<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"> <html> <head> <meta http-equiv="content-type" content="text/html; charset=ISO-8859-1" > <meta name="viewport" content="width=device-width, initial-scale=1, maximum-scale=1"> <title>MOA-ID - Einführung</title> <link rel="stylesheet" href="../common/MOA.css" type="text/css"> <link href='https://fonts.googleapis.com/css?family=Roboto:300,400' rel='stylesheet' type='text/css'> </head> <body link="#990000"> <div id="headline"> <div class="container"> <a href="http://www.digitales.oesterreich.gv.at/"><img src="../common/logo_digAT.png"/></a> <a href="../index.html"><h1>MOA-ID-AUTH </h1></a> <br/> </div> </div> <div class="container"> <h1 align="center">Einführung</h1> <h2>Inhalt</h2> <ul class="index"> <li class="index"><a href="#allgemeines">Allgemeines</a> <ul> <li><a href="#allgemeines_service">Externe Services</a></li> </ul> </li> <li class="index"><a href="#moaidauth">MOA-ID-Auth </a> <ul> <li><a href="#ablauf">Ablauf einer Anmeldung</a></li> </ul> </li> <li class="index"><a href="#config">MOA-ID-Configuration</a></li> </ul> <h2><a name="allgemeines"></a>1 Allgemeines</h2> <p> Das Modul MOA-ID-Auth kann von Anwendungen zur Identifizierung und Authentifizierung im Rahmen eines Anmeldeprozesses an einer Online-Applikation verwendet werden. Die Konfiguration des Modules MOA-ID-Auth erfolgt mit Hilfe des Zusatzmodules MOA-ID-Configuration welches eine web-basierte Konfigurationsschnittstelle zur Verfügung stellt.</p> <p>Das nachfolgende Blockdiagramm zeigt Struktur von MOA-ID und gibt eine kurze Beschreibung der einzelnen Komponenten.</p> <br/> <p class="centeredimage"><img src="Blockdiagramm.png" alt="Architektur MOA-ID" width="95%" align="middle"></p> <br/> <p>MOA-ID besteht aus folgenden Kernkomponenten:</p> <ol> <li><b>CORE LOGIC</b>: Diese Komponente ist die zentrale Logik zur Steuerung der einzelnen Prozesse innerhalb MOA-ID 2.x.</li> <li><b>Protocol Adapter</b>: Stellt die in MOA-ID 2.x unterstützten <a href="../protocol/protocol.html">Authentifizierungsprotokolle</a> für die Anbindung von Service Providern zur Verfügung.</li> <li><b>Auth Sources</b>: Stellt die von MOA-ID 2.x unterstützten Identifikationsmechanismen und Single Sign-On Management Funktionen zur Verfügung. Dies sind die österreichische Bürgerkarte oder Handy-Signatur, die Anmeldung ausländischer Personen mit Hilfe des STORK Protokoll oder mittels Single Sign-On von einem weiteren vertrauenswürdigen Identity Provider (Interfederation). Dieses Modul beinhaltet somit alle jene Funktionen welche für den Authentifizierungs- oder Abmeldeprocess erforderlich sind. </li> <li><b>Template Generator</b>: Der Template Generator erzeugt für Service Provider die entsprechenden Login-Masken für die Integration in die eigene Web-Applikation.</li> <li><b>SSO Module</b>: Das Single Sign-On (SSO) Modul verwaltet die zusätzlichen Operationen die sich aus der Umsetzung von SSO ergeben. Dies umfasst im Besonderen das SSO Session-Management.</li> <li><b>Statistic Module</b>: Dieses Modul dient zur Generierung von anonymisierten Statistikdaten aus den Anmeldeinformationen. </li> <li><b>Monitoring & Testing Module</b>: Dieses Modul implementiert Methoden mit deren Hilfe einzelne funktionale Bereiche aus MOA-ID-Auth getestet werden können. Somit dient dieses Modul als Schnittstellte zu einem externen Monitoring-Service.</li> <li><b>Configuration</b><b> Modul</b>: Dieses Modul stellt die Schnittstelle zur MOA-ID-Auth Konfiguration dar welche in einer Datenbank abgelegt wird. </li> <li><b>Konfigurationstool</b>: Oberfläche, mit deren Hilfe MOA-ID konfiguriert werden kann. Dies umfasst sowohl allgemeine Konfigurationsteile als auch die Konfiguration der einzelnen bei MOA-ID-Auth registrierten Online-Applikationen. Service Provider können sich am Konfigurationstool mittels Bürgerkarte oder Handy-Signatur anmelden und ihre Online-Applikationen verwalten.