Main content

Deze checklist bevat de testcriteria die Logius aan de aansluiting van een organisatie op BSNk stelt. Deze criteria dragen bij aan een eenduidig en correct gebruik van BSNk. Deze pagina bevat de testcriteria voor een individuele aansluiting op BSNk. Het uitvoeren van ketentesten (indien van toepassing) is hierin niet meegenomen. Ook zijn de testcriteria voor sleutelwissels vooralsnog buiten scope van dit document.

Versiegegevens

Publicatiedatum: 15 oktober 2019
Versie: 1.2

Inleiding

Doelgroep en gebruik van dit document

Deze Checklist Testen bevat een totaaloverzicht van de testcriteria voor iedere rol die aan kan sluiten op BSNk. Een organisatie kan meerdere rollen vervullen, en zal in dat geval aan de testcriteria voor al deze rollen moeten voldoen.

Niet alle testcriteria zijn voor elke organisatie relevant. Wanneer bijvoorbeeld een organisatie die aansluit als Authenticatiedienst alleen transformaties gaat uitvoeren naar een VI, is het niet noodzakelijk om ook transformaties naar een VP uit te voeren. Ook  kan het zijn dat de implementatie van de eigen software het niet toelaat bepaalde testcriteria te testen. Het bewust foutief manipuleren van de eigen software is niet gewenst. Afwijkingen op de in dit document voorgestelde testcriteria worden altijd vooraf afgestemd met de aansluitcoördinator van BSNk en daarna schriftelijk bevestigd.

Een organisatie die aan wil sluiten op BSNk zorgt voor bewijsmateriaal om aan te tonen dat deze voldoet aan de in dit document beschreven testcriteria. Dit bewijsmateriaal bestaat minimaal uit een ingevulde versie van dit document en de request- en respons- testberichten en wordt ter controle aangeleverd aan de aansluitcoördinator van BSNk. De bijbehorende procesbeschrijving is opgenomen onder ‘Gerelateerde documenten’.

Let op: de organisatie die aan wil sluiten op BSNk blijft altijd zelf verantwoordelijk voor de veilige en correcte werking van zijn eigen syste(e)m(en).

Gerelateerde documenten

Documentatie Inhoud
Voorwaarden (preproductie-/release candidate omgeving) BSNk De voorwaarden om aan te sluiten op (de preproductie en/of release candidate omgeving van) BSNk.
Verwerkersovereenkomst BSNk Machtigingenregister Overeenkomst waarmee een Machtigingenregister gemachtigd wordt om het BSN te bewerken. Deze overeenkomst komt te vervallen na intreding van de Wet Digitale Overheid.
Proces aansluiten op BSNk Een processchema voor het aansluiten op BSNk voor de rollen Authenticatiedienst, eIDAS-berichtenservice, Machtigingenregister en Middelenuitgever. Er is ook een toelichting op dit processchema beschikbaar.
Proces aansluiten als toegangsdienst op BSNk Een processchema voor het aansluiten op BSNk voor de rol Toegangsdienst. Er is ook een toelichting op dit processchema beschikbaar.
BSNk PP technische specificaties De specificaties van de verschillende koppelvlakken.

Deze documentatie is beschikbaar via de Confluence omgeving van BSNk.

De preproductie- en/of release candidate omgevingen van BSNk zijn gekoppeld aan een proefomgeving van de BRP. Het beheer van de proefomgeving ligt bij Rijksdienst voor Identiteitsgegevens. 

Bekijk de inhoud van de testdataset van de proefomgeving GBA-V

De laatste versie van dit document

Logius verbetert en verduidelijkt deze checklist met regelmaat. Logius informeert de aan te sluiten en aangesloten organisaties per e-mail bij wijzigingen met een grote impact. De laatste versie is altijd beschikbaar via de Confluence omgeving van BSNk.

Verbetersuggesties

Logius ontvangt graag uw suggesties om dit document te verbeteren. Deze suggesties kunt u sturen naar de aansluitcoördinator van BSNk via bsnkoppelregister@logius.nl.

Testcriteria voor BSNk aansluitingen

Testcriteria voor rol ‘Middelenuitgever’

Metadata

Nr Testcriterium
MM1 Publiceer minimaal 2 verschillende versies van de eigen metadata op een vooraf aan de aansluitcoördinator van BSNk doorgegeven URL. Controleer bij iedere publicatie na 1 uur of deze correct is verwerkt in de geaggregeerde netwerkmetadata.
MM2 Importeer minimaal 2 verschillende versies van de door BSNk geaggregeerde netwerkmetadata. Voer in beide situaties daarna testcriterium AM1 uit.

Interface ‘activate’

Nr Testcriterium
Pre Valideer het in te sturen activatiebericht t.o.v. de WSDL van het koppelvlak.
AM1

Voer een activatie uit. Dit kan op basis van een:

  • BSN
  • EncryptedBSN
  • EncryptedIdentity

Gebruik hierbij ook een valide BSN van 8 cijfers en een voorloopnul.
Maak hierbij gebruik van het (de) relevante type activatiebericht(en). ‘ProvidePPRequest’ resulteert in een PI en PP, ‘ProvidePP_PPCAOptimizedRequest’ resulteert in een PIP en PP.

