diff options
Diffstat (limited to 'id/server/doc/handbook/config/config.html')
| -rw-r--r-- | id/server/doc/handbook/config/config.html | 677 |
1 files changed, 276 insertions, 401 deletions
diff --git a/id/server/doc/handbook/config/config.html b/id/server/doc/handbook/config/config.html index 9e70c073d..116e9a078 100644 --- a/id/server/doc/handbook/config/config.html +++ b/id/server/doc/handbook/config/config.html @@ -59,7 +59,7 @@ <ol> <li><a href="#basisconfig_moa_id_auth_param_services_moasp">MOA-SP</a></li> <li><a href="#basisconfig_moa_id_auth_param_services_mandates">Online-Vollmachen</a></li> - <li><a href="#">Foreign Identities</a></li> + <li><a href="#">Zentraler eIDAS Knoten</a></li> </ol> </li> <li><a href="#basisconfig_moa_id_auth_param_protocol">Protokolle</a> @@ -76,8 +76,9 @@ </ol> </li> <li> <a href="#basisconfig_moa_id_auth_param_testing">Testing</a></li> + <li><a href="#basisconfig_moa_id_auth_sl20">Security Layer für mobile Authententifizierung</a></li> <li><a href="#basisconfig_moa_id_auth_szrclient">SZR Client für STORK <-> PVP Gateway Betrieb</a></li> - <li><a href="#basisconfig_moaid_stork2">STORK 2.0</a></li> + <li><a href="#basisconfig_moa_id_auth_others">Weitere optionale Konfigurationsparameter</a></li> </ol> </li> </ol> @@ -98,9 +99,8 @@ <li><a href="#konfigurationsparameter_allgemein_moasp">MOA-SP</a></li> <li><a href="#konfigurationsparameter_allgemein_services">Externe Services</a></li> <li><a href="#konfigurationsparameter_allgemein_sso">Single-Sign On (SSO)</a></li> - <li><a href="#konfigurationsparameter_allgemein_stork">Secure idenTity acrOss boRders linKed (STORK)</a></li> <li><a href="#konfigurationsparameter_allgemein_protocol">Protokolle</a> -<ol> + <ol> <li><a href="#konfigurationsparameter_allgemein_protocol_allowed">Protkolle aktivieren</a></li> <li><a href="#konfigurationsparameter_allgemein_protocol_legacy">Legacy Modus</a></li> <li><a href="#konfigurationsparameter_allgemein_protocol_saml1">SAML1 Konfiguration</a></li> @@ -120,11 +120,12 @@ </ol> </li> <li><a href="#konfigurationsparameter_oa_bku">BKU Konfiguration</a></li> + <li><a href="#konfigurationsparameter_oa_sl20">Security Layer für mobile Authententifizierung</a></li> <li><a href="#konfigurationsparameter_oa_testcredentials">Test Credentials</a></li> <li><a href="#konfigurationsparameter_oa_mandates">Vollmachten</a></li> - <li><a href="#konfigurationsparameter_oa_szr-gw-service">SZR-Gateway Service</a></li> + <li><a href="#konfigurationsparameter_oa_szr-gw-service">Zentraler eIDAS Connector</a></li> <li><a href="#konfigurationsparameter_oa_sso">Single Sign-On (SSO)</a></li> - <li><a href="#konfigurationsparameter_oa_stork">Secure idenTity acrOss boRders linKed (STORK)</a></li> + <li><a href="#konfigurationsparameter_oa_stork">Authentifizierung via eIDAS</a></li> <li><a href="#konfigurationsparameter_oa_protocol">Authentifizierungsprotokolle</a> <ol> <li><a href="#konfigurationsparameter_oa_protocol_saml1">SAML 1</a></li> @@ -460,32 +461,7 @@ UNIX: moa.id.configuration=file:C:/Programme/apache/tomcat-8.x.x/conf/moa-id/moa https://<host>:<port>/moa-id-auth/MonitoringServlet</pre> <p>Nach einem erfolgreichen Testdurchlauf Antwortet das Monitoring mit einen http Statuscode 200 und der oben definierten Statusmeldung aus dem Parameter <em>configuration.monitoring.message.success</em>. Im Falle eines Fehlers antwortet das Monitoring mit einem http Statuscode 500 und die Statusmeldung enthält eine Beschreibung des aufgetretenen Fehlers.</p> <h5><a name="basisconfig_moa_id_auth_param_services" id="uebersicht_bekanntmachung5"></a>2.2.2.2 Externe Services</h5> -<p>Für den Aufbau von Verbindungen zu anderen Komponenten werden in manchen Fällen spezielle Client-Zertifikate oder Sicherheitseinstellungen benötigt. In diesem Abschnitt erfolgt die Konfiguration der für den Verbindungsaufbau benötigten Parameter. Die Konfiguration der URL zum jeweiligen Service wird jedoch über die Web-Oberfläche des Modules MOA-ID-Configuration vorgenommen (siehe <a href="#konfigurationsparameter_allgemein_services">Kapitel 3.1.7</a>).</p> -<h6><a name="basisconfig_moa_id_auth_param_services_moasp" id="uebersicht_bekanntmachung6"></a>2.2.2.2.1 MOA-SP</h6> -<p>Wird MOA-SP über ein Web-Service, welches Client Authentifizierung voraussetzt, angesprochen müssen in diesem Abschnitt die erforderlichen Schlüssel hinterlegt werden.</p> -<table class="configtable"> - <tr> - <th>Name</th> - <th>Beispielwert</th> - <th>Beschreibung</th> - </tr> - <tr> - <td>service.moasp.clientKeyStore</td> - <td>keys/moa_sp.p12</td> - <td>Dateiname des PKCS#12 Keystores, relativ zur MOA-ID Konfigurationsdatei. Diesem Keystore wird der private Schlüssel für die TLS-Client-Authentisierung entnommen.</td> - </tr> - <tr> - <td>service.moasp.clientKeyStorePassword</td> - <td>pass1234</td> - <td>Passwort zum Keystore</td> - </tr> - <tr> - <td>service.moasp.acceptedServerCertificates</td> - <td>certs/moa-sp-server/</td> - <td>Hier kann ein Verzeichnisname (relativ zur MOA-ID Konfigurationsdatei) angegeben werden, in dem die akzeptierten Zertifikate der TLS-Verbindung hinterlegt sind. In diesem Verzeichnis werden nur Serverzertifikate abgelegt. Fehlt dieser Parameter wird lediglich überprüft ob ein Zertifikatspfad zu den im Element <TrustedCACertificates> (siehe <a href="#konfigurationsparameter_allgemein_certvalidation">Kapitel 3.1.4</a>) angegebenen Zertifikaten erstellt werden kann.</td> - </tr> -</table> -<p> </p> +<p>Für den Aufbau von Verbindungen zu anderen Komponenten werden in manchen Fällen spezielle Client-Zertifikate oder Sicherheitseinstellungen benötigt. In diesem Abschnitt erfolgt die Konfiguration der für den Verbindungsaufbau benötigten Parameter. Die Konfiguration der URL zum jeweiligen Service wird jedoch über die Web-Oberfläche des Modules MOA-ID-Configuration vorgenommen (siehe <a href="#konfigurationsparameter_allgemein_services">Kapitel 3.1.7</a>)</p> <h6><a name="basisconfig_moa_id_auth_param_services_mandates" id="uebersicht_bekanntmachung7"></a>2.2.2.2.2 Online-Vollmachen</h6> <p>MOA-ID-Auth bietet die Möglichkeit der Nutzung von Online-Vollmachten für Anwendungen aus dem öffentlichen Bereich. Hierfür ist ein Online-Vollmachten-Service nötig, wobei die Zugangsdaten zum Online-Vollmachten-Service konfiguriert werden müssen. Der Zugang zum Online-Vollmachten-Service ein Client-Zertifikat für die SSL-Verbindung zum Service. Voraussetzung dafür ist ein Zertifikat von A-Trust bzw. A-CERT mit Verwaltungseigenschaft oder Dienstleistereigenschaft. Wenn ihr MOA-ID-Auth Zertifikat diese Voraussetzung erfüllt, können Sie dieses hier angeben. </p> <table class="configtable"> @@ -511,8 +487,8 @@ https://<host>:<port>/moa-id-auth/MonitoringServlet</pre> </tr> </table> <p> </p> -<h6><a name="basisconfig_moa_id_auth_param_services_foreign" id="uebersicht_bekanntmachung8"></a>2.2.2.2.3 Foreign Identities</h6> -<p>MOA-ID-Auth bietet die Möglichkeit der Nutzung von ausländischen Karten oder die Anmeldung ausländischer Personen mittels STORK. Hierfür ist eine Verbindung zum Stammzahlenregister-Gateway nötig, das einen entsprechenden Zugang zum Stammzahlenregister bereitstellt. Für diesen Zugriff muss das Client-Zertifikat für die SSL-Verbindung zum Gateway angegeben werden. Voraussetzung dafür ist ein Zertifikat von A-Trust bzw. A-CERT mit Verwaltungseigenschaft oder Dienstleistereigenschaft. Wenn ihr MOA-ID-Auth Zertifikat diese Voraussetzung erfüllt, können Sie dieses hier angeben.