ABAWEBTREUHAND SOFTWARE AS A SERVICE

Transkript

1 ABAWEBTREUHAND SOFTWARE AS A SERVICE Installation Konfiguration Registration - Postzertifikate Diese Unterlagen sind urheberrechtlich geschützt. Alle Rechte, auch die der Übersetzung, des Nachdrucks und der Vervielfältigung der Unterlagen, oder Teilen daraus, vorbehalten. Kein Teil der Unterlagen darf ohne schriftliche Genehmigung der ABACUS Research AG in irgend einer Form (Fotokopie oder ein anderes Verfahren), auch nicht für Zwecke der Unterrichtsgestaltung, reproduziert oder unter Verwendung elektronischer Systeme verarbeitet, vervielfältigt oder verbreitet werden. Copyright 2008 by ABACUS Research AG, 9301 Wittenbach-St.Gallen V 1.5 / CG Oktober 2008 Version 1.5

2 Inhaltsverzeichnis 1 Einleitung Änderungsverlauf Vorwort Einführung und Begriffe Installation Web Server Konfiguration Web Server SSL Zertifikate Firewall Vorschlag 1 Abacus Server im internen Netz Vorschlag 2 dediziertes Abacus Netz Loadbalancing Web-Login nur über Post-Zertifikat erlauben Registrationsportal Generell Registration auf Postzertifikate Was ist ein Postzertifikat? Vorgehen zur Erstellung eines Postzertifikats Treuhänder business Packet cablecom Treuhänder business Packet AbaWebTreuhand

3 1 Einleitung Einleitung Änderungsverlauf Nr Version Kapitel Seite Bemerkung Sioux-Installation unter Linux Intermediate-Zertifikate Einschränkungen PostZertifikat Hinweis Registrationsportal: Generell Registrationsportal: Registration Hinweis Hinweis Fixe IP-Adresse und Domain-Name Hinweis 1 (hosts-file) Letzter Abschnitt Port 80 bzw. AbaSioux Loadbalancing Web-Login nur mit PostZertifikat erlauben Verkürzt und wichtigste Punkte hervorgehoben Hinweis DEMOUSER Sioux-Installation unter Linux / Ubuntu vs. Suse Hinweis 1.2 Vorwort Die Abacus Research AG bietet ab der Version die erste internetfähige Version Ihrer Programme für Treuhänder an. Dieses Konzept - Software as a Service - bringt sowohl für den Treuhandkunden, als auch für den Treuhänder eine erhebliche Erleichterung. Der Treuhandkunde braucht sich nicht mehr um eine eigene ABACUS Installation zu kümmern, dem Treuhänder entfällt der Datenaustausch mit seiner Klientel. Der Treuhandkunde arbeitet über Internet direkt auf der ABACUS Installation seines Treuhänders in seinem eigenen Mandanten mittels einem Abonnement. Die Authentifizierung auf dem Applikationsserver des Treuhänders erfolgt über das persönliche Postzertifikat des Treuhandkunden. Das Software-Abonnement des Treuhandkunden wird jeweils beim Login überprüft, wobei eine sichere Verbindung zum Authentication-Server der Abacus Research AG aufgebaut wird. Dieser Authentication-Server besteht an drei verschiedenen Standorten in der Schweiz, so dass eine permanente Verfügbarkeit garantiert ist. Diese neue Möglichkeit zu arbeiten bedingt aber, dass der ABACUS Applikationsserver des Treuhänders schlussendlich über das Internet angesprochen werden kann. Somit wird der Frage nach der Sicherheit des Systems automatisch mehr Bedeutung zugesprochen. AbaWebTreuhand Seite 1 Seite 1

