diff options
| author | Thomas Lenz <tlenz@iaik.tugraz.at> | 2014-03-05 19:10:28 +0100 |
|---|---|---|
| committer | Thomas Lenz <tlenz@iaik.tugraz.at> | 2014-03-05 19:10:28 +0100 |
| commit | b0b70fbb35a06c947371121c7e753090ebe06827 (patch) | |
| tree | a2a6d57c6bf685067effcdc0a4f138bb3e5bce34 /id/server/doc/handbook/protocol | |
| parent | e1a7da578e195a59f4981bc56a9b8c615f1e69d2 (diff) | |
| download | moa-id-spss-b0b70fbb35a06c947371121c7e753090ebe06827.tar.gz moa-id-spss-b0b70fbb35a06c947371121c7e753090ebe06827.tar.bz2 moa-id-spss-b0b70fbb35a06c947371121c7e753090ebe06827.zip | |
finalize moa-id handbook for 2.0 RC1
Diffstat (limited to 'id/server/doc/handbook/protocol')
| -rw-r--r-- | id/server/doc/handbook/protocol/Assertion.xml | 14 | ||||
| -rw-r--r-- | id/server/doc/handbook/protocol/AuthRequest.xml | 8 | ||||
| -rw-r--r-- | id/server/doc/handbook/protocol/protocol.html | 569 | ||||
| -rw-r--r-- | id/server/doc/handbook/protocol/pvp21_sequence.png | bin | 0 -> 38601 bytes | |||
| -rw-r--r-- | id/server/doc/handbook/protocol/saml1_sequence.png | bin | 0 -> 32752 bytes | |||
| -rw-r--r-- | id/server/doc/handbook/protocol/sso_sequence.png | bin | 0 -> 56152 bytes |
6 files changed, 502 insertions, 89 deletions
diff --git a/id/server/doc/handbook/protocol/Assertion.xml b/id/server/doc/handbook/protocol/Assertion.xml index 6be5c7384..b6db5f088 100644 --- a/id/server/doc/handbook/protocol/Assertion.xml +++ b/id/server/doc/handbook/protocol/Assertion.xml @@ -1,5 +1,5 @@ <?xml version="1.0" encoding="UTF-8"?> -<saml2p:Response xmlns:saml2p="urn:oasis:names:tc:SAML:2.0:protocol" Destination="https://demo.egiz.gv.at/demoportal_demologin/securearea.action" InResponseTo="_2e6529184b536ad98be7e8a23058276b" IssueInstant="2014-03-04T13:52:14.026Z" Version="2.0" xmlns:xs="http://www.w3.org/2001/XMLSchema"> +<saml2p:Response xmlns:saml2p="urn:oasis:names:tc:SAML:2.0:protocol" Destination="https://demo.egiz.gv.at/demoportal_demologin/securearea.action" InResponseTo="_aeebfae3ce681fe3ddcaf213a42f01d3" IssueInstant="2014-03-05T06:39:51.017Z" Version="2.0" xmlns:xs="http://www.w3.org/2001/XMLSchema"> <saml2:Issuer xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion" Format="urn:oasis:names:tc:SAML:2.0:nameid-format:entity">https://demo.egiz.gv.at/demoportal_moaid-2.0</saml2:Issuer> <ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#"> <ds:SignedInfo> @@ -13,10 +13,10 @@ </ds:Transform> </ds:Transforms> <ds:DigestMethod Algorithm="http://www.w3.org/2001/04/xmlenc#sha256"/> - <ds:DigestValue>kvUKbjEOo7lVsclpkgHFkkbJ5bErwG/bu6KzGoJzLZs=</ds:DigestValue> + <ds:DigestValue>fCE31ZeXZybQLOuNQBePLjFrCtKdvCmeyJ1tUW/ghtA=</ds:DigestValue> </ds:Reference> </ds:SignedInfo> - <ds:SignatureValue>bNS+LN4YNeqKR05F+Y9YbRkPEJ87rhEK+Prk3pEnMBZT8VKWwP/ki4TdrupkFX3YjJvINXk2NFJxcB5GEbHxJjnpF8+K4gH2cPRyzDdS72mlO70mKg9Aa2chP/35c9kyGaHfzrw7Y4MzKjrkXfl76ekdL8UzHFYVFE4oUwtJXvrsg78RZNcy4aCuUvzsJbYwfriAjT7Cp93F5aum6oJ6kXk8XSHmh+yVzFSzYL+WkbIV+x7OOXVnoAWSY5d3tPGlr2LhjTf53q0pn+cggJ6jPfAVmwuxJTwe2C7xPlkylsQkswORMwXovGr+KqrcOpimxgeukvlJD+7YUHsi8uJMvg==</ds:SignatureValue> + <ds:SignatureValue>vUFR3YPk5wiBJnrLh6Er7V46FNDMuB5Jcu73Rw7tipgr+bnV0reRNcZ5TGT+VMjNhtKJMcqgjrQWJ6tACe1r0mzhpRSVQkw7yFkTvIhQHX1a08yqJ4yy3qiN13ctDo4VgP9qHUim7b797oOKNhRXFk+2GJA5hRcpRliUjhBlzTYrxpkY5NcYDRhDPlvMx+l11oa1iDGuAylN+ty4h3P4fIoIgL9Tz1m3l65LqkV5RBc6avSeHw9OASMigPsjd5b0IBvhvJ611xLgzC1BOtJshiw1k/p8alv8TaUmYZ/kJbRN1tuTBL129edbS0Rz0faT0tniF42QHteJ214brK3rCg==</ds:SignatureValue> <ds:KeyInfo> <ds:KeyValue> <ds:RSAKeyValue> @@ -33,20 +33,20 @@ nibdIyU5+AmfFzDaMwNocJEANoXrjLTpduCHvT0Qt/wH+7rVdgjX1djMrBhyMWs7GQyIBRfuf58m <saml2p:Status> <saml2p:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success"/> </saml2p:Status> - <saml2:Assertion xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion" ID="_35f651bf2b8f06249ef55ca244584a6a" IssueInstant="2014-03-04T13:52:14.026Z" Version="2.0"> + <saml2:Assertion xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion" ID="_602c3236bffaf71ac3ac88674e76ff9f" IssueInstant="2014-03-05T06:39:51.017Z" Version="2.0"> <saml2:Issuer Format="urn:oasis:names:tc:SAML:2.0:nameid-format:entity">https://demo.egiz.gv.at/demoportal_moaid-2.0</saml2:Issuer> <saml2:Subject> <saml2:NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent" NameQualifier="urn:publicid:gv.at:cdid+BF">QVGm48cqcM4UcyhDTNGYmVdrIoY=</saml2:NameID> <saml2:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> - <saml2:SubjectConfirmationData InResponseTo="_2e6529184b536ad98be7e8a23058276b" NotOnOrAfter="2014-03-04T13:57:14.026Z" Recipient="https://demo.egiz.gv.at/demoportal_demologin/securearea.action"/> + <saml2:SubjectConfirmationData InResponseTo="_aeebfae3ce681fe3ddcaf213a42f01d3" NotOnOrAfter="2014-03-05T06:44:51.017Z" Recipient="https://demo.egiz.gv.at/demoportal_demologin/securearea.action"/> </saml2:SubjectConfirmation> </saml2:Subject> - <saml2:Conditions NotBefore="2014-03-04T13:52:14.026Z" NotOnOrAfter="2014-03-04T13:57:14.026Z"> + <saml2:Conditions NotBefore="2014-03-05T06:39:51.017Z" NotOnOrAfter="2014-03-05T06:44:51.017Z"> <saml2:AudienceRestriction> <saml2:Audience>https://demo.egiz.gv.at/demoportal_demologin/</saml2:Audience> </saml2:AudienceRestriction> </saml2:Conditions> - <saml2:AuthnStatement AuthnInstant="2014-03-04T13:52:14.026Z" SessionIndex="_3d750604d315cc40a9cce50f7bdb43d7"> + <saml2:AuthnStatement AuthnInstant="2014-03-05T06:39:51.017Z" SessionIndex="_c0c683509a8ff6ac372a9cf9c5c5a406"> <saml2:AuthnContext> <saml2:AuthnContextClassRef>http://www.stork.gov.eu/1.0/citizenQAALevel/4</saml2:AuthnContextClassRef> </saml2:AuthnContext> diff --git a/id/server/doc/handbook/protocol/AuthRequest.xml b/id/server/doc/handbook/protocol/AuthRequest.xml index 9a5c5f481..f9de11c4c 100644 --- a/id/server/doc/handbook/protocol/AuthRequest.xml +++ b/id/server/doc/handbook/protocol/AuthRequest.xml @@ -1,20 +1,20 @@ <?xml version="1.0" encoding="UTF-8"?> -<saml2p:AuthnRequest xmlns:saml2p="urn:oasis:names:tc:SAML:2.0:protocol" AssertionConsumerServiceIndex="1" AttributeConsumingServiceIndex="0" Destination="https://demo.egiz.gv.at/demoportal_moaid-2.0/pvp2/post" ID="_5760e287e5e06dda027d3c59812a2aba" IssueInstant="2014-03-04T13:20:00.861Z" Version="2.0"> +<saml2p:AuthnRequest xmlns:saml2p="urn:oasis:names:tc:SAML:2.0:protocol" AssertionConsumerServiceIndex="1" AttributeConsumingServiceIndex="0" Destination="https://demo.egiz.gv.at/demoportal_moaid-2.0/pvp2/post" ID="_aeebfae3ce681fe3ddcaf213a42f01d3" IssueInstant="2014-03-05T06:39:02.775Z" Version="2.0"> <saml2:Issuer xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion" Format="urn:oasis:names:tc:SAML:2.0:nameid-format:entity">https://demo.egiz.gv.at/demoportal_demologin/</saml2:Issuer> <ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#"> <ds:SignedInfo> <ds:CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/> <ds:SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/> - <ds:Reference URI="#_5760e287e5e06dda027d3c59812a2aba"> + <ds:Reference URI="#_aeebfae3ce681fe3ddcaf213a42f01d3"> <ds:Transforms> <ds:Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/> <ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/> </ds:Transforms> <ds:DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/> - <ds:DigestValue>6azvvz1bk4wlcEoCEq3DgwYE/FU=</ds:DigestValue> + <ds:DigestValue>sBVJQf9b+QIxRfH8YuTbF6hBrf4=</ds:DigestValue> </ds:Reference> </ds:SignedInfo> - <ds:SignatureValue>J+en/LY0okRfEW9KEX4sj6TydwHFrtY4PbS1wDvdpAr9v6qY4+PvKHIhfTY/D/DBMJq/bVMJj+y+LgXzyHbLitqEvJkgYeFBrfFLu/6I7zuqucHbip4YAd63Vrg6f5buxrY0S4uJniRGtEhkZDcGJ0Y9Bu3obWXMk7oK/tHtsrvejd27bQOzdZv1ESWiBorlTVPzkfvS13jNsIyeWOuQ/Zv0FKn9RenqvbIVWnG3xKiSEcKT4VaosDdvZX35wxEYh3Rk84ZySDdp502vCvpOjSkc64s6ZiqZcmwwpSNb3+uMwvUNF+gH7mAYs1FXit9/UaGyL30qXgEc+TUZd2o/iA==</ds:SignatureValue> + <ds:SignatureValue>JK68H5XqmD2OEA8O/UCZFenVj0TrvauPhaKJt73pbHbi//hO1hBcRQbV2Qg3gQ11EcJ9Q+TM3TCe9nT6tdU/z7ry3qdZvlOfrkMF13fY4HOIuvB9AcySdxq2yKA3V5O9sLhf5S9qCyx9lMnTARC7wkVs4j2Pv00R6P/iROOHD5ryGF2J0FdtMp9VqhvQJ9yRGM2lTduF98MqxWA2EMk6AMo7qij0Bvha1B2OyFSU9HM3fyfRQpXDeiLnKHcjLpzu5TDNkKrP75c7vv85DDr7s2I0p74nAOVLMuLau5tEQ91Crk9QoqoqqEecKWcNJDXTO9MahCQw77hUDL1WOEMFFg==</ds:SignatureValue> <ds:KeyInfo> <ds:KeyValue> <ds:RSAKeyValue> diff --git a/id/server/doc/handbook/protocol/protocol.html b/id/server/doc/handbook/protocol/protocol.html index f75888f22..450df0aad 100644 --- a/id/server/doc/handbook/protocol/protocol.html +++ b/id/server/doc/handbook/protocol/protocol.html @@ -2,7 +2,7 @@ <html> <head> <meta http-equiv="content-type" content="text/html; charset=ISO-8859-1" > - <title>MOA-ID - Einführung</title> + <title>MOA-ID - Protokolle</title> <link rel="stylesheet" href="../common/MOA.css" type="text/css"> </head> <body link="#990000"> @@ -17,23 +17,61 @@ <p class="title"><a href="../index.html">MOA-ID (Identifikation) </a></p> <p class="subtitle">Protokolle</p> <hr/> - <h1>Inhalt</h1> +<h1>Inhalt</h1> <ol> - <li><a href="#allgemeines">Allgemeines</a></li> - <li><a href="#pvp21">PVP 2.1 </a></li> - <li><a href="#openid">OpenID Connect</a></li> - <li><a href="#saml1">SAML 1</a></li> - </ol> - <ol type="A"> + <li><a