From 77cf01db81c74ebbe0e0d2da58e22c5f7c861ab5 Mon Sep 17 00:00:00 2001 From: Thomas Lenz Date: Fri, 24 Oct 2014 13:48:32 +0200 Subject: add new classes for Role management --- id/server/doc/handbook/interfederation/interfederation.html | 12 ++++++++++++ id/server/doc/handbook/protocol/protocol.html | 8 ++++++++ 2 files changed, 20 insertions(+) (limited to 'id/server/doc') diff --git a/id/server/doc/handbook/interfederation/interfederation.html b/id/server/doc/handbook/interfederation/interfederation.html index bd97061ab..f0aaf8776 100644 --- a/id/server/doc/handbook/interfederation/interfederation.html +++ b/id/server/doc/handbook/interfederation/interfederation.html @@ -152,6 +152,18 @@   Wenn eingehende SSO Intefederation erlaubt ist besteht zusätzlich die Möglichkeit diesen einmal verwendeten IDP an die Benutzersession zu binden. In diesem Fall können weitere SSO Authentifizierungen über diesen interfederation IDP auch ohne Angabe des IDP Identifiers (siehe Sequenzdiagramm oder Integration in bestehende Systeme) durchgeführt werden. + + Verwende SAML2 isPassive Attribut +   +   + Dieser Parameter kann das isPassive Attribut des SAML2 Authentifizierungsrequests an diesen IDP konfiguriert werden. Wird dieses Attribut gesetzt erfolgt an diesem IDP keine Authentifzierung wenn keine aktive SSO Session vorhanden ist. + + + Im Fehlerfall Authentifizierung lokal durchführen +   +   + Dieser Parameter definert das Verhalten für den Fall dass an diesem IDP keine Authentifizierung möglich war. Bei ausgewähltem Parameter wird im Fehlerfall die Authentifizerung an der lokalen IDP Instanz wiederholt. + AttributQuery Service URL https://demo.egiz.gv.at/moa-id-auth/pvp2/attributequery diff --git a/id/server/doc/handbook/protocol/protocol.html b/id/server/doc/handbook/protocol/protocol.html index e7658875c..c2dcddd03 100644 --- a/id/server/doc/handbook/protocol/protocol.html +++ b/id/server/doc/handbook/protocol/protocol.html @@ -700,6 +700,10 @@ Redirect Binding 4400 Fehler beim Generieren der Anmeldedaten + + 4401 + Die Anmeldung am federierten IDP ist fehlgeschlagen. +

1.3.3 Statuscodes 6xxxx

Alles Statuscodes beginnend mit der Zahl sechs beschreiben protokollspezifische Fehler die nicht durch das jeweilige Authentifizierungsprotokoll abgebildet werden.

@@ -811,6 +815,10 @@ Redirect Binding 9007 Der SZR-Gateway Client konnte nicht initialisiert werden. + + 9008 + Fehlerhafte Interfederation Konfiguration +

1.3.4.2 Interne Fehler (91xxx)

-- cgit v1.2.3 From 75a7fea5a1ff69020604765e9864f01247c5cdff Mon Sep 17 00:00:00 2001 From: Thomas Lenz Date: Fri, 24 Oct 2014 13:50:32 +0200 Subject: update handbook --- id/server/doc/handbook/interfederation/interfederation.html | 12 ------------ id/server/doc/handbook/protocol/protocol.html | 8 -------- 2 files changed, 20 deletions(-) (limited to 'id/server/doc') diff --git a/id/server/doc/handbook/interfederation/interfederation.html b/id/server/doc/handbook/interfederation/interfederation.html index f0aaf8776..bd97061ab 100644 --- a/id/server/doc/handbook/interfederation/interfederation.html +++ b/id/server/doc/handbook/interfederation/interfederation.html @@ -152,18 +152,6 @@ - - - - - - - - - - - - diff --git a/id/server/doc/handbook/protocol/protocol.html b/id/server/doc/handbook/protocol/protocol.html index c2dcddd03..e7658875c 100644 --- a/id/server/doc/handbook/protocol/protocol.html +++ b/id/server/doc/handbook/protocol/protocol.html @@ -700,10 +700,6 @@ Redirect Binding - - - -
  Wenn eingehende SSO Intefederation erlaubt ist besteht zusätzlich die Möglichkeit diesen einmal verwendeten IDP an die Benutzersession zu binden. In diesem Fall können weitere SSO Authentifizierungen über diesen interfederation IDP auch ohne Angabe des IDP Identifiers (siehe Sequenzdiagramm oder Integration in bestehende Systeme) durchgeführt werden.
Verwende SAML2 isPassive Attribut  Dieser Parameter kann das isPassive Attribut des SAML2 Authentifizierungsrequests an diesen IDP konfiguriert werden. Wird dieses Attribut gesetzt erfolgt an diesem IDP keine Authentifzierung wenn keine aktive SSO Session vorhanden ist.
Im Fehlerfall Authentifizierung lokal durchführen  Dieser Parameter definert das Verhalten für den Fall dass an diesem IDP keine Authentifizierung möglich war. Bei ausgewähltem Parameter wird im Fehlerfall die Authentifizerung an der lokalen IDP Instanz wiederholt.
AttributQuery Service URL https://demo.egiz.gv.at/moa-id-auth/pvp2/attributequery 4400 Fehler beim Generieren der Anmeldedaten
4401Die Anmeldung am federierten IDP ist fehlgeschlagen.

