Page History
...
| Snitflade | Anvenderkrav | Særlige opsætningstilfælde | Modtager | |
|---|---|---|---|---|
| DGWS | ||||
/sts/services/SecurityTokenService /sts/services/NewSecurityTokenService | Alle som har netværksmæssig adgang | Alle DGWS-services | ||
| Medarbejderomveksling | ||||
| /sts/services/Sosi2OIOSaml | Alle som har netværksmæssig adgang | Modtagersystem skal være konfigureret: | ||
| /sts/services/OIOSaml2Sosi | Alle som har netværksmæssig adgang | Alle DGWS-services | ||
| /sts/services/BST2SOSI | Offentlig nøgle for anvendersystem skal være whitelistet: Opsætning af BST2SOSI: Tilføjelse af ny anvender | Alle DGWS-services | ||
| Borgeromveksling | ||||
| /sts/services/Bst2Idws | Offentlig nøgle for anvendersystem skal være whitelistet: Borgeromvekslinger: Whitelisting af anvender | Modtagersystem (audience) skal være konfigureret: | ||
| /sts/services/JWTIdwsJWT2Idws | Offentlig nøgle for anvendersystem skal være whitelistet: Borgeromvekslinger: Whitelisting af anvender | Modtagersystem (audience) skal være konfigureret: JWT suport skal være aktiveret (i tabellen audienceConfiguration): | ||
| /sts/services/JWT2OIOSaml | Offentlig nøgle for anvendersystem skal være whitelistet: Borgeromvekslinger: Whitelisting af anvender | Se afsnit TODO samme som i anvenderguide med ref. | Modtagersystem (audience) skal være konfigureret: Servicen skal være konfigureret til audience: | |
Selve konfiguration i forhold til de enkelte snitflader er beskrevet nedenfor.
...
| Navn | Kort beskrivelse | Kommentarer |
|---|---|---|
| teststs-1.keystore | STS keystore | Fil baseret keystore der indeholder STS eget certifikat. Benyttes kun i test-miljøer uden LUNA integration |
| testtdc.keystore | Truststore for Digst services. | Truststore i forhold til PID/CVR-RID services. Benyttes i NSP-miljøer ikke fra wildfly, men er opsat i Traffic-manager i stedet. I lokale testmiljøer benyttes den i stedet fra wildfly |
| nsp-test-rid.jks | Keystore i forhold til backend services. | Benyttes til at identificere os (STS) i forhold til backend services som PID, CVR-RID og fuldmagt. Benyttes dels fra Traffic-manager (PID, CVR-RID), dels fra NSP (er opsat via global system-property af hensyn til fuldmagt). |
| test-new-nemLogin-idp.keystore | Truststore til NBO og borger billetomveksling | Indeholder de idp'er (primært nemlogin) vi stoler på som udstedere af de billetter vi omveksler. |
| test-jwt-idp-trust.jks | Truststore til JWT billetomveksling | Indeholder de idp'er (primært nemlogin) vi stoler på som udstedere af de billetter vi omveksler. STS-2.5.3 |
| Anchor | ||||
|---|---|---|---|---|
|
...
Konfiguration af test-new-nemLogin-idp.keystore
Konfigurationen findes i et java keystore (pt. placeret som /pack/sts/test-new-nemLogin-idp.keystore ).
...
- Tilføj det nye certifikat ifølge proceduren for oprettelse af ny idp - så både gammelt og nyt certifikat eksisterer samtidig.
- Når det gamle certifikat ikke bruges mere kan dette efterfølgende fjernes ved førstkommende lejlighed.
| Anchor | ||||
|---|---|---|---|---|
|
...
Konfigurationen findes i et Konfigurationen findes i et java keystore (pt. placeret som /pack/sts/test-jwt-idp-trust.jks ). Dette indeholder de certifikater vi stoler på.
Status på de indeholdte certifikater kan følges på monitorerings-urlen /sts/checkstatus. Enkelte certifikater er dog ignorerede i test, idet disse udelukkende er med for at kunne teste fejlscenarier.