4 Einleitung Einführung und Begriffe Einführung Die vorliegende Installationsanleitung gibt einen Überblick über eine AbaWebTreuhand Umgebung. Es wird davon ausgegangen, dass die Installation und Konfiguration von einer fachkundigen Person ausgeführt wird, die Kenntnisse in Sachen Netzwerk und Firewall besitzt Verbindungsüberblick Damit der ABACUS Applikationsserver nicht direkt über das Internet angesprochen werden kann, bietet die Abacus Research AG ab der Version die Möglichkeit, den Dienst Aba- Sioux auf eine andere Maschine (in der Folge mit Web Server benannt) zu separieren. Der Treuhandkunde beginnt mit einer SSL-verschlüsselten Verbindung aus dem Internet, welche auf dem Web Server terminiert wird. Der Web Serber kommuniziert danach mit dem Applikations-Server über ein anderes Protokoll. Vom Applikations-Server wird eine Verbindung zum Abacus-Authentication-Server aufgebaut, von welchem der Kunde sein Abonnement erhält Begriffe Nachfolgend werden die Begriffe erklärt, die in dieser Installationsanleitung vorkommen und verstanden werden sollten, um eine korrekte Umgebung aufbauen zu können. Begriff Erklärung Zusatz Web Server HTTP HTTPS SSL = Secure Sockets Layer Server, der direkt über das Internet angesprochen werden kann und Webseiten anzeigt oder Anfragen aus dem Internet weiterleitet. Benötigt eine fixe IP Adresse. Unverschlüsseltes Protokoll zur Übermittlung von Web-Inhalten. Die Java- Applikationen von ABACUS können dieses Protokoll verwenden, um mit dem Server zu kommunizieren. Eine Kombination aus SSL und HTTP, also ein verschlüsseltes Protokoll zur Übermittlung von Web-Inhalten. Die Java- Applikationen von ABACUS können dieses Protokoll verwenden, um mit dem Server zu kommunizieren. Verschlüsseltes Internetprotokoll Gebräuchl. Port Nr = 80 Gebräuchl. Port Nr = 443 AbaWebTreuhand Seite 2 Seite 2

5 Einleitung 1 SSL Server Zertifikat AbaSioux Zertifikat, das auf dem Web Server installiert wird, damit Anfragen aus dem Internet sicher von dem in der URL angegebenen gewünschten Server entgegengenommen werden und nicht unterwegs abgefangen werden. Name des Abacus Web Server Dienstes Beispiel 80/443 Sioux Standalone Windows / Linux DMZ Authentication Server Internes Netz AbaWebTreuhand Seite 3 Seite 3

6 2 Installation Installation Web Server Hardware Die Installation des AbaSioux-Dienstes setzt kein spezielles Betriebssystem voraus. Die empfohlenen Hardwarevoraussetzungen für diesen Web Server sehen wie folgt aus: 2 GHz / 500 MB RAM Dieser Server dient rein der Kommunikation zwischen Anfragen aus dem Internet und dem ABACUS Applikationsserver. Es wird empfohlen, auf dem Web Server ausser des AbaSioux- Dienstes keine anderen Dienste zu installieren und auf keinen Fall wichtige Dokumente darauf abzulegen Fixe IP-Adresse und Domain-Name Damit Ihre Installation aus dem Internet erreichbar ist, benötigt der Web Server eine fixe IP- Adresse. Zusätzlich muss dieser Adresse ein Domain-Name zugewiesen werden. Dieser Name wird im Regelfall auf eine Subdomain Ihrer bestehenden Internetadresse ( registriert. In diesem Beispiel heisst der DNS-Name: abatreuhand.abacus.ch Für eine fixe IP und den dazugehörigen Domain-Name wenden Sie sich bitte an Ihren Internet- Provider. Hinweis: Cablecom bietet ein speziell auf AbaTreuhand zugeschnittenes Business Packet an. Nähere Informationen finden Sie im letzten Kapitel dieses Dokuments. AbaWebTreuhand Seite 4 Seite 4

7 Installation AbaSioux-Installation unter Windows Um das ABACUS Setup zu starten benötigen Sie Administratoren-Rechte. Starten Sie auf dem Web Server das AbaSetup von der Abacus CD. Weiter Weiter AbaWebTreuhand Seite 5 Seite 5

8 Installation 2 Lizenzvertrag akzeptieren und Weiter Netzwerk-Server AbaWebTreuhand Seite 6 Seite 6

9 Installation 2 Laufwerk wählen - Weiter AbaWebTreuhand Seite 7 Seite 7

10 Installation 2 Wählen Sie in der Applikationsauswahl auf der linken Seite nur ABACUS Tool-Kit, auf der rechten Seite lediglich ABACUS AbaSioux an. Weiter AbaWebTreuhand Seite 8 Seite 8

11 Installation 2 Die Installation des AbaSioux auf das gewählte Laufwerk beginnt. Der Dienst AbaSioux ist nun erfolgreich auf Ihrem Web Server installiert Zugriff auf Verzeichnisse Der Dienst läuft standardmässig unter dem System-Account. Wird dieser auf einen User- Account geändert, müssen folgende Zugriffsrechte auf die Verzeichnisse vergeben werden: \Abac (inkl. Unterverzeichnisse) read \Abac\Sioux\log write AbaWebTreuhand Seite 9 Seite 9

