MyAcademicID levererade under 2020 en arkitektur för digital identitet som ger studenter möjlighet att autentisera sig för sina studier utomlands med sitt lärosätes studentkonto. Detta kunde genomföras genom att eduGAIN kopplades ihop med sveriges nationella eIDAS-nod. På så sätt kopplas de akademiska identiteterna samman med medborgaridentiteter och en unik identifierare för studenter kan utlovas genom att införa en European Student Identifier (ESI).
Projektet resulterade i en plattform för identitets- och åtkomsthantering för autentisering i e-tjänster relaterade till Erasmus+-programmet, såsom Erasmus+ App eller Online Learning Agreement.
Implementeringen av plattformen för e-tjänster relaterade till Erasmus+ i kombination med användning av ESI via eduGAIN och Erasmus Without Paper beräknas komma att medföra avsevärt minskad administrativ arbetsbörda för personal och studenter.
Projektresultaten vidareutvecklas nu i projektet European Digital Student Service Infrastructure - EDSSI - som kommer att utveckla ett system som gör det möjligt för lärosäten att utbyta och autentisera studentdata på ett sömlöst och säkert sätt.
Erasmus+ är EU:s program för internationellt samarbete och utbyte inom bland annat utbildning. Under 2021 startar en ny sjuårig programperiod där en av de övergripande målsättningarna är att digitalisera programmet. Initiativet har som målsättning att digitalisera administrationen av utbytesprocessen, från att förnya utbytesavtal till urval av studenter. Detta görs genom att lärosäten ansluter till något som kallas Erasmus Without Paper-nätverket.
Anslutningen till nätverket kan ske på ett av tre olika sätt:
ESI är ett särskilt attribut som används vid administration av europeiska studentutbyten, t.ex. inom Erasmus+-programmet samt vid de virtuella europeiska universiteten (ex. Unite! och ECIU), för att primärt underlätta att personuppgifter och studieresultat överförs korrekt mellan de inblandade lärosätena.
Den digital tjänst som används för inloggning i Erasmus+-programmet kommer under november 2021 att börja kräva ESI vid inloggning.
En ESI är en unik, permanent och stabil identifierare som byggs upp av ett prefix som är unikt för organisationen eller organisationerna och ett suffix som är unikt inom en eller en grupp av organisationer. Det är möjligt att en person "samlar på sig" mer än en ESI under sin studietid men, det är enklare ju färre ESI:er man behöver hålla reda på. Det finns också fördelar om en ESI kan följa med en student genom hela livet.
ESI representeras i SAML som schacPersonalUniqueCode (se nedan för detaljer).
Implementationen av ESI vid ett lärosäte kretsar kring följande två frågor:
Tänk på följande:
På grund av GDPR så är det inte lämpligt att använda studenters personnummer som ESI. För studenter så finns två andra nationella identifiererare som kan vara lämpliga att använda som bas för ESI, ExterntStudentUID från Ladok/NyA/Antagning.se respektive unikt id i eduID. Ett tredje alternativ är att skapa en lokalt ESI direkt kopplat till studentens identitetsutfärdare. För de organisationer som använder Ladok rekommenderas att ExterntStudentUID i Ladok används.
I Ladok finns ett ExterntStudentUID för varje student. Värdet kommer från UHR:s studentregister där samordning sker med Ladok och NyA/Antagning.se för att varje student som etableras i Ladok eller NyA/Antagning.se ska få en unik gemensam identifierare. För att i möjligaste mån se till att studenter har samma ESI oberoende vilket lärosäte/inloggningstjänst studenten loggar in via så bör ExterntStudentUID användas för ESI. Notera att Ladok respektive NyA/Antagning.se även har egna, interna UID:er för studenter (som i Ladoks fall (StudentUID) bland annat kan användas i norEduPersonLIN). Dessa är inte samma som ExterntStudentUID.
ExterntStudentUID i Ladok är ett uuid, exempelvis 9e342e78-5b6c-4902-966e-50e28a21e601.