Dette keystore anvendes af SOSI STS i forbindelse med følgende omvekslinger:
- Borgeromvekslingerne JWT2IDWS og JWT2OIOSAML
Der er strikse krav til hvilke alias'er disse certifikater befinder sig under . **CHG: Hvillke? Uddyb eller referer til beskrivelse **(se punkt 3 i vejledningen "Tilføjelse af trust til ny, ekstern idp" nedenfor for en beskrivelse af dette).
Der er i første omgang opsat trust af et par certifikater til interne testformål. Det enkelte certifikat valideres i forbindelse med at det forsøges anvendt.
...
Disse opsætninger sker i tabellen sts_audconf.audienceConfiguration:
| Felt | Beskrivelse |
|---|---|
| audience | Identifikation af audience |
| attribute | Attribut navn |
| attribute_value | Attribut værdi |
| comment | Valgfri kommentar |
Gyldige attributter for opsætning af nyt audience er:
| attribute | Beskrivelse |
|---|---|
| lifetime | Angiver gyldighed af det udstedte token, f.eks. 3600 (s). Tilstedeværelsen af denne "aktiverer" det givne audience |
Bemærk: Kombinationen af audience og attribut skal være unik, ellers vil "duplikater" blive ignoreret.
...
Konfigurationen består af et antal indgange på "map-format", audience, attribute, attribute_value, comment. I forhold til whitelisting er følgende attribute relevant:
| attribute | Beskrivelse |
|---|---|
| certificate.xxx | Angiver SubjectSerialNumber (ssn) for et certifikat (typisk FOCES) der har mulighed for at benytte servicen. I praksis beder vi om det offentlige certifikat og henter oplysningen ud herfra. Dette certifikat benyttes af anvender til at signere hele beskeden (beskeden har så bl.a. en Assertion, typisk signeret af NemLog-in). Der kan (og vil) være flere certifikater pr. audience, hvilket blot betyder at flere anvendere kan tilgå det. Disse skal blot have forskellige xxx navne. Suffikset er ligegyldigt og tjener alene til støtte for den som kigger på konfigurationen. |
Bemærk: Kombinationen af audience og attribut skal være unik, ellers vil "duplikater" blive ignoreret.
...
| Property | Beskrivelse |
|---|---|
| fuzzyTime | Antal millisekunder tilbage i tid notBefore skal sættes på resulterende token |
| allowedDriftInSeconds | Antal sekunder tidsbegrænsninger i indgående token må afvige med |
| trustStoreFile | Sti til keystore med trusted eksterne idp'er |
| trustStorePassword | Password til keystore |
| issuerStrategies | Liste af gyldige issuers. Fx <entry key="http://sts-tester" value-ref="keyCloak"/> |
Konfiguration af udsteder af JWT tokens
Trust til eksterne idp'er er sat op i test-jwt-idp-trust.jks (property trustStoreFile). Se afsnittet om Java keystores.
| Anchor | ||||
|---|---|---|---|---|
|
Ligesom for Bst2Idws kræves konfiguration pr audience i Ligesom for Bst2Idws kræves konfiguration i database tabellen sts_audconf.audienceConfiguration som beskrevet i den generelle opsætninger for borgeromveksling: Opsætning af borgeromvekslinger: Tilføjelse af nyt audience.
Dog med en skal der sættes ekstra attribut i forbindelse med jwt.
| attribute | Beskrivelse |
|---|
Angiver SubjectSerialNumber (ssn) for et certifikat (typisk FOCES) der har mulighed for at benytte servicen. I praksis beder vi om det offentlige certifikat og henter oplysningen ud herfra.
Dette certifikat benyttes af anvender til at signere hele beskeden (beskeden har så bl.a. en Assertion, typisk signeret af NemLog-in). Der kan (og vil) være flere certifikater pr. audience, hvilket blot betyder at flere anvendere kan tilgå det. Disse skal blot have forskellige xxx navne. Suffikset er ligegyldigt og tjener alene til støtte for den som kigger på konfigurationen.
