I visse scenarier vil der være behov for at tilbyde borger-adgang til udvalgte services indenfor sundhedsvæsenet, herunder på NSP eller eksternt, f.eks. FMK.
STS faciliterer dette, idet det er muligt for et anvender-system at tilbyde borgeren login-funktionalitet via NemLog-in / NemId. I forbindelse med login modtages et såkaldt bootstrap token udstedt til borgeren og signeret af Nets.
Dette kan via en service i STS efterfølgende omveksles til et IdentityToken, der herefter kan benyttes til adgang til udvalgte services.
Snitflade
Borger billetomvekslingen faciliteres i STS af følgende snitflade:
| Adresse | Sikkerhedsniveau | Beskrivelse |
|---|---|---|
| /sts/services/Bst2Idws | Niveau 5 | Ombytter OIOSaml bootstrap token til signeret identitytoken rettet mod et givet audience, f.eks. FMK. Token skal være signeret af troværdig tredjepart (nem-login) |
Det er ikke muligt at kalde denne snitflade gennem DCC og/eller SOSI-Gateway.
Bemærk at det udstedte token er rettet mod en konkret anvendelse.
Populært sagt kan man sige at man beder om en billet til en given service.
Understøttede services
Følgende services (hvoraf ikke alle er i produktion i dag) er pt understøttede af borger-billetomvekslingen:
| Service | Audience | Status |
|---|---|---|
| Fælles medicinkort | I produktion | |
| Fælles stamkort | https://fsk | Tilgængelig på test. Ventes i produktion november 2018. |
| Minlog2 | Tilgængeligt på test1. Ventes i produktion ultimo 2018. |
Anvendelse
Anvendere vil typisk anvende Seal.java eller Seal.net. Nyeste Seal.net version er tilgængelig via Nuget. seal.java hentes via det offentligt tilgængelige maven repository ved i et projekt at benytte f.eks.:
<dependency>
<groupId>dk.sosi.seal</groupId>
<artifactId>seal</artifactId>
<version>2.4.2</version>
</dependency>
Bemærk at version 2.4.2 er ældste version med API-understøttelse af fuldmagter.
Kommunikation
Borger-billetomvekslingen er udformet som et standard WS-Trust 1.4 request med tilhørende response.
Et typisk request vil have nogenlunde følgende struktur:
STS er fra version 2.6.5 også begyndt at understøtte SecurityTokenReference til udpegning af signerende certifikat. Derfor er der et alternativ til direkte indlejring af certifikat.
Der understøttes to typer af claims (se eksempler ovenfor):
- CPR claim (obligatorisk). Angiver cpr nummeret på den borger der "sidder bag skærmen". Dette kan enten være tilgængeligt på forhånd i anvender systemet, eller være leveret af borgeren selv i f.eks. en web-grænseflade. Oplysningen vil blive checket op mod en bagvedliggende webservice i Nemid-infrastrukturen.
- Fuldmagts-claim (valgfri). Kan benyttes til at angive at den aktuelle borger har fuldmagt til at agere på vegne af en anden borger. Denne fuldmagt vil typisk være afgivet på borger.dk. Oplysningen vil blive checket op mod en bagvedliggende webservice i Nemid-infrastrukturen.
Nedenfor er et forventet svar til et typisk request med indlejret certifikat.
Det returnede IdentityToken (SAML assertion) kan herefter anvendes til kald af den bagvedliggende webservice hos eksempelvis FMK.
Hvis request brugte indlejret certifikat, så vil response også bruge indlejret certifikat i signaturen. Og hvis man har angivet certifikat vha. BinarySecurityToken, så vil dette også blive brugt i tilhørende response.