Värdet på schacPersonalUniqueCode blir då: urn:schac:PersonalUniqueCode:int:esi:ladok.se:externtstudentuid-9e342e78-5b6c-4902-966e-50e28a21e601
Denna ESI kan användas på två sätt:
ExterntStudentUID följer med i lärosätets egna feed i Ladok. Händelsen heter LokalStudentEvent och attributet i händelsen heter ExterntStudentUID. Notera att händelsen även har attributet StudentUID, som är den interna UID:n för studenten i Ladok.
REST-dokumentationen för LokalStudentEvent i Ladok: https://www.start.ladok.se/restdoc/schemas/schemas.ladok.se-studentinformation-events.html#type_LokalStudentEvent.
Ett exempel på ett LokalStudentEvent:
<si:LokalStudentEvent xmlns:si="http://schemas.ladok.se/studentinformation" xmlns:base="http://schemas.ladok.se" xmlns:dap="http://schemas.ladok.se/dap" xmlns:events="http://schemas.ladok.se/events">
<events:HandelseUID>9f920641-9647-4c39-88ec-aae708516014</events:HandelseUID>
<events:EventContext>
<events:AnvandareUID>6cf85d57-1662-42bf-93aa-1b5fdea16386</events:AnvandareUID>
<events:Anvandarnamn>feedevent@ladokintern.se</events:Anvandarnamn>
<events:LarosateID>96</events:LarosateID>
</events:EventContext>
<events:Handelsetyp>UPPDATERAD</events:Handelsetyp>
<si:Efternamn>Johansson</si:Efternamn>
<si:ExterntStudentUID>e32accbe-4915-4e4f-8d66-08961b6542de</si:ExterntStudentUID>
<si:Fodelsedata>1986-09-30</si:Fodelsedata>
<si:Fornamn>Maria</si:Fornamn>
<si:Kon>1</si:Kon>
<si:Personnummer>198609309888</si:Personnummer>
<si:StudentUID>a044b2d3-eb0d-4ece-89e0-7fa8b4a008a4</si:StudentUID>
</si:LokalStudentEvent>
ExterntStudentUID går även att läsa ut från NyA-Open (speciellt för lärosäten som inte har Ladok men som använder NyA för antagning). Där återfinns det i tabellen STUDENT_PERSON_ID_MAP:
select p.PNR, m.STUDENT_UID from NYA.PERSON p join NYA.STUDENT_PERSON_ID_MAP m on p.PERSON_ID = m.PERSON_ID where p.PNR = '<pnr>'
Varje användare i eduID har ett unikt id som används som identifierare i attributet eduPersonPrincipalName (<unikt-id>@eduid.se) som kan användas som grund för att skapa en ESI. Det unika id:t är en textsträng på specifikt format, exempelvis abcde-fghij.
Värdet på schacPersonalUniqueCode blir då: urn:schac:PersonalUniqueCode:int:esi:eduid.se:abcde-fghij
Notera att eduID även har möjlighet att på ett lärosätes uppdrag integrera mot Ladok för att hämta ut ExterntStudentUID därifrån eller få det av lärosätet via en SCIM-integration och då använda ExterntStudentUID från Ladok för att använda som ESI.
Varje användare vid ett lärosäte har en unik användaridentitet som aldrig återanvänds för annan individ (används normalt i eduPersonPrincipalName i SWAMID).
Användaridentiteten är en textsträng, exempelvis abcd1234, och lärosätet har en DNS-domänen (SAML Scope), exempelvis larosate.se.
Värdet på schacPersonalUniqueCode blir då: urn:schac:PersonalUniqueCode:int:esi:larosate.se:abcd1234
Oavsett om ett lärosäte väljer att implementera ESI i sin identitetsutfärdare eller ej så finns skäl att synkronisera studenters ESI med eduID. Exempel på detta:
eduID har integrationsmöjligheter både för att koppla ESI till användare i eduID och för att hämta ut användares ESI från eduID:
Synkronisering av ESI | Beskrivning |
---|---|
Ladok -> eduID | Lärosätet kan tillåta eduID att hämta ESI för lärosätets studenter från Ladok (via Ladoks REST-API) |
Ladok -> Lärosäte -> eduID | Lärosätet kan själv hämta ESI för sina studenter från Ladok och därefter skicka in dessa till eduID (via en SCIM-integration mot eduID) |
eduID -> Lärosäte | Lärosätet kan hämta ESI för sina studenter från eduID (via en SCIM-integration mot eduID) |
MyAcademicID använder entitetskategorin Géant Data Protection Code of Conduct för alla attribut som överförs från lärosätenas identitetsutfärdare förutom European Student Identifier (ESI). Det beror på att ESI använder attributet schacPersonalUniqueCode. Detta attribut kan innehålla många olika värden med olika syfte och det är av integritets- och säkerhetsskäl endast lämpligt att släppa just ESI till MyAcademicID.