12 Installation AbaSioux-Installation unter Linux Erstellen Sie als erstes den Benutzer abacus und die Gruppe abacus. Laden Sie anschliessend die benötigten Files; - abasioux_v _linux-x86.tar.gz - sioux von herunter. Sobald sich die beiden Dateien im Home-Verzeichnis vom Root-Benutzer befinden, kann der Root-Benutzer den Dienst AbaSioux wie folgt installieren: # cd / # tar xvzf ~/abasioux_v _linux-x86.tar.gz # cp ~/sioux /etc/init.d # chmod +x /etc/init.d/sioux Unter Ubuntu / Debian führen Sie anschliessend folgenden Befehl aus: # update-rc.d sioux defaults Unter Suse muss im YaST2 folgendes konfiguriert werden: Unter System / System Services (Runlevel) -> in den 'Expert Mode' wechseln -> den Dienst 'sioux' auswählen -> die Runlevel 3 und 5 selektieren -> speichern Anschliessend müssen noch folgende Konfigurationen vorgenommen werden 1. Network Devices / Network Card -> Zone der Netzwerkkarte auf 'demilitarized zone' ändern -> speichern 2. Security and Users / Firewall -> auf Lasche 'allowed Services' wechseln -> Zone auf 'Demilitarized Zone' wechseln -> HTTPS zu den erlaubten Services hinzufügen -> speichern Der Dienst AbaSioux kann entweder per Reboot oder durch folgendes Kommando gestartet werden: # /etc/init.d/sioux start AbaWebTreuhand Seite 10 Seite 10

13 Installation Dienst AbaSioux nicht mit Root-Benutzer starten Falls der Dienst AbaSioux nicht unter dem Root-Benutzer laufen gelassen werden möchte, müssen für den neu erstellten Benutzer folgende Verzeichnisse freigegeben werden: Die Rechte gelten jeweils für den Benutzer, als auch für die Gruppe: /opt/abacus (inkl. Unterverzeichnisse) read & execute (auf Verzeichnissen) read (auf Dateien) /opt/abacus/log/sioux/secure write (Auf Verzeichnis und Logfiles) /opt/abacus/log/sioux/unsecure write (Auf Verzeichnis und Logfiles) /opt/abacus/secure/abasiouxsecure execute (Auf Datei) /opt/abacus/unsecure/abasioux execute (Auf Datei) Nun muss der Eintrag SecurityOptions in den.set-files noch mit dem entsprechenden User ergänzt werden. Sie finden diese Files unter /opt/abacus/sioux/unsecure/abasioux.set /opt/abacus/sioux/secure/abasiouxsecure.set AbaWebTreuhand Seite 11 Seite 11

14 3 Konfiguration Konfiguration Web Server Damit der Web Server die Anfragen aus dem Internet an den ABACUS Applikationsserver weiterleiten kann, muss manuell das File Abaservices.ini im Verzeichnis \Abac\System auf dem Web Server angepasst werden. Tragen Sie anstelle des Eintrags localhost neben HostULC den Servernamen oder die IP Adresse Ihres ABACUS Applikationsserver ein. Hinweis: Falls Sie den Servernamen eingeben, muss dieser vom Web Server angepingt werden können. Ist dies nicht der Fall, muss das hosts -file unter.\system32\drivers\etc auf dem Web Server gemäss darin angegebenem Beispiel angepasst werden. Beispiel: Ihr Applikationsserver kann nun bereits über einen Internet-Browser angesprochen werden: Bsp: oder Diese Verbindung ist jedoch noch nicht SSL verschlüsselt. Der Erwerb eines SSL Zertifikats inkl. dessen Einbindung in den Web Server wird im nächsten Kapitel beschrieben. AbaWebTreuhand Seite 12 Seite 12

