Page History
| Navitabs | ||||
|---|---|---|---|---|
| ||||
| Anchor | ||||
|---|---|---|---|---|
|
SOSI-Gateway Guide til anvendere
Indhold
Formål
Baggrund
Hvorfor SOSI-GW?
SOSI-GW kontekst
NSP Gateway
Netværkskomponent
Security Token Service (STS)
Afkoblingskomponent
NSP services
Decentral anvendelse
Anvendelse af SOSI-GW
Signering af id-kort i anvendersystem
requestIdCardDigestForSigning
signIdCard
Browserbaseret signering
requestIdCardDigestForSigning
getValidIdCard
Gateway Proxy
proxy
Anvendelse af implicit login
Logge ud af SOSI-GW
logout
logoutWithResponse
Fejlkoder
Brug af SOSI-GW et delt miljø
Brug af PassThrough-header
Brug af signerede id-kort i proxy-kald
Version | Dato | Beskrivelse | Forfatter |
1 | 21-06-2016 | Første version, udarbejdet med udgangspunkt i "programmers guide - SOSI-GW" | OBJ |
| Anchor | ||||
|---|---|---|---|---|
|
...
Formålet med SOSI¬GW er at flytte ansvaret for signering af SOSI id-kort fra de enkelte anvendersystemer til en central service. Denne service kan modtage requests og automatisk vedhæfte et signeret id-kort inden requests sendes videre til de endelige NSP service endpoints. Dermed behøver de enkelte anvendersystemer ikke at bekymre sig om at implementere signering af SOSI id-kort selv. I stedet håndteres dette af SOSI-GW.
Måden det foregår på er, at SOSI-GW gemmer selve id-kortet, men får en underskrift fra brugeren. Underskriften kan enten komme fra anvendersystemet eller via en browser-applet, der kan signere kortet via en normal browser. Anvendes browser-metoden, behøver anvendersystemet ikke at kende til brugerens certifikater eller signeringen af id-kort, men skal i stedet blot bekymre sig om at håndtere requests på den rette måde.
Der er dermed stadig er behov for, at brugeren selv signerer id-kortet. Men når et id-kort først er signeret, gemmes det i SOSI-GW indtil det udløber. Dette resulterer i, at NSP kan tilbyde Single Signon, da brugeren typisk kun bliver bedt om at signere id-kortet én gang i løbet af en normal arbejdsdag, selvom der foretages kald på tværs af NSP services.
| Anchor | ||||
|---|---|---|---|---|
|
...
Den konkrete NSP service, f.eks. FMK, vil som nævnt oftest blive kaldt igennem DCC.
Såfremt beskeden fra anvendersystemet indeholder en WsAddressing SOAP-header, hvor "To" er udfyldt, vil SOSI-GW kalde den pågældende URL direkte i stedet for at viderestille gennem DCC. Dette er illustreret på Figur 1 ved den stiplede pil fra SOSI-GW direkte til de forskellige NSP services.
| Anchor | ||||
|---|---|---|---|---|
|
...
Denne operation svarer til "login". Der returneres et digest som kan RSA-signeres med et certifikat.
Adresse | http://<host>:<port>/sosigw/service/sosigw |
SOAP-action | http://sosi.dk/gw/2007.09.01#requestIdCardDigestForSigning |
WSDL | sosigw.wsdl |
Namespace | http://sosi.dk/gw/2007.09.01 |
SOAP-headers | DGWS id-kort sikkerhedsniveau 1 |
| Anchor | ||||
|---|---|---|---|---|
|
Anvendes til signering af et id-kort.
Som input gives det RSA-signerede digest som der blev returneret til anvendersystemet af requestIdCardDigestForSigning, samt det certifikat som blev anvendt til signering.
Herefter vil SOSI-GW kalde STS, som signerer med føderationens certifikat, og lagre det resulterende signerede niveau 4 id-kort I sin cache.
Adresse | http://<host>:<port>/sosigw/service/sosigw |
SOAP-action | http://sosi.dk/gw/2007.09.01#signIdCard |
WSDL | sosigw.wsdl |
Namespace | http://sosi.dk/gw/2007.09.01 |
SOAP-headers | DGWS id-kort sikkerhedsniveau 1 |
| Anchor | ||||
|---|---|---|---|---|
|
...
Denne operation svarer til "login". Svaret indeholder en URL som kan anvendes til at starte en browsersession.
Adresse | http://<host>:<port>/sosigw/service/sosigw |
SOAP-action | http://sosi.dk/gw/2007.09.01#requestIdCardDigestForSigning |
WSDL | sosigw.wsdl |
Namespace | http://sosi.dk/gw/2007.09.01 |
SOAP-headers | DGWS id-kort sikkerhedsniveau 1 |
| Anchor | ||||
|---|---|---|---|---|
|
Afgør om der findes et signeret id-kort.
Denne operation kan kaldes af anvendersystemet, f.eks. hvert sekund, mens brugeren signerer id-kortet i browseren.
