MOA-ID UND MOA-ID-CONFIGURATION MIT MOA-DEMO ONLINE APPLICATION

Transkript

1 MOA-ID UND MOA-ID-CONFIGURATION MIT MOA-DEMO ONLINE APPLICATION INSTALLATIONS-SCREENCAST WAS IST MOA? Die Module für Online Applikationen (MOA) sind Komponenten, die die Umsetzung österreichischen E-Government Strategie unterstützen. Die Module stellen Funktionen zur Erzeugung und Verifikation von elektronischen Signaturen sowie zur Identifikation und Authentifizierung von Bürgerinnen und Bürgern in elektronischen Verfahren zur Verfügung. Weitere Informationen unter 1

2 MOA - MODULE MOA-ID Das Modul Identifikation (ID) stellt Online-Applikationen Funktionalität zur Verfügung, damit diese eine Benutzer-Identifikation und -Authentisierung mit Hilfe der Bürgerkarte und deren Signaturfunktion realisieren können. MOA-SP/SS Die Module Serversignatur (SS) und Signaturprüfung (SP) können von Anwendungen verwendet werden, um elektronische Signaturen zu erstellen bzw. vorliegende elektronische Signaturen zu überprüfen. BÜRGERKARTENUMGEBUNG (BKU) Eine Software, die zur Verwendung der Bürgerkartenfunktion auf einer Karte erforderlich ist. Die vom Bundeskanzleramt empfohlene Bürgerkartenumgebung ist MOCCA. MOCCA ist eine Bürgerkartenumgebung (BKU) welche ohne Installation von lokaler Software am System verwendet werden kann. Der Zugriff auf die Chipkarte wird mittels eines Applets, welches im Browser des Benutzers läuft, durchgeführt. Darüber hinaus gibt es von privaten Firmen entwickelte Bürgerkartenumgebungen, z.b. A-Trust Bürgerkartenumgebung, trustdesk, hotsign. Die Bürgerkartenumgebung (BKU) implementiert die SecurityLayer-Schnittstelle und bietet damit Zugriff auf die Bürgerkarte der Benutzerin bzw. des Benutzers. 2

3 BENÖTIGTE SOFTWARE Java SE 7 (oder höher) Unlimited Strength Jurisdiction Policy Files Apache Tomcat 7 (oder höher) MOA-ID Datenbank-Server (z.b. MySQL, Microsoft SQL Server, ) VERWENDE SOFTWARE MySQL Community Server Bürgerkartenumgebung von A-Trust a.sign Client a.sign BKU Mozilla Firefox (Internet-Browser) 7-Zip 9.20 (Packprogramm, zum entpacken der ZIP-Archive) Notepad (Texteditor mit Syntax-Highlighting) 3

4 INSTALLATION VORBEREITUNG Entpacken Sie alle heruntergeladenen ZIP-Archive MOA-ID (moa-id-auth zip) Java - Unlimited Strength Jurisdiction Policy Files (UnlimitedJCEPolicyJDK7.zip) Apache Tomcat (apache-tomcat windows-x86.zip) Installieren Sie die nachfolgenden Programme Java SE 7 Gegebenenfalls den Datenbank-Server Bürgerkartenumgebung ENTPACKEN - MOA-ID MOA-ID in ein beliebiges Verzeichnis entpacken Dieses Verzeichnis wird im weiteren Verlauf als $MOA_ID_INST_AUTH bezeichnet Z.B.: C:\moa\installation\moa-id-auth

5 ENTPACKEN - JAVA UNLIMITED STRENGTH JURISDICTION POLICY FILES Java Unlimited Strength Jurisdiction Policy Archiv in ein beliebiges Verzeichnis entpacken Dieses Verzeichnis wird im weiteren Verlauf als $JAVA_CRYPTO bezeichnet Z.B.: C:\moa\installation\UnlimitedJCEPolicy INSTALLATION - JAVA Dem Setup-Verlauf folgen und Java in einen beliebigen Ordner installieren (optimaler Weise ohne Leerzeichen im Pfad) Das Wurzelverzeichnis von Java wird im weiteren Verlauf als $JAVA_HOME bezeichnet Z.B.: C:\moa\programme\jdk1.7.0_65 5