För närvarande pågår arbete med att ta fram en egen entitetskategori för att kunna släppa ESI endast till de tjänster som ska få tillgång till ESI. Mer information kommer att publiceras här när detta arbete är klart. Det hindrar dock inte att ett lärosäte redan nu ser till så lärosätets identitetsplattform/identitetsutfärdare har tillgång till ESI. Om ESI är tillgängligt för identitetsutfärdaren behövs endast en konfigurationsförändring när entitetskategorin är klar.
Presentationer som beskriver hanteringen av ESI:
På wikisidan Presentationer från webbinarium 2021 finns ytterligare webbinarium om MyAcademicID och EDSSI.
Lista på lärosäten hämtad från https://www.uka.se/fakta-om-hogskolan/universitet-och-hogskolor/lista-over-universitet-hogskolor-och-enskilda-utbildningsanordnare.html.
Lärosäte | Deltar i Erasmus+ | Studenter i Ladok | Studenter i NyA | Inloggningstjänst för studenter i SWAMID |
---|---|---|---|---|
Beckmans designhögskola | nej | nej, ej planerat | nej, ej planerat | saknar inloggningstjänst |
Blekinge tekniska högskola | ja | ja | ja | egen |
Chalmers tekniska högskola | ja | ja | ja | egen |
Enskilda Högskolan Stockholm | ja | ja | ja | eduID används för studenter |
Ericastiftelsen | nej | nej, ej planerat | nej, ej planerat | saknar inloggningstjänst |
Ersta Sköndal Bräcke högskola | ja | ja | ja | egen |
Försvarshögskolan | ja | ja | ja | egen |
Gammelkroppa skogsskola | nej | nej, ej planerat | nej, ej planerat | saknar inloggningstjänst |
Gymnastik- och idrottshögskolan | ja | ja | ja | egen |
Göteborgs universitet | ja | ja | ja | egen |
Handelshögskolan i Stockholm | ja | nej, ej planerat | ja | egen |
Högskolan Dalarna | ja | ja | ja | egen |
Högskolan Evidens | nej | nej, ej planerat | nej, ej planerat | saknar inloggningstjänst |
Högskolan i Borås | ja | ja | ja | egen |
Högskolan i Gävle | ja | ja | ja | egen |
Högskolan i Halmstad | ja | ja | ja | egen |
Högskolan i Skövde | ja | ja | ja | egen |
Högskolan Kristianstad | ja | ja | ja | egen |
Högskolan Väst | ja | ja | ja | egen |
Johannelunds teologiska högskola | nej | nej, kanske snart | ja | saknar inloggningstjänst |
Karlstads universitet | ja | ja | ja | egen |
Karolinska institutet | ja | ja | ja | egen |
Konstfack | ja | ja | ja | egen |
Kungl. Konsthögskolan | ja | ja | ja | egen |
Kungl. Musikhögskolan i Stockholm | ja | ja | ja | egen |
Kungl. Tekniska högskolan | ja | ja | ja | egen |
Linköpings universitet | ja | ja | ja | egen |
Linnéuniversitetet | ja | ja | ja | egen |
Luleå tekniska universitet | ja | ja | ja | egen |
Lunds universitet | ja | ja | ja | egen |
Malmö universitet | ja | ja | ja | egen |
Mittuniversitetet | ja | ja | ja | egen |
Mälardalens högskola | ja | ja | ja | egen |
Newmaninstitutet | ja | från och med HT21 | ja | saknar inloggningstjänst |
Röda Korsets högskola | ja | ja | ja | egen |
Skandinaviens akademi för psykoterapiutveckling | nej | nej, ej planerat | nej, ej planerat | saknar inloggningstjänst |
Sophiahemmet Högskola | ja | ja | ja | egen |
Stiftelsen Högskolan i Jönköping | ja | ja | ja | egen |
Stockholms konstnärliga högskola | ja | ja | ja | egen |
Stockholms Musikpedagogiska Institut | ja | nej, ej planerat | nej, ej planerat | saknar inloggningstjänst |
Stockholms universitet | ja | ja | ja | egen |