15 Konfiguration SSL Zertifikate Was ist ein SSL Zertifikat Ein SSL Zertifikat bestätigt die Zugehörigkeit einer URL zu einem bestimmten Web Server. Ohne SSL Zertifikat könnten Anfragen auf einen Server abgefangen werden und an einen anderen Server weitergeleitet werden. Die Sicherheit der Anfragen an den Web Server ist ohne Zertifikat nicht gewährleistet Zertifikatsanfrage erstellen Bevor man ein SSL Zertifikat bei einer CA (Certification Authority) beantragen kann, muss eine Zertifikatsanfrage erstellt werden. Ab der Version wird die Komponente OPENSSL beim Setup einer ABACUS Applikation ins Abac\Df installiert. Da Sie auf dem Web Server keine Applikation installiert haben, müssen die nächsten Schritte von einer Arbeitsstation mit ABACUS Zugriff oder auf dem ABACUS Applikationsserver ausgeführt werden. Starten Sie einen DOS-TASK über START - AUSFÜHREN CMD. Wechseln Sie ins Abac\Df. Und geben Sie folgendes ein: Abac\Df > openssl req config openssl.cnf -new -newkey rsa:2048 nodes Sie werden aufgefordert, Eingaben zu Ihrem Web Server zu tätigen Beispielwerte: 1. Land eingeben (CH) 2. Kanton eingeben (St.Gallen) 3. Ortschaft eingeben (Kronbuehl) 4. Firmenname wie er im Handelsregister steht (Abacus Research AG) 5. Untergruppenname der Firma, falls es einen gibt (Abacus Bern) 6. Web Server Name (Common Name) (abatreuhand.abacus.ch) 7. -Adresse (optional) (hostmaster@abacus.ch) 8. Die Extra-Attribute können, müssen aber nicht abgefüllt werden. AbaWebTreuhand Seite 13 Seite 13

16 Konfiguration 3 Hinweis: Achten Sie darauf keine ä/ö/ü zu verwenden! Sobald Sie ENTER drücken, erhalten Sie Ihren Certificate Request AbaWebTreuhand Seite 14 Seite 14

17 Konfiguration 3 Markieren Sie den ganzen Request und kopieren Sie diesen ihn ein Textfile AbaWebTreuhand Seite 15 Seite 15

18 Konfiguration Keyfile kopieren Nach der Generierung des Certificate Request befindet sich nun das File privkey.pem im Verzeichnis \Abac\Df. Kopieren Sie dieses jetzt auf den WebServer ins Verzeichnis \Abac\KD\Cert\Private\ Hinweis: Erstellen Sie anschliessend eine Sicherheitskopie dieses.pem-files, damit Sie im Verlustfall darauf zurückgreifen können! Erstellen Sie unter \Abac\kd\cert\private\ ein eigenes Verzeichnis (Backup) und speichern Sie es zusätzlich in diesem Verzeichnis ab Zertifikat beantragen Suchen Sie nun im Internet eine CA (Certification Authority) auf, um Ihr SSL Zertifikat zu beantragen. Das folgende Beispiel zeigt den Beginn der Beantragung bei THAWTE. Thawte ist in allen Standard-Internet-Browsern im Truststore aufgeführt und wird deshalb von Abacus Research AG empfohlen. Hinweis: Sie können sich auch für eine beliebig andere CA entscheiden, bedenken Sie dabei einfach, dass nur wenige CA s in den üblichen Internetbrowsern im Truststore standardmässig integriert sind. Entscheiden Sie sich für eine CA, welche nicht im Truststore integriert ist, erhalten Ihre Kunden beim Zugriff auf Ihren Server immer eine Meldung, dass die Zugehörigkeit des SSL Zertifikats nicht bestätigt werden kann. Damit die Meldung nicht mehr erscheint, müssten alle Kunden die CA, die das Zertifikat ausgestellt hat, in Ihren eigenen Browser-Truststore aufnehmen. Besipiel: Truststore eines MS Internet-Explorers unter Extras - Internetoptionen - Inhalte AbaWebTreuhand Seite 16 Seite 16

19 Konfiguration Wählen Sie SSL 123 Certificates AbaWebTreuhand Seite 17 Seite 17

20 Konfiguration 3 2. Wählen Sie die Dauer der Gültigkeit ACHTUNG: Falls Sie eine Eingabe ein zweites Mal vornehmen müssen, kontrollieren Sie jeweils wieder die Dauer-Angabe. Diese springt jeweils wieder auf den Standardwert von 2 Jahren! 3. Eingabe (kopieren) der Zertifikatsanfrage aus dem Textfile AbaWebTreuhand Seite 18 Seite 18

21 Konfiguration 3 4. Wahl des Web Servers und Angabe der Währung AbaSioux ist bei Thawte als Web Server aufgeführt und kann angewählt werden. Ist AbaSioux bei der gewählten CA nicht aufgeführt, kann Apache angewählt werden. Falls nötig kann das Zertifikat schlussendlich auch noch mit OPENSSL in das gewünschte Format umgewandelt werden. 4. Zahlungsinformationen Tätigen Sie die entsprechenden Angaben zur Zahlung des Zertifikats (Kreditkartenangaben) 5. Firmenkontakt Geben Sie im Firmenkontakt die Verantwortliche Person für das Zertifikat an. 6. Technischer Kontakt Geben Sie beim Technischen Kontakt den Verantwortlichen für Ihr Netzwerk an. Sie haben sowohl beim Firmenkontakt, als auch beim technischen Kontakt folgendes Flag: Je nachdem bei welchem Kontakt dieses Flag gesetzt ist, wird die Angabe der -Adresse entscheidend. Es muss eine -Adresse sein, welche auf Ihrer Domain (abacus.ch) registriert ist und öffentlich via Register prüfbar ist für die Registrierungsstelle. Nur wenn dies der Fall ist, kann die Bestellung abgeschlossen werden. AbaWebTreuhand Seite 19 Seite 19