AM2 Verstuur een activatiebericht dat resulteert in de foutreden ‘AuthorizationError’, en toon aan dat deze correct wordt afgehandeld.
Dit kan door bijvoorbeeld het activatiebericht niet te ondertekenen.
AM3 Verstuur een activatiebericht dat resulteert in de foutreden ‘DocumentRejected’, en toon aan dat deze correct wordt afgehandeld.
Dit kan door bijvoorbeeld bij de persoonsgegevens een BSN te gebruiken die niet voldoet aan de elfproef.
AM4 Verstuur een activatiebericht dat resulteert in de foutreden ‘NotEnoughInfo’, en toon aan dat deze correct wordt afgehandeld.
Dit kan door bijvoorbeeld bij de persoonsgegevens een naam te gebruiken die niet correspondeert met het BSN en de geboortedatum.
Deze foutreden is alleen testbaar als is afgesproken dat de persoonsgegevens die ingestuurd worden door de Middelenuitgever geverifieerd worden bij de BRP.
AM5 Verstuur een activatiebericht dat resulteert in de foutreden ‘NotFound’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de persoonsgegevens een BSN te gebruiken die niet voorkomt in de BRP. Het BSN moet wel voldoen aan de elfproef. 
Deze foutreden is alleen testbaar als is afgesproken dat de persoonsgegevens die ingestuurd worden door de Middelenuitgever geverifieerd worden bij de BRP.
AM6 Verstuur een activatiebericht dat resulteert in de foutreden ‘NotUnique’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de persoonsgegevens een BSN te gebruiken die meerdere keren voorkomt in de BRP (bijvoorbeeld 999991425). 
Deze foutreden is alleen testbaar als is afgesproken dat de persoonsgegevens die ingestuurd worden door de Middelenuitgever geverifieerd worden bij de BRP.
AM7 Verstuur een activatiebericht dat resulteert in de foutreden ‘ProvisioningRefused’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de requester een OIN te gebruiken die niet overeenkomt met het OIN van de Middelenuitgever waarmee het bericht is ondertekend.
AM8 Verstuur een activatiebericht dat resulteert in de foutreden ‘SyntaxError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld een pseudoniem te gebruiken met een onjuiste ASN1 structuur (bijvoorbeeld een VP in plaats van een VI).
AM9 Verstuur een activatiebericht dat resulteert in de foutreden ‘TemporarilyUnavailable’, en toon aan dat deze correct wordt afgehandeld.
Dit kan door bijvoorbeeld een activatie uit te voeren terwijl de verkeerde sleutels voor het inzageregister zijn geconfigureerd.
Deze actie moet afgestemd en ingepland worden met de aansluitcoördinator van BSNk.

Interface ‘provideDEPs’

Nr Testcriterium
Pre Valideer het in te sturen activatiebericht t.o.v. de WSDL van het koppelvlak.
DM1

Voer een activatie uit om één of meerdere Direct Versleutelde Pseudoniemen (DEP’s) op te vragen. Dit kan op basis van een:

  • BSN
  • EncryptedBSN
  • EncryptedIdentity

Gebruik hierbij ook een valide BSN van 8 cijfers en een voorloopnul.

DM2 Verstuur een activatiebericht dat resulteert in de foutreden ‘AuthorizationError’, en toon aan dat deze correct wordt afgehandeld.
Dit kan door bijvoorbeeld het activatiebericht niet te ondertekenen.
DM3 Verstuur een activatiebericht dat resulteert in de foutreden ‘DocumentRejected’, en toon aan dat deze correct wordt afgehandeld.
Dit kan door bijvoorbeeld bij de persoonsgegevens een BSN te gebruiken die niet voldoet aan de elfproef.
DM4 Verstuur een activatiebericht dat resulteert in de foutreden ‘NotEnoughInfo’, en toon aan dat deze correct wordt afgehandeld.
Dit kan door bijvoorbeeld bij de persoonsgegevens een naam te gebruiken die niet correspondeert met het BSN en de geboortedatum. Deze foutreden is alleen testbaar als is afgesproken dat de persoonsgegevens die ingestuurd worden door de Middelenuitgever geverifieerd worden bij de BRP.
DM5 Verstuur een activatiebericht dat resulteert in de foutreden ‘NotFound’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de persoonsgegevens een BSN te gebruiken die niet voorkomt in de BRP. Het BSN moet wel voldoen aan de elfproef. Deze foutreden is alleen testbaar als is afgesproken dat de persoonsgegevens die ingestuurd worden door de Middelenuitgever geverifieerd worden bij de BRP.
DM6 Verstuur een activatiebericht dat resulteert in de foutreden ‘NotUnique’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de persoonsgegevens een BSN te gebruiken die meerdere keren voorkomt in de BRP (bijvoorbeeld 999991425).
Deze foutreden is alleen testbaar als is afgesproken dat de persoonsgegevens die ingestuurd worden door de Middelenuitgever geverifieerd worden bij de BRP.
DM7 Verstuur een activatiebericht dat resulteert in de foutreden ‘ProvisioningRefused’, en toon aan dat deze correct wordt afgehandeld. Dit kan door bijvoorbeeld bij de requester een OIN te gebruiken die niet overeenkomt met het OIN van de Middelenuitgever waarmee het bericht is ondertekend.
DM8 Verstuur een activatiebericht dat resulteert in de foutreden ‘SyntaxError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld een pseudoniem te gebruiken met een onjuiste ASN1 structuur (bijvoorbeeld een VP in plaats van een VI).
DM9 Verstuur een activatiebericht dat resulteert in de foutreden ‘TemporarilyUnavailable’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld een niet-bestaande sleutelversie te gebruiken als RelyingPartyKeySetVersion.

Interface ‘registerRemarkableEvents’

Deze interface is buiten scope voor release 6 van BSNk PP.

Interface ‘registerStatusEIM’

Nr Testcriterium
Pre Valideer het in te sturen statusbericht t.o.v. de WSDL van het koppelvlak.
SM1 Voer een statuswijziging van een middel door in het Inzageregister, zowel zonder als met aparte IDPStatus.
SM2 Verstuur een statusbericht dat resulteert in de foutreden ‘AuthorizationError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld het statusbericht niet te ondertekenen.
SM3 Verstuur een statusbericht dat resulteert in de foutreden ‘RegistrationRefused’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld een ingangsdatum te gebruiken van meer dan 31 dagen in het verleden.
SM4 Verstuur een statusbericht dat resulteert in de foutreden ‘SyntaxError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld een pseudoniem te gebruiken met een onjuiste ASN1 structuur (bijvoorbeeld een PP in plaats van een VP).

De foutredenen ‘NotUnique’, ‘NotFound’ en ‘TemporarilyUnavailable’ zijn niet te triggeren en daardoor niet testbaar.