href="#allgemeines">Allgemeines</a> + <ol> + <li><a href="#allgemeines_zugangspunkte">Übersicht der Zugangspunkte</a></li> + <li><a href="#allgemeines_attribute">Übersicht der möglichen Attribute</a></li> + <li><a href="#allgemeines_sso">Single Sign-On</a></li> + <li><a href="#allgemeines_ssologout">SSO Logout </a></li> + <li><a href="#allgemeines_legacy">Legacy Request (Bürgerkartenauswahl beim Service Provider)</a></li> + </ol> + </li> + <li><a href="#pvp21">PVP 2.1 </a> + <ol> + <li><a href="#pvp21_sequenz">Ablauf einer Anmeldung mittels PVP 2.1</a></li> + <li><a href="#pvp21_metadata">Metadaten</a></li> + <li><a href="#pvp21_binding">Zugangspunkte</a> +<ol> + <li><a href="#2.3.1 Authentifizierungsrequest">Authentifizierungsrequest</a></li> + <li><a href="#pvp21_binding_response">Authentifizierungsrespon</a></li> + </ol> + </li> + </ol> + </li> + <li><a href="#openid">OpenID Connect</a> + <ol> + <li><a href="#openid_sequenzdiagramm">Ablauf einer Anmeldung mittels OpenID Connect</a></li> + <li><a href="#openid_interface">Zugangspunkte</a></li> + <li><a href="#openid_requests">Beschreibung der Nachrichten</a> +<ol> + <li><a href="#openid_req_authnreq">AuthCode Request</a></li> + <li><a href="#openid_req_authnresp">AuthCode Response</a></li> + <li><a href="#openid_req_tokenreq">AccessToken Request</a></li> + <li><a href="#openid_req_tokenresp">AccessToken Response</a></li> + </ol> +</li> + </ol> + </li> + <li><a href="#saml1">SAML 1</a> + <ol> + <li><a href="#saml1_sequence">Ablauf einer Anmeldung mittels SAML 1</a></li> + <li><a href="#saml1_zugang">Zugangspunkte</a></li> + <li><a href="#saml1_startauth">StartAuthentication Request</a></li> + <li><a href="#saml1_getassertion">GetAuthenticationData Request</a></li> + </ol> + </li> + <li><a href="#referenzierte_spezifikation">Referenzierte Spezifikation</a></li> - </ol> +</ol> <hr/> <h1><a name="allgemeines"></a>1 Allgemeines</h1> <p>Dieses Kapitel behandelt jene Authentifizierungsprotokolle die vom Modul MOA-ID-Auth unterstützt werden. Wobei die Verwendung der Protokolle PVP 2.1 oder OpenID Connect empfohlen wird. Das Protokoll SAML 1, welches bis zur MOA-ID Version 1.5.1 verwendet wurde, wird jedoch ab der Version 2.0 nur mehr aus Kompatibilitätsgründen angeboten und nicht mehr aktiv weiterentwickelt.</p> - <h2><a name="allgemeines_zugangspunkte" id="allgemeines_zugangspunkte"></a>1.1 Übersicht der Zugangspunkte</h2> - <p>In diesem Abschnitt sind die Zugangspunkte der vom Modul MOA-ID-Auth unterstützten Protokolle kurz zusammengefasst. Eine detailierte Beschreibung der einzelnen Protokolle finden Sie in den anschließenden Unterkapiteln. </p> +<h2><a name="allgemeines_zugangspunkte" id="allgemeines_zugangspunkte"></a>1.1 Übersicht der Zugangspunkte</h2> +<p>In diesem Abschnitt sind die Zugangspunkte der vom Modul MOA-ID-Auth unterstützten Protokolle kurz zusammengefasst. Eine detaillierte Beschreibung der einzelnen Protokolle finden Sie in den anschließenden Unterkapiteln. </p> <table width="1247" border="1"> <tr> <th width="164" scope="col">Protokoll</th> @@ -79,57 +117,64 @@ Redirect Binding</td> <td><p>https://<host>:<port>/moa-id-auth/services/GetAuthenticationData</p> <p>http://<host>:<port>/moa-id-auth/services/GetAuthenticationData</p></td> </tr> + <tr> + <td><a href="#allgemeines_ssologout">SSO Logout</a></td> + <td>LogOut</td> + <td><p>https://<host>:<port>/moa-id-auth/LogOut</p> + <p>http://<host>:<port>/moa-id-auth/LogOut</p></td> + </tr> </table> <h2><a name="allgemeines_attribute" id="allgemeines_zugangspunkte2"></a>1.2 Übersicht der möglichen Attribute</h2> - <p>Die nachfolgende Tabelle beinhaltet eine Liste aller Attribute die vom Modul MOA-ID-Auth an die Online-Applikation zurückgeliefert werden können, sofern diese nach der Authentifizierung zur Verfügung stehen. Alle Namen beziehen sich auf den Attributnamen im jeweiligen Protokoll. Detailinformationen zu den einzelnen Attributen finden Sie in der <a href="#referenzierte_spezifikation">PVP 2.1 Spezifikation</a> der der <a href="#referenzierte_spezifikation">STORK Spezifikation</a>.</p> - <table width="1247" border="1"> +<p>Die nachfolgende Tabelle beinhaltet eine Liste aller Attribute die vom Modul MOA-ID-Auth an die Online-Applikation zurückgeliefert werden können, sofern diese nach der Authentifizierung zur Verfügung stehen. Alle Namen beziehen sich auf den Attributnamen im jeweiligen Protokoll. Detailinformationen zu den einzelnen Attributen finden Sie in der <a href="#referenzierte_spezifikation">PVP 2.1 Spezifikation</a> der der <a href="#referenzierte_spezifikation">STORK Spezifikation</a>.</p> +<table width="1247" border="1"> <tr> <th colspan="4" align="center" valign="middle" scope="col">Protokolle</th> - <th width="518" rowspan="3" scope="col">Beschreibung</th> + <th width="429" rowspan="3" scope="col">Beschreibung</th> </tr> <tr> - <th width="254" rowspan="2" scope="col">PVP 2.1</th> + <th width="208" rowspan="2" scope="col">PVP 2.1</th> <th colspan="2" scope="col">OpenID Connect</th> - <th width="219" rowspan="2" scope="col">SAML 1</th> + <th width="335" rowspan="2" scope="col">SAML 1</th> </tr> <tr> - <th width="169" scope="col">Name</th> + <th width="188" scope="col">Name</th> <th width="53" scope="col">Profil</th> </tr> <tr> <td>urn:oid:1.2.40.0.10.2.1.1.149</td> <td>BPK</td> <td align="center">eID</td> - <td> </td> + <td><p>/saml:Assertion/saml:AttributeStatement/</p> + <p>saml:Subject/saml:NameIdentifier</p></td> <td><p>Bereichsspezifisches Personenkennzeichen (bPK / wbPK)</p> - <p><strong>Hinweis:</strong> Der Syntax für dieses Attribut ist <em>bPK-value := (BEREICH ":" bPK)</em> wobei unter <em>Bereich</em> der öffentliche Bereich (Target) der Online-Applikation oder die Stammzahl des Auftraggebers bei Anwendungs-verantwortlichen aus der Privatwirtschaft angegeben wird.</p></td> + <p><strong>Hinweis:</strong> Der Syntax für dieses Attribut bei den Protokollen PVP 2.1 und OpenID Connect ist <em>bPK-value := (BEREICH ":" bPK/wbPK)</em> wobei unter <em>Bereich</em> der öffentliche Bereich (Target) der Online-Applikation oder die Stammzahl des Auftraggebers bei Anwendungs-verantwortlichen aus der Privatwirtschaft angegeben wird.</p></td> </tr> <tr> <td><p>urn:oid:2.5.4.42</p></td> <td>given_name</td> <td align="center">profile</td> - <td> </td> + <td><saml:Attribute AttributeName="PersonData" AttributeNamespace="http://reference.e-government.gv.at/namespace/persondata/20020228#"></td> <td>Vorname</td> </tr> <tr> <td><p>urn:oid:1.2.40.0.10.2.1.1.261.20</p></td> <td>family_name</td> <td align="center">profile</td> - <td> </td> + <td><saml:Attribute AttributeName="PersonData" AttributeNamespace="http://reference.e-government.gv.at/namespace/persondata/20020228#"></td> <td>Familienname</td> </tr> <tr> <td>urn:oid:1.2.40.0.10.2.1.1.55</td> <td>birthdate</td> <td align="center">profile</td> - <td> </td> + <td><saml:Attribute AttributeName="PersonData" AttributeNamespace="http://reference.e-government.gv.at/namespace/persondata/20020228#"></td> <td>Geburtsdatum im Format JJJJ-MM-TT</td> </tr> <tr> <td>urn:oid:1.2.40.0.10.2.1.1.261.64</td> <td>EID-CCS-URL</td> <td align="center">eID</td> - <td> </td> + <td><saml:Attribute AttributeName="bkuURL" AttributeNamespace="http://reference.e-government.gv.at/namespace/moa/20020822#"></td> <td>URL auf die Bürgerkartenumgebung die für die Authentifizierung verwendet wurde. Im Falle einer Anmeldung mittels STORK steht dieses Attribut NICHT zur Verfügung.</td> </tr> <tr> @@ -157,21 +202,23 @@ Redirect Binding</td> <td height="23">urn:oid:1.2.40.0.10.2.1.1.261.62</td> <td>EID-AUTH-BLOCK</td> <td align="center">eID</td> - <td> </td> + <td><p>/saml:Assertion/saml:AttributeStatement/</p> + <p>saml:Subject/saml:SubjectConfirmation/</p> + <p>saml:SubjectConfirmationData</p></td> <td>Base64 kodierte Signatur die während des Authentifizierungsdaten vom Benutzer erzeugt wurde.</td> </tr> <tr> <td height="23">urn:oid:1.2.40.0.10.2.1.1.261.66</td> <td>EID-SIGNER-CERTIFICATE</td> <td align="center">eID</td> - <td> </td> + <td><saml:Attribute AttributeName="SignerCertificate" AttributeNamespace="http://reference.e-government.gv.at/namespace/moa/20020822#"></td> <td>Base64 kodiertes Zertifikat, dass für die Anmeldung verwendet wurde.</td> </tr> <tr> <td height="23">urn:oid:1.2.40.0.10.2.1.1.261.36</td> <td>EID-SOURCE-PIN</td> <td align="center">eID_gov</td> - <td> </td> + <td><saml:Attribute AttributeName="PersonData" AttributeNamespace="http://reference.e-government.gv.at/namespace/persondata/20020228#"></td> <td><p>Stammzahl der natürlichen Person</p> <p><strong>Hinweis:</strong> Dieses Attribut steht nur zur Verfügung wenn die Online-Applikation alle <a href="../config/config.html#konfigurationsparameter_oa_general_public">Anforderungen an eine Applikation aus dem öffentlichen Bereich</a> erfüllt.</p></td> </tr> @@ -179,7 +226,7 @@ Redirect Binding</td> <td height="23">urn:oid: 1.2.40.0.10.2.1.1.261.104</td> <td>EID-SOURCE-PIN-TYPE</td> <td align="center">eID_gov</td> - <td> </td> + <td><saml:Attribute AttributeName="PersonData" AttributeNamespace="http://reference.e-government.gv.at/namespace/persondata/20020228#"></td> <td><p>Bereich der Stammzahl, wobei aktuell nur ein Bereich existiert.