</p> +<h6><a name="basisconfig_moa_id_auth_param_services_foreign" id="uebersicht_bekanntmachung8"></a>2.2.2.2.3 Zentraler eIDAS Knoten</h6> +<p>MOA-ID-Auth bietet die Möglichkeit die Anmeldung ausländischer Personen mittels eIDAS. Hierfür ist eine Verbindung zum österreichischen zentralen eIDAS Knoten notwendig. Für diesen Zugriff muss der Zugriff auf den zentralen eIDAS Knoten wie unten angegeben konfiguriert werden. Der Zugriff auf den zentralen eIDAS Knoten erfolgt via PVP2 S-Profil wobei das Signaturzertifikat für die PVP2 Metadaten beim Betreiber des zentralen eIDAS Knoten registriert werden muss.</p> <table class="configtable"> <tr> <th>Name</th> @@ -520,19 +496,55 @@ https://<host>:<port>/moa-id-auth/MonitoringServlet</pre> <th>Beschreibung</th> </tr> <tr> - <td>service.foreignidentities.clientKeyStore</td> + <td>modules.eidascentralauth.keystore.path</td> <td>keys/szrgw.p12</td> - <td>Dateiname des PKCS#12 Keystores, relativ zur MOA-ID Konfigurationsdatei. Diesem Keystore wird der private Schlüssel für die TLS-Client-Authentisierung entnommen.</td> + <td>Dateiname des Java Keystore oder PKCS12 Keystore zur Signierung von PVP 2.1 spezifischen Inhalten. (PVP 2.1 Metadaten, PVP 2.1 Assertion)</td> </tr> <tr> - <td>service.foreignidentities.clientKeyStorePassword</td> + <td>modules.eidascentralauth.keystore.password</td> <td>pass1234</td> <td>Passwort zum Keystore</td> </tr> <tr> - <td>service.foreignidentities.acceptedServerCertificates</td> - <td>certs/szrgw-server/</td> - <td>Hier kann ein Verzeichnisname (relativ zur MOA-ID Konfigurationsdatei) angegeben werden, in dem die akzeptierten Zertifikate der TLS-Verbindung hinterlegt sind. In diesem Verzeichnis werden nur Serverzertifikate abgelegt. Fehlt dieser Parameter wird lediglich überprüft ob ein Zertifikatspfad zu den im Element <TrustedCACertificates> (siehe <a href="#konfigurationsparameter_allgemein_certvalidation">Kapitel 3.1.4</a>) angegebenen Zertifikaten erstellt werden kann.</td> + <td>modules.eidascentralauth.metadata.sign.alias</td> + <td> </td> + <td>Name des Schlüssels der zur Signierung der PVP 2.1 Metadaten des eIDAS Authentifizierungsmoduls</td> + </tr> + <tr> + <td>modules.eidascentralauth.metadata.sign.password</td> + <td> </td> + <td>Passwort des Schlüssels der zur Signierung der PVP 2.1 Metadaten des eIDAS Authentifizierungsmoduls</td> + </tr> + <tr> + <td>modules.eidascentralauth.request.sign.alias</td> + <td> </td> + <td>Name des Schlüssels mit dem der PVP 2.1 Authn. Request durch MOA-ID-Auth unterschieben wird</td> + </tr> + <tr> + <td>modules.eidascentralauth.request.sign.password</td> + <td> </td> + <td>Passwort des Schlüssels mit dem der PVP 2.1 Authn. Request durch MOA-ID-Auth unterschieben wird</td> + </tr> + <tr> + <td>modules.eidascentralauth.response.encryption.alias</td> + <td> </td> + <td>Name des Schlüssels mit dem die PVP 2.1 Assertion für MOA-ID-Auth verschlüsselt werden soll</td> + </tr> + <tr> + <td>modules.eidascentralauth.response.encryption.password</td> + <td> </td> + <td>Passwort des Schlüssels mit dem PVP 2.1 Assertion für MOA-ID-Auth verschlüsselt werden soll</td> + </tr> + <tr> + <td>modules.eidascentralauth.node.trustprofileID</td> + <td> </td> + <td>MOA-SP TrustProfil welches die vertrauenswürdigen Zertifikate zur Validierung der Metadaten des zentralen eIDAS Knoten beinhaltet</td> + </tr> + <tr> + <td>modules.eidascentralauth.required.additional.attributes.x</td> + <td> </td> + <td><p><strong>Optional:</strong> zusätzliche Attribute welche vom zentralen eIDAS Knoten angefordert werden</p> + <p>Attribute werden entspechend PVP2 Attribute-Profil angegeben. Beispiele für die Konfiguration finden Sie in der Beispielkonfiguration</p></td> </tr> </table> <p> </p> @@ -623,6 +635,21 @@ https://<host>:<port>/moa-id-auth/MonitoringServlet</pre> <p> </p> <h5><a name="basisconfig_moa_id_auth_param_database" id="uebersicht_bekanntmachung3"></a>2.2.2.4 Datenbank </h5> <p>Das Modul MOA-ID-Auth benötigt für den Betrieb zwei (optional drei) separate Datenbank Schema, welche in der Basiskonfiguration konfiguriert werden. Für Beispielkonfiguration wurde mySQL als Datenbank verwendet wodurch sich die Konfigurationsparameter auf mySQL beziehen. Das Modul MOA-ID-Auth kann jedoch auch mit Datenbanken anderer Hersteller oder einer InMemory Datenbank betrieben werden. Hierfür wird jedoch auf die <a href="http://docs.jboss.org/hibernate/core/4.2/manual/en-US/html/">Hibernate Dokumention</a> verwiesen. </p> +<table class="configtable"> + <tr> + <th width="21%">Name</th> + <th width="11%">Beispielwert</th> + <th width="68%">Beschreibung</th> + </tr> + <tr> + <td>configuration.database.byteBasedValues</td> + <td><p>true / false</p></td> + <td><p>Definiert ob Konfigurationswerte als Text oder als Bytes in der Datenbank abgelegt werden. <br> + <strong>Hinweis:</strong> Testbasierte Speicherung kann bei manchen Datenbanksystemen zur problemen führen (z.B. postgreSQL)</p> + <p><strong>Defaultwert:</strong> false</p></td> + </tr> +</table> +<p> </p> <h6><a name="basisconfig_moa_id_auth_param_database_conf" id="uebersicht_bekanntmachung12"></a>2.2.2.4.1 Konfiguration</h6> <p>Alle Parameter aus der Basiskonfiguration welche als Prefix <em>configuration.hibernate</em>. im Parameternamen aufweisen konfigurieren den Zugriff auf das Datenbank Schema welches die Konfiguration von MOA-ID-Auth beinhaltet. Eine Konfiguration dieser Parameter ist nicht optional.</p> <table class="configtable"> @@ -794,7 +821,97 @@ https://<host>:<port>/moa-id-auth/MonitoringServlet</pre> <p><strong>Defaultwert:</strong> true</p></td> </tr> </table> - <h5><a name="basisconfig_moa_id_auth_szrclient" id="uebersicht_bekanntmachung16"></a>2.2.2.6 SZR Client für STORK <-> PVP Gateway Betrieb</h5> + <h5><a name="basisconfig_moa_id_auth_sl20" id="uebersicht_bekanntmachung17"></a>2.2.2.6 Security Layer für mobile Authententifizierung</h5> +<p>Diese Parameter dienen zur Konfiguration der neuen Authentifizierungsschnittstelle via Security-Layer 2.0</p> + <table class="configtable"> + <tr> + <th width="23%">Name</th> + <th width="15%">Beispielwert</th> + <th width="62%">Beschreibung</th> + </tr> + <tr> + <td>modules.sl20.vda.urls.qualeID.endpoint.default</td> + <td>https://www.handy-signatur.at/securitylayer2</td> + <td>Defaultendpunkt für die Anbindung an einen VDA mittels Security-Layer 2.0</td> + </tr> + <tr> + <td>modules.sl20.vda.urls.qualeID.endpoint.x</td> + <td> </td> + <td>Über diese Parameter können weitere Endpunkte konfiguriert werden, wobei das 'x' im Namen durch einen Identifier ersetzt werden muss (z.B.: modules.sl20.vda.urls.qualeID.endpoint.1=https://test1.a-trust.at/securitylayer2) Die Auwahl des Endpunkts erfolgt via http Header im Request an MOA-ID, wobei der Headername '<em>X-MOA-VDA</em>' lautet und der Headerwert dem Identifier (z.B. '<em>1</em>') entsprechen muss. <br> + <strong>Hinweis:</strong> Hiebei handelt es sich primär um eine Funktion zu Testzwecken im aktuellen Beta-Status</td> + </tr> + <tr> + <td>modules.sl20.security.keystore.path</td> + <td>keys/sl20.jks</td> + <td>Dateiname des Java Keystore welcher die Schlüssel zum Signieren und Verschlüsseln von Security-Layer 2.0 Nachrichten beinhaltet. Des weiteren dient dieser KeyStore als TrustStore zur Validierung von signierten Security-Layer 2.0 Nachrichten. Somit müssen Signaturzertifikate von SL2.0 Teilnehmern in diesem TrustStore hinterlegt sein.