6 KOPIEREN KRYPTOGRAPHIE BIBLIOTHEKEN FÜR JAVA Kopieren Sie alle Dateien aus dem Verzeichnis $MOA_ID_INST_AUTH/ext in das Verzeichnis $JAVA_HOME/jre/lib/ext Kopieren Sie die Dateien (local_policy.jar, US_export_policy.jar) aus dem Verzeichnis $JAVA_CRYPTO in das Verzeichnis $JAVA_HOME/jre/lib/security Es ist sinnvoll die Original-Dateien zu sichern ENTPACKEN APACHE TOMCAT Apache Tomcat 7 in ein beliebiges Verzeichnis entpacken Dieses Verzeichnis wird im weiteren Verlauf als $CATALINA_HOME bezeichnet Z.B.: C:\moa\programme\apache-tomcat

7 KOPIEREN JAVA BIBLIOTHEKEN FÜR APACHE TOMCAT Kopieren Sie das Verzeichnis $MOA_ID_INST_AUTH/endorsed in das Verzeichnis $CATALINA_HOME Sind gleichnamige Dateien dort bereits vorhanden, müssen sie überschrieben werden. Die ggf. in diesem Verzeichnis vorhandene Datei xmlparserapis.jar muss gelöscht werden. Sollte das Verzeichnis endorsed nicht vorhanden sein, dann muss dieses zuerst erstellt werden. KOPIEREN MOA WEBAPPLIKATIONEN Webapplikation MOA-ID-AUTH Die Datei moa-id_auth.war enthält das einsatzfertige MOA-ID-Auth Webarchiv Kopieren Sie die Datei moa-id-auth.war aus dem Verzeichnis $MOA_ID_INST_AUTH in das Verzeichnis $CATALINA_HOME/webapps Webapplikation MOA-ID-CONFIGURATION Die Datei moa-id-configuration.war enthält das einsatzfertige MOA-ID-Configuration Webarchiv und dient zur Konfiguration der MOA-ID-AUTH Instanz Kopieren Sie die Datei moa-id-configuration.war aus dem Verzeichnis $MOA_ID_INST_AUTH in das Verzeichnis $CATALINA_HOME/webapps 7

8 KOPIEREN MOA WEBAPPLIKATIONEN KONFIGURATIONEN 1/2 Konfiguration MOA-ID Die Konfigurationsdatei mit der Basiskonfiguration für MOA-ID-Auth $MOA_ID_INST_AUTH/conf/moa-id und die zugehörigen Verzeichnisse müssen in ein beliebiges Verzeichnis im Dateisystem kopiert werden z.b. $CATALINA_HOME/conf/moa-id Konfiguration MOA-ID-CONFIGURATION Die MOA-ID-CONFIGURATION Konfiguration $MOA_ID_INST_AUTH/conf/moa-idconfiguration und die zugehörigen Verzeichnisse ebenfalls in ein beliebiges Verzeichnis kopiert werden Das Modul MOA-ID-CONFIGURATION dient zur Konfiguration der MOA-ID-AUTH Instanz z.b. $CATALINA_HOME/conf/moa-id-configuration KOPIEREN MOA WEBAPPLIKATIONEN KONFIGURATIONEN 2/2 Konfiguration MOA-SPSS Die MOA-SPSS Konfiguration $MOA_ID_INST_AUTH/conf/moa-spss und die zugehörigen Verzeichnisse ebenfalls in ein beliebiges Verzeichnis kopiert werden Das Modul MOA-SPSS wird zur Signaturprüfung im Modul MOA-ID-Auth verwendet z.b. $CATALINA_HOME/conf/moa-spss Bitte beachten Sie, dass das Schlüsselmaterial (PVP 2.1, OpenID Connect ), welches in der Standard-Konfiguration beigelegte ist, nur für Demozwecke und nicht für den produktiven Einsatz gedacht ist 8

