1. Indledning
Denne omveksling kan modtage et NSP OIO Bootstrap Token og returnere et medarbejder DGWS ID kort (niveau 4).
Et NSP OIO Bootstrap Token er en SAML 2.0 Assertion der repræsentere en bruger. Det udstedes af en Identity Provider (IdP). Det er muligt at opbygge et NSP OIO Bootstrap Token vha. Seal.Java, men det er typisk kun til testformål. Et OIO Bootstrap token kan valideres ved at kontrollere, at audience svarer til den modtager, det er udstedt til, at gyldighedsperioden ikke er udløbet, og at signaturen er gyldig. Signaturen for en SAML 2.0 Assertion valideres ved at benytte det indlejrede signeringscertifikat.
Det samlede request der sendes til en STS er signeret af en troværdig tredjepart, der enten kan være lokal IdP eller SEB. Det samlede request kan valideres vha. det Holder Of Key certifikat der er indlejret i NSP OIO Bootstrap Token.
Et DGWS ID kort er en sikkerhedsbillet der overholder DGWS standarden. DGWS står for Den Gode WebService og er en SOAP-webservice profil, der fastlægger standarder for autentifikation og kommunikation af fælles sundhedsfaglige oplysninger mellem sundhedssektorens parter. Den gør det muligt at kommunikere personhenførbare sundhedsoplysninger på en sikker og fleksibel måde. Et medarbejder DGWS ID kort er angivet til at have sikkerhedsniveau 4 og det er signeret med et MOCES OCES3 certifikat.
I det følgende vises kodeeksempler, der demonstrerer, hvordan man som anvender bruger Seal.Java til denne omveksling.
Der findes et komplet eksempel (incl. STS omveksling) sidst på siden der virker uden at det kræver tilretning.
2. Eksempel
2.1. Bootstrap Token
2.1.1. Læs OIO SAML Assertion fra IdP
En NSP OIO SAML Assertion der stammer fra en Identity Provider og er repræsenteret i et W3C element kan Seal.Java parse til et OIOBSTSAMLAssertion objekt på følgende måde:
OIOBSTSAMLAssertion oiosamlAssertion = OIOBSTSAMLAssertionFactory.createOIOBSTSAMLAssertion(assertionElement);
Hvor den modtagne OIO SAML Assertion er indlæst i et Element i variablen assertionElement.
2.1.2. Opbyg OIO SAML Assertion
Seal.Java kan anvendes til at opbygge en OIO SAML Assertion. Dette vil typisk ske i forbindelse med test.
Først skal CredentialVaults sættes op og der skal lave en instans af den factory der kan håndtere OIO SAML:
// CredentialVault og Factory CredentialVault signingVault = new ClasspathCredentialVault(null, "Filnavn på PKCS#12 Medarbejdercertifikat", "Kodeord til Medarbejdercertifikat"); CredentialVault holderOfKeyVault = new ClasspathCredentialVault(null, "Filnavn på PKCS#12 Holder of key certifikat", "Kodeord til Holder of key certifikat"); OIOSAMLFactory factory = new OIOSAMLFactory();
En signeret OIO SAML Assertion opbygges vha. Seal.Java på denne måde:
// Byg OIOBSTSAMLAssertion
OIO3BSTSAMLAssertionBuilder oiosamlAssertionBuilder = factory.createOIO3BSTSAMLAssertionBuilder();
oiosamlAssertionBuilder.setIssuer("https://oio3bst-issuer.dk");
oiosamlAssertionBuilder.setNameId("KorsbaekKommune\\MSK");
oiosamlAssertionBuilder.setAudience("http://audience.nspoop.dk/dds");
oiosamlAssertionBuilder.setNotOnOrAfter(notOnOrAfter);
oiosamlAssertionBuilder.setCvr("20301823");
oiosamlAssertionBuilder.setOrganizationName("Korsbæk Kommune");
oiosamlAssertionBuilder.setHolderOfKeyCertificate(holderOfKey.getSystemCredentialPair().getCertificate());
oiosamlAssertionBuilder.setSigningVault(signingVault);
OIOBSTSAMLAssertion oiosamlAssertion = oiosamlAssertionBuilder.build();
2.2. STS Request
Det samlede STS request med en NSP OIO SAML Assertion opbygges på denne måde.
// NSP OIO SAML Assertion findes i denne variabel:
OIOBSTSAMLAssertion oiosamlAssertion = ...
