diff options
| author | Thomas Lenz <tlenz@iaik.tugraz.at> | 2014-02-20 17:19:21 +0100 |
|---|---|---|
| committer | Thomas Lenz <tlenz@iaik.tugraz.at> | 2014-02-20 17:19:21 +0100 |
| commit | 999b4d73161981d4a368968796dd1543a03e28d2 (patch) | |
| tree | 44f3c8dd6e67073784c9f7b5664b6fc0c543e644 /id/server/doc/handbook/intro | |
| parent | addd90ec1f988bcae99890d1008175c12a98068c (diff) | |
| download | moa-id-spss-999b4d73161981d4a368968796dd1543a03e28d2.tar.gz moa-id-spss-999b4d73161981d4a368968796dd1543a03e28d2.tar.bz2 moa-id-spss-999b4d73161981d4a368968796dd1543a03e28d2.zip | |
add inital version of MOA-ID 2.0 handbook
Diffstat (limited to 'id/server/doc/handbook/intro')
| -rw-r--r-- | id/server/doc/handbook/intro/Blockdiagramm.png | bin | 0 -> 84989 bytes | |||
| -rw-r--r-- | id/server/doc/handbook/intro/anmeldeablauf.png | bin | 0 -> 51570 bytes | |||
| -rw-r--r-- | id/server/doc/handbook/intro/intro.html | 95 |
3 files changed, 95 insertions, 0 deletions
diff --git a/id/server/doc/handbook/intro/Blockdiagramm.png b/id/server/doc/handbook/intro/Blockdiagramm.png Binary files differnew file mode 100644 index 000000000..f5bdb9e3a --- /dev/null +++ b/id/server/doc/handbook/intro/Blockdiagramm.png diff --git a/id/server/doc/handbook/intro/anmeldeablauf.png b/id/server/doc/handbook/intro/anmeldeablauf.png Binary files differnew file mode 100644 index 000000000..e7d1ea042 --- /dev/null +++ b/id/server/doc/handbook/intro/anmeldeablauf.png diff --git a/id/server/doc/handbook/intro/intro.html b/id/server/doc/handbook/intro/intro.html new file mode 100644 index 000000000..3f5b1b7c7 --- /dev/null +++ b/id/server/doc/handbook/intro/intro.html @@ -0,0 +1,95 @@ +<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"> +<html> +<head> + <meta http-equiv="content-type" content="text/html; charset=iso-8859-1"> + <title>MOA SS und SP - Einführung</title> + <link rel="stylesheet" href="../common/MOA.css" type="text/css"> +</head> +<body link="#990000"> + <table class="logoTable" width="100%" border="0" cellspacing="0" cellpadding="10"> + <tr> + <td align="center" class="logoTitle" width="267"><img src="../common/LogoBKA.png" alt="Logo BKA" width="267" height="37" align="left"></td> + <td align="center" class="logoTitle">Dokumentation</td> + <td align="center" class="logoTitle" width="123"><img src="../common/LogoEGIZ.png" alt="Logo EGIZ" width="230" height="81" align="right"></td> + </tr> + </table> + <hr/> + <p class="title"><a href="../index.html">MOA-ID (Identifikation) </a></p> +<p class="subtitle">Einführung</p> + <hr/> + <h1>Inhalt</h1> + <ol> + <li><a href="#allgemeines">Allgemeines</a></li> + <li><a href="#ss">MOA-ID-Auth </a></li> + <li><a href="#sp">MOA-ID-Configuration</a></li> + </ol> +<hr/> + <h1><a name="allgemeines"></a>1 Allgemeines</h1> + <p> Das Module MOA-ID-Auth kann von Anwendungen zur Identifizierung und Authentifizierung im Rahmen eines Anmeldeprozesses an einer Online-Applikation verwendet werden. Die Konfiguration des Modules MOA-ID-Auth erfolgt mit Hilfe des Zusatzmodules MOA-ID-Configuration welches eine web-basierte Konfigurationsschnittstelle zur Verfügung stellt.</p> + <p>Das nachfolgende Blockdiagramm zeigt Struktur von MOA-ID und gibt eine kurze Beschreibung der einzelnen Komponenten.</p> + <p><img src="Blockdiagramm.png" alt="Architektur MOA-ID" width="1000" height="678"></p> + <p> </p> +<p>MOA-ID besteht aus folgenden Kernkomponenten:</p> + <ol> + <li><u>CORE LOGIC</u>: Diese Komponente ist die zentrale Logik zur Steuerung der einzelnen Prozesse innerhalb MOA-ID 2.x.</li> + <li><u>Protocol Adapter</u>: Stellt die in MOA-ID 2.x unterstützten <a href="./protocol/protocol.html">Authentifizierungsprotokolle</a> für die Anbindung von Service Providern zur Verfügung.</li> + <li><u>Auth Sources</u>: Stellt die von MOA-ID 2.x unterstützte Identifikationsmechanismen zur Verfügung. Dies sind die österreichische Bürgerkarte oder Handy-Signatur sowie die Anmeldung ausländischer Personen mit Hilfe des STORK Protokoll.</li> + <li><u>Template Generator</u>: Der Template Generator erzeugt für Service Provider die entsprechenden Login-Masken für die Integration in die eigene Web-Applikation.