Interface ‘transform’

Nr Testcriterium
Pre Valideer het in te sturen transformatiebericht t.o.v. de WSDL van het koppelvlak.
TM1

Voer een transformatie uit, voor minimaal één Dienstverlener die wel, en één Dienstverlener die niet in de ALB is opgenomen. Hiervoor zijn de volgende mogelijkheden:

  • PI naar VI, waarbij de PI is ontvangen bij ‘ProvidePPRequest’; deze transformatie faalt bij een Dienstverlener die niet in de ALB is opgenomen
  • PP naar VP, waarbij de PP is ontvangen bij ‘ProvidePPRequest’
  • PIP naar VI (destilleer de PIP hiervoor eerst naar PI), waarbij de PIP is ontvangen bij ‘ProvidePP_PPCA OptimizedRequest’; deze transformatie faalt bij een Dienstverlener die niet in de ALB is opgenomen
  • PIP naar VP (destilleer de PIP hiervoor eerst naar PP), waarbij de PIP is ontvangen bij ‘ProvidePP_PPCA OptimizedRequest’
  • PP naar VP, waarbij de PP is ontvangen bij ‘ProvidePP_PPCA OptimizedRequest'

Maak hierbij gebruik van een BSN, EncryptedBSN en EncryptedIdentity als input voor de PI, PP en PIP.

Gebruik bij de transformatie het OIN 00000004190673750000 en RelyingPartyKeySetVersion 20171010 voor de Dienstverlener die in de ALB is opgenomen, en het OIN 00000004822477348001 en RelyingPartyKeySetVersion 20171108 voor de Dienstverlener die niet in de ALB is opgenomen. Lever de ontvangen VI’s en/of VP’s aan de aansluitcoördinator van BSNk voor een decryptie naar en controle van BSN en/of persistent pseudoniem.

TM2 Verstuur een transformatiebericht dat resulteert in de foutreden ‘AuthorizationError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld het transformatiebericht niet te ondertekenen.
TM3 Verstuur een transformatiebericht dat resulteert in de foutreden ‘ProvisioningRefused’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de requester een OIN te gebruiken die niet overeenkomt met het OIN van de Middelenuitgever waarmee het bericht is ondertekend.
TM4 Verstuur een transformatiebericht dat resulteert in de foutreden ‘SyntaxError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld een pseudoniem te gebruiken met een onjuiste ASN1 structuur (bijvoorbeeld een PP bij het verzoek om een VI).

De foutredenen ‘NotFound’ en ‘TemporarilyUnavailable’ zijn niet te triggeren en daardoor niet testbaar.

Testcriteria voor rol ‘Authenticatiedienst’

Metadata

Nr Testcriterium
MA1 Publiceer minimaal 2 verschillende versies van de eigen metadata op een vooraf aan de aansluitcoördinator van BSNk doorgegeven URL. Controleer bij iedere publicatie na 1 uur of deze correct is verwerkt in de geaggregeerde netwerkmetadata.
MA2 Importeer minimaal 2 verschillende versies van de door BSNk geaggregeerde netwerkmetadata. Voer in beide situaties daarna testcriterium TA1 uit.

Interface ‘provideDEPs’

Nr Testcriterium
Pre Valideer het in te sturen activatiebericht t.o.v. de WSDL van het koppelvlak.
DA1

Voer een activatie uit om één of meerdere Direct Versleutelde Pseudoniemen (DEP’s) op te vragen. Dit kan op basis van een:

  • BSN
  • EncryptedBSN
  • EncryptedIdentity

Gebruik hierbij ook een valide BSN van 8 cijfers en een voorloopnul.

DA2 Verstuur een activatiebericht dat resulteert in de foutreden ‘AuthorizationError’, en toon aan dat deze correct wordt afgehandeld.
Dit kan door bijvoorbeeld het activatiebericht niet te ondertekenen.
DA3 Verstuur een activatiebericht dat resulteert in de foutreden ‘DocumentRejected’, en toon aan dat deze correct wordt afgehandeld.
Dit kan door bijvoorbeeld bij de persoonsgegevens een BSN te gebruiken die niet voldoet aan de elfproef.
DA4 Verstuur een activatiebericht dat resulteert in de foutreden ‘NotEnoughInfo’, en toon aan dat deze correct wordt afgehandeld.
Dit kan door bijvoorbeeld bij de persoonsgegevens een naam te gebruiken die niet correspondeert met het BSN en de geboortedatum.
DA5 Verstuur een activatiebericht dat resulteert in de foutreden ‘NotFound’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de persoonsgegevens een BSN te gebruiken die niet voorkomt in de BRP. Het BSN moet wel voldoen aan de elfproef.
DA6 Verstuur een activatiebericht dat resulteert in de foutreden ‘NotUnique’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de persoonsgegevens een BSN te gebruiken die meerdere keren voorkomt in de BRP (bijvoorbeeld 999991425).
DA7 Verstuur een activatiebericht dat resulteert in de foutreden ‘ProvisioningRefused’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de requester een OIN te gebruiken die niet overeenkomt met het OIN van de Authenticatiedienst waarmee het bericht is ondertekend.
DA8 Verstuur een activatiebericht dat resulteert in de foutreden ‘SyntaxError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld een pseudoniem te gebruiken met een onjuiste ASN1 structuur (bijvoorbeeld een VP in plaats van een VI).
DA9 Verstuur een activatiebericht dat resulteert in de foutreden ‘TemporarilyUnavailable’, en toon aan dat deze correct wordt afgehandeld.
Dit kan door bijvoorbeeld een niet-bestaande sleutelversie te gebruiken als RelyingPartyKeySetVersion.

Interface ‘registerRemarkableEvents’

Deze interface is buiten scope voor release 6 van BSNk PP.

Interface ‘transform’ (bij gebruik transformatie HSM van BSNk)

Nr Testcriterium
Pre Valideer het in te sturen transformatiebericht t.o.v. de WSDL van het koppelvlak.
TA1

Voer een transformatie uit, voor minimaal één Dienstverlener die wel, en één Dienstverlener die niet in de ALB is opgenomen. Hiervoor zijn de volgende mogelijkheden:

  • PI naar VI, waarbij de PI door gerelateerde Middelenuitgever is ontvangen bij ‘ProvidePPRequest’; deze transformatie faalt bij een Dienstverlener die niet in de ALB is opgenomen
  • PP naar VP, waarbij de PP door gerelateerde Middelenuitgever is ontvangen bij ‘ProvidePPRequest’
  • PIP naar VI (destilleer de PIP hiervoor eerst naar PI), waarbij de PIP door gerelateerde Middelenuitgever is ontvangen bij ‘ProvidePP_PPCA OptimizedRequest’; deze transformatie faalt bij een Dienstverlener die niet in de ALB is opgenomen
  • PIP naar VP (destilleer de PIP hiervoor eerst naar PP), waarbij de PIP door gerelateerde Middelenuitgever is ontvangen bij ‘ProvidePP_PPCA OptimizedRequest’
  • PP naar VP, waarbij de PP door gerelateerde Middelenuitgever is ontvangen bij ‘ProvidePP_PPCA OptimizedRequest’

Maak hierbij gebruik van een BSN, EncryptedBSN en EncryptedIdentity als input voor de PI, PP en PIP.