Svenska institutet för kognitiv psykoterapi | nej | nej, ej planerat | nej, ej planerat | saknar inloggningstjänst |
Sveriges lantbruksuniversitet | ja | ja | ja | egen |
Södertörns högskola | ja | ja | ja | egen |
Umeå universitet | ja | ja | ja | egen |
Uppsala universitet | ja | ja | ja | egen |
Örebro Teologiska Högskola (Akademi för Ledarskap och Teologi) | ja | nej, kanske snart | ja | saknar inloggningstjänst |
Örebro universitet | ja | ja | ja | egen |
Utdrag från https://wiki.geant.org/display/SM/European+Student+Identifier (v1.0)
This specification defines a profile for the schacPersonalUniqueCode attribute (as defined in the SCHema for Academia) that will be used to transport the European Student Identifier.
The student mobility processes require the use of a number of services, all of which are involved in different stages of the pipeline and which will need to be able to exchange data about the students who are in mobility.
The European Student Identifier is globally unique, persistent, non-targeted, protocol neutral and data transport neutral.
The European Student Identifier can take on one of two forms, depending on the qualifiers needed to make a given student code globally unique:
ESI with nation-wide (or region-wide) scope student code:
urn:schac:personalUniqueCode:int:esi:<country-code>:<code>
ESI with HEI-wide scope student code:
urn:schac:personalUniqueCode:int:esi:<sHO>:<code>
Where:
schacHomeOrganization
value (possibly further qualified with the organisational unit issuing the student code). Required if the student code is issued by the Home Organization of the student (or one of its org units) and there can be no guarantee that it uniquely identifies the student within the Member State or administrative division.Non-normative examples for both forms:
urn:schac:personalUniqueCode:int:esi:hr:xxxxxxxxxx
urn:schac:personalUniqueCode:int:esi:example.edu:xxxxxxxxxx
urn:schac:personalUniqueCode:int:esi:math.example.edu:xxxxxxxxxx
Utdrag från: https://wiki.refeds.org/display/STAN/SCHAC+Releases (v1.5)
Name | schacPersonalUniqueCode |
---|---|
Description | Specifies a “unique code” for the subject it is associated with. Its value does not necessarily correspond to any identifier outside the scope of the directories using this schema. This might be Student number, Employee number,... |
OID | 1.3.6.1.4.1.25178.1.2.14 |
Format | urn:schac:personalUniqueCode:<country-code>:<iNSS> The must be a valid two-letter ISO 3166 country code identifier or the string “int”, and assigned by the SCHAC URN Registry for this attribute at https://wiki.refeds.org/display/STAN/SCHAC+URN+Registry is a Namespace Specific String as defined in RFC 2141 but case insensitive, from a nationally controlled vocabulary, published through the URI identified at the above mentioned SCHAC URN registry. |
RFC 4517 definition | ( schacAttributeType:14 NAME 'schacPersonalUniqueCode' DESC 'Unique code for the subject' EQUALITY caseIgnoreMatch ORDERING caseIgnoreOrderingMatch SUBSTR caseIgnoreSubstringsMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.15 ) |
Examples | Common values: urn:schac:personalUniqueCode:int:studentID:<country-code>:<code> National extensions: urn:schac:personalUniqueCode:fi:tut.fi:hetu:010161-995A urn:schac:personalUniqueCode:es:uma:estudiante:a3b123c12 urn:schac:personalUniqueCode:se:LIN:87654321 |