Hjem > ansattporten

Virksomhetsbroen

Virksomhetsbroen er grensesnittet hvor arbeidsgivere kan konfigurere hvilke brukere som kan representere virksomheten der EntraID benyttes til innlogging i Ansattporten. Virksomhetsbroen skal legge til rette for beste praksis for rollebasert tilgangstyring (RBAC) på tvers av virksomheter ved at:

tjenesteeiere slipper å opprette og forvalte gjestebrukere i egen IAM-løsning
arbeidsgivere bruker sin lokale IAM til administrere tilganger mot eksterne tjenester

Virksomhetsbroen er en av flere autoritative kilder for representasjon i Ansattporten, og er tiltenkt scenarioer der det ikke er behov for det høye sikkerhetsnivået som tilbys ved bruk av Altinn Autorisasjon.

Funksjonell modell
Tjenestespesifikke rettigheter
Hvordan administere Virksomhetsbroen ?
Innlogging
Konfigurasjon
Filtertyper
Eksempler på konfigurasjon
Relevante spørsmål

Funksjonell modell

Virksomhetsbroen har en “additiv” modell for representasjon. Arbeidsgiver legger inn enn en eller flere regler (filter) som gir tilganger for representasjon. Reglene gir tilgang basert på ulike identifikator-typer som epost-domene, entra-grupper eller invidivudelle epost-adresser, og tilgangene kan gis til alle tjenester, eller til utvalgte tjenester.

Det er viktig å være klar over at dersom en bruker har fått en tilgang gjennom en spesifikk regel, vil ikke andre regler kunne hindre tilgang.

Tjenestespesifikke rettigheter

En tjenesteeier kan velge å assosiere ulike tjenestespesifikke rettigheter ved en klient som bruker Virksomhetsbroen, for eksempel les eller rapporter. Dette er fritekstverdier som da gir kontekstuell mening kun inne i tjenesteeiers tjeneste, for eksempel brukt til tilgangstyring inne i tjenesten. Tjenesteeier må i sin dokumentasjon fortelle arbeidsgivere at tjenesten støtter og/eller krever slike tjenestespefikke rettigheter, og hvilke verdier som brukes.

De ordinære filter-reglene i Virksomhetsbroen gir ikke tilgang til tjenestespesifikke rettigheter. I stedet må Arbeidsgiver eksplisitt opprette et “tillat”-filter for denne ene spesifikke klient-id’en, og legge på den spesifikke rettigheten.

Hvordan administere Virksomhetsbroen ?

Den som skal konfigurere dette på vegne av virksomheten må få tildelt rettigheten “Administrere organisasjonstilknytning i Ansattporten” i Altinn. Rettigheten er forhåndstildelt til følgende roller i Enhetsregisteret, men kan delegeres videre:

Bestyrende reder
Daglig leder
Innehaver

Et praktisk tips for å unngå at daglig leder må delegere til alle som skal ha tilgang, er at daglig leder delegerer rettigheten til en person i virksomheten som har rollen “Tilgangsstyrer”. Da vil “Tilgangsstyrer” kunne delegere rettigheten videre til andre i virksomheten.

Innlogging

Konfigurasjonen kan utføres via grafisk grensesnitt, og konfigureres per miljø.

For oppsett i Ansattporten sitt PROD-miljø, benytt virksomhetsbroen.samarbeid.digdir.no.

For oppsett i Ansattporten sitt test-miljø, benytt virksomhetsbroen.test.samarbeid.digdir.no

Har du den korrekte rettigheten for flere virksomheter eller underenheter, så vil du få et valg om hvilken virksomhet eller underenhet du vil representere når du logger inn.

Konfigurasjon

Konfigurasjonen kan skje på forskjellige identifikator-typer.

E-postadresse: Brukes for å la enkelte e-postadresser representere virksomheten i Ansattporten. F.eks ansatt.person@digdir.no

Domene: Brukes for å la brukere kan representere virksomheten på domenenivå. F.eks digdir.no

Gruppe: Brukes for å la brukere representere virksomheten ved hjelp av EntraID-grupper. F.eks ea123b45d-9yt1-iu78-0a0a-99aabbcc999a

Velg hvilken identifikator-type du vil legge til, ved hjelp av fanene.

Skjermbilde som viser de tilgjenglige fanene

Filtertyper

Filtertyper brukes for fingranulere konfigurasjonen. Per i dag så finnes det 3 filtertyper.

Tillat alle (Tillatt for alle tjenester)

“Tillat alle” lar brukerne representere virksomheten på alle tjenester i Ansattporten som godtar EntraID.

Tillat kun (Tillatt for bare angitte tjenester)

“Tillat kun”-filteret benyttes for å avgrense hvilke klienter brukeren kan representere virksomheten på i Ansattporten.

Tillat alle utenom (Tillat for alle tjenester utenom X)

“Tillat alle utenom”-filteret brukes for å angi spesifikke klienter der brukeren ikke kan representere virksomheten på. NB! Det må legges inn klientID for at filteret skal ha effekt.

Eksempler på konfigurasjon

Tillate representasjon (e-postadresse)

For å åpne for at enkelte e-postadresser kan representere virksomheten i EntraID, angi e-postadresse og sett filtertype til “Ingen filter”.

I dette eksempelet vil brukeren med e-postadresse ansatt.person@digdir.no kunne representere virksomheten med EntraID i Ansattporten.