Gebruik bij de transformatie het OIN 00000004190673750000 en RelyingPartyKeySetVersion 20171010 voor de Dienstverlener die in de ALB is opgenomen, en het OIN 00000004822477348001 en RelyingPartyKeySetVersion 20171108 voor de Dienstverlener die niet in de ALB is opgenomen. Lever de ontvangen VI’s en/of VP’s aan de aansluitcoördinator van BSNk voor een decryptie naar en controle van BSN en/of persistent pseudoniem.

TA2 Verstuur een transformatiebericht dat resulteert in de foutreden ‘AuthorizationError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld het transformatiebericht niet te ondertekenen.
TA3 Verstuur een transformatiebericht dat resulteert in de foutreden ‘ProvisioningRefused’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de requester een OIN te gebruiken die niet overeenkomt met het OIN van de Authenticatiedienst waarmee het bericht is ondertekend.
TA4 Verstuur een transformatiebericht dat resulteert in de foutreden ‘SyntaxError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld een pseudoniem te gebruiken met een onjuiste ASN1 structuur (bijvoorbeeld een PP bij het verzoek om een VI).

De foutredenen ‘NotFound’ en ‘TemporarilyUnavailable’ zijn niet te triggeren en daardoor niet testbaar.

Interface ‘transform’ (bij gebruik eigen transformatie HSM)

Nr Testcriterium
HA1

Voer een transformatie uit, voor minimaal één Dienstverlener die wel, en één Dienstverlener die niet in de ALB is opgenomen. Hiervoor zijn de volgende mogelijkheden:

  • PI naar VI, waarbij de PI door gerelateerde Middelenuitgever is ontvangen bij ‘ProvidePPRequest’; deze transformatie faalt bij een Dienstverlener die niet in de ALB is opgenomen
  • PP naar VP, waarbij de PP door gerelateerde Middelenuitgever is ontvangen bij ‘ProvidePPRequest’
  • PIP naar VI (destilleer de PIP hiervoor eerst naar PI), waarbij de PIP door gerelateerde Middelenuitgever is ontvangen bij ‘ProvidePP_PPCA OptimizedRequest’; deze transformatie faalt bij een Dienstverlener die niet in de ALB is opgenomen
  • PIP naar VP (destilleer de PIP hiervoor eerst naar PP), waarbij de PIP door gerelateerde Middelenuitgever is ontvangen bij ‘ProvidePP_PPCA OptimizedRequest’
  • PP naar VP, waarbij de PP door gerelateerde Middelenuitgever is ontvangen bij ‘ProvidePP_PPCA OptimizedRequest’

Maak hierbij gebruik van een BSN, EncryptedBSN en EncryptedIdentity als input voor de PI, PP en PIP.

Gebruik bij de transformatie het OIN 00000004190673750000 en RelyingPartyKeySetVersion 20171010 voor de Dienstverlener die in de ALB is opgenomen, en het OIN 00000004822477348001 en RelyingPartyKeySetVersion 20171108 voor de Dienstverlener die niet in de ALB is opgenomen. Lever de ontvangen VI’s en/of VP’s aan de aansluitcoördinator van BSNk voor een decryptie naar en controle van BSN en/of persistent pseudoniem.

HA2 Verstuur een transformatiebericht waarbij de HSM is uitgeschakeld en/of verkeerde connectie parameters zijn gebruikt, en toon aan dat deze situatie correct wordt afgehandeld.
HA3 Verstuur een transformatiebericht waarbij de HSM crypto-user verkeerd of niet is geconfigureerd, en toon aan dat deze situatie correct wordt afgehandeld.
HA4 Verstuur een transformatiebericht met een verkeerd versienummer voor de schema sleutelset, en toon aan dat deze situatie correct wordt afgehandeld.
HA5 Verstuur een transformatiebericht met een verkeerd Middelenuitgever OIN of versienummer, en toon aan dat deze situatie correct wordt afgehandeld.

Testcriteria voor de rol ‘Machtigingenregister’

Metadata

Nr Testcriterium
MR1 Publiceer minimaal 2 verschillende versies van de eigen metadata op een vooraf aan de aansluitcoördinator van BSNk doorgegeven URL. Controleer bij iedere publicatie na 1 uur of deze correct is verwerkt in de geaggregeerde netwerkmetadata.
MR2 Importeer minimaal 2 verschillende versies van de door BSNk geaggregeerde netwerkmetadata. Voer in beide situaties daarna testcriterium AR1 uit.

Interface 'Activate'

Nr Testcriterium
Pre Valideer het in te sturen activatiebericht t.o.v. de WSDL van het koppelvlak.
AR1

Voer een activatie uit. Dit kan op basis van een:

  • BSN
  • EncryptedBSN
  • EncryptedIdentity

Gebruik hierbij ook een valide BSN van 8 cijfers en een voorloopnul. Maak hierbij gebruik van het relevante type activatiebericht. ‘ProvidePP_RepresentationRequest’ resulteert in een PI en PP.

AR2 Verstuur een activatiebericht dat resulteert in de foutreden ‘AuthorizationError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld het activatiebericht niet te ondertekenen.
AR3 Verstuur een activatiebericht dat resulteert in de foutreden ‘DocumentRejected’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de persoonsgegevens een BSN te gebruiken die niet voldoet aan de elfproef.
AR4 Verstuur een activatiebericht dat resulteert in de foutreden ‘NotEnoughInfo’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de persoonsgegevens een naam te gebruiken die niet correspondeert met het BSN en de geboortedatum.
AR5 Verstuur een activatiebericht dat resulteert in de foutreden ‘NotFound’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de persoonsgegevens een BSN te gebruiken die niet voorkomt in de BRP. Het BSN moet wel voldoen aan de elfproef.
AR6 Verstuur een activatiebericht dat resulteert in de foutreden ‘NotUnique’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de persoonsgegevens een BSN te gebruiken die meerdere keren voorkomt in de BRP (bijvoorbeeld 999991425).
AR7 Verstuur een activatiebericht dat resulteert in de foutreden ‘ProvisioningRefused’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de requester een OIN te gebruiken die niet overeenkomt met het OIN van het Machtigingenregister waarmee het bericht is ondertekend.
AR8 Verstuur een activatiebericht dat resulteert in de foutreden ‘SyntaxError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld een pseudoniem te gebruiken met een onjuiste ASN1 structuur (bijvoorbeeld een VP in plaats van een VI).
AR9 Verstuur een activatiebericht dat resulteert in de foutreden ‘TemporarilyUnavailable’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld een activatie uit te voeren terwijl de verkeerde sleutels voor het inzageregister zijn geconfigureerd. 
Deze actie moet afgestemd en ingepland worden met de aansluitcoördinator van BSNk.