22 Konfiguration 3 Wählen Sie aus der angegebenen Drop-Down Liste den entsprechenden, für Ihre Domain sichtbaren Eintrag: Eine solche -Adresse muss neu erstellt werden, falls sie noch nicht besteht. 6. Buchhaltungskontakt Geben Sie einen entsprechenden Buchhaltungskontakt ein. Hinweis: Unter Umständen können in allen Kontakten die gleichen Angaben stehen. Nach Tätigung der restlichen verlangten Angaben erhält nach Abschluss der Beantragung, der von Ihnen angegebene Kontakt (Hostmaster@Firma.ch) Ihrer Firma eine , welche bestätigt werden muss, um die Echtheit Ihrer Beantragung zu bezeugen. Es folgt die Überprüfung Ihres Antrages, welche bis zu 24h dauern kann SSL Zertifikat im Web Server integrieren Nachdem das Zertifikat von Thawte ausgestellt wurde, kann man es von der Homepage von Thawte per Copy and Paste in einem Textfile unter dem Namen AbaSioux.crt abspeichern. Überschreiben Sie mit diesem File, das Standard-File AbaSioux.crt unter dem Verzeichnis \Abac\KD\Cert\Private Hinweis: Erstellen Sie anschliessend eine Sicherheitskopie dieses.crt-files, damit Sie im Verlustfall darauf zurückgreifen können! Speichern Sie dieses File ebenfalls im neu angelegten Verzeichnis \Abac\kd\cert\private\backup. Benennen Sie anschliessend das File privkey.pem im Verzeichnis private um, in AbaSioux.key Ihr Applikationsserver kann nach nun - nach Neustart der Dienste AbaSioux & AbaSiouxSecure auf dem Web Server - SSL-verschlüsselt über einen Internet-Browser angesprochen werden: AbaWebTreuhand Seite 20 Seite 20

23 Konfiguration Intermediate-Zertifikate Falls Sie sich für eine CA entscheiden, welche keine Root-Zertfikate ausstellen wie Thatwe, sondern Intermediate-Zertifikate ausgeben wie bspw. Verisign, dann muss das Intermediate- Zertifikat noch im AbaTomahawk.set angegeben werden, damit die ganze Kette aufgelöst werden kann. Sie finden das File auf dem Web Server unter dem Verzeichnis \abac\sioux\plugins\abatomahawk AbaWebTreuhand Seite 21 Seite 21

24 Konfiguration Firewall Konfiguration Ports Folgende Ports müssen auf der Firewall für einen reibungslosen Ablauf geöffnet sein: Internet AbaSioux 80 / 443 AbaSioux - AbaApplicationserver (oder gemäss Eintrag in AbaServices.ini) AbaApplicationsserver - Internet 443 (für den Zugriff auf den Authentication Server) Der Port 80 kann auch geschlossen bzw. der Dienst AbaSioux auf dem Web Server ausgeschaltet bleiben, sodass nur ein Zugriff über https (Port 443) erfolgend kann. Hinweis : Die SSL-Verbindung vom Client bis zum Web Server darf auf keinen Fall unterbrochen und neu aufgebaut werden (z.b. durch einen Proxy), da sonst das Postzertifikat des Kunden, welches beim Login jeweils mitgegeben wird, den Web Server nicht erreicht! Nachfolgend sind zwei verschiedene Vorschläge als Abbildungen aufgeführt, die Möglichkeiten aufzeigen, wie das fertige System aussehen kann. AbaWebTreuhand Seite 22 Seite 22

25 Konfiguration Vorschlag 1 Abacus Server im internen Netz - ABACUS Server im internen Netz - Sioux Standalone in DMZ - Externe User connecten via SSL mit Zertifikat über die Firewall auf den Sioux und werden an den ABACUS Server weitergeleitet - Interne Benutzer greifen via Share auf ABACUS zu 80/443 Sioux Standalone Windows / Linux DMZ Authentication Server Internes Netz AbaWebTreuhand Seite 23 Seite 23

