• Created by Unknown User (servaasschramaadmin) on Dec 01, 2023
In het Netwerk wordt SAML metadata gebruikt voor het beschrijven van de URL's en certificaten die worden gebruikt op de verschillende koppelvlakken. Actuele metadata is van belang om twee redenen:
  1. De metadata geeft weer voor welke rol en op welk betrouwbaarheidsniveau een deelnemer is toegetreden. Met andere woorden, op basis van de metadata wordt bepaald wie wat mag in het netwerk.
  2. De metadata geeft weer hoe systemen van deelnemers kunnen worden benaderd en met welke certificaten deze systemen zijn te authenticeren. Hierdoor speelt de metadata een belangrijke rol in het bewaken van de integriteit en authenticiteit van de verklaringen en gegevens die door het netwerk worden geleverd.
Netwerkmetadata wordt gebruikt voor zowel het productie- als het testnetwerk. De processen voor productie en test zijn grotendeels gelijk. Dit document beschrijft beide.

Doelstelling

De doelstelling van het metadata proces is tweeledig:

  1. Waarborgen dat de netwerkmetadata op correcte wijze tot stand komt;
  2. Waarborgen dat alle deelnemers de actuele netwerkmetadata in hun systemen gebruiken.

Verantwoordelijkheden

  • Beheerorganisatie:
    • De technisch beheerder is er vanuit de beheerorganisatie verantwoordelijk voor dat het proces wordt uitgevoerd conform de procesbeschrijving. De technisch beheerder zorgt tevens dat de procesbeschrijving actueel blijft en coördineert de verschillende stappen in het proces;
    • De juridisch coördinator bewaakt dat de metadata een correcte weergave is van de contractadministratie en toetredingsbesluiten.
  • De deelnemers zijn verantwoordelijk voor het controleren en aanleveren van metadata.

Overzicht processtappen

Toelichting processtappen

1. Controleren en aanleveren metadata

Input

  1. Een deelnemer genereert nieuwe metadata conform de technische specificaties en ondertekent deze met zijn valide digitale handtekening.

Uiterlijk 7 dagen voor daadwerkelijk doorvoeren van de geplande wijzigingen in zijn infrastructuur, stelt de deelnemer de gecontroleerde nieuwe metadata beschikbaar voor de beheerorganisatie op zijn productionele metadata (HTTPS) URL. Deelnemers publiceren hun productionele metadata op een aparte URL per rol binnen het Netwerk. Nieuwe entities worden hierin toegevoegd met een ValidFrom datum in het beoogde onderhoudswindow waarin de wijziging moet worden doorgevoerd. Overtollige entities worden verwijderd door het toevoegen van een ValidUntil datum in het beoogde onderhoudswindow waarin de wijziging moet worden doorgevoerd. Van gewijzigde entities wordt de oude entry op genomen met een validUntil datum en de nieuwe entry met een validFrom datum. Ook hierbij liggen beide data in het beoogde onderhoudsvenster waarin de wijziging moet worden doorgevoerd. Daarna informeert de deelnemer de andere deelnemers en de beheerorganisatie d.m.v. een  incidentmelding. Dit issue bevat minimaal: 

  • Het verwachte tijdstip van doorvoeren
  • Een beschrijving van de wijzigingen
  • De URL van de nieuwe metadata

Activiteit

2. Een automatisch controle proces voert de technische controles op de, door de deelnemer gepubliceerde nieuwe, metadata uit. Deze controles bestaan uit: 

    1. Validatie van de het metadata bestand tegen de technische specificities
    2. Validatie van de elektronische handtekening van de deelnemer
    3. Controle van de consistentie van het metadata bestand
    4. Controle op juridische inhoud (de rollen en betrouwbaarheidsniveaus die de deelnemer o.b.v. deze metadata claimt te mogen uitvoeren), zoals vooraf gedefinieerd door de juridisch coördinator van de beheerorganisatie. N.B. Deze controlestap wordt voor metadata van het testnetwerk overgeslagen. Hier moeten (aankomende) deelnemers juist kunnen testen als onderdeel van het toetredingsproces.

3. Wanneer één van de genoemde controles geen positief resultaat heeft, wordt geen nieuwe metadata gepubliceerd op de URL van de beheerorganisatie.

  • De deelnemers worden per e-mail van het resultaat van de controle op de hoogte gebracht, alleen als metadata van de deelnemer gewijzigd is om "spamming" te voorkomen. Bij fouten in de metadata die in stap 1 worden geconstateerd, worden deze via e-mail door het automatisch proces zowel naar de deelnemer als naar de beheerorganisatie verstuurd.

Output

  • In behandeling genomen goedgekeurde metadata.
  • Terugmelding besluit.

Wie?

  • De beheerorganisatie beoordeelt de metadata;
  • De juridisch coördinator beoordeelt de rollen en betrouwbaarheidsniveaus.
2. Genereren en publiceren netwerkmetadata

Input

Goedgekeurde metadata

Activiteit

4. Het automatisch proces genereert, na stap 1 in de voorgaande activiteit als wijziging in metadata gedetecteerd is, een nieuwe versie van het huidige geaggregeerde metadatabestand met een cacheduration van "PT1H" (één uur). Entries met een ValidUntil datum meer dan 1 maand in het verleden worden hierbij uit het metadata bestand verwijderd.

5. Deze nieuwe netwerkmetadata wordt door het automatisch proces gepubliceerd op https://aggregator.etoegang.nl/test/1.13/networkmetadata.xml (testnetwerk) of https://aggregator.etoegang.nl/1.13/networkmetadata.xml (productie). Deze metadata en het moment waarop deze door het automatisch proces in productie gezet is, wordt tevens door het automatisch proces per e-mail naar de deelnemers gestuurd. Tevens wordt de metadata gearchiveerd conform de werkbeschrijving in Confluence.

Output

Gepubliceerde metadata

Wie?

De technisch beheerder van de beheerorganisatie voert deze stap uit

3. Doorvoeren netwerkmetadata

Input

Gepubliceerde metadata

Activiteit

6. De automatische processen van de deelnemers pakken de nieuwe metadata op en voeren deze door, waarbij de daadwerkelijke wijzigingen door de gebruikte ValidIUntil/ValidFrom datums direct na het onderhoudswindow daadwerkelijk actief worden.

7. De deelnemer die nieuwe metadata doorvoert controleert, tijdens zijn onderhoudswindow, de werking van de nieuwe metadata. Als de wijzigingen niet goed werken, dan kan de deelnemer tijdens het onderhoudswindow een nieuwe versie van de nieuwe metadata uploaden of de oude versie uploaden. Deze wordt door het automatisch proces gecontroleerd, geaggregeerd en gepubliceerd op de bovengenoemde URLs, waarna deze binnen een uur automatisch door de deelnemers wordt opgepakt en doorgevoerd.

a. Zonodig kan de technisch beheerder, bij ernstige verstoringen in het onderhoudswindow, handmatig een rollback naar de originele productionele metadata van voor de wijziging doorvoeren.

8. De deelnemers melden in het incidentmanagementsysteem het resultaat van de doorvoering indien relevant.

Output

Geïmplementeerde nieuwe metadata

Wie?

  • De deelnemers implementeren de nieuwe metadata;

  • De technisch beheerder monitort en rapporteert aan de deelnemers.