Interface ‘provideDEPs’

Nr Testcriterium
Pre Valideer het in te sturen activatiebericht t.o.v. de WSDL van het koppelvlak.
DR1

Voer een activatie uit om één of meerdere Direct Versleutelde Pseudoniemen (DEP’s) op te vragen. Dit kan op basis van een:

  • BSN
  • EncryptedBSN
  • EncryptedIdentity

Gebruik hierbij ook een valide BSN van 8 cijfers en een voorloopnul.

DR2 Verstuur een activatiebericht dat resulteert in de foutreden ‘AuthorizationError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld het activatiebericht niet te ondertekenen.
DR3 Verstuur een activatiebericht dat resulteert in de foutreden ‘DocumentRejected’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de persoonsgegevens een BSN te gebruiken die niet voldoet aan de elfproef.
DR4 Verstuur een activatiebericht dat resulteert in de foutreden ‘NotEnoughInfo’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de persoonsgegevens een naam te gebruiken die niet correspondeert met het BSN en de geboortedatum.
DR5 Verstuur een activatiebericht dat resulteert in de foutreden ‘NotFound’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de persoonsgegevens een BSN te gebruiken die niet voorkomt in de BRP. Het BSN moet wel voldoen aan de elfproef.
DR6 Verstuur een activatiebericht dat resulteert in de foutreden ‘NotUnique’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de persoonsgegevens een BSN te gebruiken die meerdere keren voorkomt in de BRP (bijvoorbeeld 999991425).
DR7 Verstuur een activatiebericht dat resulteert in de foutreden ‘ProvisioningRefused’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de requester een OIN te gebruiken die niet overeenkomt met het OIN van de Machtigingenregister waarmee het bericht is ondertekend.
DR8 Verstuur een activatiebericht dat resulteert in de foutreden ‘SyntaxError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld een pseudoniem te gebruiken met een onjuiste ASN1 structuur (bijvoorbeeld een VP in plaats van een VI).
DR9 Verstuur een activatiebericht dat resulteert in de foutreden ‘TemporarilyUnavailable’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld een niet-bestaande sleutelversie te gebruiken als RelyingPartyKeySetVersion.

Interface ‘registerRemarkableEvents’

Deze interface is buiten scope voor release 6 van BSNk PP.

Interface ‘registerStatusEIM’

Nr Testcriterium
Pre Valideer het in te sturen statusbericht t.o.v. de WSDL van het koppelvlak.
SR1 Voer een statuswijziging van een machtiging(set) door in het Inzageregister.
SR2 Verstuur een statusbericht dat resulteert in de foutreden ‘AuthorizationError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld het statusbericht niet te ondertekenen.
SR3 Verstuur een statusbericht dat resulteert in de foutreden ‘RegistrationRefused’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld een ingangsdatum te gebruiken van meer dan 31 dagen in het verleden.
SR4 Verstuur een statusbericht dat resulteert in de foutreden ‘SyntaxError’, en toon aan dat deze correct wordt afgehandeld.
Dit kan door bijvoorbeeld een pseudoniem te gebruiken met een onjuiste ASN1 structuur (bijvoorbeeld een PP in plaats van een VP).

De foutredenen ‘NotUnique’, ‘NotFound’ en ‘TemporarilyUnavailable’ zijn niet te triggeren en daardoor niet testbaar.

Interface ‘transform’

Nr Testcriterium
Pre Valideer het in te sturen transformatiebericht t.o.v. de WSDL van het koppelvlak.
TR1

Voer een transformatie uit, voor minimaal één Dienstverlener die wel, en één Dienstverlener die niet in de ALB is opgenomen. Hiervoor zijn de volgende mogelijkheden:

  • PI naar VI, waarbij de PI is ontvangen bij ‘ProvidePP_RepresentationRequest’; deze transformatie faalt bij een Dienstverlener die niet in de ALB is opgenomen
  • PP naar VP, waarbij de PP is ontvangen bij‘ProvidePP_RepresentationRequest’

Maak hierbij gebruik van een BSN, EncryptedBSN en EncryptedIdentity als input voor de PI en PP.

Gebruik bij de transformatie het OIN 00000004190673750000 en RelyingPartyKeySetVersion 20171010 voor de Dienstverlener die in de ALB is opgenomen, en het OIN 00000004822477348001 en RelyingPartyKeySetVersion 20171108 voor de Dienstverlener die niet in de ALB is opgenomen. Lever de ontvangen VI’s en/of VP’s aan de aansluitcoördinator van BSNk voor een decryptie naar en controle van BSN en/of persistent pseudoniem.

TR2 Verstuur een transformatiebericht dat resulteert in de foutreden ‘AuthorizationError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld het transformatiebericht niet te ondertekenen.
TR3 Verstuur een transformatiebericht dat resulteert in de foutreden ‘ProvisioningRefused’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de requester een OIN te gebruiken die niet overeenkomt met het OIN van het Machtigingenregister waarmee het bericht is ondertekend.
TR4 Verstuur een transformatiebericht dat resulteert in de foutreden ‘SyntaxError’, en toon aan dat deze correct wordt afgehandeld.
Dit kan door bijvoorbeeld een pseudoniem te gebruiken met een onjuiste ASN1 structuur (bijvoorbeeld een PP bij het verzoek om een VI).

De foutredenen ‘NotFound’ en en ‘TemporarilyUnavailable’ zijn niet te triggeren en daardoor niet testbaar.