</p> <p><strong>Hinweis:</strong> Dieses Attribut steht nur zur Verfügung wenn die Online-Applikation alle <a href="../config/config.html#konfigurationsparameter_oa_general_public">Anforderungen an eine Applikation aus dem öffentlichen Bereich</a> erfüllt.</p></td> </tr> @@ -187,7 +234,9 @@ Redirect Binding</td> <td height="23">urn:oid:1.2.40.0.10.2.1.1.261.38</td> <td>EID-IDENTITY-LINK</td> <td align="center">eID_gov</td> - <td> </td> + <td><p>/saml:Assertion/saml:AttributeStatement/</p> + <p>saml:Subject/saml:SubjectConfirmation/</p> + <p>saml:SubjectConfirmationData</p></td> <td><p>Gesamte Personenbindung in BASE64 kodiert.</p> <p><strong>Hinweis:</strong> Im Falle einer privatwirtschaftlichen Applikation ist die Stammzahl durch die wbPK ersetzt.</p></td> </tr> @@ -195,98 +244,98 @@ Redirect Binding</td> <td height="23">urn:oid:1.2.40.0.10.2.1.1.261.68</td> <td>MANDATE-TYPE</td> <td align="center">mandate</td> - <td> </td> + <td><saml:Attribute AttributeName="RepresentationType" AttributeNamespace="http://reference.e-government.gv.at/namespace/mandates/20040701#"></td> <td>Bezeichnung des verwendeten Vollmachten-Profils.</td> </tr> <tr> <td height="23">urn:oid:1.2.40.0.10.2.1.1.261.102</td> <td>MANDATOR-NATURAL-PERSON-SOURCE-PIN-TYPE</td> <td align="center">mandate</td> - <td> </td> + <td><saml:Attribute AttributeName="MandateData" AttributeNamespace="http://reference.e-government.gv.at/namespace/persondata/20020228#"></td> <td>Bereich der Stammzahl der vertretenen natürlichen Person, wobei aktuell nur ein Bereich existiert.</td> </tr> <tr> <td height="23">urn:oid:1.2.40.0.10.2.1.1.261.70</td> <td>MANDATOR-NATURAL-PERSON-SOURCE-PIN</td> <td align="center">mandate</td> - <td> </td> + <td><saml:Attribute AttributeName="MandateData" AttributeNamespace="http://reference.e-government.gv.at/namespace/persondata/20020228#"></td> <td>Stammzahl der natürlichen Person, für die Vollmachts- bzw. Vertretungsbe-fugnisse ausgeübt werden.</td> </tr> <tr> <td height="23">urn:oid:1.2.40.0.10.2.1.1.261.76</td> <td>MANDATOR-LEGAL-PERSON-SOURCE-PIN-TYPE</td> <td align="center">mandate</td> - <td> </td> + <td><saml:Attribute AttributeName="MandateData" AttributeNamespace="http://reference.e-government.gv.at/namespace/persondata/20020228#"></td> <td>Gibt an, um welche Art der Stammzahl einer vertretenen juristischen Person es sich handelt.</td> </tr> <tr> <td height="23">urn:oid:1.2.40.0.10.2.1.1.261.100</td> <td>MANDATOR-LEGAL-PERSON-SOURCE-PIN</td> <td align="center">mandate</td> - <td> </td> + <td><saml:Attribute AttributeName="MandateData" AttributeNamespace="http://reference.e-government.gv.at/namespace/persondata/20020228#"></td> <td>Stammzahl der juristischen Person, für die Vollmachts- bzw. Vertretungsbe-fugnisse ausgeübt werden.</td> </tr> <tr> <td height="23">urn:oid:1.2.40.0.10.2.1.1.261.98</td> <td>MANDATOR-NATURAL-PERSON-BPK</td> <td align="center">mandate</td> - <td> </td> + <td><saml:Attribute AttributeName="MandateData" AttributeNamespace="http://reference.e-government.gv.at/namespace/persondata/20020228#"></td> <td>Bereichsspezifisches Personenkennzeichen des Vollmachtgebers</td> </tr> <tr> <td height="23">urn:oid:1.2.40.0.10.2.1.1.261.78</td> <td>MANDATOR-NATURAL-PERSON-GIVEN-NAME</td> <td align="center">mandate</td> - <td> </td> + <td><saml:Attribute AttributeName="MandateData" AttributeNamespace="http://reference.e-government.gv.at/namespace/persondata/20020228#"></td> <td>Vorname(n) der natürlichen Person, die die Vollmacht erteilt hat, bzw. die vertreten wird.</td> </tr> <tr> <td height="23">urn:oid:1.2.40.0.10.2.1.1.261.80</td> <td>MANDATOR-NATURAL-PERSON-FAMILY-NAME</td> <td align="center">mandate</td> - <td> </td> + <td><saml:Attribute AttributeName="MandateData" AttributeNamespace="http://reference.e-government.gv.at/namespace/persondata/20020228#"></td> <td>Nachname der Person, die die Vollmacht erteilt hat, bzw. die vertreten wird.</td> </tr> <tr> <td height="23">urn:oid:1.2.40.0.10.2.1.1.261.82</td> <td>MANDATOR-NATURAL-PERSON-BIRTHDATE</td> <td align="center">mandate</td> - <td> </td> + <td><saml:Attribute AttributeName="MandateData" AttributeNamespace="http://reference.e-government.gv.at/namespace/persondata/20020228#"></td> <td>Geburtsdatum der Person, die die Vollmacht erteilt hat, bzw. die vertreten wird im Format JJJJ-MM-TT</td> </tr> <tr> <td height="23">urn:oid:1.2.40.0.10.2.1.1.261.84</td> <td>MANDATOR-LEGAL-PERSON-FULL-NAME</td> <td align="center">mandate</td> - <td> </td> + <td><saml:Attribute AttributeName="MandateData" AttributeNamespace="http://reference.e-government.gv.at/namespace/persondata/20020228#"></td> <td>Name der juristischen Person bzw. Personenmehrheit gemäß zugrundelie-gendem Register.</td> </tr> <tr> <td height="23">urn:oid:1.2.40.0.10.2.1.1.261.86</td> <td>MANDATE-PROF-REP-OID</td> <td align="center">mandate</td> - <td> </td> + <td><saml:Attribute AttributeName="MandateData" AttributeNamespace="http://reference.e-government.gv.at/namespace/persondata/20020228#"></td> <td>Object Identifiern (OID) zur Kennzeichnung von berufsmäßigen ParteienvertreterInnen bzw. OrganwalterInnen.</td> </tr> <tr> <td height="23">urn:oid:1.2.40.0.10.2.1.1.261.88</td> <td>MANDATE-PROF-REP-DESCRIPTION</td> <td align="center">mandate</td> - <td> </td> + <td><saml:Attribute AttributeName="MandateData" AttributeNamespace="http://reference.e-government.gv.at/namespace/persondata/20020228#"></td> <td>Textuelle Beschreibung der Eigenschaft als berufsmäßiger ParteienvertreterIn.</td> </tr> <tr> <td height="23">urn:oid:1.2.40.0.10.2.1.1.261.90</td> <td>MANDATE-REFERENCE-VALUE</td> <td align="center">mandate</td> - <td> </td> + <td><saml:Attribute AttributeName="mandateReferenceValue" AttributeNamespace="http://reference.e-government.gv.at/namespace/moa/20020822#"></td> <td>Die im Rahmen einer elektronischen Vollmachtserstellung generierte Transaktionsnummer.</td> </tr> <tr> <td height="23">urn:oid:1.2.40.0.10.2.1.1.261.92</td> <td>MANDATE-FULL-MANDATE</td> <td align="center">mandate</td> - <td> </td> + <td><saml:Attribute AttributeName="Mandate" AttributeNamespace="http://reference.e-government.gv.at/namespace/mandates/20040701#"></td> <td>Base64 kodierte Vollmacht im XML Format gemäß Vollmachten-Spezifikation.</td> </tr> <tr> @@ -301,7 +350,8 @@ Redirect Binding</td> inheritedFamilyName</td> <td>inheritedFamilyName</td> <td align="center">stork</td> - <td> </td> + <td>http://www.stork.gov.eu/1.0/<br> + inheritedFamilyName</td> <td><p>Vererbter Familienname</p> <strong>Hinweis:</strong> Dieses Attribut steht nur bei einer Anmeldung mittels STORK zur Verfügung.</td> </tr> @@ -310,7 +360,8 @@ Redirect Binding</td> adoptedFamilyName</td> <td>adoptedFamilyName</td> <td align="center">stork</td> - <td> </td> + <td>http://www.stork.gov.eu/1.0/<br> + adoptedFamilyName</td> <td><p>Angenommener Familienname</p> <p><strong>Hinweis:</strong> Dieses Attribut steht nur bei einer Anmeldung mittels STORK zur Verfügung.</p></td> </tr> @@ -319,7 +370,8 @@ Redirect Binding</td> gender</td> <td>gender</td> <td align="center">stork</td> - <td> </td> + <td>http://www.stork.gov.eu/1.0/<br> + gender</td> <td><p>Geschlecht</p> <p><strong>Hinweis:</strong> Dieses Attribut steht nur bei einer Anmeldung mittels STORK zur Verfügung.</p></td> </tr> @@ -328,7 +380,8 @@ Redirect Binding</td> countryCodeOfBirth</td> <td>countryCodeOfBirth</td> <td align="center">stork</td> - <td> </td> + <td>http://www.stork.gov.eu/1.0/<br> + countryCodeOfBirth</td> <td><p>Geburtsland</p> <p><strong>Hinweis:</strong> Dieses Attribut steht nur bei einer Anmeldung mittels STORK zur Verfügung.</p></td> </tr> @@ -337,7 +390,8 @@ Redirect Binding</td> nationalityCode</td> <td>nationalityCode</td> <td align="center">stork</td> - <td> </td> + <td>http://www.stork.gov.eu/1.0/<br> + nationalityCode</td> <td><p>Nationalität</p> <p><strong>Hinweis:</strong> Dieses Attribut steht nur bei einer Anmeldung mittels STORK zur Verfügung.</p></td> </tr> @@ -346,7 +400,8 @@ Redirect Binding</td> maritalStatus</td> <td>maritalStatus</td> <td align="center">stork</td> - <td> </td> + <td>http://www.stork.gov.eu/1.0/<br> + maritalStatus</td> <td><p>Familienstand</p> <p><strong>Hinweis:</strong> Dieses Attribut steht nur bei einer Anmeldung mittels STORK zur Verfügung.</p></td> </tr> @@ -355,7 +410,8 @@ Redirect Binding</td> textResidenceAddress</td> <td>textResidenceAddress</td> <td align="center">stork</td> - <td> </td> + <td>http://www.stork.gov.eu/1.0/<br> + textResidenceAddress</td> <td><p>Wohnadresse in Textform</p> <p><strong>Hinweis:</strong> Dieses Attribut steht nur bei einer Anmeldung mittels STORK zur Verfügung.</p></td> </tr> @@ -364,7 +420,8 @@ Redirect Binding</td> canonicalResidenceAddress</td> <td>canonicalResidenceAddress</td> <td align="center">stork</td> - <td> </td> + <td>http://www.stork.gov.eu/1.0/<br> + canonicalResidenceAddress</td> <td><p>Anerkannte Wohnadresse</p> <p><strong>Hinweis:</strong> Dieses Attribut steht nur bei einer Anmeldung mittels STORK zur Verfügung.