26 Konfiguration Vorschlag 2 dediziertes Abacus Netz - TS/Citrix Server für internen Zugriff auf ABACUS Server in einem dedizierten ABACUS Netz - Sioux Standalone in DMZ - Externe User connecten via SSL mit Zertifikat über die Firewall auf den Sioux und werden an den ABACUS Server weitergeleitet - Interne Benutzer greifen via Terminal Server auf ABACUS zu Sioux Standalone Windows / Linux DMZ / Authentication Server TS / Citrix dediziertes ABACUS Netz Internes Netz AbaWebTreuhand Seite 24 Seite 24

27 Konfiguration Loadbalancing Einleitung Ab der Version 2008 (SP ) stellt die Abacus die Möglichkeit zur Verfügung mehrere Instanzen der Dienste AbaApplicationServer und ReportServerPhoenix parallel auf dem Abacus-Applikationsserver laufen zu lassen. Diese werden benötigt, wenn sich eine hohe Anzahl paralleler User auf dem System befinden. Zum momentanen Zeitpunkt müssen die weiteren Instanzen dieser Dienste noch auf ein- und derselben Maschine laufen (Abacus-Applikationsserver). Dort werden sie automatisch einem weiteren Prozessor des Servers zugewiesen. In einer zukünftigen Abacus-Version können diese Instanzen dann auf weitere physische Maschinen separiert werden Loadbalancing aktivieren Um das Loadbalancing zu aktivieren benötigen Sie eine entsprechende Lizenz. Ist diese Voraussetzung erfüllt, sehen Sie im Servicemanager.exe im Abac\Df die neue Lasche Loadbalancing Aktiveren Sie darin die gewünschte/lizenzierte Anzahl Instanzen des entsprechenden Dienstes und Beenden Sie den Dialog wieder. Starten Sie anschliessend alle Abacus-Dienste neu. AbaWebTreuhand Seite 25 Seite 25

28 Konfiguration Veränderungen nach Aktivierung Loadbalancing Sobald Loadbalancing (für 2 AbaApplicationServer) aktiviert wurde, verändern sich die Einträge im AbaServices.ini auf dem Abacus-Applikationsserver im Verzeichnis Abac\System wie folgt: Vorher: [AbaApplicationServer] PortMarble=40002 PortProj=40003 HostULC= InstanceCount=0 PortULC=40020 PortStatistics=40030 Nacher: [AbaApplicationServer] PortMarble=40002 PortProj=40003 HostULC= InstanceCount=2 [AbaApplicationServer-0] PortULC=40120 PortStatistics=40130 [AbaApplicationServer-1] PortULC=40220 PortStatistics=40230 Der InstanceCount wird auf 2 erhöht und es ergeben sich 2 neue Blöcke: [AbaApplicationServer-0] [AbaApplicationServer-1] Wichtig für eine Web-Umgebung sind hierbei die Portnummern hinter PortULC=. Die Portnummer vor Umstellung ist sowohl im AbaServices.ini auf dem Web Server hinterlegt, damit dieser mit dem Abacus-Applikationsserver kommunizieren kann und aus demselben Grund ist dieser Port auf der Firewall geöffnet. Diese Portnummer erhöht sich mit Aktivierung von Loadbalancing automatisch um 100 und für jede weitere Instanz des AbaApplicationServer wieder um 100. Im AbaServices.ini auf dem Web Server im Abac\System kann nun einfach die bestehende Portnummer auf erhöht werden. Danach müssen die Dienste neu gestartet werden. Auf der Firewall müssen sämtliche Portnummern hinter PortULC= geöffnet werden. AbaWebTreuhand Seite 26 Seite 26

29 Konfiguration Web-Login nur über Post-Zertifikat erlauben Einleitung Abacus liefert Ihre Standard-Login-Page immer mit der Möglichkeit aus, sich auch über Name/Passwort am Abacus anzumelden. Häufig darf ein Web-Login aber nur gesichert durch ein PostZertifikat erfolgen Link auf Login-Page entfernen Öffnen Sie das File index.html (mit einem Texteditor) im Verzeichnis Abac\http_root auf dem Web Server und entfernen Sie folgende Passage: Speichern Sie anschliessen das File Möglichkeit Name/PW-Login über URL sperren Damit auch niemand mehr die komplette URL im Browser für einen Name/PW-Login erzwingen kann, muss jetzt noch das Files AbaTomato.set im Verzeichnis abac\sioux\plugins\abatomato angepasst werden. Entfernen Sie folgende Zeile darin, speichern Sie das File neu und starten Sie anschliessend die Abacus Dienste auf dem Web Server neu: /ulcjnlp = AbaApplicationServer_ULC AbaWebTreuhand Seite 27 Seite 27

