Integration eines S-Profil-Verfahrens

Der USP Identity Provider (USP‑IdP) ist auf Basis von Keycloak implementiert und unterstützt alle gängigen SAML‑Client‑Konfigurationen, mit Ausnahme des des Artifact‑Bindings. Für jede Stage der anzubindenden Anwendung wird im USP ein eigener SAML‑Client mit einer eindeutigen EntityID eingerichtet. Dadurch kann der USP‑IdP eingehende SAML‑Requests eindeutig dem richtigen Verfahren zuordnen. Darüber hinaus prüft der USP‑IdP bei jeder Anmeldung, ob die angemeldete Person über die erforderlichen Berechtigungen für das jeweilige Verfahren verfügt.

Je nach Art der Übermittlung von SAML‑Requests und ‑Responses unterscheidet der USP‑IdP zwischen zwei Binding‑Typen:

• Redirect Binding: Requests und Responses werden als URL‑Parameter innerhalb eines Redirects zwischen Verfahren und USP‑IdP übertragen.
• POST Binding: Verfahren und USP-IdP stellen jeweils eine Seite mit einem HTML‑Formular bereit. Request bzw. Response werden per POST‑Request an den SAML‑Endpunkt der jeweils anderen Partei übermittelt.

Login über das S-Profil

Der USP‑IdP unterstützt sowohl Service‑Provider‑(SP‑)initiierte als auch IdP‑initiierte Logins.

Ablauf eines SP-initiated Login

1. Die Benutzerin bzw. der Benutzer startet die Anmeldung, indem das Verfahren über den entsprechenden Link auf mein.usp.gv.at aufgerufen wird.
2. Die Anwendung erkennt, dass es sich um einen Login über das USP handelt, und sendet einen signierten SAMLRequest an den SAML‑Endpunkt des USP‑IdP. Dieser Request enthält die EntityID des Verfahrens.
3. Falls noch keine aktive Session besteht, wird die Benutzerin bzw. der Benutzer zur Anmeldung beim USP aufgefordert.
4. Anschließend wird die Benutzerin bzw. der Benutzer zurück zum Verfahren geleitet.
5. Gleichzeitig übermittelt der USP‑IdP eine signierte und verschlüsselte SAMLResponse über den Frontchannel an den Assertion Consumer Service (ACS) des Verfahrens.

Ablauf eines IdP-initiated Login

1. Die Benutzerin bzw. der Benutzer öffnet den verfahrensspezifischen Link über die auf mein.usp.gv.at.
2. Der USP‑IdP erkennt anhand des aufgerufenen Links, dass der Login für das jeweilige Verfahren durchzuführen ist.
3. Sofern noch keine aktive USP‑Session besteht, erfolgt zunächst die Anmeldung beim USP.
4. Anschließend wird die Benutzerin bzw. der Benutzer zurück zum Verfahren geleitet. Der USP‑IdP sendet dabei eine signierte und verschlüsselte SAMLResponse über den Frontchannel an den ACS des Verfahrens.

Erforderliche Informationen

Logout über das S-Profil

Ablauf

1. Die Benutzerin bzw. der Benutzer startet die Abmeldung über den Logout-Endpunkt des Verfahrens, das erkennt, dass eine USP‑Abmeldung erforderlich ist.
2. Das Verfahren leitet die Benutzerin bzw. den Benutzer an den SAML‑Endpunkt des USP‑IdP weiter und übermittelt einen signierten Logout-Request mit seiner EntityID.
3. Der USP‑IdP leitet den Benutzer anschließend zum Single Logout Service (SLS) des
   Verfahrens zurück und übermittelt die Logout-Response.

Erforderliche Informationen

Sofern der Single Logout Service (SLS) nicht bereits im SAML‑Descriptor des Verfahrens enthalten ist, sind SLS‑Endpunkt und verwendetes Binding gesondert bekanntzugeben.

Attribute im S-Profil

Alle Attribute werden verschlüsselt als SAML‑Assertion an das Verfahren übermittelt.