9 ZERTIFIKAT APACHE TOMCAT Für den sicheren Betrieb von MOA-ID-AUTH ist die Verwendung von SSL Voraussetzung, sofern nicht ein vorgelagerter Webserver (Apache oder IIS) das SSL-Handling übernimmt. Ebenso kann SSL auch für MOA-ID-Configuration verwendet werden. Ein SSL-Server-Zertifikat kann beispielsweise bei A-Trust oder A-CERT bzw. einem anderen internationalen Anbieter bezogen werden. Für Testzwecke kann mit geeigneten Tools auch ein eigenes Zertifikat erstellt werden. Die Konfiguration des HTTPS Connectors kann entfallen, wenn ein Webserver vorgeschaltet ist, und dieser die SSL-Kommunikation mit dem Kunden übernimmt TEST-ZERTIFIKAT ERSTELLEN 1/2 Für die Erstellung des Test-Zertifikats wird das Tools keytool verwendet, welches der Java SE beiliegt Schritt 1 Öffnen der Eingabeaufforderung und erstellen Sie das Server Zertifikat tomcattest.jks $JAVA_HOME\bin\keytool -genkey -alias tomcattest -keyalg RSA -keypass changeit - storepass changeit -keystore tomcattest.jks Schritt 2 Das generierte Zertifikat tomcattest.jks in die Datei tomcattest.cer exportieren $JAVA_HOME\bin\keytool -export -alias tomcattest -storepass changeit -file tomcattest.cer -keystore tomcattest.jks 9

10 TEST-ZERTIFIKAT ERSTELLEN 2/2 Schritt 3 Das Zertifikat in den Truststore cacerts.jks importieren $JAVA_HOME\bin\keytool -import -v -trustcacerts -alias tomcat -file tomcattest.cer - keystore cacerts.jks -keypass changeit -storepass changeit Schritt 4 Den Truststore in den Apache Tomcat in das Verzeichnis $CATALINA_HOME/conf/ kopieren KONFIGURATION TEST-ZERTIFIKAT IN APACHE TOMCAT Die Datei $CATALINA_HOME/conf/server.xml enthält eine Tomcat- Konfiguration welche mit den nachfolgenden Werten angepasst werden muss. Diese aktivieren den HTTPS Connector des Apache Tomcats Der HTTP Connector sollte für eine Produktiv-Umgebung auskommentiert werden. <Connector port="443" protocol="org.apache.coyote.http11.http11protocol" maxthreads="150" SSLEnabled="true" scheme="https" secure="true" clientauth="false" sslprotocol="tls" keystorefile="conf/tomcattest.jks" keystorepass="changeit" /> 10

11 KOPIEREN - APACHE TOMCAT START-SCRIPT Kopieren Sie die Dateien (für Windows) aus dem Verzeichnis $MOA_ID_INST_AUTH/tomcat/win32 in das Verzeichnis $CATALINA_HOME Das Start-Script starttomcat.bat beinhaltet grundlegende JVM Einstellungen für MOA und den Apache Tomcat KONFIGURATION APACHE TOMCAT START-SCRIPT Passen Sie die das Start-Script $CATALINA_HOME/startTomcat.bat an set JAVA_HOME=C:/moa/programme/jdk1.7.0_65 set CATALINA_HOME=. Einstellungen für das Server Zertifikat auskommentieren Folgender Werte kommentieren rem set PROXY_OPT=- Dmoa.id.proxy.configuration=%CATALINA_HOME%/conf/moa-idproxy/MOAIDConfiguration.xml rem set DEMOOA_OPT=-Dmoa.id.demoOA=%CATALINA_HOME%/conf/moa-idoa/oa.properties 11