30 4 Registrationsportal Registrationsportal Generell Einleitung Mit AbaWebTreuhand geht Abacus Research AG neue Wege, was die Lizenzierung der Software angeht. Damit ein Treuhandkunde die ABACUS Software benützen kann, bedarf es lizenztechnisch keiner administrativen Arbeiten seitens Abacus mehr, da der Treuhandkunde keine eigene ABACUS-Lizenz mehr benötigt, sondern in Teilen der Lizenz seines Treuhänders arbeitet. Der Treuhänder kann seine Kunden ohne Zutun von Abacus auf seinem Server aufschalten. Damit eine Verbindung eines Treuhandkunden zu seinem Treuhänder bzw. dessen Server hergestellt werden kann, wurde das Registrationsportal erstellt Registrationsablauf Kurzübersicht Für die Benützung von AbaLogin, bedarf es von den beteiligten Parteien (Vertriebspartner & Treuhänder) ein gültiges Postzertifikat. Nähere Informationen dazu finden Sie im Kapitel 5. Der Ablauf von der Registration des Vertriebspartners bis hin zur Arbeit des Treuhandkunden stellt sich wie folgt dar: Einmaliger Prozess 1. ABACUS Vertriebspartner registriert sich mittels seines Postzertifikats auf 2. Abacus Research AG prüft die Angaben und schaltet den Vertriebspartner frei 3. Freigeschalteter Vertriebspartner registriert den Treuhänder mittels dessen Postzertifikat 4. Registrierter Treuhänder schaltet seinen ABACUS Server für AbaWebTreuhand frei Sich wiederholender Prozess 5. Treuhänder eröffnet seinen Kunden in der Benutzerverwaltung und weist ihm auf AbaLogin das gewünschte Software Abonnement zu. 6. Treuhandkunde meldet sich über die Web Server URL des Treuhänders mit seinem Postzertifikat an und arbeitet in seinem zugewiesenen Abonnement. AbaWebTreuhand Seite 28 Seite 28

31 Registrationsportal Registration auf Registration Vertriebspartner Ein Vertriebspartner erstellt sich auf einen neuen Account. Über Registrieren gelangt man auf die nächste Seite, auf welcher sich der Vertrag für den Vertriebspartner befindet. Dieser muss unterschrieben an ABACUS Research AG gesendet werden muss. Der Vertrag wird dem Vertriebspartner auch per zugestellt. Nach Prüfung des Vertrags, schaltet ABACUS Research AG den Vertriebspartner frei. AbaWebTreuhand Seite 29 Seite 29

32 Registrationsportal Registration eines neuen Installationsbetreibers Sobald der Vertriebspartner freigeschaltet ist, kann er sich erneut auf anmelden und kann einen neuen Installationsbetreiber (Treuhänder) mittels dessen Zertifikats- - Adresse registrieren Installation registrieren Ein registrierter Installationsbetreiber (Treuhänder) kann jetzt seine Abacus-Installation - über den Menupunkt Installation registrieren unter Spezialprogramme im ABACUS Explorer - freischalten. Es kann sowohl vom Server direkt als auch von einem Client aus gemacht werden. Wichtig ist, dass die Postzertifikatsapplikation auf dieser Maschine installiert ist und das Postzertifikat des Treuhänders eingesteckt ist. Ein aktives Postzertifikat erkennt man am gelben Symbol im Infobereich der Taskleiste. AbaWebTreuhand Seite 30 Seite 30

33 Registrationsportal 4 Sobald man den Menupunkt anwählt, wird das Registrationsportal aufgerufen. Nach der Anmeldung erscheint folgende Seite: Standardmässig wird der Name der ABACUS-Lizenz vorgeschlagen. Die Installation kann hier aber auch noch anders benannt werden, sofern gewünscht. Danach wird diese bei Abacus Research AG registriert. AbaWebTreuhand Seite 31 Seite 31

34 Registrationsportal Externe Benutzer erstellen Ab der Version 2007 gibt es in der Benutzerverwaltung in den Eigenschaften eines Benutzers das neue Flag Externer Benutzer. Diese Flag muss bei einem Benutzer, der über ein Abonnement arbeitet, zwingend gesetzt werden. Sobald dieses Flag gesetzt ist, kann sich der Benutzer automatisch nur noch mit Token (Postzertifikat) anmelden. AbaWebTreuhand Seite 32 Seite 32

