Teknisk integrasjon mot ID-porten. Difi

Transkript

1 Teknisk integrasjon mot ID-porten Difi

2 Typisk saksgang for en integrasjon 1) Kontakt 2) Akseptere bruksvilkår 3) Planlegging 4) Etabler integrasjon i verifikasjonstest 5) Utfør verifikasjonstest 6) Produksjonssetting Komplett dokumentasjon i Integrasjonsguiden:

3 Hva må utveksles? Hva? Metadata Testbrukere Nødvendig før produksjonssetting: Bruksvilkår Bekreftelse på utført verifikasjonstest Difi Tjenesteeier Valgfritt: Kildekode for test-klient Logo

4 ID-porten støtter ikke alt i SAML2-standarden -metadata definerer hva som er tillatt SAML2 ID-porten onbehalfof

5 Typisk metadata-fil <EntityDescriptor entityid="testsp2" xmlns="urn:oasis:names:tc:saml:2.0:metadata"> <SPSSODescriptor AuthnRequestsSigned="true" WantAssertionsSigned="true" protocolsupportenumeration="urn:oasis:names:tc:saml:2.0:protocol"> <KeyDescriptor use="signing"> <ds:keyinfo xmlns:ds=" <ds:x509data> <ds:x509certificate>miictzccabigawibagieth17djanbgkqhkig9w0baqufadbsmqswcqydvqqge wjotzezmbcga1uecbmqu29nbibvzybgam9yzgfuztesmbaga1uebxmjtgvpa2fuz2vymq0wcwydvqqke wreawzpmqwwcgydvqqlewnvrkkxetapbgnvbamtcepvag4grg9lmb4xdtexmdcxmzexmdeznfoxdtixmd cxmdexmdeznfowbdelmakga1uebhmctk8xgtaxbgnvbagtefnvz24gb2cgrmpvcmrhbmuxejaqbgnvbac TCUxlaWthbmdlcjENMAsGA1UEChMERGlmaTEMMAoGA1UECxMDVUZJMREwDwYDVQQDEwhKb2huIERvZTCB nzanbgkqhkig9w0baqefaaobjqawgykcgyeamssmko2idbtwwvpj0np+lb0as5mojbw2e1aztxvtg3rb3 inxz7weow+zh/2g7rxpcvg4z3qobds0yamr4a+tatbvtjjes88wmxx/pdltrcdi2bb8dfi6aqhew/maroi +Y27DUDTcCvC/8fjGJriNgtjoN3g2Jsn68zJ1kyxTHMMCAwEAATANBgkqhkiG9w0BAQUFAAOBgQAgkYRXI HX1ysCwlk78X0/hT121p6reP6jJkgyXm/zvRtTsptfkP1GKGmZ99N7PxWli6IGG7MchfBPGVI9pLKcJDGZ otpakis276jizle1xhgxnlw2sfnzpjimpx0zhli0trbr54e72rp1ckylgkrtzvzpbcswrc7cecod4o50hi w==</ds:x509certificate> </ds:x509data> </ds:keyinfo> </KeyDescriptor> <KeyDescriptor use="encryption"> <ds:keyinfo xmlns:ds=" <ds:x509data> <ds:x509certificate>miictzccabigawibagieth17djanbgkqhkig9w0baqufadbsmqswcqydvqqgewj OTzEZMBcGA1UECBMQU29nbiBvZyBGam9yZGFuZTESMBAGA1UEBxMJTGVpa2FuZ2VyMQ0wCwYDVQQKEwRE awzpmqwwcgydvqqlewnvrkkxetapbgnvbamtcepvag4grg9lmb4xdtexmdcxmzexmdeznfoxdtixmdcx MDExMDEzNFowbDELMAkGA1UEBhMCTk8xGTAXBgNVBAgTEFNvZ24gb2cgRmpvcmRhbmUxEjAQBgNVBAcT CUxlaWthbmdlcjENMAsGA1UEChMERGlmaTEMMAoGA1UECxMDVUZJMREwDwYDVQQDEwhKb2huIERvZTCBn