12 KONFIGURATION APACHE TOMCAT STOP-SCRIPT Passen Sie die das Start-Script $CATALINA_HOME/stopTomcat.bat an set JAVA_HOME=C:/moa/programme/jdk1.7.0_65 set CATALINA_HOME=. INSTALLATION - MYSQL-SERVER Der MySQL Community Server benötigt Microsoft.NET Framework 4 (oder höher) Microsoft Visual C runtime Visual Studio Tools for Office2010 Runtime Folgen Sie dem Setup-Verlauf und installieren Sie den MySQL Server in einen beliebigen Ordner In einem Produktiv-System sollte ein eigener Datenbank-Benutzer angelegt werden, welcher die MOA-Datenbanken verwaltet 12

13 ANLEGEN DER MOA-DATENBANKEN Für den Betrieb werden mindestens zwei getrennte Datenbank Schema benötig, da die Konfiguration und die Session Informationen getrennt abgelegt werden moa-id-config Beinhaltend die MOA-Konfiguration moa-id-session Beinhaltet die MOA-Session Informationen moa-id-statistic Beinhaltet die MOA-Statistikfunktion KONFIGURATION MOA-ID-CONFIGURATION 1/2 Passen Sie die Konfigurations-Datei der MOA-ID-CONFIGURATION Webapplikation $CATALINA_HOME/conf/moa-id-configuration/moa-idconfigtool.properties an Ersetzen Sie den Text $PATH_TO_CONFIG$ durch den Pfad in welchem sich der Apache Tomcat Server befindet. Z.B.: C:/moa/programme/apache-tomcat Passen die URL an, unter welcher der Web-Server erreichbar ist Z.B.: 13

14 KONFIGURATION MOA-ID-CONFIGURATION 2/2 Setzen Sie den Wert der Einstellung general.login.deaktivate auf true Hiermit kann die Authentifizierung am Konfigurationstool deaktiviert werden. Diese Funktion ist für die Initialisierung des Modules erforderlich Passen Sie die Datenbank-Einstellungen an URL, Benutzername und Passwort für die MOA-ID-Konfigurations-Datenbank KONFIGURATION MOA-ID 1/2 Passen Sie die Konfigurations-Datei der MOA-ID Webapplikation $CATALINA_HOME/conf/moa-id/moa-id.properties an Ersetzen Sie den Text $PATH_TO_CONFIG$ durch den Pfad in welchem sich der Apache Tomcat Server befindet. Z.B.: file:///c:/moa/programme/apache-tomcat Setzen Sie den Wert der Einstellung configuration.monitoring.active auf true Aktiviert das Modul für internes Monitoring / Testing 14

15 KONFIGURATION MOA-ID 2/2 Passen Sie die Datenbank-Einstellungen (URL, Benutzername und Passwort) an MOA-ID-Konfigurations-Datenbank MOA-ID-Statistik-Datenbank MOA-ID-Session-Datenbank STARTEN DES APACHE TOMCATS Führen Sie die Datei $CATALINA_HOME/startTomcat.bat aus um den Apache Tomcat zu starten Dieser lädt die Webapplikationen MOA-ID-AUTH und MOA-ID- CONFIGURATION 15