Testcriteria voor rol ‘eIDAS-berichtenservice’

Metadata

Nr Testcriterium
ME1 Publiceer minimaal 2 verschillende versies van de eigen metadata op een vooraf aan de aansluitcoördinator van BSNk doorgegeven URL.
Controleer bij iedere publicatie na 1 uur of deze correct is verwerkt in de geaggregeerde netwerkmetadata.
ME2 Importeer minimaal 2 verschillende versies van de door BSNk geaggregeerde netwerkmetadata. Voer in beide situaties daarna testcriterium AE1 uit.

Interface ‘activate’

Nr Testcriterium
Pre Valideer het in te sturen activatiebericht t.o.v. de WSDL van het koppelvlak.
AE1

Voer een activatie uit. Dit kan op basis van een:  

  • eIDAS-UniquenessID
  • eIDAS-UniquenessID en EncryptedBSN

Gebruik hierbij ook een valide BSN van 8 cijfers en een voorloopnul. Alleen een eIDAS-UniquenessID resulteert in een PP-eu, een eIDAS-UniquenessID samen met een EncryptedBSN resulteert in een PP-eu, PI en PP.

AE2 Verstuur een activatiebericht dat resulteert in de foutreden ‘AuthorizationError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld het activatiebericht niet te ondertekenen.
AE3 Verstuur een activatiebericht dat resulteert in de foutreden ‘ProvisioningRefused’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de requester een OIN te gebruiken die niet overeenkomt met het OIN van de eIDAS-berichtenservice waarmee het bericht is ondertekend.
AE4 Verstuur een activatiebericht dat resulteert in de foutreden ‘SyntaxError’, en toon aan dat deze correct wordt afgehandeld.
Dit kan door bijvoorbeeld het type bericht ‘ProvidePP_PPCAOptimizedRequest’ te gebruiken.
AE5 Verstuur een activatiebericht dat resulteert in de foutreden ‘TemporarilyUnavailable’, en toon aan dat deze correct wordt afgehandeld.
Dit kan door bijvoorbeeld een activatie uit te voeren terwijl de verkeerde sleutels voor het inzageregister zijn geconfigureerd. Deze actie moet afgestemd en ingepland worden met de aansluitcoördinator van BSNk.

De foutredenen ‘NotEnoughInfo’, ‘NotUnique’, ‘NotFound’ en ‘DocumentRejected’ zijn niet te triggeren en daardoor niet testbaar.

Interface ‘provideDEPs’

Nr Testcriterium
Pre Valideer het in te sturen activatiebericht t.o.v. de WSDL van het koppelvlak.
DE1

Voer een activatie uit om één of meerdere Direct Versleutelde Pseudoniemen (DEP’s) op te vragen. Dit kan op basis van een:

  • eIDAS-UniquenessID
  • eIDAS-UniquenessID en EncryptedBSN

Gebruik hierbij ook een valide BSN van 8 cijfers en een voorloopnul.

DE2 Verstuur een activatiebericht dat resulteert in de foutreden ‘AuthorizationError’, en toon aan dat deze correct wordt afgehandeld.
Dit kan door bijvoorbeeld het activatiebericht niet te ondertekenen.
DE3 Verstuur een activatiebericht dat resulteert in de foutreden ‘ProvisioningRefused’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de requester een OIN te gebruiken die niet overeenkomt met het OIN van de eIDAS-berichtenservice waarmee het bericht is ondertekend.
DE4 Verstuur een activatiebericht dat resulteert in de foutreden ‘TemporarilyUnavailable’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld een niet-bestaande sleutelversie te gebruiken als RelyingPartyKeySetVersion.

De foutredenen ‘DocumentRejected’, ‘NotEnoughInfo’, ‘NotFound’, ‘NotUnique’ en ‘SyntaxError’ zijn niet te triggeren en daardoor niet testbaar.

Interface ‘registerStatusEIM’

Nr Testcriterium
Pre Valideer het in te sturen statusbericht t.o.v. de WSDL van het koppelvlak.
SE1 Voer een statuswijziging van een land door in het Inzageregister.
SE2 Verstuur een statusbericht dat resulteert in de foutreden ‘AuthorizationError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld het statusbericht niet te ondertekenen.
SE3 Verstuur een statusbericht dat resulteert in de foutreden ‘RegistrationRefused’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld een ingangsdatum te gebruiken van meer dan 31 dagen in het verleden.
SE4 Verstuur een statusbericht dat resulteert in de foutreden ‘SyntaxError’, en toon aan dat deze correct wordt afgehandeld.
Dit kan door bijvoorbeeld een pseudoniem te gebruiken met een onjuiste ASN1 structuur (bijvoorbeeld een PP in plaats van een VP).
SE5 Beëindig een koppeling tussen een identiteit uit een andere eIDAS-lidstaat (eIDAS-UniquenessID) en Nederlandse identiteit (BSN) in het inzageregister. Maak hierbij gebruik van het type bericht ‘RegisterStatusEIM_EndLinkRequest’.
SE6 Verstuur een bericht voor het beëindigen van een koppeling dat resulteert in de foutreden ‘AuthorizationError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld het bericht niet te ondertekenen.
SE7 Verstuur een bericht voor het beëindigen van een koppeling dat resulteert in de foutreden ‘RegistrationRefused’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld een reeds beëindigde koppeling nogmaals te beëindigen.
SE8 Verstuur een bericht voor het beëindigen van een koppeling dat resulteert in de foutreden ‘SyntaxError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld een pseudoniem te gebruiken met een onjuiste ASN1 structuur (bijvoorbeeld een PP in plaats van een VP).

De foutredenen ‘NotUnique’, ‘NotFound’ en ‘TemporarilyUnavailable’ zijn niet te triggeren en daardoor niet testbaar. 