Eksempel kode (seal.java)
// bootstrap token dom is normally fetched by the citizen authenticating himself with NemLog-in
OIOBootstrapToken bootstrapToken = new OIOBootstrapToken(this.bootstrapTokenDom);
OIOSAMLFactory oiosamlFactory = new OIOSAMLFactory();
OIOBootstrapToIdentityTokenRequestDOMBuilder requestBuilder = oiosamlFactory.createOIOBootstrapToIdentityTokenRequestDOMBuilder();
requestBuilder.setOIOBootstrapToken(bootstrapToken);
// Hvis man ønsker at bygge et request med certifikat i BinarySecurityToken, så kaldes:
// requestBuilder.setSigningVault(getValidWhitelistedVault(), true);
requestBuilder.setSigningVault(getValidWhitelistedVault());
requestBuilder.setAudience("http://audience/clear");
requestBuilder.setCPRNumberClaim("0501792275");
requestBuilder.setProcurationByCprClaim("1111111118");
Document requestDocument = requestBuilder.build();
final String requestString = XmlUtil.node2String(requestDocument, false, false);
final Document responseDoc = soapClient.execute(requestString);
OIOBootstrapToIdentityTokenResponse response = oiosamlFactory.createOIOBootstrapToIdentityTokenResponseModelBuilder().build(responseDoc);
assertFalse(response.getFaultString(), response.isFault());
response.validateSignature();
response.validateSignatureAndTrust(federation);
final IdentityToken identityToken = response.getIdentityToken();
// identity token can be used to authenticate against backend service
// below we just inspect the result
assertEquals("0501792275", identityToken.getCpr());
assertEquals("http://audience/clear", identityToken.getAudienceRestriction());
assertTrue(identityToken.getIssuer(), identityToken.getIssuer().contains("STS"));
assertEquals("DK-SAML-2.0", identityToken.getAttribute("dk:gov:saml:attribute:SpecVer"));
assertEquals("3", identityToken.getAssuranceLevel());
final BasicPrivileges privileges = identityToken.getPrivileges();
final String privilegeScope = "urn:dk:healthcare:saml:actThroughProcurationBy:cprNumberIdentifier:1111111118";
assertEquals(1, privileges.getPrivileges(privilegeScope).size());
assertTrue(privileges.getPrivileges(privilegeScope).contains("urn:dk:nspop:sts:read"));
Udseende af privilegier
Aktuelt er der mulighed for op til 4 privilegier. Disse returneres i givet fald i Privileges_Intermediate attributten i base64 encodet format:
<?xml version="1.0" encoding="UTF-8" ?>
<bpp:PrivilegeList xmlns:bpp="http://itst.dk/oiosaml/basic_privilege_profile">
<bpp:PrivilegeGroup Scope="urn:dk:healthcare:saml:actThroughProcurationBy:cprNumberIdentifier:1111111118">
<bpp:Privilege>urn:dk:nspop:sts:fmk:read</bpp:Privilege>
<bpp:Privilege>urn:dk:nspop:sts:fmk:write</bpp:Privilege>
</bpp:PrivilegeGroup>
</bpp:PrivilegeList>
Privilegier returneres for den borger der claimes fuldmagt på vegne af.
Et gyldigt svar vil altid indeholde 1-2 privilegier, idet der i tilfældet af 0 privilegier returneres et fejlsvar.
Testborgere
I testsystemet er oprettet en fuldmagtshaver (borger) med cpr-nummeret 0501792275
og certifikat-nøglen PID:9208-2002-2-514358910503
Borgeren har modtaget fuldmagt fra følgende to cpr numre: 1111111118 og 0101603040
Der kan anmodes om oprettelse af fuldmagter for yderligere borgere via NSP support: https://www.nspop.dk/category/sup. Der må påregnes lidt ventetid, idet forespørgslen delegeres videre til NemLog-In support.
Whitelisting til kald af STS serviceAdgang til borger-billetomvekslingen kræver whitelisting i hhv. test og produktion.
Anmodning om dette kan ske ved oprettelse af support henvendelser via https://www.nspop.dk/category/sup .
I anmodningen bør man
- Bede om adgang til borger-billetomveksling
- Angive hvorvidt der er tale om test eller produktion
- Angive hvilket system der ønskes adgang til (se listen af understøttede services ovenfor)
- Angive hvilket certifikat man som anvender benytter til xml-signering af beskeden
Certifikatet registreres intern med SubjectSerialNumber (typisk på formen CVR:12345678-FID:12345678. Simpel certifikat fornyelse vil typisk resultere i et nyt certifikat med samme nøgle og vil derfor ikke kræve ny whitelisting.