16 MOA-ID-CONFIGURATION WEBAPPLIKATION Wurde der Tomcat erfolgreich gestartet kann mit nachfolgender URL auf die MOA- ID-CONFIGURATION Webapplikation zugegriffen werden um MOA-ID zu konfigurieren Dank der vorigen Einstellung general.login.deaktivate=true ist keine Anmeldung an der Webapplikation notwendig Als erstes sollte ein Benutzer mit Administrator-Rechten erstellt werden Benutzer: admin Password: test (Bitte ein sicheres Passwort auswählen!) NEUSTARTEN DES APACHE TOMCATS Führen Sie die Datei $CATALINA_HOME/stopTomcat.bat aus um den Apache Tomcat zu stoppen Ändern Sie in der Konfigurations-Datei der MOA-ID-CONFIGURATION Webapplikation $CATALINA_HOME/conf/moa-id-configuration/moa-idconfigtool.properties den Wert der Einstellung general.login.deaktivate auf false Dadurch wird das Login der MOA-ID-CONFIGURATION Webapplikation wieder aktivert. Führen Sie die Datei $CATALINA_HOME/startTomcat.bat aus um den Apache Tomcat zu starten 16

17 MOA-ID-CONFIGURATION WEBAPPLIKATION Wurde der Tomcat erfolgreich gestartet kann mit nachfolgender URL auf die MOA-ID-CONFIGURATION Webapplikation zugegriffen werden um MOA-ID zu konfigurieren Melden Sie sich mit Ihrem zuvor erstellten Administrator-Benutzer an KONFIGURATION - MOA-ID ALLGEMEINE KONFIGURATION Unter dem Menüpunkt Allgemeine Konfiguration kann MOA-ID-AUTH konfiguriert werden Die Allgemeine Konfiguration des Modules MOA-ID-AUTH umfasst alle nicht online-applikationsspezifischen Konfigurationsparameter Eine Änderung (Speicherung) an der allgemeinen Konfiguration wirkt sich nicht umgehend auf die zugeordnete MOA-ID-Auth Instanz aus, sondern erfolgt mit zeitlicher Verzögerung. Die zeitliche Verzögerung beträgt jedoch maximal eine Minute. 17

18 KONFIGURATION - MOA-ID ALLGEMEINE KONFIGURATION PARAMETER 1/7 Public URL Prefix URL-Prefix der MOA-ID Instanz. Diese URL wird für die automatische Generierung von Formularen und Informationen verwendet und MUSS konfiguriert werden. Z.B.: CertStoreDirectory Gibt den Pfadnamen zu einem Verzeichnis an, das als Zertifikatsspeicher im Zuge der TLS-Server-Zertifikatsüberprüfung verwendet wird Z.B.: certs/certstore KONFIGURATION - MOA-ID ALLGEMEINE KONFIGURATION PARAMETER 2/7 TrustedCACertificates Dieses Verzeichnis wird zur Prüfung der SSL Serverzertifikate für den Zugriff auf das Online-Vollmachten Service, den Stammzahlenregister Gateway und das Abholen von PVP 2.1 Metadaten via SSL verwendet Z.B.: certs/ca-certs ChainingMode ChainingMode definiert, ob bei der Zertifikatspfad-überprüfung das Kettenmodell ("chaining") oder das Modell nach PKIX RFC 3280 ("pkix") verwendet werden soll. Z.B.: pkix 18

19 KONFIGURATION - MOA-ID ALLGEMEINE KONFIGURATION PARAMETER 3/7 Personenbindung Trustprofil Dieses Element spezifiziert eine TrustProfileID, die für den VerifyXMLSignatureRequest zur Überprüfung der Signatur der Personenbindung verwendet werden muss. Diese TrustProfileID muss beim verwendeten MOA-SP Modul konfiguriert sein. Z.B.: MOAIDBuergerkartePersonenbindung Authentfizierungsblock Trustprofil Dieses Elemente spezifizieren eine TrustProfileID die für den VerifyXMLSignatureRequest zur Überprüfung der Signatur des Auth-Blocks verwendet werden müssen. Diese TrustProfileID muss beim verwendeten MOA-SP Modul konfiguriert sein. Z.B.: MOAIDBuergerkarteAuthentisierungsDaten KONFIGURATION - MOA-ID ALLGEMEINE KONFIGURATION PARAMETER 4/7 Authentfizierungsblock Transformationen Die Elemente spezifizieren eine ID für ein Transformationsprofil, die für den VerifyXMLSignatureRequest zur überprüfung der Signatur des Auth-Blocks verwendet werden müssen. Dieses Transformationsprofil muss beim verwendeten MOA-SP Modul konfiguriert sein. Z.B.: MOAIDTransformAuthBlockTable_DE_2.0 URL zum MOA-SP Service URL auf das zu nutzende MOA-SP Service. Wird kein MOA-SP Service URL angegeben so wird eine MOA-ID beiliegende Version von MOA-SP direkt über das Java-API angesprochen. In diesem Fall muss das System- Property auf die verwendete Konfigurationsdatei von MOA-SP gesetzt werden. 19

