OIDC: Standard Identifikator und Attribute

Die Bereitstellung von Attributen für Applikationen folgt dem Prinzip "so wenig wie möglich, so viele wie nötig". So erhalten Sie für eIAM Standardintegrationen als Fachanwendungen den unten beschriebenen Identifikator und die Attribute.

Benötigt Ihre Fachanwendung einen anderen Identifikator oder zusätzliche, hier nicht aufgeführte Attribute, so sprechen Sie dies bitte an und führen Sie Ihre Bedürfnisse im eIAM Dossier auf.

Identifikator

Bei der eIAM Standardintegration enthält das JWT (Token), das an die Applikation gesendet wird, das folgende Attribut sub:

Sub Inhalt aus Attribut	Attributformat	Beschreibung
http://schemas.eiam.admin.ch/ws/2013/12/ identity/claims/e-id/userExtId	urn:oasis:names:tc:SAML:2.0: nameid-format:persistent	Die userExtId des Access Client. Dieser Wert ist eindeutig, unveränderlich und wird im Rahmen von Standardintegrationen mit Access Management verwendet.
http://schemas.xmlsoap.org/ws/2005/05/ identity/claims/name	urn:oasis:names:tc:SAML:2.0: nameid-format:persistent	Die loginId des Root Client. Dieser Wert ist eindeutig, unveränderlich und wird im Rahmen von Standardintegrationen ohne Access Management (Authentication Only) verwendet.

Kennung und Standard Attribut Set

Für den Standard Attributsatz gelten die folgenden Regeln:

Alle Attribute stammen vom Root Client, sofern nicht anders angegeben. Dadurch wird sichergestellt, dass die bereitgestellten Daten mit dem angegebenen QoA-Level der Authentifizierung übereinstimmen.
Alle Attribute, die von eIAM bereitgestellt werden, stammen von eIAM Attributen (originalIssuer="uri:eiam.admin.ch:feds"), es werden keine Attribute von IdP bereitgestellt.

Liste der bereitgestellten Attribute im Standard Attributsatz per September 2026:

Parameter	Beispiel	Attribut Name	Kommentar
Value of Subject NameID	123456789	sub	Standard OIDC Attribut, das den vereinbarten Identifikator des Benutzers enthält. Bei Fachanwendungen ist dies die userExtId des Benutzers im Access Mandant.
Qualität der Authentifizierung / Identitätsprüfung	urn:qoa.eiam.admin.ch: names:tc:ac:classes:30	acr	Standard OIDC-Attribut, enthält die Authentifizierungsstärke siehe: OIDC QoA Spezifikation
Display Name	Muster Hans BIT	name	Standard OIDC Attribut. Darf nur zur Anzeige des Benutzers verwendet und nicht interpretiert werden. Im Unternehmenskontext hat dieses Attribut das Format "Nachname & Vorname & OE". Im eGov-Kontext hat dieses Attribut das Format "Nachname & Vorname".
Vorname	Hans	given_name	Standard OIDC Attribut.
Nachname	Muster	family_name	Standard OIDC Attribut.
eMail-Adresse	hans.muster@bit.admin.ch	email	Standard OIDC-Attribut.
Sprache	DE	language	Privates Claim
Rollen im aktuellen Profil der aktuellen Fachanwendung *	BAG-emweb.ALLOW BAG-embeb.Admin	roles	Standard jwt Attribut. Alle Rollen, die der Benutzer im aktuell ausgewählten Profil hat (mehrwertig). Wenn der Benutzer mehrere Profile hat, muss er vorher ein Profil auswählen, mit dem er arbeiten möchte.

*Nicht vorhanden beim Authenication Only Integrationsmuster.

Neben den oben erwähnten Public Claims und Custom Claims werden im Token zusätzlich die Registered Claims 'aud', 'azp', 'exp', 'nbf', 'iat', 'iss' und 'nonce' standardmässig geliefert. Diese Claims dienen der Absicherung der Föderation zwischen eIAM und der Relying Party.