</td> + </tr> + <tr> + <td>modules.sl20.security.keystore.password</td> + <td>password</td> + <td>Passwort zum Keystore</td> + </tr> + <tr> + <td>modules.sl20.security.sign.alias</td> + <td>signing</td> + <td>Name des Schlüssels der zur Signierung von SL2.0 Nachrichten</td> + </tr> + <tr> + <td>modules.sl20.security.sign.password</td> + <td> </td> + <td>Passwort des Schlüssels zur Signierung von SL2.0 Nachrichten</td> + </tr> + <tr> + <td>modules.sl20.security.encryption.alias</td> + <td>encryption</td> + <td>Name des Schlüssels zur Verschlüsselung von SL2.0 Nachrichten</td> + </tr> + <tr> + <td>modules.sl20.security.encryption.password</td> + <td> </td> + <td>Passwort des Schlüssels zur Verschlüsselung von SL2.0 Nachrichten</td> + </tr> + <tr> + <td>modules.sl20.vda.authblock.id</td> + <td>default</td> + <td><p>Identifier für den AuthBlock, welcher der Benutzer im Authentifizierungsprozess unterschreiben muss</p> + <p><strong>Default:</strong> default</p></td> + </tr> + <tr> + <td>modules.sl20.vda.authblock.transformation.id</td> + <td>SL20Authblock_v1.0,<br> + SL20Authblock_v1.0_SIC</td> + <td><p>Identifier der erlaubten AuthBlock-Transformationen als CSV für die visuelle Darstellung des AuthBlocks</p> + <p><strong>Default:</strong> SL20Authblock_v1.0,SL20Authblock_v1.0_SIC</p></td> + </tr> + <tr> + <td>modules.sl20.security.eID.validation.disable</td> + <td>true / false</td> + <td><p>Deaktivierung der eID Daten validierung.</p> + <p><strong>Default:</strong> false</p></td> + </tr> + <tr> + <td>modules.sl20.security.eID.signed.result.required</td> + <td>true / false</td> + <td><p>Aktivierung von verpflichtend signierten Kommandos</p> + <p><strong>Default:</strong> true</p></td> + </tr> + <tr> + <td>modules.sl20.security.eID.encryption.enabled</td> + <td>true / false</td> + <td><p>Aktivierung von Verschlüsselung, wodurch signierte Kommandos Schlüsselmaterial zur Verschlüsselung beinhalten.</p> + <p><strong>Default:</strong>true</p></td> + </tr> + <tr> + <td>modules.sl20.security.eID.encryption.required</td> + <td>true / false</td> + <td><p>Aktivierung von verpflichtender Verschlüsselung. eID Daten müssen durch den VDA verschlüsselt übertragen werden.</p> + <p><strong>Default:</strong>true</p></td> + </tr> + </table> + <p> </p> + <p> </p> + <p> </p> + <h5><a name="basisconfig_moa_id_auth_szrclient" id="uebersicht_bekanntmachung16"></a>2.2.2.7 SZR Client für STORK <-> PVP Gateway Betrieb</h5> <p>Die Konfiguration des Stammzahlenregister (SZR) Clients ist nur erforderlich wenn das Modul MOA-ID-Auth als STORK <-> PVP Gateway betrieben wird. Da in diesem Fall die Benutzerin oder der Benutzer über ein PVP Stammportal authentifiziert wird ist eine direkte Generierung der STORK eID während des Anmeldevorgangs nicht möglich. Somit erfolgt für diese Personen einen Stammzahlenregisterabfrage zur Bestimmung der STORK eID.</p> <p>Für den in MOA-ID-Auth verwendeten SZR Client sind folgende Konfigurationsparameter erforderlich.</p> <table class="configtable"> @@ -918,39 +1035,47 @@ https://<host>:<port>/moa-id-auth/MonitoringServlet</pre> </table> <p> </p> <p><strong>Hinweis:</strong> Detaillierte Informationen zu den einzelnen PVP spezifischen Konfigurationsparametern finden Sie in der entsprechenden PVP Spezifikation.</p> - <h5><a name="basisconfig_moaid_stork2" id="uebersicht_bekanntmachung17"></a>2.2.2.6 STORK 2</h5> - <p>Dieses Abschnitt beschreibt Konfigurationswerte welche nur für den <strong>Testbetrieb von STORK 2</strong> erforderlich sind.</p> + <h5><a name="basisconfig_moa_id_auth_others" id="uebersicht_bekanntmachung18"></a>2.2.2.8 Weitere optionale Konfigurationsparameter</h5> + <p>Hierbei handelt es sich um weitere optionale Parameter.</p> <table class="configtable"> <tr> - <th>Name</th> - <th>Beispielwert</th> - <th>Beschreibung</th> + <th width="26%">Name</th> + <th width="18%">Beispielwert</th> + <th width="56%">Beschreibung</th> </tr> <tr> - <td>stork.fakeIdL.active</td> - <td>true / false</td> - <td><p>Im Produktivbetrieb ist eine Anmeldung nur für jene Länder mittels STORK 2 möglich welche in der <em>Gleichwertigkeitsverordnung</em> aufgelistet sind. Um einen Testbetrieb mit weiteren Ländern zu ermöglichen bietet das Modul MOA-ID-Auth die Möglichkeit zur Ausstellung eines Fake-Identititlink, welcher im Testbetrieb für die Anmeldung an einer österreichischen Test Online Applikation verwendet werden kann.</p> - <p><strong>Hinweis:</strong> Diese Funktion ist standardmäßig <strong>deaktiviert</strong>. Eine Aktivierung ist nur im Testbetrieb für STORK 2 empfohlen.</p></td> + <td>configuration.restrictions.sp.entityIds</td> + <td><p>https://demo.egiz.gv.at/demologin/</p></td> + <td><p>Liste von eindeutigen Online-Applikationsidentifikatioren als Comma Separatet Values (CSV) für welche die Einschränkung auf bestimmte Benutzer aktiviert werden soll. Für alle OAs in dieser Liste ist eine Anmeldung nur dann möglich wenn die bPK des Benutzers in der Whitelist eingetragen ist.</p> + <p> </p></td> </tr> <tr> - <td>stork.fakeIdL.countries</td> - <td>DE,CH</td> - <td>Kürzel jener Länder für welche ein Fake-Identitilink ausgestellt werden soll.</td> + <td>configuration.restrictions.sp.users.url</td> + <td>whitelist/users.csv</td> + <td><p>Whitelist von bPKs als Comma Separatet Values (CSV) für welche eine Anmeldung erlaubt ist.</p> + <p>z.B.: ZP:xm1zT43arrfTRLnDsxYoFk3XwDU=,ZP:gr99V4hH5KLlarBCcCAbKJNMF18=</p></td> </tr> <tr> - <td>stork.fakeIdL.keygroup</td> - <td>IDL_signing</td> - <td>MOA-SS Schlüsselgruppe, welche für die Signatur des Fake-Identitilinks verwendet werden soll.</td> + <td>configuration.restrictions.sp.users.sector</td> + <td>urn:publicid:gv.at:cdid+ZP</td> + <td>bPK Berecih welcher in der Whitelist verwendet wird</td> </tr> <tr> - <td>stork.documentservice.url</td> - <td>http://testvidp.buergerkarte.at/<br> - DocumentService/DocumentService?wsdl</td> - <td>URL zum STORK 2 Dokumentenservice</td> + <td>configuration.foreignsectors.pubkey.xxxxTargetxxx</td> + <td>configuration.foreignsectors.pubkey.wbpk+FN+468924i=<br> + MIIDCzCCAfMCBFr9aB4wDQYJKoZI....</td> + <td><p>MOA-ID bietet die Möglichkeit verschlüsselte bPKs entsprechend der Berechnungsvorschrift für Fremd-bPKs zu generieren. Die hierfür benötigen öffentlichen Schlüssel müssen als Base64 kodierte X509 Zertifikate je bPK / wbPK Bereich hinterlegt werden.<br> + Der bPK / wbPK Bereich muss als Teil des Konfigurationsschlüssels (z.B. wbpk+FN+468924i, BMI+T1, ...) angegeben werden.</p> + <ul> + <li>Für öffentliche Bereiche: VKZ+Target (VKZ ... Verfahrenskennzeichen)</li> + <li>Für private Bereiche: wbpk+Stammzahl der juristischen Person (z.B. FN+468924i)</li> + </ul> + <p> <br> + </p></td> </tr> </table> <p> </p> -<h3><a name="uebersicht_logging" id="uebersicht_logging"></a>2.3 Konfiguration des Loggings</h3> + <h3><a name="uebersicht_logging" id="uebersicht_logging"></a>2.3 Konfiguration des Loggings</h3> <p>Die Module MOA-ID-Auth und MOA-ID-Configuration verwendet als Framework für Logging-Information die Open Source Software <code>log4j</code>. Die Konfiguration der Logging-Information erfolgt nicht direkt durch die einzelnen Module, sondern über eine eigene Konfigurationsdatei, die der <span class="term">Java Virtual Machine</span> durch eine <span class="term">System Property </span> mitgeteilt wird. Der Name der <span class="term">System Property </span> lautet <code>log4j.configuration</code>; als Wert der <span class="term">System Property </span> ist eine URL anzugeben, die auf die <code>log4j</code>-Konfigurationsdatei verweist, z.B. </p> <pre>log4j.configuration=file:/C:/Programme/apache/tomcat-8.x.x/conf/moa-id/log4j.properties</pre> <p>Zustätzlich wird für einige Basiskomponenten, welche über Drittherstellerbibliotheken inkludiert sind, LogBack als Logging Framework verwendet. Die LogBack Konfiguration wird ebenfalls über den System Property angegeben</p> @@ -960,99 +1085,8 @@ https://<host>:<port>/moa-id-auth/MonitoringServlet</pre> <p>Weitere Informationen zur Konfiguration des Loggings erhalten Sie in <a href="../install/install.html#webservice_basisinstallation_logging">Abschnitt 2.1.3</a> des Installationshandbuchs. </p> <p></p> -<h3><a name="uebersicht_samlengine" id="uebersicht_samlengine"></a>2.4 Konfiguration des SamlEngines</h3> -<p>Für die Untestützung des STORK2 Protokols verwendet MOA-ID eine zusätzliche Bibliothek, die über gesonderte Dateien konfiguriert wird. Diese Dateien sind unter einem Verzeichnis gespeichert, das sich üblicherweise im MOA-ID-Auth Konfigurationsverzeichnis befindet. Der Name der <span class="term">System Property </span> lautet <code>eu.stork.samlengine.config.location</code>; als Wert der <span class="term">System Property </span> ist das Verzeichnis anzugeben, wo die entsprechende SamlEngine Konfigurationsdateien gespeichert werden, z.B. </p> -<pre>eu.stork.samlengine.config.location=file:/C:/Programme/apache/tomcat-8.x.x/conf/moa-id/conf/moa-id/stork</pre> -<p>Dieses Verzeichnis muss mindestens folgende Dateien enthalten:</p> -<table class="configtable"> - <tr> - <th>Datei</th> - <th>Beschreibung</th> - </tr> - <tr> - <td>SamlEngine.xml</td> - <td>Die Hauptdatei, in welcher die Konfigurationen von verschiedenen Instanzen des SamlEngines angegeben werden.