35 Registrationsportal Benutzerkategorien Über die Benutzerkategorie können den externen Benutzern die Rechte des Abonnements noch weiter eingeschränkt werden. Es empfiehlt sich deshalb alle externen Benutzer in eigenen Kategorien zu führen. Beispiel von einer Einschränkung auf der Benutzerkategorie: Bemerkung: Externe Benutzer werden im Applikationszugriff nicht angezeigt! AbaWebTreuhand Seite 33 Seite 33

36 Registrationsportal Externen Benutzer registrieren Sobald der Externe Benutzer (Subscriber) erstellt ist, kann dieser auf AbaLogin registriert werden. Zuerst muss dem Benutzer aber noch sein Postzertifikat zugewiesen werden. Über den Menupunkt Postzertifikat zuweisen unter Spezialprogramme im ABACUS Explorer, öffnet sich folgendes Fenster: AbaWebTreuhand Seite 34 Seite 34

37 Registrationsportal Postzertifikat zuweisen Wählen Sie Ihren Externen Benutzer aus und weisen Sie ihm sein Zertifikat zu. Dafür benötigen Sie die Adresse des Treuhandkunden, welche er bei der Erstellung des Postzertifikats angegeben hat. Drücken Sie auf den Button Zertifikat zuweisen, es erscheint folgender Dialog: Geben Sie im Feld Adresse die Zertifikats Adresse des Kunden ein und drücken Sie rechts auf den blauen Pfeil. Es wird eine Verbindung zur Postmail erstellt, welche die veröffentlichten Zertifikatsinformationen des Kunden anzeigt. Wählen Sie das gewünschte Zertifikat aus und bestätigen Sie mit OK. Ein Postzertifikat wird jeweils doppelt angezeigt. Es spielt demnach keine Rolle, ob Sie den ersten oder den zweiten Eintrag wählen. Hinweis: Falls der Dialog leer bleibt, bedeutet dies, dass die Frage nach der Veröffentlichung der Zertifikatsinformationen (bei der Erstellung des Zertifikats vom Kunden) mit Nein beantwortet wurde. In diesem Fall müsste dies korrigiert werden. Dazu muss eine von der Adresse auf die das Postzertifikat ausgestellt wurde an AbaWebTreuhand Seite 35 Seite 35

38 Registrationsportal 4 help.postzertifikat@post.ch gesendet werden, mit der Bitte um Veröffentlichung Ihrer Daten Benutzer registrieren Sobald dem Benutzer das Postzertifikat zugewiesen wurde, kann der Benutzer über den Button Registrieren/Bearbeiten auf AbaLogin registriert werden. Es öffnet sich das Registrationsportal, auf welchem der Benutzer registriert werden kann: AbaWebTreuhand Seite 36 Seite 36

39 Registrationsportal 4 Vorgeschlagen wird der Name des Benutzers aus der ABACUS Benutzerverwaltung. Dieser kann aber angepasst bzw. anonymisiert werden. Dies empfiehlt sich jedoch nicht, da Sie die Abonnemente auf den Benutzer ausstellen und somit eine neue Benutzerliste mit den anonymisierten Namen führen müssten. Im nächsten Schritt können Sie dem Benutzer ein Abonnement zuweisen. Sobald Sie mittels Abonnement erstellen", kann der Kunde mit seinem Postzertifikat auf Ihrer Installation arbeiten. Haben Sie ihm mehrere Abonnemente erstellt, wählt er beim ersten Login das gewünschte Abonnement aus und arbeitet ab dem nächsten Login jeweils im zuletzt verwendeten DEMOUSER Pro Installation ist ein DEMOUSER erlaubt. Wichtig ist, dass der Benutzer / die Beschreibung (S.35) zwingend auf DEMOUSER lautet. Diesem User können beliebig viele Abonnemente und Mandanten zugewiesen werden, ohne dass diese in Rechnung gestellt werden. Mit diesem User kann der Treuhänder z.b. seine Kunden simulieren, sprich ein Abo erstellen mit den gleichen Definitionen wie sein Kunde und somit allfällige Probleme nachvollziehen. Diesem User kann auch ein beliebiges Postzertifikat hinterlegt werden, sodass für Demozwecke jeder Mitarbeiter des Treuhänders eine Demo an jedem beliebigen Ort mit Internet- Anschluss durchführen kann. AbaWebTreuhand Seite 37 Seite 37