Technische Informationen

Inbetriebnahme einer SAML Anwendung

Für die Aktivierung Ihrer SAML Anbindung benötigt die HIN folgende Informationen:

• Issuer Ihrer AuthnRequests
• Zertifikat für die Signaturprüfung Ihrer Nachrichten

Diese können über das Zertifikatsportal oder während der Aufschaltung an den HIN Mitarbeiter bereitgestellt werden.

Issuer

Der verwendete Issuer wird vom HIN IDP für die Bestimmung des zulässigen Zertifikats verwendet und muss desshalb einzigartig sein. Um Namens-Kollisionen mit bestehenden SPs zu vermeiden, empfehlen wir die Verwendung einer URI als Issuer. Bitte beachten Sie, dass auch Ihre Testapplikationen über einen eigenen Wert bei, Issuer verfügen oder das gleiche Zertifikat wie Ihre produktive Applikation verwenden müssen (nicht durch HIN empohlen).

Zertifikat

Requests und Responses werden digital signiert. Der Applikationsanbieter muss die Signatur der Response zwingend prüfen und stellt dazu ein eigenes Zertifikat über das Zertifikatsportal (certportal.hin.ch) bereit.

• Ein Self-Signed-Zertifikat ist möglich, ein CA-signiertes wird empfohlen.
• Das Ablaufdatum liegt in der Verantwortung des Zertifikatausstellers.
• Das IDP-Zertifikat läuft alle 6 Monate ab; HIN informiert hinterlegte Mail-Adressen drei Monate im Voraus und aktualisiert die Metadaten laufend.
• Für einen unterbrechungsfreien Austausch empfiehlt HIN eine SAML Library, die mehrere Zertifikate gleichzeitig unterstützt.

Die aktuellen IDP-Zertifikate finden Sie in den Metadaten Metadaten.

Bindings

Die unterstützen Bindings können Sie den Metadaten entnehmen.

Session-Handling

Die Session liegt vollständig in der Verantwortung des Applikationsanbieters. Einen plattformweiten Logout-Mechanismus gibt es aktuell nicht.

Achtung: Der HIN Client ist Multiuser-fähig. Beim Wechsel der Identität bleibt eine bestehende Session gültig.

Sicherheit

Alle Verbindungen – zwischen Anwender und Applikation sowie zwischen Anwender und HIN IDP – müssen über HTTPS gesichert sein. Für den Schutz der eigenen Applikation (z. B. WAF) ist der Applikationsanbieter verantwortlich.