</li> </ol> <h3><a name="allgemeines_service" id="allgemeines_service"></a>1.1 Externe Services</h3> <p>Für die Anmeldung in Vertretung und die Anmeldung ausländischer Personen werden zusätzliche externe Services verwendet.</p> <h4><a name="allgemeines_service_ovs" id="allgemeines_service2"></a>1.1.1 Online-Vollmachten</h4> <p>Ab der MOA-ID Release 1.5.0 werden Online-Vollmachten (für Anwendungen aus dem öffentlichen Bereich) unterstützt. Hierzu werden diese Vollmachten über ein Online-Vollmachten-Service ausgewählt. Der Zugang zu diesem Online-Vollmachten Service ist über eine Client-Server Authentifizierung abgesichert. Als Client-Zertifikate werden Zertifikate der Firmen A-Trust bzw. A-CERT, die mit der Verwaltungs- oder Dienstleistereigenschaft versehen sind, akzeptiert. </p> <h4><a name="allgemeines_service_szrgw" id="allgemeines_service3"></a>1.1.2 Ausländische Bürger</h4> <p> Ab der MOA-ID Release 1.4.7 ist es möglich, dass sich auch ausländische Bürger mittels MOA-ID einloggen können. Hierzu wird eine Verbindung zu einem sogenannten Stammzahlenregister-Gateway aufgebaut, dass basierend auf den Zertifikatsdaten des ausländischen Bürgers eine Eintragung im Ergänzungsregister für natürliche Personen gemäß E-Government Gesetz §6(5) vornimmt. Somit ist es möglich, dass eine Personenbindung ausgestellt werden kann, die in weitere Folge an MOA-ID weitergeleitet wird. Der Zugang zu diesem Stammzahlenregister-Gateway ist über eine Client-Server Authentifizierung abgesichert. Als Client-Zertifikate werden Zertifikate der Firmen A-Trust bzw. A-CERT, die mit der Verwaltungs- oder Dienstleistereigenschaft versehen sind, akzeptiert. </p> <h2><a name="moaidauth" id="moaidauth"></a>2 MOA-ID-Auth</h2> <p>Das Modul MOA-ID-Auth dient der Identifizierung und Authentifizierung im Rahmen eines Anmeldevorgangs an einer Online-Applikation. Die Identifizierung und Authentifizierung erfolgt mit Bürgerkarte, Handy-Signatur oder für ausländische Personen mittels STORK.</p> <p>Die Funktionalität und der Aufbau der Schnittstellen des Modules MOA-ID-Auth in Richtung Online-Applikation werden im Kapitel <a href="../protocol/protocol.html">Protokolle</a> beschrieben. <p>Für den Betrieb von MOA-ID-Auth ist der Einsatz von MOA-Signaturprüfung (MOA-SP) erforderlich.</p> <h3><a name="ablauf" id="ablauf"></a> 2.1 Ablauf einer Anmeldung</h3> <p>Die nachfolgende Grafik beschreibt den Ablauf eines Abmeldevorgangs an einer Online-Applikation mit Hilfe von MOA-ID-Auth unter Verwendung der Bürgerkarte oder der Handy-Signatur.</p> <p class="centeredimage"><img src="anmeldeablauf.png" alt="Sequenzdiagramm eines Anmeldevorgangs mit MOA-ID-Auth" width="95%"></p> <p> </p> <ol> <li>Der Benutzer verbindet sich zu einem Web-Portal (Service Provider) über das die Online-Applikation erreichbar ist. Nach der Betätigung eines Login-Buttons wird der Anmeldevorgang ausgelöst.</li> <li>Der Benutzer wird zur Identifizierung und Authentifizierung an MOA-ID-Auth weitergeleitet. </li> <li>MOA-ID-Auth validiert die Authentifizierungsanfrage des Service Providers</li> <li>MOA-ID-Auth bietet dem Benutzer eine Auswahl von verfügbaren Authentifizierungsmethoden (Bürgerkarte, Handy-Signatur, STORK) an.</li> <li>Der Benutzer wählt die gewünschte Authentifizierungsmethode und sendet diese an MOA-ID-Auth.</li> <li>MOA-ID-Auth erzeugt eine HTML-Seite mit einem <InfoboxReadRequest> zum Auslesen der Personenbindung. Diese HTML-Seite wird an den Browser geschickt.