AGOV sco basa da confidenza per il login al post da lavur (agov.ch/workplace)
AGOV po servir sco basa da confidenza per ils process d’enrollment e da recuperaziun en connex cun il login al post da lavur digital. Las autoritads pon uschia separar l’identitad fidabla d’ina persuna da la plattafurma tecnica e dal med d’autentificaziun dal post da lavur.
Quai permetta architecturas che funcziunan sin differentas plattafurmas, reducescha dependenzas da singuls furniturs da plattafurmas e da servetschs cloud e rinforza la suveranitad digitala.
Princip fundamental
AGOV autentifitgescha la persuna natirala e po – sche quai è necessari per il cas d’utilisaziun – metter a disposiziun in’identitad verifitgada cun la qualitad pretendida. L’autoritad resta responsabla per determinar, sche la persuna è ina collavuratura u in collavuratur, tge conto intern che appartegna ad ella e tge apparats, rollas ed autorisaziuns ch’ella dastga utilisar. Cura ch’in post da lavur vegn endrizzà, po la persuna perquai vegnir autentifitgada cun AGOV. Il sistem cumpetent da persunal, da gestiun d’identitads u d’access attribuescha la persuna autentifitgada tras AGOV al conto intern da collavuratura u collavuratur respectivamain al conto dal post da lavur. L’infrastructura dal post da lavur po alura generar in agen med d’autentificaziun criptografic e colliar quel cun quest conto. Clavs criptograficas privatas pon vegnir protegidas tras il hardware e vegnir configuradas sco betg exportablas, per exempel cun in Trusted Platform Module (TPM). AGOV po vegnir utilisà danovamain en cas d’ina midada d’apparat, d’ina renovaziun dal med d’autentificaziun u d’ina recuperaziun per autentifitgar danovamain la persuna en moda fidabla.
Nagina autentificaziun permanenta via AGOV
AGOV na sto betg esser participà a mintga login quotidian al post da lavur. Suenter ch’il process d’enrollment è terminà, po il login vegnir fatg cun il med d’autentificaziun administrà da l’autoritad entaifer sia atgna infrastructura da post da lavur, da directory e d’autentificaziun. Ina indisponibladad temporara dad AGOV u ina mancanza da connexiun da rait ad AGOV na sto uschia betg necessariamente impedir l’utilisaziun d’in post da lavur gia configurà.
Business Account ed adressa dad e-mail professiunala
In Business Account n’è betg ina premissa obligatorica per quest model d’architectura. In Business Account resta il conto d’ina persuna natirala. Sia decleraziun e l’adressa respectivamain il domain dad e-mail professiunal collià cun el na conferman tenor AGOV ni in engaschament, ni l’appartegnientscha ad in’organisaziun, ni ina rolla u in’autorisaziun. L’autoritad sto perquai attribuir la persuna autentifitgada tras AGOV al conto da collavuratura u collavuratur respectivamain al conto dal post da lavur sin basa da ses agens sistems e process autoritativs. Uschia vegn era evità in circul tar l’entrada da novas collavuraturas e novs collavuraturs: l’emprima configuraziun dal post da lavur na dastga betg presupponer l’access ad ina adressa dad e-mail professiunala, sche quest access è sez disponibel pir suenter la configuraziun dal post da lavur.