</p></td> </tr> @@ -373,7 +430,8 @@ Redirect Binding</td> title</td> <td>title</td> <td align="center">stork</td> - <td> </td> + <td>http://www.stork.gov.eu/1.0/<br> + title</td> <td><p>Titel</p> <p><strong>Hinweis:</strong> Dieses Attribut steht nur bei einer Anmeldung mittels STORK zur Verfügung.</p></td> </tr> @@ -382,7 +440,8 @@ Redirect Binding</td> residencePermit</td> <td>residencePermit</td> <td align="center">stork</td> - <td> </td> + <td>http://www.stork.gov.eu/1.0/<br> + residencePermit</td> <td><p>Aufenthaltsbewilligung</p> <p><strong>Hinweis:</strong> Dieses Attribut steht nur bei einer Anmeldung mittels STORK zur Verfügung.</p></td> </tr> @@ -391,7 +450,8 @@ Redirect Binding</td> pseudonym</td> <td>pseudonym</td> <td align="center">stork</td> - <td> </td> + <td>http://www.stork.gov.eu/1.0/<br> + pseudonym</td> <td><p>Pseudonym</p> <p><strong>Hinweis:</strong> Dieses Attribut steht nur bei einer Anmeldung mittels STORK zur Verfügung.</p></td> </tr> @@ -400,7 +460,8 @@ Redirect Binding</td> age</td> <td>age</td> <td align="center">stork</td> - <td> </td> + <td>http://www.stork.gov.eu/1.0/<br> + age</td> <td><p>Alter</p> <p><strong>Hinweis:</strong> Dieses Attribut steht nur bei einer Anmeldung mittels STORK zur Verfügung.</p></td> </tr> @@ -409,7 +470,8 @@ Redirect Binding</td> isAgeOver</td> <td>isAgeOver</td> <td align="center">stork</td> - <td> </td> + <td>http://www.stork.gov.eu/1.0/<br> + isAgeOver</td> <td><p>Mindestalter erreicht</p> <p><strong>Hinweis:</strong> Dieses Attribut steht nur bei einer Anmeldung mittels STORK zur Verfügung.</p></td> </tr> @@ -418,19 +480,128 @@ Redirect Binding</td> fiscalNumber</td> <td>fiscalNumber</td> <td align="center">stork</td> - <td> </td> + <td>http://www.stork.gov.eu/1.0/<br> + fiscalNumber</td> <td><p>Steuernummer</p> <p><strong>Hinweis:</strong> Dieses Attribut steht nur bei einer Anmeldung mittels STORK zur Verfügung.</p></td> </tr> </table> - <p> </p> - +<h2><a name="allgemeines_sso" id="allgemeines_zugangspunkte3"></a>1.3 Single Sign-On</h2> +<p>Das Modul MOA-ID-Auth unterstützt ab der Version 2.0 Single Sign-On (SSO), wobei diese Funktionalität unabhängig vom verwendeten Protokoll ist. Bei Verwendung von SSO muss sich der Benutzer nur ein Mal bei MOA-ID-Auth authentifizieren und danach steht die authentifizierte Session für die BenutzerIn oder den Benutzer für weitere Anmeldevorgänge ohne weitere Authentifizierung mittels Bürgerkarte, Handy-Signatur oder STORK zur Verfügung. Die SSO Session kann danach durch <a href="#allgemeines_ssologout">die BenutzerIn oder den Benutzer beendet</a> werden, oder sie wird von MOA-ID-Auth nach der <a href="./../config/config.html#konfigurationsparameter_allgemein_timeouts">maximal erlaubten Sessionzeit</a> serverseitig beendet. </p> +<p>Das nachfolgende Sequenzdiagramm zeigt eine Anmeldung mittels Single Sign-On an zwei Online-Applikationen unter Verwendung von PVP 2.1. Aus Gründen der Übersichtlichkeit wurden die Teile welche die Kommunikation mit der Bürgerkartenumgebung, die Vollmachten-Auswahl oder den Metadatenaustausch betreffen bewusst nicht berücksichtigt.</p> +<p><img src="sso_sequence.png" width="1095" height="978" alt="Sequenzdiagramm einer Anmeldung mittels Single Sign-On"></p> +<ol> + <li>Die BenutzerIn oder der Benutzer verbindet sich zu einem Web-Portal (Service Provider 1) über das die Online-Applikation 1 erreichbar ist. Nach der Betätigung eines Login-Buttons wird der Anmeldevorgang ausgelöst.</li> + <li>Der Service Provider 1 generiert einen Authentifizierungsrequest und sendet diesen über den Browser an das Modul MOA-ID-Auth.</li> + <li>MOA-ID-Auth leitet die BenutzerIn oder den Benutzer zur Bürgerkartenauswahl. + <ol> + <li>Die BenutzerIn oder der Benutzer Authentifiziert sich mit der gewählten Methode.</li> + </ol> + </li> + <li>War die Authentifizierung der BenutzerIn oder des Benutzers erfolgreich generiert MOA-ID-Auth die Assertion mit den Anmeldedaten des Benutzers für die Online-Applikation 1.</li> + <li>MOA-ID-Auth senden die Assertion und ein SSO Token an den Browser des Benutzers, wobei das SSO Token (http Cookie) im Browser des Benutzers gespeichert wird.</li> + <li>Die Assertion (ohne SSO Token!) wird an den Service Provider 1 weitergeleitet.</li> + <li>Ist die Validierung der Assertion erfolgreich wird die BenutzerIn oder der Benutzer an der Online-Applikation 1 angemeldet. </li> + <li>Die BenutzerIn oder der Benutzer verbindet sich zu einem weiteren Web-Portal (Service Provider 2) über das die Online-Applikation 2 erreichbar ist. Nach der Betätigung eines Login-Buttons wird der Anmeldevorgang für die Online-Applikation 2 ausgelöst.</li> + <li>Der Service Provider 2 generiert einen Authentifizierungsrequest und sendet diesen über den Browser.</li> + <li>Der Browser sendet den Authentifizierungsrequest und das gespeicherte SSO Token an das Modul MOA-ID-Auth.</li> + <li>MOA-ID-Auth validiert das SSO Token. Hierbei wird geprüft ob das Token zu einer aktiven SSO Session gehört und ob das Token bereits verwendet wurde. Jedes vergebene SSO Token ist nur für einen weiteren Anmeldevorgang gültig und wird anschließend durch ein neues ersetzt. Ist das Token abgelaufen oder wurde es bereits verwendet wird die korrespondierende SSO Session beendet und die BenutzerIn oder der Benutzer müssen sich erneut Authentifizieren.</li> + <li>Bei einem gültigen SSO Token antwortet MOA-ID-Auth mit einem <a href="./../config/config.html#konfigurationsparameter_oa_sso">Abfrage zum SSO Anmeldevorgang</a>, welche der BenutzerIn oder dem Benutzer im Browser dargestellt wird. Diese Abfrage beinhaltet den Namen der Online-Applikation 2 und eine einfache JA / NEIN Abfrage ob die Anmeldung mittels SSO an der Online-Applikation 2 fortgesetzt werden soll.<br> + <strong>Hinweis:</strong> Diese Abfrage kann jedoch für Online-Applikationen deaktiviert werden. Näheres hierzu finden Sie <a href="./../config/config.html#import_template_sso">hier</a>.</li> + <li>Die Antwort der BenutzerIn oder dem Benutzer wird an MOA-ID-Auth übermittelt. Antwort die BenutzerIn oder der Benutzer mit NEIN wird der Anmeldevorgang abgebrochen.</li> + <li>Soll der Anmeldevorgang vorgesetzt werden generiert MOA-ID-Auth die Assertion mit den Anmeldedaten des Benutzers für die Online-Applikation 2.</li> + <li>MOA-ID-Auth senden die Assertion und ein neues SSO Token an den Browser des Benutzers, wobei das SSO Token (http Cookie) im Browser des Benutzers gespeichert wird.</li> + <li>Die Assertion (ohne SSO Token!) wird an den Service Provider 2 weitergeleitet.</li> + <li>Ist die Validierung der Assertion erfolgreich wird die BenutzerIn oder der Benutzer an der Online-Applikation 2 angemeldet</li> +</ol> +<p>Zusätzliche Informationen zur Konfiguration und die sich daraus ergebenden Anforderungen oder Einschränkungen finden sie <a href="./../config/config.html#konfigurationsparameter_allgemein_sso">hier</a>.</p> +<h2><a name="allgemeines_ssologout" id="allgemeines_zugangspunkte5"></a>1.4 SSO Logout </h2> + <p>Das Modul MOA-ID-Auth stellt ein einfaches Service zur Beendigung einer bestehenden Single Sign-On Session zur Verfügung. Nach dem Aufruf dieses Service aus dem Browser des Users wird eine bestehende SSO Session beendet und anschließend wird die BenutzerIn oder der Benutzer an eine im LogOut Request angegebene URL weitergeleitet. </p> + <p>Das SSO Logout Service steht unter folgender URL zur Verfügung und benötigt einen http GET Parameter:</p> +<pre>http://<host>:<port>/moa-id-auth/LogOut + </pre> + <p>bzw. </p> +<pre> +https://<host>:<port>/moa-id-auth/LogOut + </pre> +<table width="1247" border="1"> + <tr> + <th width="115" scope="col">Name</th> + <th width="262" scope="col">Beispielwert</th> + <th width="848" scope="col">Beschreibung</th> + </tr> + <tr> + <td>redirect</td> + <td>https://demo.egiz.gv.at/demoportal-openID_demo</td> + <td>Nach Beendigung des Logout Vorgangs erfolgt ein Redirect auf die in diesem Parameter angegebene URL. Wird kein Parameter angegeben wird der Benutzer an die MOA-ID-Auth Instanz weitergeleitet. </td> + </tr> +</table> +<p> </p> +<p>Nachstehend ein Beispiel zur Verwendung dieses Services:</p> +<pre>https://demo.egiz.gv.at/moa-id-auth/LogOut?redirect=https://demo.egiz.gv.at/demoportal-openID_demo +</pre> +<p><strong>Hinweis:</strong> Dieses Service bietet jedoch NICHT eine vollständige Single Log-Out Funktionalität wie sie im SAML 2 Protokoll vorgesehen ist, sondern beendet ausschließlich die SSO Session in der MOA-ID-Auth Instanz.</p> +<h2><a name="allgemeines_legacy" id="allgemeines_zugangspunkte4"></a>1.5 Legacy Request (Bürgerkartenauswahl beim Service Provider)</h2> +<p>Soll die Bürgerkartenauswahl jedoch weiterhin, wie aus MOA-ID 1.5.1 bekannt direkt in der Online-Applikation des Service Providers erfolgen muss für das jeweilige Protokoll der <a href="./../config/config.html#konfigurationsparameter_allgemein_protocol_legacy">Legacy Modus aktiviert</a> werden. Wird der Legacy Modus verwendet muss jedoch zusätzlich zu den protokollspezifischen Parametern mindestens der Parameter <em>bkuURI</em>, welcher die gewählte Bürgerkartenumgebung enthält, im Authentifizierungsrequest an MOA-ID-Auth übergeben werden (siehe <a href="#saml1_startauth">Protokoll SAML 1</a>). Die folgenden Parameter stehen bei Verwendung des Legacy Modus unabhängig vom verwendeten Protokoll zur Verfügung und bilden den gesamten Umfang der Bürgerkartenauswahl, wie aus MOA-ID 1.5.1 bekannt, ab.