Interface ‘transform’

Nr Testcriterium
Pre Valideer het in te sturen transformatiebericht t.o.v. de WSDL van het koppelvlak.
TE1

Voer een transformatie uit, voor minimaal één Dienstverlener die wel, en één Dienstverlener die niet in de ALB is opgenomen. Hiervoor zijn de volgende mogelijkheden:  

  • PP-eu naar VP-eu, waarbij de PP-eu is ontvangen met eIDAS-UniquenessID als input
  • PP-eu naar VP-eu, waarbij de PP-eu is ontvangen met eIDAS-UniquenessID en EncryptedBSN als input
  • PI naar VI, waarbij de PI is ontvangen met eIDAS-UniquenessID en EncryptedBSN als input; deze transformatie faalt bij een Dienstverlener die niet in de ALB is opgenomen
  • PP naar VP, waarbij de PP is ontvangen met eIDAS-UniquenessID en EncryptedBSN als input

Gebruik bij de transformatie het OIN 00000004190673750000 en RelyingPartyKeySetVersion 20171010 voor de Dienstverlener die in de ALB is opgenomen, en het OIN 00000004822477348001 en RelyingPartyKeySetVersion 20171108 voor de Dienstverlener die niet in de ALB is opgenomen.
Lever de ontvangen VI’s en/of VP’s aan de aansluitcoördinator van BSNk voor een decryptie naar en controle van BSN en/of persistent pseudoniem.

TE2 Verstuur een transformatiebericht dat resulteert in de foutreden ‘AuthorizationError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld het transformatiebericht niet te ondertekenen.
TE3 Verstuur een transformatiebericht dat resulteert in de foutreden ‘ProvisioningRefused’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de requester een OIN te gebruiken die niet overeenkomt met het OIN van de eIDAS-berichtenservice waarmee het bericht is ondertekend.
TE4 Verstuur een transformatiebericht dat resulteert in de foutreden ‘SyntaxError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld een pseudoniem te gebruiken met een onjuiste ASN1 structuur (bijvoorbeeld een PP bij het verzoek om een VI).        

De foutredenen ‘NotFound’ en ‘TemporarilyUnavailable’ zijn niet te triggeren en daardoor niet testbaar.

Testcriteria voor rol ‘Toegangsdienst’

Metadata

Nr Testcriterium
MT1 Publiceer minimaal 2 verschillende versies van de eigen metadata op een vooraf aan de aansluitcoördinator van BSNk doorgegeven URL. Controleer bij iedere publicatie na 1 uur of deze correct is verwerkt in de geaggregeerde netwerkmetadata.
MT2 Importeer minimaal 2 verschillende versies van de door BSNk geaggregeerde netwerkmetadata. Voer in beide situaties daarna testcriterium KT1 uit.

Interface ‘provideDVKeys’

Nr Testcriterium
Pre Valideer het in te sturen bericht om sleutelmateriaal op te vragen t.o.v. de WSDL van het koppelvlak.
KT1 Vraag sleutelmateriaal op voor een Dienstverlener die niet op de ALB staat. Dit zou twee sleutels voor het decrypten van een VP op moeten leveren.
KT2 Vraag sleutelmateriaal op voor een Dienstverlener die wel op de ALB staat. Dit zou drie sleutels op moeten leveren, de extra sleutel is voor het decrypten van een VI.
KT3 Verstuur een bericht om sleutelmateriaal op te vragen dat resulteert in de foutreden ‘AuthorizationError’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld het bericht niet te ondertekenen.
KT4 Verstuur een bericht om sleutelmateriaal op te vragen dat resulteert in de foutreden ‘ProvisioningRefused’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld bij de requester een OIN te gebruiken die niet overeenkomt met het OIN van de Toegangsdienst waarmee het bericht is ondertekend.

De foutredenen ‘InvalidRequest’, ‘Not Found’ en ‘Not Unique’ zijn niet te triggeren en daardoor niet testbaar.

Interface ‘provideDVMigrationKeys’

Nr Testcriterium
Pre Valideer het in te sturen bericht om conversiesleutels op te vragen t.o.v. de WSDL van het koppelvlak.
CT1 Vraag conversiesleutels op voor twee Dienstverleners die op de Sleutelverstrekkingslijst (SVL) staan. Dit zou twee sleutels op moeten leveren, één voor elke Dienstverlener.
CT2 Verstuur een bericht om conversiesleutels op te vragen dat resulteert in de foutreden ‘AuthorizationError’, en toon aan dat deze correct wordt afgehandeld.
Dit kan door bijvoorbeeld het bericht niet te ondertekenen.
CT3 Verstuur een bericht om conversiesleutels op te vragen dat resulteert in de foutreden ‘InvalidRequest’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld conversiesleutels op te vragen voor minimaal één Dienstverlener die niet op de Sleutelverstrekkingslijst staat.
CT4 Verstuur een bericht om conversiesleutels op te vragen dat resulteert in de foutreden ‘ProvisioningRefused’, en toon aan dat deze correct wordt afgehandeld. 
Dit kan door bijvoorbeeld een combinatie bron- en doel-OIN te gebruiken die als niet geldig voorkomt op de OIN-migratielijst. Deze actie moet afgestemd en ingepland worden met de aansluitcoördinator van BSNk.

De foutredenen ‘Not Found’, ‘Not Unique’, ‘SyntaxError’ en ‘TemporarilyUnavailable’ zijn niet te triggeren en daardoor niet testbaar.

Afkortingen en definities

De in dit document gebruikte afkortingen en definities zijn afkomstig uit de Uniforme Set van Eisen:

