På sigt vil det derfor ikke være muligt at bruge denne kanal til oprettelse af eksterne brugere.

Når der oprettes elever i de administrative systemer fra IST og KMD er det vigtigt, at den første gruppe som eleven skal tilknyttes (ved upload til UNI-Login) bliver klassen og dermed hovedgruppen. Hvis en anden gruppe, som ikke er klassen, tilknyttes en elev først, vil denne gruppe blive til en hovedgruppe i UNI-Login.

Da klasser anvendes som hovedgruppe i Aula, skal alle elever i UNI-Login have tilknyttet en klasse som det første.

Som udgangspunkt kan en statslig bruger oprettes i de brugeradministrative systemer ved at tilknytte dem til en institution. Dermed vil de kunne tilgå Aula. Det vil være op til den enkelte kommune at vedligeholde brugerne og deres tilknytning til en institution.

I Aula er det kun værger med forældremyndighed, der kan se og afgive samtykker. Aula får forældermyndigheden fra de administrative systemer, som igen får dem fra CPR. Så hvis der i særlige tilfælde er en anden end forældermyndighedershaveren, der skal afgive samtykkerne, så skal dette sættes op i de administrative systemer.

Aula styrer desuden udelukkende efter det sidstafgivne samtykke, så Aula skelner ikke mellem om de er samboende eller ej.

Aula understøtter ikke medarbejdere på behandlingshjem på nuværende tidspunkt (version 1.1.4). Aula understøtter at plejeforældre og “medmødre” mfl. kan få adgang til børn på lige fod med forældre med forældremyndighed. Men altså ikke medarbejdere på behandlingshjem.

Udfordringen med ansatte på behandlingshjem er anderledes end plejeforældre, da medarbejderne kan være ansat på et privat behandlingshjem og ikke bør få blandet børn de er ansvarlige for på deres arbejdsplads, sammen med egne børn. Herudover er det ikke hensigtsmæssigt at de kan tilgå data om børn de er ansvarlige for igennem deres arbejde ved hjælp af Unologin og deres personlige Nem Id.

BPI-programmet faciliterer en proces for at afdække behov for sikre en langvarig løsning, som ikke kun er gældende for Aula. KOMBIT følger deres fremdrift, og vi kommunikerer ud til jer, så snart vi ved mere.