</li> <li>Der Browser schickt den <InfoboxReadRequest> an die ausgewählte Bürgerkartenumgebung unter Verwendung des Security-Layer. Die Bürgerkartenumgebung liest die Personenbindung von der Bürgerkarte und sendet diese an MOA-ID-Auth. MOA-ID-Auth prüft die Signatur der Personenbindung durch einen Aufruf von MOA-SP.</li> <li>MOA-ID-Auth erstellt den AUTH-Block. Der AUTH-Block enthält Vor- und Nachname aus der Personenbindung, URL von MOA-ID-Auth, URL und Geschäftsbereich der Online-Applikation oder im Falle einer SSO Anmeldung die URL und den Geschäftsbereich der MOA-ID-Auth Instanz, die aktuelle Zeit, das aktuelle Datum und einen Zufallswert für diesen Anmeldevorgang. Anschließend wird eine XML Antwortseite, die das Kommando zum Signieren (<CreateXMLSignatureRequest>) des generierten AUTH-Blocks enthält, an die ausgewählte Bürgerkartenumgebung, unter Verwendung des Security-Layers, gesendet.</li> <li>Der Request wird von der Bürgerkartenumgebung verarbeitet. Die signierten Daten werden an MOA-ID-Auth zurückgesendet.</li> <li>MOA-ID-Auth überprüft den signierten AUTH-Block und generiert Information für weitere Anmeldungen mittels Single Sign-On.</li> <li>MOA-ID-Auth generiert die Anmeldedaten (Assertion) welche folgende Information enthalten: <ul> <li>die bereichsspezifischen Personenkennzeichen (bPK / wbPK)</li> <li>Vorname, Nachname und Geburtsdatum (optional)</li> <li>den signierten AUTH-Block (optional)</li> <li>die Personenbindung (optional)</li> <li>das Zertifikat mit dem die Signatur erzeugt wurde (optional)</li> <li>Informationen zum Vertreten im Falle einer Anmeldung in Vertretung (optional)</li> <li>die elektronische Vollmacht im Falle einer Anmeldung in Vertretung (optional)</li> <li>Informationen aus dem STORK Protokoll im Falle einer Anmeldung mittels STORK (optional)</li> </ul> </li> <li> MOA-ID-Auth sendet die Anmeldedaten an den Service-Provider und setzt im Browser des Benutzers ein SSO Session-Token welches für weitere Anmeldevorgänge verwendet werden kann.</li> <li>Die Anmeldedaten werden vom Service-Provider verarbeitet und der Benutzer wird vom Service-Provider an die Online-Applikation weitergeleitet. </li> </ol> <h2><a name="config" id="config"></a>3 MOA-ID-Configuration </h2> <p>Das Modul MOA-ID-Configuration stellt eine web-basierte Benutzerschnittstelle zur Konfiguration des Moduls MOA-ID-Auth zur Verfügung, wobei sich die Konfiguration in zwei Teilbereiche unterteilt ist. Eine detaillierte Aufstellung der einzelnen Konfigurationspunkte befindet sich im Kapitel <a href="../config/config.html">Konfiguration</a>.</p> <ol> <li>Allgemeine Konfiguration<br> In diesem Bereich sind alle Basiseinstellungen der MOA-ID-Auth Instanz hinterlegt. Beispiele hierfür sind Single Sign-On, unterstütze Authentifizierungsprotokolle, Informationen zu MOA-ID-Auth, URLs zu externen Services, ... Eine Änderung der Basiseinstellung erfordert besondere Benutzerrechte am Konfigurationstool.</li> <li>Online-Applikationen<br> In diesem Abschnitt erfolgt die Konfiguration der einzelnen bei MOA-ID-Auth registrierten Service-Provider. Hierbei handelt es sich um Authentifizierungsprotokoll-spezifische Einstellungen, Bereich des Service-Providers (öffentlich / Privatwirtschaftlich), Konfiguration der BKU Auswahl, .... Wobei sich die Konfigurationsmöglichkeiten je nachdem welche Benutzerrechten vergeben sind, unterscheiden können.</li> </ol> <p>Zusätzlich unterstützt das Module MOA-ID-Configuration auch eine einfache Benutzerverwaltung mit Rechtevergabe mit deren Hilfe die Verwaltung von Online-Applikationen an den jeweiligen Service-Provider ausgelagert werden kann. Die Anmeldung am Konfigurationstool erfolgt mittels Bürgerkarte, Handysignatur oder STORK, wobei optional auch eine Anmeldung mittels Benutzername und Passwort zur Verfügung steht.</p> <p> </p> </div> </body> </html>