Begrip Uitleg
ALB De Autorisatielijst BSN is een lijst met Dienstverleners die geautoriseerd zijn voor ontvangst van het BSN, beschikbaar gesteld en ondertekend door de Beheerorganisatie BSNk. Deze Dienstverlener moet daarvoor minimaal één Dienst hebben waarvoor hij een wettelijke taak uitvoert waarbij een BSN nodig is. Een Dienstverlener moet dan aan de eisen voldoen die de Wet GDI stelt aan een Dienstverlener (onder meer op de gebieden privacy en beveiliging).
Authenticatiedienst Een Authenticatiedienst (AD) voert authenticatieprocedures uit waarmee Gebruikers worden geauthentiseerd daarbij gebruikmakend van elektronische Authenticatiemiddelen verstrekt door een Middelenuitgever. De Authenticatiedienst levert op basis van de authenticatieprocedure een Authenticatieverklaring aan de Toegangsdienst.
BRP De Basisregistratie Personen (BRP) is een volledig digitale voorziening die persoonsgegevens bevat van alle inwoners van Nederland (ingezetenen) en van personen die niet, of korter dan 4 maanden, in Nederland wonen maar wel een relatie met de Nederlandse overheid hebben (de niet-ingezetenen). De wet Basisregistratie Personen is de grondslag voor het stelsel voor de registratie van persoonsgegevens in Nederland. Een aantal onderdelen van deze wet kan pas uitgevoerd worden als de Basisregistratie Personen (BRP) gereed is.
BSN Het Burgerservicenummer (BSN) is het Persoonlijke identificatie nummer van de Nederlandse overheid voor natuurlijke personen.
BSNk Het BSNk is een voorziening in het kader van de Generieke Digitale Infrastructuur (GDI) die het mogelijk maakt om publieke en private authenticatiemiddelen te gebruiken in het publiek domein.
Dienstverlener Dienstverlener is een rol die elektronische Diensten aanbiedt aan Gebruikers waarvoor Authenticatie voorwaardelijk is.
HSM Een Hardware Security Module (HSM) is een fysiek apparaat dat bescherming biedt voor de opslag, management en gebruik van cryptografisch materiaal.
Inzageregister Een centrale rol, belegd bij de Beheerorganisatie BSNk, waarbij de status van authenticatiemiddelen wordt geregistreerd en gebruikers deze status in kunnen zien.
Machtigingenregister Een Machtigingenregister registreert handelingen welke een Vertegenwoordiger namens een Belanghebbende uit mag voeren. Het Machtigingenregister levert op basis van de geregistreerde bevoegdheden een Bevoegdheidsverklaring aan de Toegangsdienst.
Middelenuitgever De Middelenuitgever (MU) is een rol van een Participant die een elektronisch Authenticatiemiddel verstrekt aan de Gebruiker en het middel bij het BSNk activeert voor gebruik in het Publieke domein. De Middelenuitgever biedt de Gebruiker de mogelijkheid om zijn Authenticatiemiddel(en) te beheren en zorgt ervoor dat het BSNk Inzageregister een actuele status van de Authenticatiemiddelen (of de relatie) heeft.
OIN Organisatie Identificatie Nummer (OIN) wordt gebruikt om een organisatie (bijvoorbeeld een Participant of Dienstverlener) te identificeren.
Polymorfe identiteit/pseudoniem (PI/PP) Polymorfe Identiteit (PI) en de Polymorfe Pseudoniem (PP) zijn specifieke cryptografische elementen die op aanvraag van een Middelenuitgever door het BSNk afgeleid worden van een identiteit van de Gebruiker (BSN in geval van het Publiek Domein). De PI en PP zijn specifiek voor de aanvragende Middelenuitgever en daarom worden ze genoteerd als (voorbeeld RDW): PI@RDW en PP@RDW. Deze PI@MU en PP@MU kunnen gebruikt worden door een Authenticatiedienst om een Gebruiker te authenticeren. Dit kan als de Authenticatiedienst dezelfde partij is als de Middelenuitgever of als een Authenticatiedienst hiervoor speciaal geautoriseerd is door de betreffende Middelenuitgever (via "MU - AD affiliation" in de Metadata). In dat geval kan de Authenticatiedienst de PI@MU of PP@MU transformeren naar een Ontvangende partij specifieke Versleutelde Identiteit of Versleuteld Pseudoniem (VI@OP of VP@OP).
Sleutelmateriaal Er bestaan verschillende soorten cryptografische sleutels, ook wel sleutelmateriaal genoemd. Ruwweg bestaan sleutels voor communicatie beveiliging (PKI Overheid) en sleutels waarmee de polymorfe structuren worden gevormd. Er zijn drie soorten polymorfe sleutels. Allereerst zijn er sleutels bij BSNk ten behoeve van activatie, i.e. waarmee Polymorfe Identiteiten en Pseudoniemen worden gevormd. Ten tweede zijn er sleutels aanwezig bij Authenticatiediensten waarmee transformaties naar Versleutelde Identiteiten en Pseudoniemen kunnen worden uitgevoerd. Voor het merendeel omvat dit gedeelde sleutels. Tot slot zijn er sleutels bij Dienstverleners. Hiermee kunnen zij Versleutelde Identiteiten en Pseudoniemen ontsleutelen alsmede de authenticiteit daarvan vaststellen. De eerste twee categorieën polymorfe sleutels hebben een lange levensduur en worden (daarom) in HSMs beheerd. De laatste categorie polymorfe sleutels kunnen relatief eenvoudig worden vervangen en hoeven daarom niet in HSMs te worden beheerd.
Toegangsdienst Een Toegangsdienst (TD) verstrekt verklaringen over de identiteit van een Gebruiker aan de Dienstverlener. Op basis van deze verklaring besluit de Dienstverlener over toegang van de Gebruiker tot de Dienst. De Toegangsdienst verstrekt de verklaringen op basis van verklaringen van een Authenticatiedienst. De Toegangsdienst biedt de Gebruiker de mogelijkheid een Authenticatiedienst te kiezen.
Versleutelde Identiteit/Pseudoniem (VI/VP)

De Versleutelde Identiteit (VI) en het Versleutelde Pseudoniem (VP) zijn specifieke cryptografische elementen die door een Authenticatiedienst gemaakt worden door de Polymorfe identiteit/pseudoniem van een Gebruiker te transformeren voor een specifieke Ontvangende Partij. Omdat de VI en VP specifiek zijn voor deze beoogde Ontvangende Partij worden ze genoteerd als (voorbeeld Belastingdienst): VI@Belastingdienst en VP@Belastingdienst.

Een Authenticatiedienst kan slechts een Middelenuitgever specifiek Polymorfe identiteit/pseudoniem (PI@MU en PP@MU1) transformeren als hij dezelfde partij is als de Middelenuitgever. In alle andere gevallen moet een Authenticatiedienst speciaal geautoriseerd worden door de betreffende Middelenuitgever (via "MU - AD affiliation" in de Metadata). Pas dan kan de Authenticatiedienst de PI@MU of PP@MU transformeren naar een Ontvangende partij specifieke Versleutelde Identiteit of Versleuteld Pseudoniem (VI@OP of VP@OP2). De betreffende Ontvangende Partij kan op zijn beurt deze VI@OP of VP@OP gebruiken om daaruit (met het juiste Sleutelmateriaal) de Gebruiker te identificeren met een originele identiteit (BSN in geval van het Publiek Domein) of een voor de Ontvangende Partij specifiek persistent Pseudoniem.