</li> + <li><u>SSO Module</u>: Das Single Sign-On (SSO) Modul verwaltet die zusätzlichen Operationen die sich aus der Umsetzung von SSO ergeben. Dies umfasst im Besonderen das SSO Session-Management.</li> + <li><u>Statistic Module</u>: Dieses Modul dient zur Generierung von anonymisierten Statistikdaten aus den Anmeldeinformationen. </li> + <li><u>Monitoring & Testing Module</u>: Dieses Modul implementiert Methoden mit deren Hilfe einzelne funktionale Bereiche aus MOA-ID-Auth getestet werden können. Somit dient dieses Modul als Schnittstellte zu einem externen Monitoring-Service.</li> + <li><u>Configuration</u><u> Modul</u>: Dieses Modul stellt die Schnittstelle zur MOA-ID-Auth Konfiguration dar welche in einer Datenbank abgelegt wird. </li> + <li><u>Konfigurationstool</u>: Oberfläche, mit deren Hilfe MOA-ID konfiguriert werden kann. Dies umfasst sowohl allgemeine Konfigurationsteile als auch die Konfiguration der einzelnen bei MOA-ID-Auth registrierten Online-Applikationen. Service Provider können sich am Konfigurationstool mittels Bürgerkarte oder Handy-Signatur anmelden und ihre Online-Applikationen verwalten.</li> + </ol> + <h2>1.1 Externe Services</h2> + <p>Für die Anmeldung in Vertretung und die Anmeldung ausländischer Personen werden zusätzliche externe Services verwendet.</p> + <h3>1.1.1 Online-Vollmachten</h3> + <p>Ab der MOA-ID Release 1.5.0 werden Online-Vollmachten (für Anwendungen aus dem öffentlichen Bereich) unterstützt. Hierzu werden diese Vollmachten über eine Online-Vollmachten-Service ausgewählt. Der Zugang zu diesem Online-Vollmachten Service ist über eine Client-Server Authentifizierung abgesichert. Als Client-Zertifikate werden Zertifikate der Firmen A-Trust bzw. A-CERT, die mit der Verwaltungs- oder Dienstleistereigenschaft versehen sind, akzeptiert. </p> + <h3>1.1.2 Ausländische Bürger</h3> + <p> Ab der MOA-ID Release 1.4.7 ist es möglich, dass sich auch ausländische Bürger mittels MOA-ID einloggen können. Hierzu wird eine Verbindung zu einem sogenannten Stammzahlenregister-Gateway aufgebaut, dass basierend auf den Zertifikatsdaten des ausländischen Bürgers eine Eintragung im Ergänzungsregister für natürliche Personen gemäß E-Government Gesetz §6(5) vornimmt. Somit ist es möglich, dass eine Personenbindung ausgestellt werden kann, die in weitere Folge an MOA-ID weitergeleitet wird. Der Zugang zu diesem Stammzahlenregister-Gateway ist über eine Client-Server Authentifizierung abgesichert. Als Client-Zertifikate werden Zertifikate der Firmen A-Trust bzw. A-CERT, die mit der Verwaltungs- oder Dienstleistereigenschaft versehen sind, akzeptiert. </p> +<h1><a name="ss"></a>2 MOA-ID-Auth</h1> +<p>Das Modul MOA-ID-Auth dient der Identifizierung und Authentifizierung im Rahmen eines Anmeldevorgangs an einer Online-Applikation. Die Identifizierung und Authentifizierzung erfolgt mit Bürgerkartem, Handy-Signatur oder für ausändische Personen mittels STORK.</p> +<p>Die Funktionalität und der Aufbau der Schnittstellen des Modules MOA-ID-Auth in Richtung Online-Applikation wird im Kapitel <a href="./protocol/protocol.html">Protokolle</a> beschriebe. Detailinformationen zu allen internen Schnittstellen von MOA-ID-Auth sind in der <a href="specification/moa-id-auth.pdf">Spezifikation</a> enthalten.</p> +<p>Für den Betrieb von MOA-ID-Auth ist der Einsatz von MOA-Signaturprüfung (MOA-SP) erforderlich.</p> +<h2>2.1 Ablauf einer Anmeldung</h2> +<p>Die nachfolgende Grafik beschreibt den Ablauf eines Abmeldevorgangs an einer Online-Applikation mit Hilfe von MOA-ID-Auth unter Verwendung der Bürgerkarte oder der Handy-Signatur.</p> +<p><img src="anmeldeablauf.png" width="947" height="881" alt="Sequenzdiagramm eines Anmeldevorgangs mit MOA-ID-Auth"></p> +<p> </p> +<ol> + <li>Der Benutzer verbindet sich zu einem Web-Portal (Service Provider) über das die Online-Applikation erreichtbar ist. Nach der Betätigung eines Login-Buttons wird der Anmeldevorgang ausgelöst.</li> + <li>Der Benutzer wird zur Identifizierung und Authentifizierung an MOA-ID-Auth weitergeleitet. </li> + <li>MOA-ID-Auth validiert die Authentifizierungsanfrage des Service Providers</li> + <li>MOA-ID-Auth bietet dem Benutzer eine Auswahl von verfügbaren Authentifizierungsmethoden (Bürgerkarte, Handy-Signatur, STORK) an.