Windows
Sut Windows èn las cumponentas tecnicas necessarias en princip disponiblas. Windows sustegna Credential Providers specifics. Quels furman l’interfatscha cun la surfatscha da login, rimnan u produceschan las infurmaziuns d’autentificaziun e transmettan ellas a las cumponentas da Windows responsablas per l’autentificaziun. Windows sustegna ultra da quai, cun il Microsoft Platform Crypto Provider, clavs criptograficas protegidas dal TPM. Microsoft documentescha medemamain l’attestaziun cun la quala po vegnir cumprovà ch’ina clav utilisada per in certificat è propi protegida d’in TPM fidà. Per logins da domena basads sin certificats utilisescha Windows Kerberos cun Public Key Cryptography for Initial Authentication in Kerberos (PKINIT). L’existenza da questas singulas cumponentas documentadas da Microsoft na signifitga dentant betg ch’ina clav TPM arbitraria possia vegnir utilisada automaticamain per in login interactiv ad ina domena Windows. Il format dal med d’autentificaziun, il Credential Provider ed il mecanissem d’autentificaziun da Windows che vegnan utilisads en ina concreta architectura sustegnida dad AGOV ston vegnir definids e validads en il rom da la realisaziun tecnica. L’architectura da destinaziun po vegnir realisada uschia che Microsoft Entra, Microsoft Entra Connect e Microsoft Entra Kerberos na vegnan betg duvrads per l’enrollment e per il login quotidian al post da lavur. Quai na signifitga dentant betg che Windows Hello for Business dependia en general da Microsoft Entra. Ultra dals models cloud ed ibrids sustegna Microsoft explicitamain er implementaziuns localas da Windows Hello for Business cun Domain Join, Active Directory, PKI ed AD FS.
In model sustegnì dad AGOV n’è perquai betg simplamain «Windows Hello for Business senza Entra». La finamira va pli lunsch: separar la basa da confidenza per l’identitad da la persuna e per l’enrollment da la plattafurma specifica dal post da lavur e render quella utilisabla per differents sistems operativs.
Linux
Il medem princip po vegnir utilisà er per posts da lavur Linux. Linux metta a disposiziun mecanissems d’autentificaziun averts sco er sustegn per clavs criptograficas protegidas tras la hardware, TPM2 e FIDO2. L’integraziun concreta cun PAM, servetschs da directory, Kerberos u autras cumponentas è part da l’architectura respectiva dal post da lavur.
Er qua resta il med d’autentificaziun dal post da lavur sut la controlla da l’autoritad, entant che AGOV po furmar la basa da confidenza per l’identitad da la persuna durant l’enrollment e la recuperaziun.
Repartiziun clera da las incumbensas
AGOV respunda a la dumonda:
Tge persuna natirala s’autentifitgescha e cun tge qualitad d’identitad constatada?
L’autoritad respunda:
È questa persuna ina collavuratura u in collavuratur?
Tge conto da lavur appartegna ad ella?
Tge apparats, rollas ed autorisaziuns dastga ella utilisar?
L’infrastructura dal post da lavur respunda:
Cun tge med d’autentificaziun administrà localmain u da l’organisaziun cumprova la persuna durant il login quotidian ch’ella dastga utilisar quest conto?
AGOV na daventa uschia ni in sistem da gestiun dal persunal u da las autorisaziuns ni obligatoricamain ina cumponenta online necessaria per mintga login al post da lavur.
Suveranitad digitala
Il model separa sapientivamain trais plauns:
- l’identitad fidabla da la persuna natirala;
- sia attribuziun organisatorica e sias autorisaziuns;
- il med d’autentificaziun tecnic dal post da lavur.
AGOV po sustegnair l’emprim plaun sco basa da confidenza utilisabla sur differentas organisaziuns. Il segund ed il terz plaun restan sut la controlla da l’autoritad respectiva.
La medema logica d’identitad e d’enrollment po uschia en princip vegnir utilisada per differentas plattafurmas da post da lavur senza colliar l’entir process da confidenza cun l’Identity Stack d’in singul furnitur da sistems operativs u da cloud.
Status
L’architectura descritta qua è in model pussaivel per l’utilisaziun dad AGOV.
AGOV na metta actualmain a disposiziun ni in Credential Provider pront per Windows, ni in modul PAM pront per Linux, ni in substitut pront per l’utilisaziun da Windows Hello for Business. Las cumponentas specificas dals sistems operativs e lur integraziun ston vegnir sviluppadas, verifitgadas ed operadas en il rom da l’architectura respectiva dal post da lavur.