1.3.3 Statuscodes 6xxxx

Alles Statuscodes beginnend mit der Zahl sechs beschreiben protokollspezifische Fehler die nicht durch das jeweilige Authentifizierungsprotokoll abgebildet werden.

@@ -815,10 +811,6 @@ Redirect Binding 9007 Der SZR-Gateway Client konnte nicht initialisiert werden. - - 9008 - Fehlerhafte Interfederation Konfiguration -

1.3.4.2 Interne Fehler (91xxx)

-- cgit v1.2.3 From fadcba7234e574d377a9201e183dff856453141c Mon Sep 17 00:00:00 2001 From: Thomas Lenz Date: Wed, 29 Oct 2014 14:02:03 +0100 Subject: update handbook --- .../blockdiagramm_storkpvpgateway.png | Bin 0 -> 42979 bytes .../handbook/interfederation/interfederation.html | 90 ++++++++++++++++++++- 2 files changed, 89 insertions(+), 1 deletion(-) create mode 100644 id/server/doc/handbook/interfederation/blockdiagramm_storkpvpgateway.png (limited to 'id/server/doc') diff --git a/id/server/doc/handbook/interfederation/blockdiagramm_storkpvpgateway.png b/id/server/doc/handbook/interfederation/blockdiagramm_storkpvpgateway.png new file mode 100644 index 000000000..dd5a52674 Binary files /dev/null and b/id/server/doc/handbook/interfederation/blockdiagramm_storkpvpgateway.png differ diff --git a/id/server/doc/handbook/interfederation/interfederation.html b/id/server/doc/handbook/interfederation/interfederation.html index bd97061ab..f52556e23 100644 --- a/id/server/doc/handbook/interfederation/interfederation.html +++ b/id/server/doc/handbook/interfederation/interfederation.html @@ -37,6 +37,7 @@
  • STORK VIDP Konfiguration
    • +
  • STORK <-> PVP Gateway

    •  

    1 Allgemeines

    @@ -152,6 +153,18 @@     + + + + + + + + + + + + @@ -269,6 +282,14 @@ + + + +
      Wenn eingehende SSO Intefederation erlaubt ist besteht zusätzlich die Möglichkeit diesen einmal verwendeten IDP an die Benutzersession zu binden. In diesem Fall können weitere SSO Authentifizierungen über diesen interfederation IDP auch ohne Angabe des IDP Identifiers (siehe Sequenzdiagramm oder Integration in bestehende Systeme) durchgeführt werden.
    Verwende SAML2 isPassive Attribut  Wird dieser Parameter aktiviert erfolgt der Authentifizierungsrequest im Schritt 9 (siehe Sequenzdiagramm) unter Verwendung des SAML 2 isPassiv Flags. Wenn die Benutzerin oder der Benutzer keine aktive SSO Session an diesem IDP besitzt wird ein Fehler returniert und KEINE Authentifizierung an diesem IDP durchgeführt.
    Im Fehlerfall Authentifizierung lokal durchführen  

    Wird dieser Parameter aktiviert erfolgt im Falle eines returnierten Fehlers im Schritt 11 (siehe Sequenzdiagramm) keine lokale Authentifizierung und dem Service Provider wird eine Fehlermeldung returniert.