</td> - </tr> - <tr> - <td>StorkSamlEngine_<span class="term">XXX</span>.xml</td> - <td>Enthält allgemeine Konfigurationsparametern einer spezifischen Instanz des SamlEngines.</td> - </tr> <tr> - <td>SignModule_<span class="term">XXX</span>.xml</td> - <td>Enthält Konfigurationsparametern für Trust- und Keystore einer spezifischen Instanz des SamlEngines.</td> - </tr> -</table> -<p></p> -<p>In der Hauptkonfigurations-Datei (<span class="term">SamlEngine.xml</span>) verweist auf alle Konfigurationsdateien für sie SamlEngine, welche für unterschiedliche Anwendungsszenarien verwendet werden können. Die Beispielkonfiguration dieser Datei sieht wie folgendes: -</p> -<pre> -<?xml version="1.0" encoding="UTF-8"?> -<instances> - <!-- Configuration name--> - <instance name="<span class="strongerterm">VIDP</span>"> - <!-- Configurations parameters StorkSamlEngine --> - <configuration name="SamlEngineConf"> - <parameter name="fileConfiguration" value="StorkSamlEngine_<span class="strongerterm">VIDP</span>.xml" /> - </configuration> - - <!-- Settings module signature--> - <configuration name="SignatureConf"> - <!-- Specific signature module --> - <parameter name="class" value="eu.stork.peps.auth.engine.core.impl.SignSW" /> - <!-- Settings specific module --> - <parameter name="fileConfiguration" value="SignModule_<span class="strongerterm">VIDP</span>.xml" /> - </configuration> - </instance> -</instances> -</pre> -<p>In diesem Beispiel ist nur eine Instanz <em>VIDP</em> definiert deren spezifischen Parametern in zwei Konfigurationsdateien aufgeteilt werden.</p> -<p>Die Datei <span class="strongerterm">StorkSamlEngine_VIDP.xml</span> enthält STORK-spezifische Parameter, die im Normalbetrieb nicht geändert werden müssen. Die zweite Datei, <span class="strongerterm">SignModule_VIDP.xml</span>, definiert den von der SamlEngine verwendeten Trust- und Keystore. Die Beispielkonfiguration dieser Datei sieht wie folgendes:</p> -<pre> -<?xml version="1.0" encoding="UTF-8"?> -<!DOCTYPE properties SYSTEM "http://java.sun.com/dtd/properties.dtd"> - -<properties> - <comment>SWModule sign with JKS.</comment> - <entry key="keystorePath">C:/Programme/apache/tomcat-4.1.30/conf/moa-id/keys/storkDemoKeys.jks</entry> - <entry key="keyStorePassword">local-demo</entry> - <entry key="keyPassword"><span class="strongerterm">XXX</span></entry> - <entry key="issuer">C=AT, L=Graz, OU=Institute for Applied Information Processing and Communications</entry> - <entry key="serialNumber">123AA2CDB1123</entry> - <entry key="keystoreType">JKS</entry> -</properties> -</pre> -<p>Diese Parameter müssen bei der Installation angepasst werden, um die Zugriff an Keystore und die Schlüssel zu ermöglichen. Die einzelne Parameter werden in folgender Tabelle erläutert:</p> -<table class="configtable"> - <tr> - <th>Name</th> - <th>Beschreibung</th> - </tr> - <tr> - <td>keystorePath</td> - <td>Keystore mit Schlüssel und Zertifikaten welche für das Signieren und Verschlüsseln von STORK Nachrichten verwendet werden sollen. </td> - </tr> - <tr> - <td>keyStorePassword</td> - <td>Passwort des Keystores. Keystore soll den Schlüssel für das Signieren von Nachrichten enthalten, ebenso wie die vertrauenswürdige Zertifikate von anderen Parteien, wie z.B. ausländische PEPSes. </td> - </tr> - <tr> - <td>keyPassword</td> - <td>Password des Schlüssels, der für das Signieren der STORK Nachrichten verwendet werden soll.</td> - </tr> - <tr> - <td>issuer</td> - <td>Issuer des Keypairs, der für das Signieren der STORK Nachrichten verwendet werden soll.</td> - </tr> - <tr> - <td>serialNumber</td> - <td>Nummer des Keypairs, der für das Signieren der STORK Nachrichten verwendet werden soll.</td> - </tr> - <tr> - <td>keystoreType</td> - <td>Typ und Format des Keystores. <span class="term">JKS</span> steht für <span class="term">Java Key Store</span>.</td> - </tr> -</table> -<h2><a name="konfigurationsparameter"></a>3 Konfiguration MOA-ID-Auth</h2> - <p>Dieser Abschnitt beschreibt die Konfiguration des Modules MOA-ID-Auth mithilfe der durch das Modul MOA-ID-Configuration zur Verfügung gestellten Web-Oberfläche. Hierzu muss das Konfigurationstool (Module MOA-ID-Konfiguration) bereits installiert und konfiguriert sein (siehe <a href="#uebersicht_zentraledatei_aktualisierung">Kapitel 2.1</a>). Nach erfolgreichem Login am Konfigurationstool kann das Modul MOA-ID-Auth über die Web-Oberfläche konfiguriert werden.</p> +<h3><a name="uebersicht_samlengine" id="uebersicht_samlengine"></a>3 Konfiguration MOA-ID-Auth</h3> +<p>Dieser Abschnitt beschreibt die Konfiguration des Modules MOA-ID-Auth mithilfe der durch das Modul MOA-ID-Configuration zur Verfügung gestellten Web-Oberfläche. Hierzu muss das Konfigurationstool (Module MOA-ID-Konfiguration) bereits installiert und konfiguriert sein (siehe <a href="#uebersicht_zentraledatei_aktualisierung">Kapitel 2.1</a>). Nach erfolgreichem Login am Konfigurationstool kann das Modul MOA-ID-Auth über die Web-Oberfläche konfiguriert werden.</p> <p>Die Konfiguration von MOA-ID-Auth ist in zwei Teilbereiche unterteilet. Diese behandeln die Allgemeine Konfiguration der MOA-ID-Auth Instanz und die Konfiguration von Online-Applikationen (Service Providern) welche dieser MOA-ID-Auth Instanz zugeordnet sind.</p> <h3><a name="konfigurationsparameter_allgemein" id="konfigurationsparameter_allgemein"></a>3.1 Allgemeine Konfiguration</h3> @@ -1219,9 +1253,9 @@ https://<host>:<port>/moa-id-auth/MonitoringServlet</pre> <p>Hiermit werden die URLs zum Online-Vollmachten Service und zum SZR-Gateway konfiguriert. Die Konfiguration der für den Zugriff benötigen Client-Zertifikate wurden bereits im Abschnitt <a href="#basisconfig_moa_id_auth_param_services">2.2.2.2</a> behandelt.</p> <table class="configtable"> <tr> - <th>Name</th> - <th>Beispielwert</th> - <th>Beschreibung</th> + <th width="10%">Name</th> + <th width="23%">Beispielwert</th> + <th width="67%">Beschreibung</th> </tr> <tr> <td><span id="wwlbl_loadGeneralConfig_moaconfig_mandateURL">Online-Vollmachten Service (CSV)</span></td> @@ -1236,16 +1270,15 @@ https://<host>:<port>/moa-id-auth/MonitoringServlet</pre> <p><strong>Hinweis:</strong> Erfolgt in der Online Applikation keine konkrete Auswahl wird Standardmäßig <strong>das erste eingetragen Service</strong> verwendet.