</p> +<table border="1" width="1247"> + <tbody> + <tr> + <th scope="col" width="170">Name</th> + <th scope="col" width="221">Beispielwert</th> + <th scope="col" width="834">Beschreibung</th> + </tr> + <tr> + <td>bkuURI=<bku-url></td> + <td>https://127.0.0.1:3496/https-security-layer-request</td> + <td><p>URL auf die Bürgerkartenumgebung, welche für die Authentifizierung der BenutzerIn oder des Benutzers verwendet werden soll. Für den Anmeldevorgang sind jedoch nur jene URLs auf Bürgerkartenumgebungen erlaubt die auch in der <a href="./../config/config.html#konfigurationsparameter_oa_bku">online-applikationsspezifischen Konfiguration als zu verwendente BKUs</a> eingetragen sind.</p> + <p><strong>Hinweis:</strong> Wird dieser Parameter nicht übertragen, antwortet das Modul MOA-ID-Auth mit einem bei MOA-ID-Auth hinterlegten <a href="./../config/config.html#import_template_bku">Bürgerkartentemplate</a>.</p></td> + </tr> + <tr> + <td>Template=<template-url></td> + <td>https://demo.egiz.gv.at/moa-id-auth/template_onlineBKU.html</td> + <td><strong>Optional:</strong> URL auf die HTML Vorlage für den Security-Layer Request, welcher für die Kommunikation mit der Bürgerkartenumgebumg verwendet wird. Die URL muss in der online-applikationsspezifischen Konfiguration von MOA-ID-Auth hinterlegt werden (<a href="file:///D:/Projekte/svn/moa-id/moa-idspss/id/server/doc/handbook/config/config.html#konfigurationsparameter_oa_bku">siehe Parameter <em>SecurityLayerTemplates</em></a>).<br> + Ist dieser Parameter nicht vorhanden, verwendet MOA-ID-Auth das für diese Online-Applikation hinterlegten Security-Layer Template (<a href="file:///D:/Projekte/svn/moa-id/moa-idspss/id/server/doc/handbook/config/config.html#konfigurationsparameter_oa_bku">siehe Parameter <em>SecurityLayerTemplates</em></a>).</td> + </tr> + <tr> + <td>useMandate=<true/false></td> + <td>true / false</td> + <td><strong>Optional:</strong> Gibt an ob eine Anmeldung im Online-Vollmachten-Modus durchgeführt werden soll (=true) oder nicht (=false);</td> + </tr> + <tr> + <td>CCC=<ccc></td> + <td>BE, SI, </td> + <td><strong>Optional:</strong> Gibt an ob die Anmeldung mittels STORK im angegebenen Land erfolgen soll. Die Angabe erfolgt mit dem Ländercode (Bsp: PT, LU, ES, ...) des jeweiligen Landes.</td> + </tr> + </tbody> +</table> +<p> </p> +<p><strong>Hinweis:</strong> Bei einer vollständigen Neukonfiguration ist der Legacy Modus standardmäßig für alle Protokolle deaktiviert.</p> +<p><strong>Hinweis:</strong> Bei der Verwendung des Legacy Request für die Bürgerkartenauswahl ist jedoch zu beachten dass im Falle einer aktiven Single Sign-On Session, MOA-ID-Auth mit einer Abfrage zum SSO Anmeldevorgang antwortet.</p> <h1><a name="pvp21"></a>2 PVP 2.1</h1> <p>Die PVP 2.1 Implementierung des Modules MOA-ID-Auth bezieht sich auf das <a href="#referenzierte_spezifikation">S-Profil der PVP 2 Spezifikation</a>. Das S - Profil von PVP 2 verwendet SAML WebSSO für die Authentifizierung von Benutzern mit Webbrowser. Dadurch wird die direkte Kommunikation des Browsers mit der Anwendung ermöglicht, was in Anwendungsfällen notwendig ist, wo Anwendungen nicht kompatibel mit dem Reverse - Proxy - Verfahren sind, datenschutzrechtliche Probleme bestehen oder SAML WebSSO als Industriestandard unterstützt werden soll.</p> <p>Bevor PVP 2.1 als Authentifizierungsprotokoll verwendet werden kann muss das Modul MOA-ID-Auth entsprechend konfiguriert werden. Detailinformationen zur Konfiguration finden Sie <a href="../config/config.html">hier</a>.</p> <h2><a name="pvp21_sequenz" id="pvp21_sequenz"></a>2.1 Ablauf einer Anmeldung mittels PVP 2.1</h2> -<p>Die nachfolgende Abbildung zeigt das Sequenzdiagramm eines Anmeldevorgangs mittels PVP 2.1 und des Modules MOA-ID-Auth als Identityprovider. Aus Gründen der Übersichtlichkeit wurden die Teile welche die Kommunikation mit der Bürgerkartenumgebung oder die Vollmachten-Auswahl betreffen bewusst nicht berücksichtigt.</p> -<p> </p> +<p>Die nachfolgende Abbildung zeigt das Sequenzdiagramm eines Anmeldevorgangs mittels PVP 2.1 und des Modules MOA-ID-Auth als Identity Provider. Aus Gründen der Übersichtlichkeit wurden die Teile welche die Kommunikation mit der Bürgerkartenumgebung oder die Vollmachten-Auswahl betreffen bewusst nicht berücksichtigt.</p> +<p><img src="pvp21_sequence.png" width="968" height="687" alt="Sequenzdiagramm PVP 2.1"></p> +<ol> + <li>Der Benutzer verbindet sich zu einem Web-Portal (Service Provider) über das die Online-Applikation erreichbar ist. Nach der Betätigung eines Login-Buttons wird der Anmeldevorgang ausgelöst.</li> + <li>Der Service Provider holt die Metadaten des Identity Providers am Modul MOA-ID-Auth ab und validiert die Signatur der Metadaten mit dem am Service Provider hinterlegten Zertifikat. Ist die Validierung erfolgt wird der Anmeldevorgang fortgesetzt.</li> + <li>Der Service Provider extrahiert Informationen aus den Metadaten und generiert einen Authentifizierungsrequest und sendet diesen über den Browser an das Modul MOA-ID-Auth.</li> + <li>MOA-ID Auth holt die Metadaten des Service Providers und validiert die Signatur der Metadaten mit dem in der MOA-ID-Auth Konfiguration für diesen Service Provider (Online-Applikation) hinterlegten Zertifikat. Ist die Validierung erfolgreich wird der Anmeldevorgang vorgesetzt.</li> + <li>MOA-ID-Auth validiert den Authentifizierungsrequest mit den Informationen aus dem Metadaten des Service Providers. Ist die Validierung erfolgreich wird der Anmeldevorgang vorgesetzt.</li> + <li>MOA-ID-Auth leitet die BenutzerIn oder den Benutzer zur Bürgerkartenauswahl. + <ol> + <li>Die BenutzerIn oder der Benutzer Authentifiziert sich mit der gewählten Methode.</li> + </ol> + </li> + <li>War die Authentifizierung der BenutzerIn oder des Benutzers erfolgreich generiert MOA-ID-Auth die Assertion mit den Anmeldedaten des Benutzers.</li> + <li>MOA-ID-Auth senden die Assertion über den Browser an den Service Provider.</li> + <li>Der Service Provider validiert die Assertion mit den Informationen aus den Metadaten des Modules MOA-ID-Auth. + <ol> + <li>Ist die Validierung erfolgreich wird die BenutzerIn oder der Benutzer an der Online-Applikation angemeldet.</li> + </ol> + </li> +</ol> <h2><a name="pvp21_metadata" id="pvp21_metadata"></a>2.2 Metadaten</h2> <p>Das Modul MOA-ID-Auth stellt für Service-Provider (Online-Applikationen) Metadaten bereit welche alle PVP 2.1 spezifischen Informationen der MOA-ID-Auth Instanz beinhalten. Diese Metadaten werden durch das Modul MOA-ID-Auth signiert, wodurch Service Provider die Authentizität der Metadaten verifizieren können. Ein Beispiel für Metadaten von MOA-ID-Auth finden sie <a href="#idp_metadata.xml">hier</a>. Die aktuellen Metadaten zu Ihrer MOA-ID-Auth Instanz können unter folgender URL abgerufen werden.</p> <pre>http://<host>:<port>/moa-id-auth/pvp2/metadata @@ -447,7 +618,7 @@ https://<host>:<port>/moa-id-auth/pvp2/metadata <li>Die Metadaten müssen mindestens ein XML Element<br> <code>md:EntitiesDescriptor/md:EntityDescriptormd:SPSSODescriptor/md:AssertionConsumerService</code> enthalten welches das gewünschte Binding und die URL zur Auslieferung der Assertion beinhaltet. </li> <li>Werden zusätzlich zum bereichsspezifischen Personenkennzeichen (bPK / wbPK) weitere <a href="#allgemeines_attribute">Attribute</a> durch den Service Provider benötigt müssen diese über die Metadaten angefordert werden. <br> - Hierfür steht das Element <code>md:EntitiesDescriptor/md:EntityDescriptormd:SPSSODescriptor/md:AttributeConsumingService</code> zur Verfügung wobie die als Kindelemente <code>md:RequestedAttribute </code>die einzelnen benötigten Attribute definieren (siehe <a href="#serviceprovider_metadata.xml">Beispiel</a>).</li> + Hierfür steht das Element <code>md:EntitiesDescriptor/md:EntityDescriptormd:SPSSODescriptor/md:AttributeConsumingService</code> zur Verfügung wobei die als Kindelemente <code>md:RequestedAttribute </code>die einzelnen benötigten Attribute definieren (siehe <a href="#serviceprovider_metadata.xml">Beispiel</a>).</li> </ul> <p>Zusätzlich unterstützt das Modul MOA-ID-Auth auch die Verschlüsselung PVP 2.1 Assertion mit einem vom Service-Provider definierten Zertifikat. Um diese Funktion zu nutzen muss in den Metadaten ein zweites XML Element <code>md:EntitiesDescriptor/md:EntityDescriptormd:SPSSODescriptor/md:KeyDescriptor</code> mit dem Attribut <code>use="encryption"</code> vorhanden sein (siehe <a href="#serviceprovider_metadata.xml">Beispiel</a>). In diesem Fall verwendet das Modul MOA-ID-Auth, dass in diesem Element hinterlegte Zertifikat zur Verschlüsselung der PVP 2.1 Assertion.</p> <p><strong>Hinweis:</strong> Fehlt im XML Element <code>md:EntitiesDescriptor/md:EntityDescriptormd:SPSSODescriptor/md:KeyDescriptor</code> das Attribut <code>use</code> wird das in diesem Element hinterlegte Zertifikat sowohl zur Prüfung der Signatur des Authentifizierungsrequest als auch zur Verschlüsselung der PVP 2.1 Assertion verwendet.