    AttributQuery Service URL https://demo.egiz.gv.at/moa-id-auth/pvp2/attributequeryStorkAttributeRequestProvider Allgemeines Plugin, wird verwendet für die Restfälle.
    PVPAuthenticationProvider

    Dieser Provider dient zur Authentifizierung des Benutzers über den Portalverbund der österreichischen Behörden. Wird ein zu diesem Provider konfiguriertes Attribut angefragt erfolgt die Authentifizerung des Benutzers NICHT am VIDP sondern in der nationalen Infrastruktur, wobei die Anmeldedaten über den VIDP an den Service Provider weitergereicht werden. Als URL ist der Link auf den nationalen STORK<->PVP Gateway zu hinterlegen.

    +

    Hinweis: Aktuell fordert folgende Attribute eine nationale Authentifizierung:

    +
      +
    • ECApplicationRole
      • +

     

    Beispiel eines Eintrages für Attributprovider:

    @@ -283,8 +304,75 @@ http://mis.testvidp.at/moa-id-auth/stork2/MISProvider mandateContent,attribut1,attribut2 + +

     

    +

    5 STORK <-> PVP Gateway

    +

    Das Modul MOA-ID-Auth kann auch als Gateway zwischen dem Portalverbund der österreichischen Behörden und der STORK Infrastruktur betrieben werden. Diese Konfiguration konfiguriert einen Gateway welcher zur Authentifizierung österreichischer Benutzerinnen oder Benutzer im Falle einer STORK Anmeldung mit Hilfe der österreichischen PVP Infrastruktur dient. Der Einsprung zum Gateway erfolgt über den PVPAuthenticationProvider in der VIDP Konfiguration.

    +

    Die nachstehende Grafik skizziert den Prozessfluss eines solchen Anmeldevorgangs.

    +

    Blockdiagramm STORK-PVP Gateway

    +
      +
    1. Eine österreichische Benutzerin oder ein österreichischer Benutzer möchte sich an einer europäischen Online Applikation (Applikation 1) anmelden.
      2. +
    2. Die Benutzerin oder der Benutzer wird an den entsprechenden VIDP unter Verwendung des STORK Protokolls zur Authentifizierung weitergeleitet. Für den Fall das spezielle Attribute durch die Applikation angefordert wurden (z.B. ECApplicationRole) kann die Authentifizierung nicht am VIDP vorgenommen werden. In diesem Fall erfolgt eine Weiterleitung an den nationalen STORK-PVP Gateway (siehe VIDP Konfiguration).
      3. +
    3. Die Benutzerin oder der Benutzer wird an den zentralen STORK-PVP Gateway weitergeleitet. Der STORK-PVP Gateway generiert einen PVP Authentifizierungsrequest und sendet diesen an das im Gateway konfigurierte Stamm- oder Anwendungsportal. Hierfür muss das Stamm- oder Anwendungsportal als MOA-ID IDP konfiguriert sein.
      4. +
    4. Die Benutzerin oder der Benutzer wird an das jeweilige Stamm- oder Anwendungsportal weitergeleitet wo die eigentliche Authentifizierung erfolgt. Nach erfolgreicher Authentifizierung werden PVP spezifische Authentifizierungsdaten generiert.
      5. +
    5. Diese PVP spezifischen Authentifizierungsdaten werden an den STORK-PVP Gateway übertragen (PVP Assertion). Der Gateway validiert die Assertion und generiert eine STORK protokollspezifsche Assertion inkl. Signatur aus den PVP Authentifizierungsdaten (Mapping aller Attribute und Benutzerrollen). Sollte eine direkte Generierung der STORK eID nicht möglich sein wird diese an Stammzahlenregister (SZR) abgefragt.
      6. +
    6. Optional: Abfrage der STORK eID am Stammzahlenregister.
      7. +
    7. Die STORK Assertion wird vom Gateway an den VIDP übertragen und am VIDP validiert. Anschließend wird STORK Assertion für die Applikation 1 generiert und durch den VIDP signiert.
      8. +
    8. Die STORK Assertion wird an die Applikation 1 übermittelt. Nach gültiger Validierung ist die Benutzerin oder der Benutzer an Applikation 1 authentifiziert.
      9. +
    +

     

    +

    Die Konfiguration eines STORK-PVP Gateways besteht aus folgenden Elementen.

    + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + +
    NameBeispielwertOptionalBeschreibung
    Online-Applikation ist aktiviert  Aktiviert oder deaktiviert den Gatewy. Es können nur aktive Gatewaykonfigurationen verwendet werden.