</p></td> </tr> <tr> - <td>SZR-Gateway Service (CSV)</td> - <td>https://szrgw.egiz.gv.at:8443/szr-gateway_2.0/services/IdentityLinkCreation</td> - <td><p>URL(s) zum Stammzahlen-Register Gateway</p> - <p><strong>Hinweis:</strong> Der SZR-Gateway Service welcher in der MOA-ID 1.5.1 Konfiguration verwendet wurde ist nicht mehr kompatibel zu MOA-ID 2.0. Das aktualisierte Test SZR-Gateway Service für MOA-ID 2.x steht unter folgender URL zur Verfügung. <em>https://szrgw.egiz.gv.at:8443/szr-gateway_2.0/services/IdentityLinkCreation</em></p> + <td>Zentraler nationaler eIDAS Connector (CSV)</td> + <td>https://vidp.gv.at.at/ms_connector/pvp/metadata</td> + <td><p>URL(s) zum zentralen nationalen eIDAS Connector</p> <ul> - <li>Produktivsystem: <a href="https://vollmachten.stammzahlenregister.gv.at/mis/MandateIssueRequest">https://szrgw.egiz.gv.at/services_2.0/IdentityLinkCreation</a></li> - <li>Testsystem: <a href="https://vollmachten.egiz.gv.at/mis-test/MandateIssueRequest">https://szrgw.egiz.gv.at:8443/services_2.0/IdentityLinkCreation</a></li> + <li>Produktivsystem: </li> + <li>Testsystem: <a href="https://vollmachten.egiz.gv.at/mis-test/MandateIssueRequest">https://vidp.gv.at.at/ms_connector/pvp/metadata</a></li> </ul> - <p><strong>Hinweis:</strong> Die URLs auf die unterschiedlichen Instanzen des SZR-Gateway Services können auch als Comma Separatet Value (CSV) eingetragen werden. Bei CSV werden die einzelnen URLs durch Beistrich (',') getrennt. Sind mehrere URLs hinterlegt kann das zu verwendeten Service je Online Applikation konfiguriert werden (siehe <a href="#konfigurationsparameter_oa_mandates">Kapitel 3.2.4</a>).<br> - (z.B.: <a href="https://vollmachten.stammzahlenregister.gv.at/mis/MandateIssueRequest">https://szrgw.egiz.gv.at/services_2.0/IdentityLinkCreation</a>,<a href="https://vollmachten.egiz.gv.at/mis-test/MandateIssueRequest">https://szrgw.egiz.gv.at:8443/services_2.0/IdentityLinkCreation</a>)</p> + <p><strong>Hinweis:</strong> Die URLs auf die unterschiedlichen Instanzen des zentralen eIDAS Connectos können auch als Comma Separatet Value (CSV) eingetragen werden. Bei CSV werden die einzelnen URLs durch Beistrich (',') getrennt. Sind mehrere URLs hinterlegt kann das zu verwendeten Service je Online Applikation konfiguriert werden (siehe <a href="#konfigurationsparameter_oa_mandates">Kapitel 3.2.4</a>).<br> + (z.B.: <a href="https://vollmachten.egiz.gv.at/mis-test/MandateIssueRequest">https://vidp.gv.at.at/ms_connector/pvp/metadata</a><a href="https://vollmachten.stammzahlenregister.gv.at/mis/MandateIssueRequest"></a>,<a href="https://vollmachten.egiz.gv.at/mis-test/MandateIssueRequest">https://eid.gv.at/ms_connector/pvp/metadata</a>)</p> <p><strong>Hinweis:</strong> Erfolgt in der Online Applikation keine konkrete Auswahl wird Standardmäßig <strong>das erste eingetragen Service</strong> verwendet.</p></td> </tr> <tr> @@ -1315,166 +1348,6 @@ https://<host>:<port>/moa-id-auth/MonitoringServlet</pre> <p><em>Ich Max Mustermann, geboren am 01.01.1978 stimme am 05.02.2014 um 10:35 einer Anmeldung mittels Single Sign-On zu.</em></p></td> </tr> </table> -<h4><a name="konfigurationsparameter_allgemein_stork" id="konfigurationsparameter_allgemein_bku8"></a>3.1.8 Secure idenTity acrOss boRders linKed (STORK)</h4> -<p>Hierbei werden allgemeine Parameter für STORK Protokoll konfiguriert.</p> -<table class="configtable"> - <tr> - <th>Name</th> - <th>Beispielwerte</th> - <th>Beschreibung</th> - </tr> - <tr> - <td>Standard QAA-Level</td> - <td>4</td> - <td>QAA <span class="term">(Attribute Quality Authentication Assurance)</span> stellt Mindestanforderung von QAA fest. </td> - </tr> - <tr> - <td>Country Code</td> - <td>ES</td> - <td>Der zweistelligen Code vom unterstützten PEPS-Staat.</td> - </tr> - <tr> - <td>PEPS URL</td> - <td>https://prespanishpeps.redsara.es/PEPS/ColleagueRequest</td> - <td>Die Adresse von PEPS eines unterstützten PEPS-Staat.</td> - </tr> - <tr> - <td>Attributname</td> - <td>eIdentifier</td> - <td>Der Name des unterstützten Attributes. Die als <span class="term">zwingend</span> markierte Attribute müssen im Response von dem gegenstehendem PEPS enthalten sein. Jedes Attribut wird gesondert eingetragen. <br/>Die Liste von vorhandenen und unterstützen Attributes ist in Konfigurationsdatei von SamlEngine <span class="term">(StorkSamlEngine_XXX.xml)</span> vorhanden. </td> - </tr> -</table> -<p> </p> -<p>Folgende PEPS URLs stehen aktuell zur Verfügung:</p> -<table class="configtable"> - <tr> - <th>Ländercode</th> - <th>TestInstanz</th> - <th>URL</th> - </tr> - <tr> - <td>AT </td> - <td align="center">X</td> - <td><a href="https://testvidp.buergerkarte.at/moa-id-auth/stork2/SendPEPSAuthnRequest">https://testvidp.buergerkarte.at/moa-id-auth/stork2/SendPEPSAuthnRequest</a></td> - </tr> - <tr> - <td>EE </td> - <td align="center">X</td> - <td><a href="https://testpeps.sk.ee/PEPS/ColleagueRequest">https://testpeps.sk.ee/PEPS/ColleagueRequest</a></td> - </tr> - <tr> - <td>EE </td> - <td align="center"> </td> - <td><a href="https://peps.sk.ee/PEPS/ColleagueRequest">https://peps.sk.ee/PEPS/ColleagueRequest</a></td> - </tr> - <tr> - <td>ES </td> - <td align="center">X</td> - <td><a href="https://prespanishpeps.redsara.es/PEPS/ColleagueRequest">https://prespanishpeps.redsara.es/PEPS/ColleagueRequest</a></td> - </tr> - <tr> - <td>IS </td> - <td align="center">X</td> - <td><a href="https://storktest.advania.is/PEPS/ColleagueRequest">https://storktest.advania.is/PEPS/ColleagueRequest</a></td> - </tr> - <tr> - <td>IS </td> - <td align="center"> </td> - <td><a href="https://peps.island.is/PEPS/ColleagueRequest">https://peps.island.is/PEPS/ColleagueRequest</a></td> - </tr> - <tr> - <td>LT </td> - <td align="center">X</td> - <td><a href="https://testpeps.eid.lt/PEPS/ColleagueRequest">https://testpeps.eid.lt/PEPS/ColleagueRequest</a></td> - </tr> - <tr> - <td>PT</td> - <td align="center">X</td> - <td><a href="https://eu-id.teste.cartaodecidadao.gov.pt/PEPS/ColleagueRequest">https://eu-id.teste.cartaodecidadao.gov.pt/PEPS/ColleagueRequest</a></td> - </tr> - <tr> - <td>SI</td> - <td align="center">X</td> - <td><a href="https://peps-test.mju.gov.si/PEPS/ColleagueRequest">https://peps-test.mju.gov.si/PEPS/ColleagueRequest</a></td> - </tr> -</table> -<p> </p> -<p>Folgende Attribute müssen jedoch mindestens angefordert werden, wobei die erforderlichen Attribute je nach Anmeldeart unterschiedlich sind. Eine Liste mit weiteren möglichen Attribute finden Sie im Kapitel <a href="./../protocol/protocol.html#allgemeines_attribute">Protokolle</a> oder in der <a href="#referenzierte_spezifikation">STORK Spezifikation</a>.</p> -<table class="configtable"> - <tr> - <th>Name</th> - <th>natürliche Person</th> - <th>Anmeldung in Vertretung</th> - <th>Beschreibung</th> - </tr> - <tr> - <td>eIdentifier</td> - <td align="center">X</td> - <td align="center">X</td> - <td>Eindeutiger Identifier der Person für die die Anmeldung erfolgt.</td> - </tr> - <tr> - <td><p>givenName</p></td> - <td align="center">X</td> - <td align="center">X</td> - <td>Vorname der Person für die die Anmeldung erfolgt.</td> - </tr> - <tr> - <td><p>surname</p></td> - <td align="center"><br> - X</td> - <td align="center">X</td> - <td><p>Familienname der Person für die die Anmeldung erfolgt.</p></td> - </tr> - <tr> - <td>dateOfBirth</td> - <td align="center">X</td> - <td align="center">X</td> - <td>Geburtsdatum der Person für die die Anmeldung erfolgt.</td> - </tr> - <tr> - <td>gender</td> - <td align="center">X</td> - <td align="center">X</td> - <td>Geschlecht der Person für die die Anmeldung erfolgt.</td> - </tr> - <tr> - <td>signedDoc</td> - <td align="center">X</td> - <td align="center">X</td> - <td>Ein Dokument welches durch die Person, für die die Anmeldung erfolgt, signiert wurde.</td> - </tr> - <tr> - <td>fiscalNumber</td> - <td align="center">X</td> - <td align="center">X</td> - <td>Ein eindeutiger nationaler Identifier der Person.