20 KONFIGURATION - MOA-ID ALLGEMEINE KONFIGURATION PARAMETER 5/7 PVP Service Name Name der MOA-ID-Auth Instanz. Dieser Name wird in den Metadaten im Element md:entitiesdescriptor als Attribut Name angezeigt Z.B.: MOA-ID 2.0 Demo IDP Kurzbezeichnung Kurzbezeichnung der Organisation welche die MOA-ID-Auth Instanz betreibt. Dieser Parameter wird in den Metadaten im Element md:organization/md:organizationname angezeigt. Z.B.: EGIZ KONFIGURATION - MOA-ID ALLGEMEINE KONFIGURATION PARAMETER 6/7 Vollständiger Name Vollbezeichnung der Organisation welche die MOA-ID-Auth Instanz betreibt. Dieser Parameter wird in den Metadaten im Element md:organization/md:organizationdisplayname angezeigt Z.B.: egovernment Innovationszentrum URL der Organisation URL zu einer Seite mit Informationen der Organisation welche die MOA-ID-Auth Instanz betreibt. Dieser Parameter wird in den Metadaten im Element md:organization/md:organizationurl angezeigt. Z.B.: 20

21 KONFIGURATION - MOA-ID ALLGEMEINE KONFIGURATION PARAMETER 7/7 SecurityLayer Transformationen Die Security-Layer (SL) Transformation, welche von MOA-ID-Auth für die Erstellung der Signatur des AuthBlock verwendet werden soll, muss hier angegeben werden Über das Datei-Upload Feld kann die zu verwendende Transformation hochgeladen werden Diese befindet sich in der MOA-ID-Auth Defaultkonfiguration im Ordner /conf/moaid/transforms/ TransformsInfoAuthBlockTable_DE_2.0.xml MONITORING-SERVLET Wenn das interne Monitoring aktiviert wurde kann ein Testvorgang durch einen Aufruf der folgenden Adresse gestartet werden Durch die vorherigen Einstellung configuration.monitoring.active=true wurde das Monitoring aktiviert Erscheint der Text All Tests passed! ist MOA-ID-AUTH funktionsfähig 21

22 INSTALLATION - MOA-ID DEMO APPLIKATION 1/2 In dieser Test-Installation wird die Demo Applikation im gleichen Apache Tomcat wie MOA-ID-AUTH und MOA-ID-CONFIGURATION deployed. Der Apache Tomcat ist aus diesem Grund vor der Installation zu stoppen. Webapplikation Demo Applikation Die Datei moa-id-oa.war enthält das einsatzfertige Webarchiv der Demo Applikation Kopieren Sie die Datei moa-id-oa.war aus dem Verzeichnis $MOA_ID_INST_AUTH in das Verzeichnis $CATALINA_HOME/webapps INSTALLATION - MOA-ID DEMO APPLIKATION 2/2 Konfiguration Demo Applikation Die Konfigurationsdatei mit der Basiskonfiguration für die Demo Applikation $MOA_ID_INST_AUTH/conf/moa-id-oa und die zugehörigen Verzeichnisse müssen in ein beliebiges Verzeichnis im Dateisystem kopiert werden z.b. $CATALINA_HOME/conf/moa-id-oa Passen Sie die das Start-Script $CATALINA_HOME/startTomcat.bat an. Der nachfolgende Eintrag muss auskommentiert werden. set DEMOOA_OPT=-Dmoa.id.demoOA=%CATALINA_HOME%/conf/moa-idoa/oa.properties 22

