...
Alla lärosäten som deltar i Erasmus+ måste innan November 2021 ha implementerat ESI för att vara säkra på att fortsättningsvis ha tillgång till Erasmus-programmets tekniska infrastruktur.
Alternativa sätt att implementera ESI
Ett ESI är alltså en unik, permanent och stabil identifierare som byggs upp av ett prefix som är unikt för organisationen eller organisationerna, och ett suffix som är unikt inom en eller en grupp av organisationer. Det är inte omöjligt att en person "samlar på sig" mer än ett ESI under sin studietid men det är naturligtvis enklare ju färre ESIer man behöver hålla reda på. Det finns också fördelar om ett ESI kan följa med en student genom hela livet. varför eduID kan vara värdefullt att integrera med även för lärosäten med egna IdPer.
Implementationen av ESI på ett lärosäte kretsar kring följande två beslutfrågor:
- Hur skapar man den lokala unika identifieraren för en studentVad har en student för ESI (skapa lokalt ESI eller hämta från annan källa)?
- Hur gör man görs ESI-attributet tillgängligt i samband med inloggning till de tjänster som ska konsumera attributet?
Svaret på den första frågan handlar delvis om lärosätet är anslutet till Ladok eller ej. Svaret på den andra frågan handlar om om det finns en bra integration mellan Ladok (eller ett annat motsvarande system) och antingen lärosätets IdP. Om Svaret på den första frågan är nej - dvs om lärosätet inte är anslutet till Ladok - måste man hitta ett annat sätt att välja en stabil, unik och permanent identifierare. Om lärosätet saknar integration med sin IdP eller av andra skäl inte kan eller vill använda denna kan eduID användas.
Tänk på följande:
- Allt detta är rekommendationer - varje lärosäte fattar ett eget beslut om ESI
- Det är bäst om en student har få ESI:er men det är inte en katastrof om en student har flera ESIer under sin studietid - tex i samband med flytt till eller från ett lärosäte som inte ingår i Ladok eller för studenter som inte gått igenom central antagning och därför inte har ett StudentUID.
- Man kan behöva hantera studenter som gått igenom lokal antagning på ett annat sätt än vanliga "NyA-studenter" - detta kan ge olika ESI-strukturer inom ett lärosäte. Detta är inte ett problem för ESI-samarbetet.
- ESI är inte knutet till personnummer och kräver inte "verifierade" användare - ett ESI är frikopplat från nationella identifieringssystem och är gemensamt för hela EU
- Genom att samordna ESI med eduID kan en student behålla sitt ESI över lång tid - även efter att man valt att rensa bort ett lärosäteskonto. Detta främjar livslångt lärande på sikt.
De olika fallen faller inom följande huvudkategorier som vi beskriver nedan.
Lärosätet är anslutet till Ladok och och har egen integration med Ladok
Förslag till beslut
- Lärosätet skapar ESI baserat på ExterntUID i Ladok enligt beskrivningen nedan.
- Det egna lärosätets IdP konfigureras att göra attribut-release av ESI via integration med det lokala systemet.
Att tänka på...
- Lärosätet kan även be eduID slå på integration med Ladok så att samma ESI släpps från både lärosätets egen IdP samt från eduID (för studenter som även har konto i eduID). Kontakta eduID isåfall
Lärosätet är inte anslutet till Ladok men använder NyA för antagning
Förslag till beslut
- Lärosätet skapar ESI baserat på STUDENT_UID i NyA-Open enligt beskrivningen nedan.
- Det egna lärosätets IdP konfigureras att göra attribut-release av ESI via integration med det lokala systemet.
Lärosätet är anslutet till ladok men har inte möjlighet att göra en egen integration som använder StudentUID
Förslag till beslut
- Använd den integration som eduID kommer utveckla med Ladok. ESI får den struktur som beskrivs nedan baserat på ExterntUID i Ladok.
- eduID gör attribut-release av ESI
Att tänka på...
- Ta kontakt med eduID
Lärosätet är inte anslutet till ladok och väljer att göra egen attribut-release av ESI.
Förslag till beslut
- Etablera ESI i en lokalt system eller liknande enligt följande struktur urn:schac:PersonalUniqueCode:int:esi:<lärosätets scope i swamid>:<lokal unik identifierare>
- Det egna lärosätets IdP konfigureras att göra attribut-release av ESI via integration med det lokala systemet.
Att tänka på...
- Planera för utvecklingsinsatsen redan nu.
- Överväg att även integrera med eduID för att göra det möjligt för studenter att behålla sitt ESI hela livet. Kontakta eduID isåfall.
Lärosätet är inte anslutet till ladok och använder eduID för att skapa ESI
Förslag till beslut
- Lärosätet använder eduIDs API (SCIM) för att skicka information om vilka som är studenter till eduID
- eduID gör attribut-release av ESI baserad på eduID eppn
Att tänka på...
- Evt kan lärosätet också välja att hämta hem ESI-attributet till en egen IdP för att även göra attribut-release från egen IdP.
- Planera för utvecklingsinsatsen och kontakta eduID för att så snart som möjligt börja utveckla mot eduID SCIM-API.
- Detta alternativ kan även användas för studenter som inte gått igenom central antagning och kan kombineras med andra alternativ.
...