</td> - </tr> - <tr> - <td>canonicalResidenceAddress</td> - <td align="center"> </td> - <td align="center">X</td> - <td>Adresse der Person für welche die Anmeldung erfolgt</td> - </tr> - <tr> - <td>mandateContent</td> - <td align="center"> </td> - <td align="center">X</td> - <td>Elektronische Vollmacht, welche die Vertretungsverhältnisse widerspiegelt.</td> - </tr> - <tr> - <td>representative</td> - <td align="center"> </td> - <td align="center">X</td> - <td>Natürliche Person welche eine juristische oder natürliche Person im Rahmen einer Anmeldung mittels Vollmacht vertritt.</td> - </tr> - <tr> - <td>represented</td> - <td align="center"> </td> - <td align="center">X</td> - <td>Juristische oder natürliche Person welche im Rahmen einer Anmeldung mittels Vollmacht vertreten wird.</td> - </tr> -</table> <p></p> <h4><a name="konfigurationsparameter_allgemein_protocol" id="konfigurationsparameter_allgemein_bku9"></a>3.1.9 Protokolle</h4> <p>Hierbei handelt es ich um allgemeine Einstellungen zu den vom Modul MOA-ID-Auth unterstützen Authentifizierungsprotokollen.</p> @@ -1741,7 +1614,37 @@ Soll die Bürgerkartenauswahl weiterhin, wie in MOA-ID 1.5.1 im Kontext der <td>Über diese Funktion können drei zusätzliche SecurtityLayer-Request Templates für diese Online-Applikation definiert werden. Diese hier definierten Templates dienen als zusätzliche WhiteList für Templates welche im „StartAuthentication“ Request mit dem Parameter „template“ übergeben werden. Sollte im „StartAuthentication“ Request der Parameter „template“ fehlen, es wurde jedoch eine „bkuURL“ übergeben, dann wird für den Authentifizierungsvorgang das erste Template in dieser Liste verwendet. Detailinformationen zum <a href="./../protocol/protocol.html#allgemeines_legacy">Legacy Request</a> finden Sie im Kapitel Protokolle.</td> </tr> </table> -<h4><a name="konfigurationsparameter_oa_testcredentials" id="uebersicht_zentraledatei_aktualisierung10"></a> 3.2.3 Test Identitäten</h4> +<h4><a name="konfigurationsparameter_oa_sl20" id="uebersicht_zentraledatei_aktualisierung31"></a> 3.2.3 Security Layer für mobile Authententifizierung</h4> +<p>Mit diesem Abschnitt kann der neue Security Layer für mobile Authentifzierung für diese Online Applikation aktiviert werden.<br> + Wird diese Schnittstelle aktiviert ist die Security-Layer 1.x Schnittstelle zur Bürgerkartenkommunikation deaktiviert und steht nicht mehr zur Verfügung.</p> +<table class="configtable"> + <tr> + <th width="13%">Name</th> + <th width="27%">Beispielwert</th> + <th width="5%">Admin</th> + <th width="6%">Optional</th> + <th width="49%">Beschreibung</th> + </tr> + <tr> + <td><p><span id="wwlbl_loadOA_authOA_sl20Active">SL2.0 aktiviere</span>n</p></td> + <td>true / false</td> + <td align="center">X</td> + <td align="center">X</td> + <td>Aktiviert den neuen Security Layer für mobile Authentifizierung für diese Online Applikation</td> + </tr> + <tr> + <td><p><span id="wwlbl_loadOA_authOA_sl20EndPoints">VDA Endpunkt URLs:</span></p></td> + <td><p>default=https://www.handy-signatur.at/securitylayer2,</p> + <p>1=https://test1.a-trust.at/securitylayer2,</p> +<p>2=https://hs-abnahme.a-trust.at/securitylayer2</p></td> + <td align="center">X</td> + <td align="center">X</td> + <td>Eine CSV Liste von VDA Endpunkten, welche für die Online Applikation verwendet werden können. Die Konfiguration erfolgt entsprechend den in <a href="#basisconfig_moa_id_auth_sl20">Kapitel 2.2.2.6</a> beschriebenen Regeln.<br> + Sind keine Parameter angegeben wird automatisch die Konfiguration aus <a href="#basisconfig_moa_id_auth_sl20">Kapitel 2.2.2.6</a> verwendet. </td> + </tr> +</table> +<p> </p> +<h4><a name="konfigurationsparameter_oa_testcredentials" id="uebersicht_zentraledatei_aktualisierung10"></a> 3.2.4 Test Identitäten</h4> <p>In diesem Abschnitt können für diese Online-Applikation Testidentitäten erlaubt werden. Diese Testidentitäten können auch bei produktiven Instanzen freigeschalten werden, da die Unterschiedung zwischen Produkt- und Testidentität anhand einer speziellen OID im Signaturzertifikat der Testidentität getroffen wird. Folgende Konfigurationsparameter stehen hierfür zur Verfügung.</p> <table class="configtable"> <tr> @@ -1783,7 +1686,7 @@ Soll die Bürgerkartenauswahl weiterhin, wie in MOA-ID 1.5.1 im Kontext der </table> <p> </p> <p><strong>Hinweis:</strong> Diese Funktionalität steht jedoch nur Testidentitäten welchen bereits mit einer Test OID im Signaturzertifikat ausgestattet sind zur Verfügung.</p> -<h4><a name="konfigurationsparameter_oa_mandates" id="uebersicht_zentraledatei_aktualisierung21"></a>3.2.4 Vollmachten</h4> +<h4><a name="konfigurationsparameter_oa_mandates" id="uebersicht_zentraledatei_aktualisierung21"></a>3.2.5 Vollmachten</h4> <p>Dieser Abschnitt behandelt online-applikationsspezifische Einstellungen zur Anmeldung mittels Online-Vollmachen.</p> <table class="configtable"> <tr> @@ -1833,8 +1736,8 @@ Soll die Bürgerkartenauswahl weiterhin, wie in MOA-ID 1.5.1 im Kontext der </table> <p> </p> <p><strong>Hinweis:</strong> Werden für die Online-Applikation eigene Templates für die Bürgerkartenauswahl oder die zusätzliche Anmeldeabfrage im SSO Fall (siehe <a href="#konfigurationsparameter_oa_bku">Abschnitt 3.2.2</a>) verwendet, stehen alle Konfigurationsparameter die Einfluss auf die BKU-Auswahl haben nicht zur Verfügung. Die Funktionalität der entsprechenden Parameter hat jedoch weiterhin Einfluss auf den Anmeldevorgang.</p> -<h4><a name="konfigurationsparameter_oa_szr-gw-service" id="uebersicht_zentraledatei_aktualisierung12"></a>3.2.5 SZR-Gateway Service</h4> -<p>Dieser Abschnitt behandelt online-applikationsspezifische Einstellungen zum Stammzahlenregistergateway der österreichischen Datenschutzbehörde.</p> +<h4><a name="konfigurationsparameter_oa_szr-gw-service" id="uebersicht_zentraledatei_aktualisierung12"></a>3.2.6 Zentraler nationaler eIDAS Connector</h4> +<p>Dieser Abschnitt behandelt online-applikationsspezifische Einstellungen zum Anknüpfung an den zentralen nationalen eIDAS Connector</p> <table class="configtable"> <tr> <th width="17%">Name</th> @@ -1844,16 +1747,16 @@ Soll die Bürgerkartenauswahl weiterhin, wie in MOA-ID 1.5.1 im Kontext der <th width="64%">Beschreibung</th> </tr> <tr> - <td>SZR-Gateway Service URL</td> + <td> URL</td> <td> </td> <td align="center"> </td> <td align="center"> </td> - <td><p>Definiert das Stammzahlenregister-Gateway Service welches von dieser Online-Applikation verwendet werden soll. Hierfür stehen all jene Auswahlmöglichkeiten zur Verfügung welche in der Allgemeinen Konfiguration (siehe <a href="#konfigurationsparameter_allgemein_services">Kapitel 3.1.7</a>) festgelegt wurden. </p> + <td><p>Definiert dan zentralen nationalen eIDAS Connector welcher von dieser Online-Applikation verwendet werden soll. Hierfür stehen all jene Auswahlmöglichkeiten zur Verfügung welche in der Allgemeinen Konfiguration (siehe <a href="#konfigurationsparameter_allgemein_services">Kapitel 3.1.7</a>) festgelegt wurden. </p> <p><strong>Hinweis:</strong> Wird keine spezifische Auswahl getroffen wird automatisch <strong>das Erste in der allgemeinen Konfiguration eingetragene Service</strong> verwendet.</p></td> </tr> </table> <p> </p> -<h4><a name="konfigurationsparameter_oa_sso" id="uebersicht_zentraledatei_aktualisierung22"></a>3.2.6 Single Sign-On (SSO)</h4> +<h4><a name="konfigurationsparameter_oa_sso" id="uebersicht_zentraledatei_aktualisierung22"></a>3.2.7 Single Sign-On (SSO)</h4> <p>Dieser Abschnitt behandelt online-applikationsspezifische Einstellungen zu Single Sign-On</p> <table class="configtable"> <tr> @@ -1880,8 +1783,8 @@ Soll die Bürgerkartenauswahl weiterhin, wie in MOA-ID 1.5.1 im Kontext der <p><strong>Hinweis:</strong> Diese Abfrage ist standardmäßig aktiviert und kann nur durch einen Benutzer mit der Role <em>admin</em> deaktiviert werden.