23 KONFIGURATION MOA-ID DEMO APPLIKATION Passen Sie die Konfigurations-Datei der MOA-ID Webapplikation $CATALINA_HOME/conf/moa-id-oa/oa.properties an Ersetzen Sie den Text $PATH_TO_CONFIG$ durch den Pfad in welchem sich der Apache Tomcat Server befindet. Z.B.: C:/moa/programme/apache-tomcat Passen die URL an, unter welcher der Web-Server erreichbar ist Z.B.: KONFIGURATION - MOA-ID DEMO APPLIKATION SSL-ZERTIFIKAT Die MOA-ID-AUTH Applikation und die MOA-ID-CONFIGURATION Applikation holen die für PVP 2.1 benötigten Metadaten der MOA-ID DEMO Applikation über HTTPS ab Aus diesem Grund muss im TrustStore der MOA-ID-Auth Instanz bzw. MOA-ID- CONFIGURATION Instanz das Serverzertifikat hinterlegt werden MOA-ID $CATALINA_HOME/conf/moa-id/certs/ca-certs MOA-ID-CONFIGURATION: $CATALINA_HOME/conf/moa-id-configuration/certs/truststore 23

24 STARTEN DES APACHE TOMCATS Führen Sie die Datei $CATALINA_HOME/startTomcat.bat aus um den Apache Tomcat zu starten Dieser lädt die Webapplikationen MOA-ID-AUTH, MOA-ID-CONFIGURATION und die im nachhinein installierte MOA-ID DEMO APPLIKATION KONFIGURATION - PVP 2.1 INFORMATIONEN 1/4 Das Modul MOA-ID-Auth stellt für Service-Provider (Online-Applikationen) Metadaten bereit welche alle PVP 2.1 spezifischen Informationen der MOA-ID- Auth Instanz beinhalten Diese Metadaten werden durch das Modul MOA-ID-Auth signiert, wodurch Service Provider die Authentizität der Metadaten verifizieren können Die aktuellen Metadaten zu Ihrer MOA-ID-Auth Instanz können unter folgender URL abgerufen werden 24

25 KONFIGURATION - PVP 2.1 INFORMATIONEN 2/4 Wollen Sie für Ihre Online-Applikation PVP 2.1 als Authentifizierungsprotokoll nutzen müssen für jede Online-Applikation Metadaten erstellt und durch den Service Provider signiert werden Zusätzlich muss die URL auf die Metadaten und das entsprechende Signaturzertifikat zur Prüfung der Signatur in der online-applikationsspezifischen PVP 2.1 Konfiguration von MOA-ID-Auth hinterlegt sein. KONFIGURATION - PVP 2.1 INFORMATIONEN 3/4 Während des Anmeldevorgangs mittels PVP 2.1 holt der Service Provider die Metadaten des Identity Providers am Modul MOA-ID-Auth ab und validiert die Signatur der Metadaten mit dem am Service Provider hinterlegten Zertifikat Aus diesem Grund muss am Service Provider die URL der Metadaten des Identity Providers sowie das jeweilige Zertifikat hinterlegt sein Im Falle der MOA-ID DEMO Applikation wurden die Informationen in der Konfigurationsdatei $CATALINA_HOME/conf/moa-id-oa/oa.properties angegeben general.login.pvp2.idp.metadata.url= general.login.pvp2.idp.metadata.certificate=c:/moa/programme/apache-tomcat /conf/moaid-oa/keys/moa_idp.crt general.login.pvp2.idp.metadata.entityid= 25