    Eindeutiger Identifikator

    		https://vidp.egiz.gv.at/moa-id-auth/ 

    Dieser Parameter dient als Schlüssel zum Auffinden der Gateway Konfigurationsparameter. Hierfür ist ein eindeutiger Identifikator für die VIDP Instanz erforderlich, welcher diesen Gateway nutzen möchte. Dieser eindeutige Identifikator muss mindestens dem URL-Präfix der nach außen sichtbaren Domäne des VIDP entsprechen

    Name der
    + Online-Applikation

    		IT STORK-PVP Gateway Hier muss ein benutzerfreundlicher Name für den Gateway angegeben werden.
    Privatwirtschaftliche Applikation  

    Definiert ob der VIDP, welcher den Gateway verwendet dem öffentlichen Bereich oder dem privatwirtschaftlichen Bereich (Business Service) zugeordnet ist.

    +

    Hinweis: im STORK Kontext immer privatwirtschaftlich.

    - +

     

    + + + + + + + + + + + + + +
    NameBeispielwertOptionalBeschreibung
    EntityID des PVP Portals:  

    Dieser Parameter definiert die EntityID des Stamm- oder Anwendungsportals an welches die Benutzerin oder der Benutzer zur Authentifizierung weitergeleitet werden soll.

    +

    Hinweis: In der Interfederation Konfiguration muss ein MOA-ID IDP mit der entsprechenden EntityID konfiguriert sein.

    +

     

     

    A Referenzierte Spezifikation

    -- cgit v1.2.3 From e0d39d0b27baf321aa93fa6fbfc5a3f9a266e47c Mon Sep 17 00:00:00 2001 From: Thomas Lenz Date: Thu, 30 Oct 2014 16:48:38 +0100 Subject: change version in handbook and mainpage --- id/server/doc/handbook/index.html | 2 +- 1 file changed, 1 insertion(+), 1 deletion(-) (limited to 'id/server/doc') diff --git a/id/server/doc/handbook/index.html b/id/server/doc/handbook/index.html index 892a82484..c3b25b390 100644 --- a/id/server/doc/handbook/index.html +++ b/id/server/doc/handbook/index.html @@ -15,7 +15,7 @@

    MOA-ID (Identifikation)

    -

    Übersicht zur Dokumentation der Version 2.1.1

    +

    Übersicht zur Dokumentation der Version 2.1.2

    Einführung
    -- cgit v1.2.3 From bf13ac04e47f615ac0de207ee991c241d310419d Mon Sep 17 00:00:00 2001 From: Thomas Lenz Date: Fri, 31 Oct 2014 08:56:43 +0100 Subject: add SZR Client configuration to handbook and default config --- id/server/doc/handbook/config/config.html | 124 ++++++++++++++++++++++++++++++ 1 file changed, 124 insertions(+) (limited to 'id/server/doc') diff --git a/id/server/doc/handbook/config/config.html b/id/server/doc/handbook/config/config.html index 2d2709bcc..9b4190035 100644 --- a/id/server/doc/handbook/config/config.html +++ b/id/server/doc/handbook/config/config.html @@ -74,6 +74,7 @@
  • Testing
    • +
  • SZR Client für STORK <-> PVP Gateway Betrieb
    • @@ -904,7 +905,130 @@ https://<host>:<port>/moa-id-auth/MonitoringServlet

    Defaultwert: true

    +

    2.2.2.6 SZR Client für STORK <-> PVP Gateway Betrieb

    +

    Die Konfiguration des Stammzahlenregister (SZR) Clients ist nur erforderlich wenn das Modul MOA-ID-Auth als STORK <-> PVP Gateway betrieben wird. Da in diesem Fall die Benutzerin oder der Benutzer über ein PVP Stammportal authentifiziert wird ist eine direkte Generierung der STORK eID während des Anmeldevorgangs nicht möglich. Somit erfolgt für diese Personen einen Stammzahlenregisterabfrage zur Bestimmung der STORK eID.

    +

    Für den in MOA-ID-Auth verwendeten SZR Client sind folgende Konfigurationsparameter erforderlich.

    + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + +
    NameBeispielwertBeschreibung
    service.egovutil.szr.testfalseDefiniert ob das Produktivsystem oder das Testsystem des SZR Webservice verwendet werden soll
    service.egovutil.szr.test.url URL auf das Test SZR Webservice
    service.egovutil.szr.prod.url URL auf das produktive SZR Webservice
    service.egovutil.szr.token.version1.8

    Verwendete PVP Version

    +

    Hinweis: der Client implementiert die PVP Version 1.8

    service.egovutil.szr.token.participantid Org-ID des Portalverbund-Teilnehmers bei dem der Benutzer registriert ist.
    service.egovutil.szr.token.gvoudomain Organisations-Domäne des Benutzers
    service.egovutil.szr.token.userid UserID, mit dem der Benutzer am Stammportal authentifiziert ist
    service.egovutil.szr.token.cn Name des Benutzers oder des System-Principals in der Form Anwendung.Subsystem
    service.egovutil.szr.token.gvouid Stammdienststelle: Eindeutige Kennung für die Organisation des Benutzers
    service.egovutil.szr.token.ou Stammdienststelle: Verwaltungskennzeichen der mit gvouid bezeichneten Organisation
    service.egovutil.szr.token.gvsecclass Sicherheitsklasse
    service.egovutil.szr.token.gvfunction Entspricht Funktion in gvPersonenFunktion.
    service.egovutil.szr.token.gvgid Globaler Identifier des Benutzers
    service.egovutil.szr.rolesszr-bpk-abfrage,szr-stammzahl-abfrage

    PVP Rolle für den Zugriff auf das SZR

    +

    Hinweis: mehrere Rollen werden mittels ',' getrennt.

    service.egovutil.szr.ssl.keystore.filekeys/szr-key.p12Dateiname des Java Keystore oder PKCS12 Keystore zur Authentifizierung mittels Client Zertifikat am SZR Webservice.
    service.egovutil.szr.ssl.keystore.passwordpasswordPasswort für den Keystore mit dem Client Zertifikat
    service.egovutil.szr.ssl.keystore.typePKCS12Typ des Keystore mit dem Client Zertifikat (PKCS12 oder JKS)
    service.egovutil.szr.ssl.truststore.filekeys/truststore.jksDateiname des Truststores zur Validierung von SSL Servicerzertifikaten
    service.egovutil.szr.ssl.truststore.passwordpasswordPasswort für den Truststore
    service.egovutil.szr.ssl.truststore.typeJKSTyp des TrustStore (PKCS12 oder JKS)
    service.egovutil.szr.ssl.trustallfalseDeaktiviert die SSL Serverzertifikatsvalidierung
    service.egovutil.szr.ssl.laxhostnameverificationfalseDeaktiviert die Validierung des Hostname mit dem SSL Serverzertifikat

     

    +

    Hinweis: Detaillierte Informationen zu den einzelnen PVP spezifischen Konfigurationsparametern finden Sie in der entsprechenden PVP Spezifikation.

    2.3 Konfiguration des Loggings

    Die Module MOA-ID-Auth und MOA-ID-Configuration verwendet als Framework für Logging-Information die Open Source Software log4j. Die Konfiguration der Logging-Information erfolgt nicht direkt durch die einzelnen Module, sondern über eine eigene Konfigurationsdatei, die der Java Virtual Machine durch eine System Property mitgeteilt wird. Der Name der System Property lautet log4j.configuration; als Wert der System Property ist eine URL anzugeben, die auf die log4j-Konfigurationsdatei verweist, z.B. 

    log4j.configuration=file:/C:/Programme/apache/tomcat-4.1.30/conf/moa-id/log4j.properties
    -- cgit v1.2.3 From db040cc2832f845db0919d1c4e2b034b8737ef24 Mon Sep 17 00:00:00 2001 From: Thomas Lenz Date: Mon, 3 Nov 2014 09:37:02 +0100 Subject: add check if requested STORK-QAA level matches auth QAA level --- id/server/doc/handbook/protocol/protocol.html | 4 ++++ 1 file changed, 4 insertions(+) (limited to 'id/server/doc') diff --git a/id/server/doc/handbook/protocol/protocol.html b/id/server/doc/handbook/protocol/protocol.html index e7658875c..1c6e51661 100644 --- a/id/server/doc/handbook/protocol/protocol.html +++ b/id/server/doc/handbook/protocol/protocol.html @@ -632,6 +632,10 @@ Redirect Binding 1204 Ein STORK Attribut weißt ein fehlerhaftes Format auf. + + 1205 + Der geforderte QAA Level ist höher als der QAA Level der gewählten Authentifizierungsmethode +

    1.3.2 Statuscodes 4xxxx

    Alles Statuscodes beginnend mit der Zahl vier beschreiben Fehler die während der Kommunikation mit externen Services aufgetreten sind.

    -- cgit v1.2.3