Aktiverer JWT (Json web token) support for dette audience. Omveksling kan kun foretages hvis det indgående JWT indeholder det pågældende jwtScope.
Værdien aftales ved oprettelse.
Tilføjelse af ny anvender
Er den angivne issuer endnu ikke konfigureret, skal test-jwt-idp-trust.jks opdateres, som beskrevet i afsnittet om Java keystores. Derudover skal property issuerStrategies opdateres i services.xml med den nye issuer.
Er det angivne audience endnu ikke konfigureret, skal audienceConfiguration tabellen opdateres med attributter for denne.
| jwtScope | Aktiverer JWT (Json web token) support for dette audience. Omveksling kan kun foretages hvis det indgående JWT indeholder det pågældende jwtScope. Værdien aftales ved oprettelse. |
Attributten sættes op pr audience på følgende måde:
| Code Block | ||||
|---|---|---|---|---|
| ||||
INSERT INTO audienceConfiguration (audience, attribute, attribute_value) VALUES
('http://fmk', 'jwtScope', 'fmk'); |
Tilføjelse af ny anvender
Som beskrevet i den generelle beskrivelse: whitelisting af anvender til borgeromveksling
Er audience allerede i audienceConfiguration tabellen, skal der oprettes en ny certificate.xxx attribut med ssn for anvendercertifikatet. Anvender skal kende det eksisterende jwtScope.
...
| Property | Beskrivelse |
|---|---|
| checkTargetCertificate | Om gyldigheden af certifikat svarende til publicKey (i nedenstående tabel) skal tjekkes før den benyttes |
| fuzzyTime | Antal millisekunder tilbage i tid notBefore skal sættes på resulterende token |
| allowedDriftInSeconds | Antal sekunder tidsbegrænsninger i indgående token må afvige med |
| trustStoreFile | Sti til keystore med trusted eksterne idp'er |
| trustStorePassword | Password til keystore |
| issuerStrategies | Liste af gyldige issuers. Fx <entry key="http://sts-tester" value-ref="keyCloak"/> |
Ligesom for JWT2Idws, er trust til eksterne idp'er sat op i test-jwt-idp-trust.jks (property trustStoreFile). Se afsnittet om Java keystores.
Audience konfiguration ligger i databasen i tabellen sts_audconf.audienceConfiguration ligesom Bst2Idws og JWT2Idws. Dog med lidt flere attributter:
| "/> |
Ligesom for JWT2Idws, er trust til eksterne idp'er sat op i test-jwt-idp-trust.jks (property trustStoreFile). Se afsnittet om Java keystores.
| Anchor | ||||
|---|---|---|---|---|
|
Ligesom for Bst2Idws kræves konfiguration pr audience i database tabellen sts_audconf.audienceConfiguration som beskrevet i den generelle opsætninger for borgeromveksling: Opsætning af borgeromvekslinger: Tilføjelse af nyt audience.
Dog skal der sættes ekstra attributter i forbindelse med jwt.
| atributeName | Beskrivelse |
|---|---|
| atributeName | Beskrivelse |
| lifetime | Angiver gyldighed af det udstedte token, f.eks. 3600 (s). Tilstedeværelsen af denne "aktiverer" det givne audience |
| certificate.xxx | |
| jwtScope | Aktiverer JWT (Json web token) support for dette audience. Omveksling kan kun foretages hvis det indgående JWT indeholder det pågældende jwtScope. Værdien aftales ved oprettelse. |
| publicKey | Den offentlige nøgle som anvendes til kryptering af den omvekslede token. Bemærk at indholdet er tilgivende overfor line-breaks og whitespaces, så der kan formateres valgfrit. |
| recipientURL | Den URL hvor modtagersystemet kan nåes på. |
| includeBST | Om token skal inkluderes i den svarede assertion. (ja/nej) |
Tilføjelse af ny anvender
...