6 Typisk metadata-fil zanbgkqhkig9w0baqefaaobjqawgykcgyeamssmko2idbtwwvpj0np+lb0as5mojbw2e1aztxvtg3 RB3iNxZ7WEOw+zh/2G7RXpCVg4Z3QobdS0yAmr4a+taTbVtjJES88wMxx/PDltrCDI2bB8dfi6aQh EW/MarOI+Y27DUDTcCvC/8fjGJriNgtjoN3g2Jsn68zJ1kyxTHMMCAwEAATANBgkqhkiG9w0BAQUF AAOBgQAgkYRXIHX1ysCwlk78X0/hT121p6reP6jJkgyXm/zvRtTsptfkP1GKGmZ99N7PxWli6IGG7M chfbpgvi9plkcjdgzotpakis276jizle1xhgxnlw2sfnzpjimpx0zhli0trbr54e72rp1ckylgkrt zvzpbcswrc7cecod4o50hiw==</ds:x509certificate> </ds:x509data> </ds:keyinfo> <EncryptionMethod Algorithm=" <xenc:keysize xmlns:xenc=" </EncryptionMethod> </KeyDescriptor> <SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location=" ResponseLocation=" logoutresponseconsumer"/> <NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:transient</NameIDFormat> <AssertionConsumerService </SPSSODescriptor> </EntityDescriptor> index="1" isdefault="true" Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact" Location=" assertionconsumer"/>

7 Verifikasjonstester Sikre at tjenesten fungerer Verifisere sikkerhetsnivå Viktig for nivå-4-tjenester Sikre at andre ikke blir negativt berørt av din tjeneste Single sign-on Single logout

8 Test-klient Tilgjengelig her: Kan brukes i verifikasjonstesten som «annen tjenesteier» ifbm single sign-on. Kildekode kan lastes ned her: / /idporten-web-testsp zip

9 Ulike miljø Miljø Beskrivelse Sertifikat PROD Produksjonsmiljø Virksomhetssertifikat kreves VER1 VER2 YT1 YT2 Test-miljø. Samme versjon som PROD Test-miljø. Kjørerpre-releaserav kommende versjon Ytelsestest. Samme versjon som PROD. Tilgangbestilles separat. Ytelsestest. Kjørerpre-releaseav kommende versjon. Tilgang bestilles separat.

10 Testbrukere Kun for VER1 og VER2 Testbrukere tillates ikke i PROD eid Rutine MinID Difi oppretter BankID Difi kan bestille for tjenesteeier Buypass Tjenesteeier må ta direkte kontakt Commfides Tjenesteeier må ta direkte kontakt

11 ID-porten single sign-on 1. Sluttbruker ønsker tilgang til en tjeneste hos tjenesteeier som krever at bruker er autentisert 2. Tjenesteeier verifiserer om sluttbruker har en autentiseringssesjon lokalt, 3. Tjenesteeier oppretter en autentiseringsforespørsel (AuthnRequest) som sendes til IDporten 1. Hvis bruker er innlogget hos annen tjeneste, gå til pkt ID-porten gjennomfører innlogging med sluttbruker med valgt eid på tilfredstillende sikkerhetsnivå 5. Som over 6. ID-porten svarer på autentiseringsforespørselen til tjenesteeier AuthnRespons inneholdende Artifact 7. Tjenesteeier sender en personopplysningsforespørsel til IDporten ArtifactResolve inneholdend Artifact 8. ID-porten leverer ut personopplysninger om sluttbruker, ArtifactResponse inneholdende Assertion 9. Tjenesteeier opprette en lokal autentiseringssesjon for sluttbruker og sender bruker til ønsket tjeneste

12 ID-porten single logout 1 5 Annen tjenesteeier Annen tjenesteeier Nettleser 4 3 Tjenesteeier IDporten 1. Bruker ber om utlogging 2. Tjenesteeier sender LogoutRequest til ID-porten via frontkanal 3. ID-porten sender LogoutRequest til annen tjenesteeier som denne bruker er pålogget. 4. Annen tjenesteeier svarer med en LogoutResponse. Viss flere: gjenta 3 og 4 5. ID-porten svarer på initiell LogoutRequest, med en LogoutResponse Hvis én tjenesteeierbryter kjeden, vil brukeren fremdeles være innlogget i ID-porten

13 Tjenesteeier logo Logofilen må kunne vises direkte i en nettleser. Dette innebærer at formatet skal være.png,.jpg eller.gif. Maks høgde på logo er 90px. og bredde bør ikkje være meir enn 135px. Bakgrunnsfargen på idporten sidene er #f3f4f4, så tjenesteeigarane bør enten ha denne fargen som bakgrunn på sin logo eller ha bakgrunnen transparent.