</p> @@ -467,23 +638,152 @@ https://<host>:<port>/moa-id-auth/pvp2/metadata <p>Folgende Minimalanforderungen an den Authentifizierungsrequest müssen erfüllt sein.</p> <ul> <li>Der Request muss durch den Service Provider signiert sein (sie <a href="AuthRequest.xml">Beispiel</a>). Die Signatur wird durch das Modul MOA-ID-Auth mit Hilfe des in den <a href="#pvp21_metadata">Metadaten hinterlegten Zertifikats</a> validiert. Schlägt die Signaturprüfung fehl oder ist keine Signatur vorhanden wird der Request abgewiesen und MOA-ID-Auth antwortet mit http Code <em>400</em> und der Fehlermeldung <em>NO valid protocol request received!</em>.</li> - <li>Das der Wert des XML Element <code>saml2p:AuthnRequest/saml2:Issuer</code> muss den <a href="../config/config.html#konfigurationsparameter_oa_general">eindeutigen Identifier</a> enthalten der für diese Online-Applikation bei MOA-ID-Auth hinterlegt ist (sie <a href="AuthRequest.xml">Beispiel</a>).</li> + <li> + <table border="1" cellpadding="2" class="fixedWidth"> + <tr> + <td width="8%">Name</td> + <td width="92%"><code>saml2p:AuthnRequest/saml2:Issuer</code></td> + </tr> + <tr> + <td> Gebrauch</td> + <td>Ein Mal</td> + </tr> + <tr> + <td>Erläuterung</td> + <td><p>Der Wert dieses Elements muss den <a href="../config/config.html#konfigurationsparameter_oa_general">eindeutigen Identifier</a> enthalten der für diese Online-Applikation bei MOA-ID-Auth hinterlegt ist (sie <a href="AuthRequest.xml">Beispiel</a>).</p></td> + </tr> + </table> + </li> + <li> + <table border="1" cellpadding="2" class="fixedWidth"> + <tr> + <td width="8%">Name</td> + <td width="92%"><code>/saml2p:AuthnRequest/@ID</code></td> + </tr> + <tr> + <td> Gebrauch</td> + <td>Ein Mal</td> + </tr> + <tr> + <td>Erläuterung</td> + <td><p>Dieses Attribut beinhaltet einen vom Service Provider generierten Identifikator für diesen Authentifizierungsrequest.</p></td> + </tr> + </table> + </li> </ul> <p>Einen Beispielrequest finden Sie <a href="AuthRequest.xml">hier</a>.</p> <p><strong>Hinweis:</strong> Detailinformationen finden Sie im Abschnitt <a href="#referenzierte_spezifikation">Spezifikationen</a> in der PVP 2.1 Spezifikation und der SAML2 Spezifikation.</p> <h3><a name="pvp21_binding_response" id="pvp21_binding3"></a>2.3.2 Authentifizierungsresponse</h3> -<p>Nach erfolgreicher Authentifizierung antwortet das Modul MOA-ID-Auth mit einer PVP 2.1 Assertion. Zur Übertragung der Assertion erfolgt an das in den Metadaten der Online-Applikation angegebene <em>AssertionConsumerService</em> (siehe <a href="#pvp21_metadata">Metadaten</a>). </p> +<p>Nach erfolgreicher Authentifizierung antwortet das Modul MOA-ID-Auth mit einer PVP 2.1 Assertion. Zur Übertragung der Assertion erfolgt an das in den Metadaten der Online-Applikation angegebene <em>AssertionConsumerService</em> (siehe <a href="#pvp21_metadata">Metadaten</a>).</p> +<p>Aktuell werden vom Modul MOA-ID-Auth zwei Bindings zur Übertragung der Assertion unterstützt.</p> +<ul> + <li><strong>POST Binding</strong>: In diesem Fall erfolgt die Übertragung mittels eines http POST Formulars welches aus dem Browser der BenutzerIn oder des Benutzers an den Service Provider gesendet wird..</li> +</ul> +<ul> + <li><strong>Redirect Binding</strong>: In diesem Fall erfolgt die Übertragung mittels eines Redirects wobei die Daten als GET Parameter in der URL enthalten sind.</li> +</ul> +<p>Der Inhalt der Assertion unterscheidet sich je nachdem welche Attribute in den Metadaten angefordert wurden und ob während des Anmeldevorgangs ein Fehler aufgetreten ist. Die nachfolgende Aufstellung gibt eine Übersicht über jede Elemente die in der Assertion enthalten sind, wenn keine zusätzlichen Attribute angefordert wurden. Diese Aufstellung beschreibt jedoch nur einige markante Elemente und ist somit nicht vollständig. Detailinformationen zu allen Elementen und Attributen finden Sie in der PVP 2.1 oder der SAML2 Spezifikation.</p> +<table border="1" cellpadding="2" class="fixedWidth"> + <tr> + <td width="8%">Name</td> + <td width="92%"><code>/saml2p:Response/ds:Signature</code></td> + </tr> + <tr> + <td> Gebrauch</td> + <td>Ein Mal</td> + </tr> + <tr> + <td>Erläuterung</td> + <td><p>Dieses Element enthält die Signatur, mit welchem die Assertion vom Modul MOA-ID-Auth unterschieben wurde. Das Zertifikat zur Prüfung der Signatur wird in den Metadaten des Modules MOA-ID-Auth bereitgestellt.</p></td> + </tr> +</table> +<table border="1" cellpadding="2" class="fixedWidth"> + <tr> + <td width="8%">Name</td> + <td width="92%"><code>/saml2p:Response/saml2p:Status/saml2p:StatusCode</code></td> + </tr> + <tr> + <td> Gebrauch</td> + <td>Ein Mal</td> + </tr> + <tr> + <td>Erläuterung</td> + <td><p>Dieses Element beinhaltet als Attribut den Status Code des Anmeldevorgangs. Nochfolgend die wichtigsten Statuscodes und eine kurze Beschreibung.</p> + <ul> + <li><em>urn:oasis:names:tc:SAML:2.0:status:Success</em>: Der Anmeldevorgang konnte Erfolgreich durchgeführt werden. </li> + <li><em>MOA-ID-Auth Fehlercode</em>: Währenddes Anmeldevorgangs ist ein Fehler aufgetreten wobei für diesen Fehler in Fehlercode existiert. Zusätzlich beinhaltet der Wert dieses Elements eine kurze Fehlerbeschreibung.</li> + <li><em>urn:oasis:names:tc:SAML:2.0:status:Responder</em>: Während des Anmeldevorgangs ist ein Fehler aufgetreten wobei diesem Fehler kein Fehlercode zugeordnet ist (Allgemeiner Fehler). Zusätzlich beinhaltet der Wert dieses Elements jedoch eine kurze Fehlerbeschreibung.</li> + <li><em>urn:oasis:names:tc:SAML:2.0:status:NoPassive</em>: Die BenutzerIn oder der Benutzer ist aktuell keine aktive und gültige Single Sign-On Session mit MOA-ID-Auth. Nähere Details zum <em>isPassiv</em> Authentifizierungsrequest finden Sie in der PVP 2.1 oder der SAML2 Spezifikation.</li> + </ul></td> + </tr> +</table> +<table border="1" cellpadding="2" class="fixedWidth"> + <tr> + <td width="8%">Name</td> + <td width="92%"><code>/saml2p:Response/saml2:Assertion/saml2:Subject/saml2:NameID</code></td> + </tr> + <tr> + <td> Gebrauch</td> + <td>Ein Mal</td> + </tr> + <tr> + <td>Erläuterung</td> + <td><p>Dieses Element beinhaltet das bereichsspezifischen Personenkennzeichen (bPK / wbPK) der authentifizierten Person.</p></td> + </tr> +</table> +<table border="1" cellpadding="2" class="fixedWidth"> + <tr> + <td width="8%">Name</td> + <td width="92%"><code>/saml2p:Response/saml2:Assertion/saml2:Subject/saml2:NameID/@NameQualifier</code></td> + </tr> + <tr> + <td> Gebrauch</td> + <td>Ein Mal</td> + </tr> + <tr> + <td>Erläuterung</td> + <td><p>Dieses Attribut beinhaltet den Bereich des bereichsspezifikschen Personkennzeichens (bPK / wbPK)</p></td> + </tr> +</table> +<table border="1" cellpadding="2" class="fixedWidth"> + <tr> + <td width="8%">Name</td> + <td width="92%"><code>/saml2p:Response/saml2:Assertion/saml2:Subject/saml2:SubjectConfirmation/saml2:SubjectConfirmationData/@InResponseTo</code></td> + </tr> + <tr> + <td> Gebrauch</td> + <td>Ein Mal</td> + </tr> + <tr> + <td>Erläuterung</td> + <td><p>Dieses Attribut beinhaltet den vom Service Provider im Authentifizierungsrequest generierten Identifikator.</p></td> + </tr> +</table> +<table border="1" cellpadding="2" class="fixedWidth"> + <tr> + <td width="8%">Name</td> + <td width="92%"><code>/saml2p:Response/saml2:Assertion/saml2:Subject/saml2:SubjectConfirmation/saml2:SubjectConfirmationData/@NotOnOrAfter</code></td> + </tr> + <tr> + <td> Gebrauch</td> + <td>Ein Mal</td> + </tr> + <tr> + <td>Erläuterung</td> + <td><p>Dieses Attribut beinhaltet einen von MOA-ID-Auth ausgestellten Gültigkeitszeitraum für diese Assertion. Aktuell beträgt der Gültigkeitszeitraum fünf Minuten ab dem Ausstellzeitpunkt.</p></td> + </tr> +</table> <h1><a name="openid"></a>3 OpenID Connect </h1> -<p>OpenID Connect ist ein Authentifizierungsprotkoll welches auf dem OAuth 2.0 Protokoll aufbaut. Dieses Protokoll erlaubt Online-Applikationen die Identifizierung und Authentifizierung von Benutzern, mit Hilfe des Modules MOA-ID-Auth. Der Vorteil von OpenID Connect im Vergleich zu auf SAML basierten Protkollen (PVP 2.1, SAML 1) ist der einfachere Aufbau der einzelnen Protokollnachrichten. Zusätzlich existieren einige frei Verfügbare Bibliotheken für unterschiedliche Programmiersprachen, welche OpenID Connect implementieren.</p> -<p>Bevor OpenID Connect in Kombination mit dem Modul MOA-ID-Auth verwendet werden kann muss das Modul MOA-ID-Auth konfiguriert werden. Detailinformationen zur <a href="" >Allgemeinen Konfiguration</a> und zur <a href="">online-applikationsspezifischen Konfiguration</a> finden Sie im jeweiligen Abschnitt des Kapitels Konfiguration. TODO!</p> +<p>OpenID Connect ist ein Authentifizierungsprotkoll welches auf dem OAuth 2.0 Protokoll aufbaut. Dieses Protokoll erlaubt Online-Applikationen die Identifizierung und Authentifizierung von Benutzern, mit Hilfe des Modules MOA-ID-Auth. Der Vorteil von OpenID Connect im Vergleich zu auf SAML basierten Protokollen (PVP 2.1, SAML 1) ist der einfachere Aufbau der einzelnen Protokollnachrichten. Zusätzlich existieren einige frei Verfügbare Bibliotheken für unterschiedliche Programmiersprachen, welche OpenID Connect implementieren.