</p></td> </tr> </table> -<h4><a name="konfigurationsparameter_oa_stork" id="uebersicht_zentraledatei_aktualisierung23"></a>3.2.7 Secure idenTity acrOss boRders linKed (STORK)</h4> -<p>Dieser Abschnitt behandelt Online-Applikationsspezifische Einstellungen zu STORK.</p> +<h4><a name="konfigurationsparameter_oa_stork" id="uebersicht_zentraledatei_aktualisierung23"></a>3.2.8 Authentifizierung mittels eIDAS</h4> +<p>Dieser Abschnitt behandelt Online-Applikationsspezifische Einstellungen zur Authentifizierung mittels eIDAS.</p> <table class="configtable"> <tr> <th>Name</th> @@ -1890,38 +1793,24 @@ Soll die Bürgerkartenauswahl weiterhin, wie in MOA-ID 1.5.1 im Kontext der <th>Beschreibung</th> </tr> <tr> - <td>STORK verwenden</td> + <td>eIDAS verwenden</td> <td>ja</td> <td align="center">X</td> - <td>Definiert ob die Online-Applikation eine Anmeldung mittels STORK unterstützt. Wird STORK unterstützt wird in während der BKU-Auswahl die Option <em>Home Country Selection </em> für eine Anmeldung mittels STORK dargestellt.</td> + <td>Definiert ob die Online-Applikation eine Anmeldung mittels eIDAS unterstützt. Wird eIDAS unterstützt wird in während der BKU-Auswahl die Option <em>eIDAS LogIn </em> für eine Anmeldung mittels eIDAS dargestellt.</td> </tr> <tr> <td><p>QAA-Level</p></td> - <td>4</td> - <td align="center">X</td> - <td>Von der Online-Applikation geforderter mindest QAA-Level der Authentifizierung</td> - </tr> - <tr> - <td>aktivierte Zielländer</td> - <td> </td> + <td>high</td> <td align="center">X</td> - <td><p>Hier können jene STORK Länder konfiguriert werden für welche diese Online-Applikation eine Anmeldung mittels STORK unterstützt.</p> - <p><strong>Hinweis:</strong> Die zur Auswahl stehenden Länder werden aus den <a href="#konfigurationsparameter_allgemein_stork">PEPS Konfigurationen</a> generiert, welche im allgemeinen Konfigurationsbereich hinterlegt wurden.</p></td> - </tr> - <tr> - <td><p>angeforderte Attribute</p></td> - <td> </td> - <td align="center"> X</td> - <td align="center"><p>STORK Attribute welche die Online-Applikation anfordert</p> - <p>Bei den Attributen kann jedoch nur aus dem Set der in der allgemeinen Konfiguration hinterlegten STORK Attributen (siehe <a href="#konfigurationsparameter_allgemein_stork">Kapitel 3.1.8</a>) gewählt werden, wobei Attribute die in der allgemeinen Konfiguration als <span class="term">zwingend</span> markiert sind immer mitgeliefert werden.</p></td> + <td>Von der Online-Applikation geforderter mindest LoA-Level der Authentifizierung</td> </tr> </table> <p> </p> <p><strong>Hinweis:</strong> Werden für die Online-Applikation eigene Templates für die Bürgerkartenauswahl oder die zusätzliche Anmeldeabfrage im SSO Fall (siehe <a href="#konfigurationsparameter_oa_bku">Abschnitt 3.2.2</a>) verwendet, stehen alle Konfigurationsparameter die Einfluss auf die BKU-Auswahl haben nicht zur Verfügung.</p> -<h4><a name="konfigurationsparameter_oa_protocol" id="uebersicht_zentraledatei_aktualisierung24"></a>3.2.8 Authentifizierungsprotokolle</h4> +<h4><a name="konfigurationsparameter_oa_protocol" id="uebersicht_zentraledatei_aktualisierung24"></a>3.2.9 Authentifizierungsprotokolle</h4> <p>Dieser Abschnitt behandelt online-applikationsspezifische Einstellungen zu den von der Online-Applikation unterstützen Authentifizierungsprotokollen. Eine Verwendung aller zur Verfügung stehender Authentifizierungsprotokolle durch die Online-Applikation ist ebenfalls möglich. Hierfür müssen nur alle benötigten Protokolle konfiguriert werden. Nähere Informationen zu den unterstützten Protokollen finden sie im Kapitel <a href="./../protocol/protocol.html">Protokolle</a>.</p> <p>Aus Gründen der Übersichtlichkeit kann der Konfigurationsbereich für jeden Protokoll, in der Web-Oberfläche des Konfigurationstools, ein- oder ausgeblendet werden.</p> -<h5><a name="konfigurationsparameter_oa_protocol_saml1" id="uebersicht_zentraledatei_aktualisierung25"></a>3.2.8.1 SAML1</h5> +<h5><a name="konfigurationsparameter_oa_protocol_saml1" id="uebersicht_zentraledatei_aktualisierung25"></a>3.2.9.1 SAML1</h5> <p>Für das Protokoll SAML1 stehen folgende Konfigurationsparameter zur Verfügung.</p> <table class="configtable"> <tr> @@ -1976,7 +1865,7 @@ Soll die Bürgerkartenauswahl weiterhin, wie in MOA-ID 1.5.1 im Kontext der </table> <p> </p> <p><strong>Hinweis: </strong>Das Modul MOA-ID-Auth in der Version 2.0 unterstützt SAML1 nur mehr zur Abwärtskompatibilität mit bereits bestehenden Online-Applikationen. Wir empfehlen den Umstieg auf ein anderes, von MOA-ID-Auth unterstütztes, Authentifizierungsprotokoll. Aus diesem Grund steht die Konfiguration des SAML1 Protokolls nur mehr einer Benutzerin oder einem Benutzer mit der Role <em>admin</em> zur Verfügung.</p> -<h5><a name="konfigurationsparameter_oa_protocol_pvp21" id="uebersicht_zentraledatei_aktualisierung26"></a>3.2.8.2 PVP 2.1</h5> +<h5><a name="konfigurationsparameter_oa_protocol_pvp21" id="uebersicht_zentraledatei_aktualisierung26"></a>3.2.9.2 PVP 2.1</h5> <p>In diesem Bereich erfolgt die applikationsspezifische Konfiguration für das Authentifizierungsprotokoll PVP 2.1.</p> <table class="configtable"> <tr> @@ -2017,7 +1906,7 @@ Soll die Bürgerkartenauswahl weiterhin, wie in MOA-ID 1.5.1 im Kontext der <td>Pfad zum online-applikationsspezifischen Template für SAML2 (PVP2 S-Profil) http POST-Binding. Relative Pfadangaben werden dabei relativ zum Verzeichnis, in dem sich die MOA-ID-Auth Basiskonfigurationsdatei befindet, interpretiert. Das Template kann ausschließlich aus dem Dateisystem geladen werden.</td> </tr> </table> -<h5><a name="konfigurationsparameter_oa_protocol_openIDConnect" id="uebersicht_zentraledatei_aktualisierung27"></a>3.2.8.3 OpenID Connect</h5> +<h5><a name="konfigurationsparameter_oa_protocol_openIDConnect" id="uebersicht_zentraledatei_aktualisierung27"></a>3.2.9.3 OpenID Connect</h5> <p>In diesem Bereich erfolgt die applikationsspezifische Konfiguration für OpenID Connect (OAuth 2.0). </p> <table class="configtable"> <tr> @@ -2049,7 +1938,7 @@ Soll die Bürgerkartenauswahl weiterhin, wie in MOA-ID 1.5.1 im Kontext der <td>OpenID Connect Redirect URL. Nach erfolgreicher Authentifizierung wird die Benutzerin oder der Benutzer an diese URL zurückgeleitet.</td> </tr> </table> -<h5><a name="konfigurationsparameter_oa_additional" id="uebersicht_zentraledatei_aktualisierung28"></a>3.2.9 Zusätzliche allgemeine Einstellungen</h5> +<h5><a name="konfigurationsparameter_oa_additional" id="uebersicht_zentraledatei_aktualisierung28"></a>3.2.10 Zusätzliche allgemeine Einstellungen</h5> <p>In Abschnitt ermöglicht eine erweiterte online-applikationsspezifische Individualisierung des AuthBlocks und der Bürgerkartenauswahl. Die Individualisierung des AuthBlocks steht jedoch dann zur Verfügung wenn die dem Module MOA-ID-Auth beigelegte Security-Layer Transformation verwendet wird oder wenn die individuelle Security-Layer Transformation den Formvorschriften der Spezifikation entspricht.