Såfremt brugeren ikke signerer id-kortet alligevel, men f.eks. kommer til at lukke browseren ved en fejl, er det vigtigt at tillade at processen kan afbrydes, og at der kan foretages forsøg på signering påny.
Adresse | http://<host>:<port>/sosigw/service/sosigw |
SOAP-action | http://sosi.dk/gw/2007.09.01#getValidIdCard |
WSDL | sosigw.wsdl |
Namespace | http://sosi.dk/gw/2007.09.01 |
SOAP-headers | DGWS id-kort sikkerhedsniveau 1 |
| Anchor | ||||
|---|---|---|---|---|
|
...
Hvis der er et gyldigt, signeret id-kort I gateway'ens cache, vil denne metode viderestille til destinationen angivet i WsAddressing SOAP-headeren, eller til DCC, hvis informationen ikke findes i SOAP-headeren.
Hvis der ikke er et gyldigt signeret id-kort, vil en fejl blive returneret, indeholdende den samme information som returneres af requestIdCardDigestForSigning, dog placeret i en SOAP-header i response.
Bemærk at denne operation ikke findes i WSDL for SOSI-GW.
Adresse http://<host>:<port>/sosigw/proxy/soap-request
SOAP-headers DGWS id-kort sikkerhedsniveau 1, 2, 3 eller 4
| Anchor | ||||
|---|---|---|---|---|
|
Såfremt der anvendes browserbaseret signering er det også muligt helt at undlade at kalde requestIdCardDigestForSigning,
Hvis en NSP service forsøges kaldt igennem SOSI-GW med metoden proxy uden at der findes et signeret idkort i SOSI-GW, vil der blive returneret en fejl i form af en DGWSFault. Denne indeholder fejlkoden "sosigw_no_valid_idcard_in_cache", og der vil i svaret også findes en SOAP-header, som indeholder de samme data som requestIdCardDigestForSigning returnerer, blot i en header i stedet for i SOAP-body. Disse data kan anvendersystemet anvende til at åbne en browser, som beskrevet i afsnittet Browserbaseret signering.
Se venligst skemadefinition i "sosigw_implicitLoginHeader.xsd" for en schemabeskrivelse for dette response.
| Anchor | ||||
|---|---|---|---|---|
|
...
Fjerner id-kort fra cache. Operationen kan kaldes når en bruger logger af et anvendersystem, og også ønsker at logge af SOSI-GW.
Vælges at kalde logout vil brugeren af anvendersystemet skulle logge på, dvs. signere id-kort igen, næste gang der foretages kald til NSP services.
Adresse | http://<host>:<port>/sosigw/service/sosigw |
SOAP-action | http://sosi.dk/gw/2007.09.01#logout |
WSDL | sosigw.wsdl |
Namespace | http://sosi.dk/gw/2007.09.01 |
SOAP-headers | DGWS id-kort sikkerhedsniveau 1 |
| Anchor | ||||
|---|---|---|---|---|
|
Fjerner id-kort fra cache.
Denne operation er den samme som ovenfor, men der returneres "ok" eller DGWSFault, afhængigt af om pågældende id-kort blev fjernet fra cachen eller ej.
Adresse http://<host>:<port>/sosigw/service/sosigw
SOAP-action http://sosi.dk/gw/2007.09.01#logoutWithResponse
WSDL sosigw.wsdl
Namespace http://sosi.dk/gw/2007.09.01
SOAP-headers DGWS id-kort sikkerhedsniveau 1
| Anchor | ||||
|---|---|---|---|---|
|
Dette afsnit indeholder en liste med fejlkoder, som kan returneres fra SOSI-GW.
Bemærk at der også kan optræde andre fejlkoder I svar fra SOSI-GW, idet fejl fra STS og de NSP services der kaldes via proxy også returneres til anvendersystemet. Der henvises til dokumentationen for STS og øvrige NSP services såfremt der ønskes en komplet liste.
Fejlkode | Beskrivelse |
sosigw_no_valid_idcard_in_request | Returneres hvis der mangler et UserIDCard i requestets SOAPheader. |
sosigw_missing_signinginfo_in_request | Retureneres hvis signeret digest eller certifikat mangler i kaldet til signIdCard. |
sosigw_syntax_error_in_request | Returneres når SOAP-headers ikke kan parses korrekt. |
sosigw_awaiting_signing | Returneres af getValidIdCard når der er et id-kort i cachen, som endnu ikke er signeret. |
sosigw_no_valid_idcard_in_cache | Returneres når der ikke findes et id-kort i cachen som matcher nameID i input. |
sosigw_internal_error | Generel fejlkode når der opstår uventede fejl. Se venligst serverens logfil for mere information. |
sosigw_proxy_error | Returneres hvis der opstår et problem med at kalde det ønskede endpoint gennem et proxy kald. |
sosigw_access_denied | Kaldende klient eller service er ikke whitelistet. |
| Anchor | ||||
|---|---|---|---|---|
|
...