</p> +<p>Bevor OpenID Connect in Kombination mit dem Modul MOA-ID-Auth verwendet werden kann muss das Modul MOA-ID-Auth konfiguriert werden. Detailinformationen zur <a href="./../config/config.html#basisconfig_moa_id_auth_param_protocol_openid" >Allgemeinen Konfiguration</a> und zur <a href="./../config/config.html#konfigurationsparameter_oa_protocol_openIDConnect">online-applikationsspezifischen Konfiguration</a> finden Sie im jeweiligen Abschnitt des Kapitels Konfiguration.</p> <p>Die nachfolgende Beschreibung gibt einen kurzen Überblick zur Verwendung des Protkolls OpenID Connect in Kombination mit dem Modul MOA-ID-Auth. Detailinformationen zu OpenID Connect entnehmen Sie bitte der aktuellen <a href="#referenzierte_spezifikation">OpenID Connect Spezifikation</a></p> <h2><a name="openid_sequenzdiagramm"></a>3.1 Ablauf einer Anmeldung mittels OpenID Connect</h2> -<p>Die nachfolgende Abbildung zeigt das Sequenzdiagramm eines Anmeldevorgangs mittels OpenID Connect und des Modules MOA-ID-Auth als Identityprovider. Aus Gründen der Übersichtlichkeit wurden die Teile welche die Kommunikation mit der Bürgerkartenumgebung oder die Vollmachten-Auswahl betreffen bewusst nicht berücksichtigt.</p> +<p>Die nachfolgende Abbildung zeigt das Sequenzdiagramm eines Anmeldevorgangs mittels OpenID Connect und des Modules MOA-ID-Auth als Identity Provider. Aus Gründen der Übersichtlichkeit wurden die Teile welche die Kommunikation mit der Bürgerkartenumgebung oder die Vollmachten-Auswahl betreffen bewusst nicht berücksichtigt.</p> <p><img src="openIDconnect_sequenz.png" width="1138" height="705" alt="Sequenzdiagramm OpenID Connect"></p> <ol> - <li>Der Benutzer verbindet sich zu einem Web-Portal (Service Provider) über das die Online-Applikation erreichtbar ist. Nach der Betätigung eines Login-Buttons wird der Anmeldevorgang ausgelöst.</li> + <li>Der Benutzer verbindet sich zu einem Web-Portal (Service Provider) über das die Online-Applikation erreichbar ist. Nach der Betätigung eines Login-Buttons wird der Anmeldevorgang ausgelöst.</li> <li>Der Service Provider generiert den <a href="#openid_req_authnreq">AuchCode Request</a> und sendet diesen über den Browser an das Modul MOA-ID-Auth.</li> <li>MOA-ID-Auth validiert den AuthCode Request.</li> <li>MOA-ID-Auth leitet die BenutzerIn oder den Benutzer zur Bürgerkartenauswahl @@ -492,7 +792,7 @@ https://<host>:<port>/moa-id-auth/pvp2/metadata </ol> </li> <li>Nach erfolgreicher Authentifizierung erzeugt MOA-ID-Auth die <a href="#openid_req_authnresp">AuthCode Response</a>. -<ol> + <ol> <li>Die AuthCode Response wird mittels Redirect an den Service Provider retourniert.</li> </ol> </li> @@ -500,7 +800,7 @@ https://<host>:<port>/moa-id-auth/pvp2/metadata <li>Der Service Provider generiert den <a href="#openid_req_tokenreq">AccessToken Request</a> und sendet diesen an MOA-ID-Auth zum Abholen der Benutzerdaten.</li> <li>MOA-ID-Auth validiert den AccessToken Request</li> <li>MOA-ID-Auth generiert die <a href="#openid_req_tokenresp">AccessToken Response</a> -<ol> + <ol> <li>Retournierung der AccessToken Response an den Service Provider</li> </ol> </li> @@ -513,10 +813,9 @@ https://<host>:<port>/moa-id-auth/pvp2/metadata <h2><a name="openid_interface"></a>3.2 Zugangspunkte</h2> <p>Zur Verwendung von OpenID Connect stellt das Modul MOA-ID-Auth zwei Zugangspunkte zur Kommunikation mit der Online-Applikation zur Verfügung. Diese Zugangspunkte bezeichnen die URLs unter welchen das Modul MOA-ID-Auth die entsprechenden OpenID Connect Nachrichten entgegennimmt.</p> <ul> -<li><b>AuthCode-Request:</b> <em>https://<host>:<port>/moa-id-auth/oauth2/auth</em><br> Unter dieser URL wird der Authn Request entgegengenommen. Dieser Request startet den Authentifizierungsvorgang an der Online-Applikation. Hier finden Sie Detailinformationen zum <a href="#openid_req_authnreq"> Request </a>und zur <a href="#openid_req_authnresp">Response</a>.</li> -<li><b>AccessToken-Request:</b> <em>https://<host>:<port>/moa-id-auth/oauth2/token</em><br> Unter dieser URL können nach erfolgreicher Authentifizierung die eigentlichen Authentifizierungsdaten am Modul MOA-ID-Auth abgeholt werden. Hier finden Sie Detailinformationen zum <a href="#openid_req_tokenreq"> Request </a>und zur <a href="#openid_req_tokenresp">Response</a>.</li> + <li><b>AuthCode-Request:</b> <em>https://<host>:<port>/moa-id-auth/oauth2/auth</em><br> Unter dieser URL wird der Authn Request entgegengenommen. Dieser Request startet den Authentifizierungsvorgang an der Online-Applikation. Hier finden Sie Detailinformationen zum <a href="#openid_req_authnreq"> Request </a>und zur <a href="#openid_req_authnresp">Response</a>.</li> + <li><b>AccessToken-Request:</b> <em>https://<host>:<port>/moa-id-auth/oauth2/token</em><br> Unter dieser URL können nach erfolgreicher Authentifizierung die eigentlichen Authentifizierungsdaten am Modul MOA-ID-Auth abgeholt werden. Hier finden Sie Detailinformationen zum <a href="#openid_req_tokenreq"> Request </a>und zur <a href="#openid_req_tokenresp">Response</a>.</li> </ul> - <h2><a name="openid_requests"></a>3.3 Beschreibung der Nachrichten</h2> <p>Dieser Abschnitt beschreibt die einzelnen OpenID Connect spezifischen Nachrichten, welche zwischen der Online-Applikation und dem Modul MOA-ID-Auth während eines Authentifizierungsvorgangs ausgetauscht werden. Hierbei wird auch auf das Sequenzdiagramm aus <a href="#openid_sequenzdiagramm">Abschnitt 3.1</a> Bezug genommen.</p> @@ -532,7 +831,7 @@ Folgende Parameter müssen mit dem AuthCode-Request mitgesendet werden, wobei für <tr> <td>client_id</td> <td>https://demo.egiz.gv.at/demoportal-openID_demo</td> - <td>Ist der eindeutige Identifikatior für die Online-Applikation. Dieser MUSS mit dem<a href="../config/config.html#konfigurationsparameter_oa_protocol_openIDConnect"> Identifikatior aus der Konfiguration</a> identisch sein.</td> + <td>Ist der eindeutige Identifikator für die Online-Applikation. Dieser MUSS mit dem<a href="../config/config.html#konfigurationsparameter_oa_protocol_openIDConnect"> Identifikatior aus der Konfiguration</a> identisch sein.</td> </tr> <tr> <td>response_type</td> @@ -598,7 +897,7 @@ Folgende Parameter müssen mit dem AuthCode-Request mitgesendet werden, wobei für </tr> </table> <p> </p> -<p>Nochfolgend ein Beispiel für eine AuthCode Response.</p> +<p>Nachfolgend ein Beispiel für eine AuthCode Response.</p> <pre>https://demo.egiz.gv.at/demoportal-openID_demo/securearea.action?state=1425782214234&code=4/P7q7W91a-oMsCeLvIaQm6bTrgtp7 </pre> <h3><a name="openid_req_tokenreq"></a>3.2.3 AccessToken Request</h3> <p>Mit dem AccessToken Request können vom Service Provider der Online-Applikation die Anmeldedaten an der MOA-ID-Auth Instanz abgeholt werden. Für die Abholung müssen folgende Parameter mit dem AccessToken Request an MOA-ID-Auth übertragen werden, wobei für die Übertragung der Parameter sowohl http GET als auch http POST verwendet werden kann.</p> @@ -626,7 +925,7 @@ Folgende Parameter müssen mit dem AuthCode-Request mitgesendet werden, wobei für <tr> <td>client_id</td> <td>https://demo.egiz.gv.at/demoportal-openID_demo</td> - <td>Ist der eindeutige Identifikatior für die Online-Applikation. Dieser MUSS mit dem<a href="../config/config.html#konfigurationsparameter_oa_protocol_openIDConnect"> Identifikatior aus der Konfiguration</a> identisch sein.</td> + <td>Ist der eindeutige Identifikator für die Online-Applikation. Dieser MUSS mit dem<a href="../config/config.html#konfigurationsparameter_oa_protocol_openIDConnect"> Identifikatior aus der Konfiguration</a> identisch sein.</td> </tr> <tr> <td>client_secret</td> @@ -669,7 +968,7 @@ Folgende Parameter müssen mit dem AuthCode-Request mitgesendet werden, wobei für <tr> <td>expires_in</td> <td>3600</td> - <td>Gültigkeitszeitraum der Response (TODO)</td> + <td>Gültigkeitszeitraum der Response</td> </tr> <tr> <td>scope</td> @@ -701,8 +1000,122 @@ Folgende Parameter müssen mit dem AuthCode-Request mitgesendet werden, wobei für XUVrWOLrLl0nx7RkKU8NXNHq-rvKMzqg" } </pre> -<h1><a name="saml1"></a>3 SAML 1 </h1> - +<h1><a name="saml1"></a>3 SAML 1</h1> +<p>SAML 1 wird durch MOA-ID-Auth 2.0 auch weiterhin, aus Gründen der Abwärtskompatibilität, als Authentifizierungsprotokoll unterstützt. Es wird jedoch der Umstieg auf ein aktuelles Authentifizierungsprotokoll wie PVP 2.1 oder OpenID Connect empfohlen.</p> +<p>Die nachfolgenden Abschnitte beschreiben den Anmeldevorgang unter Verwendung von SAML1 wobei die Funktionalität, wie sie aus MOA-ID <= 1.5.1 bekannt ist, auch weiterhin unterstützt wird (Bürgerkartenauswahl auf Seiten des Service Provider). Zusätzlich steht für SAML 1 jedoch auch die Funktionalität der automatischen Generierung der Bürgerkartenauswahl durch das Modul MOA-ID-Auth zur Verfügung.