OIOBSTSAMLAssertionToIDCardRequestDOMBuilder requestBuilder = factory.createOIOBSTSAMLAssertionToIDCardRequestDOMBuilder();
requestBuilder.setAudience("http://audience.nspoop.dk/dds");
requestBuilder.setITSystemName("Korsbæk Kommunes IT systemer");
requestBuilder.setSubjectNameID("Mads_Skjern");
requestBuilder.setSigningVault(signingVault);
requestBuilder.setOIOBSTSAMLAssertion(oiosamlAssertion);
Document consumerStsRequestDocument = requestBuilder.build();
Når requestet sendes over netværket skal det konverteres til XML:
String consumerStsRequestXml = XmlUtil.node2String(consumerStsRequestDocument, false, false);
Nu vil en STS kunne modtage det og veksle det til et DGWS ID kort. Eksempel på hvordan Seal.Java kan anvendes til denne omveksling findes her: Seal.Java 3 - Guide til anvendere (STS) - Bootstrap Token til DGWS id-kort
2.2.1. Request som stream
En consumer vil typisk have et NSP OIO SAML Bootstrap Token som en stream der kan sendes direkte til en STS. Dette vil man selv kunne deserialisere hvis man vil se indholdet:
// Anvender har et XML dokument indeholdende NSP OIO SAML Bootstrap Token request: String consumerStsRequestXml = "<soapenv:Envelope xmlns:soapenv=\"http://schemas.xmlsoap.org/soap/envelope/\" ... </soapenv:Envelope>"; Document requestDocument = XmlUtil.readXml(new Properties(), consumerStsRequestXml, false); OIOBootstrapToIdentityTokenRequest request = factory.createOIOBootstrapToIdentityTokenRequestModelBuilder().build(requestDocument);
Det er nu muligt for en STS at se indholdet af requestet og på baggrund af indholdet vil en STS kunne bygge et response.
2.3. STS Response
Når consumeren modtager svaret fra STS, så skal det først indlæses i et W3C Document:
// Konverter XML svaret fra STS til Document Document consumerStsResponseDocument = XmlUtil.readXml(new java.util.Properties(), consumerStsResponseXml, false);
Man kan nu deserialisere svaret til et OIOBSTSAMLAssertionToIDCardResponse modelobjekt:
// Deserialiser STS svaret til modelobjekt OIOBSTSAMLAssertionToIDCardResponse consumerStsResponse = factory.createOIOBSTSAMLAssertionToIDCardResponseModelBuilder().build(consumerStsResponseDocument)
Her efter kan man hente ID kortet ud og verificere attributterne:
// Hent Identity Token fra STS svar
IDCard idCardResponse = consumerStsResponse.getIDCard();
// Verificer at det er et DGWS ID kort token samt at værdierne for de to attributter AuthenticationLevel og Alternative Identifier er som forventet:
Assert.assertEquals("1.0.1", idCardResponse.getVersion());
Assert.assertEquals(AuthenticationLevel.MOCES_TRUSTED_USER, idCardResponse.getAuthenticationLevel());
Assert.assertEquals("hans@dampf.dk", idCardResponse.getAlternativeIdentifier());
2.4. Service Request
Når vi har STS svaret kan service requestet opbygges:
// CredentialVault og Factory CredentialVault signingVault = new ClasspathCredentialVault(null, "Filnavn på PKCS#12 Medarbejdercertifikat", "Kodeord til Medarbejdercertifikat"); SOSIFactory sosiFactory = new SOSIFactory(signingVault, new java.util.Properties()); Request serviceConsumerRequest = sosiFactory.createNewRequest(false, UUID.randomUUID().toString()); serviceConsumerRequest.setMessageID(messageIdSupplier.get()); serviceConsumerRequest.setIDCard(userIDCard); serviceConsumerRequest.setBody(body); Document serviceConsumerRequestDocument = serviceConsumerRequest.serialize2DOMDocument();
Det samlede request kommer til at se sådan ud, hvor body delen her er tom:
Bemærk man kan se det er et DGWS request ud fra SAML attributten "IDCardVersion" der har værdien "1.0.1".
Man kan også se det er et medarbejder ID kort ud fra SAML attributten "AuthenticationLevel" når den har værdien "4".
Service requestet kan nu sendes til servicen over netværket:
// Konverter til XML så det kan sendes over netværket String serviceConsumerRequestXml = XmlUtil.node2String(serviceConsumerRequestDocument, false, true);
2.5. Service Response
Seal.Java kan nu benyttes til at validere det samlede response fra servicen. Ved kald til en DGWS service kan man vha. kald til Seal.Java tjekke om svaret indeholder en fejl og evt. fejlbesked og fejlkode.
Eksempel på dette hvor vi antager at vi har svaret som XML streng i variablen serviceConsumerResponseXml:
// CredentialVault og Factory
CredentialVault signingVault = CredentialVaultTestUtil.getVoces3CredentialVault();
SOSIFactory sosiFactory = new SOSIFactory(signingVault, new java.util.Properties());
Reply reply = sosiFactory.deserializeReply(serviceConsumerResponseXml);
// Verify DGWS service response for errors
if (reply.isFault()) {
log.error("Response error: " + reply.getFaultString() + ", error code: " + reply.getFaultCode());
return false;
}
return true;
3. Komplet eksempel (incl. STS delen)