Avinor AS - T-192800 -Hurtigladere til rød side

Vedlegg D inneholder Avinor – Federation Guidelines (v1.3.2, 03.09.2024). Dokumentet beskriver hvordan Avinor forventer at føderasjon (SSO) etableres mellom Avinor og 3.-parter, hvilke protokoller som støttes (OpenIDConnect, SAML 2.0, WS-FED), krav til oppsett/validering ved OpenIDConnect, anbefalt arkitektur for Entra ID (inkl. betinget tilgang og auth flows), samt anbefalt løsning for brukerprovisjonering (SCIM/REST) og sekundær (SOAP).

• Dokumentteksten er et utdrag (starter/fortsetter i midten). Det finnes flere seksjoner etter punkt 5.2.1 som ikke er med i teksten du ga, så eventuelle videre kontrakts-/utførelseskrav og presiseringer kan mangle.
• Ingen faktiske innleveringskrav, kvalifikasjonskrav, eller tildelingskriterier fremgår av den delteksten som er gitt (dokumentet fremstår som tekniske retningslinjer, ikke evalueringsmodell).

• Føderasjon må etableres i tråd med Avinors federation guidelines; implementasjoner som skal bruke føderasjon må følge retningslinjene.Kap. 4 'Federation Guidelines' (s. 8)
• Ved federert innlogging skal UPN-claim (User-Principal-Name) brukes som unikt brukernavn, og UPN skal inneholde sluttbrukers primære e-post i formatet som et standard e-post-username (viktig ved bruk av HRD).Kap. 4.1 'Usernames' (s. 8)
• Valg av STS (Entra ID foretrukket; ADFS sekundær) skal gjøres basert på funksjonalitet. Entra ID/ADFS har tilhørende støttede protokoller og funksjoner (guest/MSAL/cross broker SSO m.m.).Kap. 4.2 'Preferred Security Token Service (STS)' (s. 8)
• For Entra ID-integrasjon skal det være mulig å definere dedikerte Conditional Access-policyer for den appen som er registrert i Azure AD. Apper som bare støtter standard 'All Cloud Apps' signal for policy er ikke tillatt.Kap. 4.3.1 'Conditional Access' (s. 9)
• App registrations og autentiseringsflows mot Entra ID skal følge Microsofts best practices/checklists; Avinor kan ha tilleggskrav.Kap. 4.3.2 'App registrations and authentications flows' (s. 10)
• For OpenIDConnect/autentiseringsflyt skal Auth Code Flow brukes (Avinor foretrekker og krever Authorization code flow) og Implicit Grant Flow støttes ikke.Kap. 4.3.2.1 'Auth Code Flow' og Kap. 4.3.2.2 'Implicit Grant Flow' (s. 10)
• Native iOS/iPadOS apper utviklet for Avinor skal bruke Cross Broker SSO.Kap. 4.3.3 'Cross Broker SSO' (s. 11)
• For Azure AD B2B guest users skal applikasjonen støtte spesial-UPN-format (jonny.good_domain.com#EXT#domain.onmicrosoft.com) og støtte synkronisering av guest users via SCIM.Kap. 4.3.4 'Azure AD B2B Guest Users' (s. 11)