Alternativ vid implementation av ESI
På grund av GDPR så är det inte lämpligt att använda studenters personnummer som ESI. För studenter så finns två andra nationella identifiererare som kan vara lämpliga att använda som ESI, ExterntUID från Ladok/NyA/Antagning.se respektive unikt id i eduID. Ett tredje alternativ är att skapa ett lokalt ESI direkt kopplat till studentens identitetsutfärdare.
Använda ExterntUID från Ladok som ESI
I Ladok finns ett ExterntUID för varje student. Värdet kommer ursprungligen från UHR:s studenttjänst och samordnas med NyA/Antagning.se. För att i möjligaste mån se till studenter har samma ESI oberoende vilket lärosäte/inloggningstjänst studenten loggar in via så bör detta användas för ESI.
...
Alternativ 1: Värdet på schacPersonalUniqueCode blir då: urn:schac:PersonalUniqueCode:int:esi:SE:student-9e342e78-5b6c-4902-966e-50e28a21e601
Alternativ 2: Värdet på schacPersonalUniqueCode blir då: urn:schac:PersonalUniqueCode:int:esi:ladok.se:9e342e78-5b6c-4902-966e-50e28a21e601
...
select p.PNR, m.STUDENT_UID from NYA.PERSON p join NYA.STUDENT_PERSON_ID_MAP m on p.PERSON_ID = m.PERSON_ID where p.PNR = '<pnr>'Använda unikt id från eduID som ESI
Varje användare i eduID har en unikt id som används som identifierare i attributet eduPersonPrincipalName (<unikt-id>@eduid.se)
Det unika id:t är en textsträng på specifikt format, exempelvis abcde-fghij.
Alternativ 1: Värdet på schacPersonalUniqueCode blir då: urn:schac:PersonalUniqueCode:int:esi:SE:eduid-abcde-fghij
...
Alternativ 1 föredras då <sHO> troligtvis måste kunna korsrelateras till attributet schacHomeOrganization (inte klart utläsbart ur specen av ESI, undersökning pågår).
Använda användaridentitet vid lärosäte som ESI
Varje användare vid lärosätet har en unik användaridentitet som aldrig återanvänds för annan individ.
Användaridentiteten är en textsträng, exempelvis abcd1234, och lärosätet har DNS-domänen (SAML Scope) larosate.se.
Värdet på schacPersonalUniqueCode blir då: urn:schac:PersonalUniqueCode:int:esi:larosate.se:abcd1234
Utestående frågor
Hur få in Ladoks ExterntUID i eduID för en användare/personnummer?
Hur få ut unikt id från eduID för ett personnummer till ett lärosäte?
Behöver vi bry oss om ifall användaren är en "aktiv" student?
Övrigt
De olika fallen faller inom följande huvudkategorier som vi beskriver nedan.
Lärosätet är anslutet till Ladok och och har egen integration med Ladok
Förslag till beslut
- Lärosätet skapar ESI baserat på ExterntUID i Ladok enligt beskrivningen nedan.
- Det egna lärosätets IdP konfigureras att göra attribut-release av ESI via integration med det lokala systemet.
Att tänka på...
- Lärosätet kan även be eduID slå på integration med Ladok så att samma ESI släpps från både lärosätets egen IdP samt från eduID (för studenter som även har konto i eduID). Kontakta eduID isåfall
Lärosätet är inte anslutet till Ladok men använder NyA för antagning
Förslag till beslut
- Lärosätet skapar ESI baserat på STUDENT_UID i NyA-Open enligt beskrivningen nedan.
- Det egna lärosätets IdP konfigureras att göra attribut-release av ESI via integration med det lokala systemet.
Lärosätet är anslutet till ladok men har inte möjlighet att göra en egen integration som använder StudentUID
Förslag till beslut
- Använd den integration som eduID kommer utveckla med Ladok. ESI får den struktur som beskrivs nedan baserat på ExterntUID i Ladok.
- eduID gör attribut-release av ESI
Att tänka på...
- Ta kontakt med eduID
Lärosätet är inte anslutet till ladok och väljer att göra egen attribut-release av ESI.
Förslag till beslut
- Etablera ESI i en lokalt system eller liknande enligt följande struktur urn:schac:PersonalUniqueCode:int:esi:<lärosätets scope i swamid>:<lokal unik identifierare>
- Det egna lärosätets IdP konfigureras att göra attribut-release av ESI via integration med det lokala systemet.
Att tänka på...
- Planera för utvecklingsinsatsen redan nu.
- Överväg att även integrera med eduID för att göra det möjligt för studenter att behålla sitt ESI hela livet. Kontakta eduID isåfall.
Lärosätet är inte anslutet till ladok och använder eduID för att skapa ESI
Förslag till beslut
- Lärosätet använder eduIDs API (SCIM) för att skicka information om vilka som är studenter till eduID
- eduID gör attribut-release av ESI baserad på eduID eppn
Att tänka på...
- Evt kan lärosätet också välja att hämta hem ESI-attributet till en egen IdP för att även göra attribut-release från egen IdP.
- Planera för utvecklingsinsatsen och kontakta eduID för att så snart som möjligt börja utveckla mot eduID SCIM-API.
- Detta alternativ kan även användas för studenter som inte gått igenom central antagning och kan kombineras med andra alternativ.
Att göra attributrelease av ESI
...