</p> +<h2><a name="saml1_sequence" id="saml1_sequence"></a>3.1 Ablauf einer Anmeldung mittels SAML 1</h2> +<p>Die nachfolgende Abbildung zeigt das Sequenzdiagramm eines Anmeldevorgangs mittels SAML 1 und des Modules MOA-ID-Auth als Identity Provider. Hierbei wird die aus MOA-ID 1.5.1 bekannte Variante der Bürgerkartenauswahl beim Service Provider verwenden. Aus Gründen der Übersichtlichkeit wurden die Teile welche die Kommunikation mit der Bürgerkartenumgebung oder die Vollmachten-Auswahl betreffen bewusst nicht berücksichtigt.</p> +<p><img src="saml1_sequence.png" width="936" height="592" alt="Sequenzdiagramm für SAML 1"></p> +<ol> + <li>Der Benutzer verbindet sich zu einem Web-Portal (Service Provider) über das die Online-Applikation erreichbar ist. </li> + <li>Der Service Provider antwortet mit einer öffentlichen Portalseite welche einen Login Bereich mit Bürgerkartenauswahl beinhaltet.</li> + <li>Nach Auswahl der gewünschten Authentifizierungsmethode (Bürgerkarte oder Handy-Signatur) wird der Anmeldevorgang ausgelöst und der StartAuthentication Request wird an das Modul MOA-ID-Auth gesendet.</li> + <li>MOA-ID-Auth validiert den StartAuthentication Request. Ist die Validierung erfolgreich wird der Anmeldevorgang vorgesetzt.</li> + <li>Die BenutzerIn oder der Benutzer wird zur gewählten Bürgerkartenumgebung weitergeleitet. + <ol> + <li>Die BenutzerIn oder der Benutzer Authentifiziert sich mit der gewählten Methode.</li> + </ol> + </li> + <li>War die Authentifizierung der BenutzerIn oder des Benutzers erfolgreich generiert MOA-ID-Auth die Assertion mit den Anmeldedaten des Benutzers.</li> + <li>MOA-ID-Auth senden das SAML 1 Artifact, welches zur Abholung der Assertion verwendet werden kann, über den Browser an den Service Provider.</li> + <li>Der Service Provider stellt einen GetAuthenticationData Request an MOA-ID-Auth unter Verwendung des zuvor übermittelten Artifacts.</li> + <li>MOA-ID-Auth validiert das Artifact. Ist die Validierung erfolgreich antwortet MOA-ID-Auth mit der SAML 1 Assertion, welche die Anmeldedaten beinhaltet. </li> + <li>Der Service Provider verarbeitet die Assertion und danach ist der Benutzer an der Online-Applikation angemeldet.</li> +</ol> +<h2><a name="saml1_zugang" id="saml1_zugang"></a>3.2 Zugangspunkte</h2> +<p>Zur Verwendung von SAML 1 stellt das Modul MOA-ID-Auth zwei Zugangspunkte zur Kommunikation mit der Online-Applikation (Service Provider) zur Verfügung. Diese Zugangspunkte bezeichnen die URLs unter welchen das Modul MOA-ID-Auth die entsprechenden SAML1 Nachrichten entgegennimmt.</p> +<ul> + <li><strong>StartAuthentication Request:</strong> <em>https://<host>:<port>/moa-id-auth/StartAuthentication</em><br> + Unter dieser URL wird der Authn Request entgegengenommen. Dieser Request startet den Authentifizierungsvorgang an der Online-Applikation.</li> + <li><strong>GetAuthenticationData:</strong> <em>http(s)://<host>:<port>/moa-id-auth/services/GetAuthenticationData</em><br> + Unter dieser URL können nach erfolgreicher Authentifizierung die eigentlichen Authentifizierungsdaten am Modul MOA-ID-Auth abgeholt werden.</li> +</ul> +<h2><a name="saml1_startauth" id="saml1_zugang2"></a>3.3 StartAuthentication Request</h2> +<p>MOA-ID-Auth wird immer durch eine andere (verweisende) Webseite aufgerufen. Diese Webseite kann z.B. Teil eines Portals sein. Der Aufruf erfolgt durch einen Verweis der Form, wobei die Parameter sowohl als http GET als auch als http POST an MOA-ID-Auth übergeben werden können.</p> +<pre><a href="https://<moa-id-server-und-pfad>/StartAuthentication + ?Target=<geschäftsbereich> + &OA=<oa-url> + &bkuURI=<bku-url> + &Template=<template-url> + &useMandate=false + &CCC=<ccc>"></pre> +<table width="1247" border="1"> + <tr> + <th width="170" scope="col">Name</th> + <th width="221" scope="col">Beispielwert</th> + <th width="834" scope="col">Beschreibung</th> + </tr> + <tr> + <td><moa-id-server-und-pfad></td> + <td>https://demo.egiz.gv.at/<br> + demoportal_moaid-2.0/</td> + <td><p>Server und Pfad, wo MOA-ID-AUTH installiert ist</p></td> + </tr> + <tr> + <td>Target=<geschäftsbereich></td> + <td>BF</td> + <td><p>Angabe, für welches Verfahren (öffentlicher Bereich) der Benutzer authentisiert werden soll. Dieser Parameter wird jedoch durch den in entsprechenden Parameter in der <a href="./../config/config.html#konfigurationsparameter_oa_general_public">online-applikationsspezifischen Konfiguration</a> überschrieben.</p></td> + </tr> + <tr> + <td>OA=<oa-url></td> + <td>https://demo.egiz.gv.at/demoportal-demologin/securearea.action</td> + <td>Webseite, auf die der Browser nach erfolgter Authentisierung weitergeleitet werden soll</td> + </tr> + <tr> + <td>bkuURI=<bku-url></td> + <td>https://127.0.0.1:3496/https-security-layer-request</td> + <td><p>URL auf die Bürgerkartenumgebung, welche für die Authentifizierung der BenutzerIn oder des Benutzers verwendet werden soll. </p> + <p><strong>Hinweis:</strong> Wird dieser Parameter nicht übertragen, antwortet das Modul MOA-ID-Auth mit einem bei MOA-ID-Auth hinterlegten Bürgerkartentemplate.</p></td> + </tr> + <tr> + <td>Template=<template-url></td> + <td>https://demo.egiz.gv.at/moa-id-auth/template_onlineBKU.html</td> + <td><strong>Optional:</strong> URL auf die HTML Vorlage für den Security-Layer Request, welcher für die Kommunikation mit der Bürgerkartenumgebung verwendet wird. Die URL muss in der online-applikationsspezifischen Konfiguration von MOA-ID-Auth hinterlegt werden (<a href="./../config/config.html#konfigurationsparameter_oa_bku">siehe Parameter <em>SecurityLayerTemplates</em></a>).<br> + Ist dieser Parameter nicht vorhanden, verwendet MOA-ID-Auth das für diese Online-Applikation hinterlegten Security-Layer Template (<a href="./../config/config.html#konfigurationsparameter_oa_bku">siehe Parameter <em>SecurityLayerTemplates</em></a>).</td> + </tr> + <tr> + <td>useMandate=<true/false></td> + <td>true / false</td> + <td><strong>Optional:</strong> Gibt an ob eine Anmeldung im Online-Vollmachten-Modus durchgeführt werden soll (=true) oder nicht (=false);</td> + </tr> + <tr> + <td>CCC=<ccc></td> + <td>BE, SI, </td> + <td><strong>Optional:</strong> Gibt an ob die Anmeldung mittels STORK im angegebenen Land erfolgen soll. Die Angabe erfolgt mit dem Ländercode (Bsp: PT, LU, ES, ...) des jeweiligen Landes.</td> + </tr> +</table> +<h2><a name="saml1_getassertion" id="saml1_zugang3"></a>3.4 GetAuthenticationData Request</h2> +<p>Nach erfolgter Authentisierung stehen in MOA-ID-AUTH Anmeldedaten zum Abholen bereit, und MOA-ID-AUTH veranlasst einen Redirect zur Online-Applikation (OA). <br> + <br> +In diesem Redirect werden der Geschäftsbereich und ein SAML-Artifact als Parameter übergeben. </p> +<pre><a href="https://<oa-url>?Target=<geschäftsbereich>&SAMLArtifact=<saml-artifact>"></pre> +<table border="1"> + <tbody valign="baseline"> + <tr> + <td>oa-url></td> + <td>URL, der beim Aufruf von MOA-ID-AUTH als Parameter "OA" übergeben wurde</td> + </tr> + <tr> + <td>Target=<geschäftsbereich></td> + <td>Parameter, der beim Aufruf von MOA-ID-AUTH übergeben wurde</td> + </tr> + <tr> + <td>SAMLArtifact=<saml-artifact></td> + <td>SAML-Artifact, das von MOA-ID-AUTH zu den Anmeldedaten erstellt wurde. Mithilfe dieses SAML-Artifacts kann die OA die Anmeldedaten von MOA-ID-AUTH abholen.</td> + </tr> + </tbody> +</table> +<p> </p> +<p>Der Service Provider kann anschließend die Assertion, welche die Anmeldedaten oder eine Fehlermeldung beinhaltet, unter Verwendung des SAMLArtifact, am Modul MOA-ID-Auth abholen.</p> +<p>Das MOA-ID-AUTH Web Service wird über einen <samlp:Request> aufgerufen. Der <samlp:Request> enthält in einem <samlp:AssertionArtifact> das von MOA-ID-AUTH übergebene SAML-Artifact. <br> + <br> +MOA-ID-AUTH liefert als Antwort einen <samlp:Response>. Die Anmeldedaten sind im <samlp:Response> in Form einer <saml:Assertion> enthalten. </p> +<ul> + <li> <a href="file:///D:/Projekte/svn/moa-id/moa-idspss/id/server/doc/cs-sstc-schema-protocol-01.xsd">SAML 1.0 Protocol Schema</a> <br> + </li> + <li> <a href="file:///D:/Projekte/svn/moa-id/moa-idspss/id/server/doc/cs-sstc-schema-assertion-01.xsd">SAML 1.0 Assertion Schema</a></li> +</ul> +<p>Der detaillierte Aufbau der <saml:Assertion> zu den Anmeldedaten ist in der <a href="file:///D:/Projekte/svn/moa-id/moa-idspss/id/server/doc/MOA_ID_1.4_20070306.pdf">Spezifikation MOA-ID 1.4</a> beschrieben. </p> <h1><a name="referenzierte_spezifikation" id="uebersicht_zentraledatei_aktualisierung30"></a>A Referenzierte Spezifikation</h1> <table class="fixedWidth" border="1" cellpadding="2"> <tbody> diff --git a/id/server/doc/handbook/protocol/pvp21_sequence.png b/id/server/doc/handbook/protocol/pvp21_sequence.png Binary files differnew file mode 100644 index 000000000..c915531cc --- /dev/null +++ b/id/server/doc/handbook/protocol/pvp21_sequence.png diff --git a/id/server/doc/handbook/protocol/saml1_sequence.png b/id/server/doc/handbook/protocol/saml1_sequence.png Binary files differnew file mode 100644 index 000000000..e863d74c1 --- /dev/null +++ b/id/server/doc/handbook/protocol/saml1_sequence.png diff --git a/id/server/doc/handbook/protocol/sso_sequence.png b/id/server/doc/handbook/protocol/sso_sequence.png Binary files differnew file mode 100644 index 000000000..19e50100d --- /dev/null +++ b/id/server/doc/handbook/protocol/sso_sequence.png |