</p> @@ -2107,7 +1996,7 @@ wenn die individuelle Security-Layer Transformation den Formvorschriften der Sp </table> <h5> </h5> <h5> </h5> -<h5><a name="konfigurationsparameter_oa_additional_formular" id="uebersicht_zentraledatei_aktualisierung29"></a>3.2.9.1 Login-Fenster Konfiguration</h5> +<h5><a name="konfigurationsparameter_oa_additional_formular" id="uebersicht_zentraledatei_aktualisierung29"></a>3.2.10.1 Login-Fenster Konfiguration</h5> <p>Diese Konfigurationsparameter bieten zusätzliche Einstellungen für eine Anpassung der Bürgerkartenauswahl welche von MOA-ID-Auth generiert wird. Zur besseren Handhabung werden die angegebenen Parameter direkt in einer Vorschau dargestellt. Alle in diesem Abschnitt angegebenen Parameter sind Optional und werden bei Bedarf durch Standardwerte ergänzt. @@ -2196,7 +2085,7 @@ Alle in diesem Abschnitt angegebenen Parameter sind Optional und werden bei Beda <p> </p> <p><strong>Hinweis:</strong> Bei Verwendung einer online-applikationsspezifischen Bürgerkartenauswahl stehen alle Parameter die die Bürgerkartenauswahl betreffen nicht zur Verfügung.</p> <p><strong>Hinweis:</strong> Bei Verwendung eines online-applikationsspezifischen Security-Layer-Request Templates stehen alle Parameter die das SL-Template betreffen nicht zur Verfügung.</p> -<h5><a name="service_revisionslogging" id="uebersicht_zentraledatei_aktualisierung11"></a>3.2.10 Revisionslogging</h5> +<h5><a name="service_revisionslogging" id="uebersicht_zentraledatei_aktualisierung11"></a>3.2.11 Revisionslogging</h5> <p>Ab MOA-ID 3.x steht ein erweitertes speziell für Revisionsaufgaben abgestimmtest Logging zur Verfügung. Über dieses Feld können die zu loggenden Events spezifisch nach Online Applikationen als CSV codierte Eventcodes konfiguriert werden. Hierfür muss die online-applikationsspezifische Konfiguration des Loggings mittels Checkbox aktiviert und zumindesdt ein Eventcode definiert werden. Werden keine Eventcodes konfiguriert oder wird das OA spezifische Verhalten nicht aktiviertwird eine in MOA-ID hinterlegte Defaultkonfiguration verwendet. Eine Liste aller möglichen Eventcodes finden Sie <a href="../additional/additional.html#revisionslog">hier</a>.</p> <h3><a name="import_export" id="uebersicht_zentraledatei_aktualisierung4"></a>3.3 Import / Export</h3> <p>Üer diese Funktionalität besteht die Möglichkeit eine bestehende MOA-ID 2.x.x @@ -2249,10 +2138,10 @@ Exportfunktion verwendet werden.</p> </ul> </td> </tr> <tr> - <td>MOASessionID</td> - <td>#SESSIONID#</td> + <td>pendingid</td> + <td>$pendingReqID</td> <td align="center"> </td> - <td>Internes Session-Token. Der Parameterwert wird durch MOA-ID-Auth automatisch in das Formular eingefügt. Hierfür MUSS jedoch der Parameterwert durch Platzhalter #SESSIONID# gekennzeichnet werden.</td> + <td>Internes Session-Token. Der Parameterwert wird durch MOA-ID-Auth automatisch in das Formular eingefügt. Hierfür MUSS jedoch der Parameterwert durch Platzhalter $pendingReqID gekennzeichnet werden.</td> </tr> <tr> <td>useMandate</td> @@ -2288,38 +2177,43 @@ Einige dieser Parameter werden jedoch nicht durch den Benutzer oder dem Service <th>Beschreibung</th> </tr> <tr> - <td>#AUTH_URL#</td> + <td>$contextPath</td> <td> </td> - <td>Dieser Platzhalter wird durch die URL, an welche die BKU Auswahl gesendet wird ersetzt. </td> + <td>Dieser Platzhalter wird durch die PublikURLPrefix der MOA-ID Instanz ersetzt</td> </tr> <tr> - <td>#SESSIONID#</td> + <td>$submitEndpoint</td> + <td> </td> + <td>Dieser Platzhalter wird durch den Endpunkt für die Annahme der BKU Auswahl ersetzt</td> + </tr> + <tr> + <td>$pendingReqID</td> <td> </td> <td>Dieser Platzhalter wird durch ein internes Session-Token ersetzt, welches als GET Parameter wieder an MOA-ID-Auth übergeben werden muss.</td> </tr> <tr> - <td>#LOCAL#</td> + <td>$bkuLocal</td> <td align="center">X</td> <td>Der Platzhalter wird durch den Parameterwert zur Auswahl der lokalen BKU ersetzt.</td> </tr> <tr> - <td>#ONLINE#</td> + <td>$bkuOnline</td> <td align="center">X</td> <td>Der Platzhalter wird durch den Parameterwert zur Auswahl der Online-BKU ersetzt.</td> </tr> <tr> - <td>#HANDY#</td> + <td>$bkuHandy</td> <td align="center">X</td> <td>Der Platzhalter wird durch den Parameterwert zur Auswahl der Handy-BKU ersetzt.</td> </tr> </table> <p><br> Die nachfolgende Form zeigt ein Beispiel für den Aufbau des im BKU-Auswahl Template zu verwendeten http GET Request Templates für die lokale BKU.</p> -<pre><form method="get" id="moaidform" action="#AUTH_URL#"><br> - <input type="hidden" name="bkuURI" value="#LOCAL#"> <br> +<pre><form method="get" id="moaidform" action="$contextPath$submitEndpoint"><br> + <input type="hidden" name="bkuURI" value="$bkuLocal"> <br> <input type="hidden" name="useMandate" id="useMandate"> <br> <input type="hidden" name="CCC" id="ccc"> <input type="hidden"<br> - <input type="hidden" name="MOASessionID" value="#SESSIONID#"><br> + <input type="hidden" name="pendingid" value="$pendingReqID"><br> <input type="submit" value=">lokale Bürgerkartenumgebung"><br> </form> </pre> @@ -2337,20 +2231,8 @@ Für die Übermittlung an das Modul MOA-ID-Auth ist ein http POST Reques <th>Beschreibung</th> </tr> <tr> - <td>mod</td> - <td>#MODUL#</td> - <td align="center"> </td> - <td><p>Internes Session-Token. Der Parameterwert wird durch MOA-ID-Auth automatisch in das Formular eingefügt. Hierfür MUSS jedoch der Parameterwert durch Platzhalter #MODUL# gekennzeichnet werden.</p></td> - </tr> - <tr> - <td>action</td> - <td>#ACTION#</td> - <td align="center"> </td> - <td>Internes Session-Token. Der Parameterwert wird durch MOA-ID-Auth automatisch in das Formular eingefügt. Hierfür MUSS jedoch der Parameterwert durch Platzhalter #ACTION# gekennzeichnet werden.</td> - </tr> - <tr> - <td>identifier</td> - <td>#ID#</td> + <td>pendingid</td> + <td>$pendingReqID</td> <td align="center"> </td> <td>Internes Session-Token. Der Parameterwert wird durch MOA-ID-Auth automatisch in das Formular eingefügt. Hierfür MUSS jedoch der Parameterwert durch Platzhalter #ID# gekennzeichnet werden.</td> </tr> @@ -2370,33 +2252,26 @@ Einige dieser Parameter werden jedoch nicht durch den Benutzer oder dem Service <th>Beschreibung</th> </tr> <tr> - <td>#URL#</td> + <td>$contextPath</td> <td> </td> - <td>Dieser Platzhalter wird durch die URL, an welche das Ergebnis der Single Sign-On Anmeldeabfrage gesendet wird ersetzt. </td> + <td>Dieser Platzhalter wird durch die PublikURLPrefix der MOA-ID Instanz ersetzt</td> </tr> <tr> - <td>#MODUL#</td> + <td>$submitEndpoint</td> <td> </td> - <td>Dieser Platzhalter wird durch das verwendete Authentifizierungsprotokoll ersetzt, welches als GET Parameter wieder an MOA-ID-Auth übergeben werden muss.</td> - </tr> - <tr> - <td>#ACTION#</td> - <td align="center"> </td> - <td>Dieser Platzhalter wird durch einen Subtyp des verwendeten Authentifizierungsprotokolls, welches als GET Parameter wieder an MOA-ID-Auth übergeben werden muss.</td> + <td>Dieser Platzhalter wird durch den Endpunkt für die Annahme der BKU Auswahl ersetzt</td> </tr> <tr> - <td>#ID#</td> - <td align="center"> </td> + <td>$pendingReqID</td> + <td> </td> <td>Dieser Platzhalter wird durch ein internes Session-Token ersetzt, welches als GET Parameter wieder an MOA-ID-Auth übergeben werden muss.</td> </tr> -</table> + </table> <p><br> Die nachfolgende Form zeigt ein Beispiel für den Aufbau des im BKU-Auswahl Template zu verwendeten http GET Request Templates für die lokale BKU.</p> -<pre><form method="post" id="moaidform_yes" action="#URL#"> +<pre><form method="post" id="moaidform_yes" action="$contextPath$submitEndpoint"> <input type="hidden" name="value" value="true"> - <input type="hidden" name="mod" value="#MODUL#"> - <input type="hidden" name="action" value="#ACTION#"> - <input type="hidden" name="identifier" value="#ID#"> + <input type="hidden" name="pendingid" value="$pendingReqID"> <input type="submit" size="400" value="Ja"> </form></pre> <p>Als Beispiel für ein Single Sign-On Anmeldeabfrage Template steht auch das bei MOA-ID-Auth hinterlegte Standardtemplate zur Verfügung. Dieses finden Sie <a href="../../htmlTemplates/sendAssertion.html">hier</a>.</p> |