</li> + <li>Der Benutzer wählt die gewünschte Authentifizierungsmethode und sendet diese an MOA-ID-Auth.</li> + <li>MOA-ID-AUTH erzeugt eine HTML-Seite mit einem <InfoboxReadRequest> zum Auslesen der Personenbindung. Diese HTML-Seite wird an den Browser geschickt.</li> + <li>Der Browser schickt den <InfoboxReadRequest> an den ausgewählten Security-Layer. Der Security-Layer liest die Personenbindung von der Bürgerkarte und sendet diese an MOA-ID-AUTH, die die Signatur der Personenbindung durch einen Aufruf von MOA-SP überprüft.</li> + <li>MOA-ID-AUTH erstellt den AUTH-Block. Der AUTH-Block enthält Vor- und Nachname aus der Personenbindung, URL von MOA-ID-AUTH, URL und Geschäftsbereich der Online-Applikation oder im Falle einer SSO Anmeldung die URL und den Geschäftsbereich der MOA-ID-Auth Instanz, die aktuelle Zeit, das aktuelle Datum und einen Zufallswert für diesen Anmeldevorgang. Anschließend wird eine XML Antwortseite, die das Kommando zum Signieren (<CreateXMLSignatureRequest>) des generierten AUTH-Blocks enthält, an den ausgewählten Security-Layer gesendet.</li> + <li>Der Request wird vom Security-Layer verarbeitet. Die signierten Daten werden an MOA-ID-AUTH zurückgesendet.</li> + <li>MOA-ID-Auth überprüft den signierten AUTH-Block und generiert Information für die Single Sign-On.</li> + <li>MOA-ID-Auth generiert die Anmeldedaten (Assertion) welche folgende Information enthalten: + <ul> + <li>die bereichsspezifischen Personenkennzeichen (bPK / wbPK)</li> + <li>Vorname, Nachname und Geburtsdatum (optional)</li> + <li>den signierten AUTH-Block (optional)</li> + <li>die Personenbindung (optional)</li> + <li>das Zertifikat mit dem die Signatur erzeugt wurde (optional)</li> + <li>informationen zum Vertreten im Falle einer Anmeldung in Vertretung (optional)</li> + <li>die elektronische Vollmacht im Falle einer Anmeldung in Vertretung (optional)</li> + <li>informationen aus dem STORK Protokoll im Falle einer Anmeldung mittels STORK (optional)</li> + </ul> + </li> + <li> MOA-ID-Auth sendet die Anmeldedaten an den Service-Provider und setzt im Browser des Benutzers ein SSO Session-Tokken welches für weitere Anmeldevorgänge verwendet werden kann.</li> + <li>Die Anmeldedaten werden vom Service-Provider verarbeitet und der Benutzer wird vom Service-Provider an die Online-Applikation weitergeleitet. </li> +</ol> +<h1><a name="sp"></a>3 MOA-ID-Configuration </h1> +<p>Das Modul MOA-ID-Configuration stellt eine web-basierte Benutzerschnittstelle zur Konfiguration einer MOA-ID-Auth Instanz zur Verfügung, wobei sich die Konfiguration in zwei Teilbereiche einteilen lässt. Eine detailierte Aufstellung der einzelnen Konfigurationspunkte befindet sich im Kapitel <a href="./config/config.html">Konfiguration</a>.</p> +<ol> + <li>Allgemeine Konfiguration<br> + In diesem Bereich sind alle Basiseinstellungen der MOA-ID-Auth Instanz hinterlegt. Beispiele hierfür sind Single Sign-On, unterstütze Authentifizierungsprotokolle, Informationen zu MOA-ID-Auth, URLs zu externen Services, ... Eine Änderung der Basiseinstellung erfordert besondere Benutzerrechte am Konfigurationstool.</li> + <li>Online-Applikationen<br> + In diesem Abschnitt erfolgt die Konfiguration der einzelnen bei MOA-ID-Auth registrierten Service-Provider. Hierbei handelt es sich um authentifizierungsprotkollspezifische Einstellungen, Bereich des Service-Providers (öffentlich / Privatwirtschaftlich), Konfiguration der BKU Auswahl, .... Wobei sich die Konfigurationsmöglichkeiten je nachdem welche Benutzerrechten vergeben sind, unterscheiden können.</li> +</ol> +<p>Zusätzlich unterstützt das Module MOA-ID-Configuration auch eine einfache Bentzerverwaltung mit Rechtevergabe mit deren Hilfe die Verwaltung von Online-Applikatioen an den jeweiligen Service-Provider ausgelagert werden kann. Die Anmeldung am Konfigurationstool erfolgt mittels Bürgerkarte, Handy-Signature oder STORK, wobei optional auch eine Anmeldung mittels Benutzername und Passwort zur Verfügung steht.</p> +<p> </p> +</body> +</html> |