26 KONFIGURATION - PVP 2.1 INFORMATIONEN 4/4 Im weiteren Verlauf des Anmeldevorgangs mittels PVP 2.1 holt MOA-ID Auth die Metadaten des Service Providers und validiert die Signatur der Metadaten mit dem in der MOA-ID-Auth Konfiguration für diesen Service Provider hinterlegten Zertifikat Aus diesem Grund wird in der MOA-ID-CONFIGURATION die URL der Metadaten des Service Providers sowie das jeweilige Zertifikat hinterlegt sein KONFIGURATION - MOA-ID DEMO APPLIKATION MITTELS WEBAPPLIKATION 1/5 Wurde der Tomcat erfolgreich gestartet kann mit nachfolgender URL auf die MOA-ID-CONFIGURATION Webapplikation zugegriffen werden um MOA-ID zu konfigurieren Melden Sie sich mit Ihrem zuvor erstellten Administrator-Benutzer an 26

27 KONFIGURATION - MOA-ID DEMO APPLIKATION MITTELS WEBAPPLIKATION 2/5 Online-Applikation ist aktiviert Aktiviert oder deaktiviert die Online-Applikation Eindeutiger Identifikatior Dieser Parameter dient als Schlüssel zum Auffinden der Konfigurationsparameter zur Online-Applikation. Hierfür ist ein eindeutiger Identifikator für die Online-Applikation erforderlich. Dieser eindeutige Identifikator muss mindestens dem URL-Präfix der nach außen sichtbaren Domäne der Online-Applikation entsprechen. Z.B.: KONFIGURATION - MOA-ID DEMO APPLIKATION MITTELS WEBAPPLIKATION 3/5 Name der Online-Applikation Hier muss ein benutzerfreundlicher Name für die Online-Applikation angegeben werden. Dieser Name scheint während der Authentifizierung des Benutzers oder am Online-Vollmachten Service bei der Vollmachten Auswahl auf. Z.B.: Demo Applikation Bereich Definiert den öffentlichen Bereich dem die Online-Applikation zugeordnet ist. Z.B.: BF 27

28 KONFIGURATION - MOA-ID DEMO APPLIKATION MITTELS WEBAPPLIKATION 4/5 URL zu den Metadaten URL unter der die MOA-ID-Auth Instanz die Metadaten der Online-Applikation beziehen kann. Diese Metadaten müssen durch die Online-Applikation signiert sein. Z.B.: Zertifikat hochladen Zertifikat mit dem die Metadaten der Online-Applikation signiert sind. Dieses wird benötigt um die Metadaten zu verifizieren. Z.B.: $CATALINA_HOME/conf/moa-id-oa/keys/metadata.crt KONFIGURATION - MOA-ID DEMO APPLIKATION MITTELS WEBAPPLIKATION 5/5 SSL-Zertifikat Für den Fall das die Metadaten über https abgeholt werden, muss das jeweilige Serverzertifikat zur Zertifikatsprüfung im TrustStore der MOA-ID-Auth Instanz bzw. MOA-ID-CONFIGURATION Instanz hinterlegt sein. MOA-ID $CATALINA_HOME/conf/moa-id/certs/ca-certs MOA-ID-CONFIGURATION: $CATALINA_HOME/conf/moa-id-configuration/certs/truststore Dieser Schritt wurde bereits zuvor erledigt/behandelt 28

29 TESTEN - PVP 2.1 METADATEN Die aktuellen Metadaten zu Ihrer MOA-ID-Auth Instanz können unter folgender URL abgerufen werden Die aktuellen Metadaten zu Ihrer MOA-ID DEMO Applikation Instanz können unter folgender URL abgerufen werden TESTEN - MOA-ID DEMO APPLIKATION Die MOA-ID DEMO Applikation ist unter folgender URL erreichbar Starten Sie den Anmelde-Prozess mit einem Klick auf den Login-Button 29

30 Oliver Bernecker, MSc Dipl.-Ing. Peter Danner 30