VEJLEDNING TIL CERTIFIKATBRUG FOR A- KASSERNES WEBSERVICEINTEGRATION MOD ARBEJDSMARKEDSSTYRELSENS DFDG.

Transkript

1 ARBEJDSMARKEDSSTYRELSEN VEJLEDNING TIL CERTIFIKATBRUG FOR A- KASSERNES WEBSERVICEINTEGRATION MOD ARBEJDSMARKEDSSTYRELSENS DFDG. VERSION RC1 DATO 10. januar 2012 REFERENCE FORFATTER Tøger Nørgaard KONTRAKTNUMMER Knowledge Cube A/S Bernstorffsgade 50, 7. sal DK 1577 København V T F CVR info@knowledgecube.net

2 DOKUMENTVERSIONER Version Dato Initialer Afsnit Ændringer december 2011 TN Først kladdeversion december 2011 TN Internt reviewet af Knowledge Cube Application Management januar TN Opdateret efter input fra AMS januar TN RC1 10. januar TN Side 2 af 7

3 TERMINOLOGI - Arbejdsmarkedsstyrelsen: AMS - Aftager: A-kasserne eller A-kassernes leverandør - Systemforvalter -> Knowledge Cube A/S, forvalter webservices på vegne af AMS. INTRODUKTION Vejledningen er skrevet med henblik på A-kassernes webservice-integration til Arbejdsmarkedsstyrelsens DFDG (Arbejdsmarkedsportalens webservices) og beskriver kort tre sikkerheds og certifikatmodeller benævnt Sik 1, Sik 2 og Sik 3 Sik 1 baserer sig rent på medarbejdercertifikater, Sik 2 på virksomhedscertifikater i kombination med medarbejdercertifikater og Sik 3 på funktionscertifikater. På nuværende tidspunkt er A-kassernes integration mod DFDG begrænset til webservicen: UnemploymentFundMembershipService: Indberetning af Medlemsafgang, Medlemstilgang samt Metrikker. Denne webservice understøtter enten model Sik 1 eller Sik 2. Fra og med april 2012 stilles yderligere webservices til rådighed for A-kasserne og i den forbindelse understøttes ydermere model Sik 3 baseret på funktionscertifikater. Sik 3 vil være den fremtidige sikkerheds og certifikatmodel på webservices til A-kasserne. For en generel introduktion til anvendelse af Arbejdsmarkedsportalens webservices samt den overordnede sikkerhedsmodel henvises til den enhver tid opdaterede version af webservicedokumentationen, specifikt afsnit 1, 2 og 3: Kort om webservice-sikkerhed Et webservice-kald består af en forespørgsel og et følgende svar sendt over A) http med SOAP sikret med WS-Security eller B) https med SOAP sikret med TLS. Model A sikrer både forespørgsel og svar, samt at aftager og arbejdsmarkedsportalens webservices er hvem de giver sig ud for at være. Model B sikrer kun en forbindelse mellem en aftager og arbejdsmarkedsportalens webservices, der kan bruges til at sende forespørgsler og svar. Side 3 af 7

4 Som udgangspunkt anbefales model A til arbejdsmarkedsportalens webservices, men for de A-kasser eller leverandører der ikke har mulighed for at anvende WS-Security tilbydes adgang til model B. Ved brug af model A, følges beskrivelsen i afsnittet Kort om certifikater. Ved brug af model B, følges beskrivelsen i afsnittet Certifikater under TLS. Forskellen på de to adgange vil endvidere være forskellige end points til den samme webservice, eksempelvis: WS-security: TLS: (Bemærk det ekstra t i akmwcftservice ) Kort om certifikater Generelt baserer datakommunikation, der er sikret med certifikater, sig på, at både afsender og modtager har et certifikat og at hvert certifikat består af en privat og en offentlig del. Den private del udleveres aldrig til andre, den offentlige del udleveres til parter, man ønsker at kommunikere sikkert med. AMS stiller et certifikat til rådighed pr. miljø (udviklingstestmiljø, produktionsmiljø), aftager ønsker at kommunikere sikkert med. Aftager skal tilsvarende anskaffe sig et mindst et OCES-certifikat via DanID ( 1. I langt de fleste tilfælde vil en aftager have en lokal certifikatadministrator (LRA) som kan udstede certifikater på vegne af DanID. For alle certifikater, uanset typen, gælder at de skal være udstedt under samme CVR-nummer som oplyst i tilslutningsaftalen med AMS. Certifikattypen, der skal bestilles/udstedes, afhænger af sikkerhedsmodellen: - Sik 1: medarbejdercertifikat udstedt til en fiktiv (system)bruger pr. system, der skal have adgang, f.eks. <a-kassenavn>+ ams-dfdg angive en gyldig adresse i certifikatet. - Sik 2 : et virksomhedscertifikat og et eller flere medarbejdercertifikater. 1 Til testopkobling kan systemforvalter på vegne af AMS udstede et midlertidigt certifikat til aftager. Dette kan dog udelukkende bruges til test. Side 4 af 7

5 - Sik 3 : et funktionscertifikat pr. system, der skal have adgang. Forudsætningen for kunne anvende de bestilte certifikater i forbindelse med adgang til Arbejdsmarkedsportalens webservices er: Sik 1 - Aftager skal have etableret tilslutningsaftale med AMS. - Aftager skal installere både den private og offentlige del af egne certifikater på egne miljøer, således at de er tilgængelige for de af aftagers systemer, der skal forbinde til webservices. - Aftager skal have godkendt samtlige certifikater hos AMS. Dette sker ved fremsendelse (pr e- mail) af de offentlige dele af certifikaterne til systemforvalter. Hvis der udelukkende er tale om medarbejdercertifikater, kan godkendelsen også ske ved at forsøge pålogning på Der vil umiddelbart ikke være adgang til men systemforvalter vil da kunne se, at der er forsøgt pålogning med certifikatet og vil kunne godkende eller afvise certifikatet. Aftager skal bruge: - Et medarbejdercertifikat (M 1 ) - Arbejdsmarkedsstyrelsens offentlige servercertifikat til det miljø, hvorfra der skal aftages webservices, f.eks. service.bm.dk (AMS 1 ) - Importere/installere (AMS 1 ) i sit lokale Certificate Store, så det kan ses af det system, der skal foretage forespørgslen. - Kryptere sin forespørgsel med (AMS 1 ) - Signere sin forespørgsel med den offentlige del af (M 1 ) - Afsende sin forespørgsel mod det pågældende miljø og webservice. Aftager vil modtage et svar - Krypteret med (M 1 ) - Signeret med (AMS 1 ) Aftager skal dekryptere svaret med den private del af M 1 Sik 2 Aftager skal bruge: - Et virksomhedscertifikat (C 1 ) - Et eller flere medarbejdercertifikater (M 1 M n ) Side 5 af 7

6 - Arbejdsmarkedsstyrelsens offentlige servercertifikat til det miljø, hvorfra der skal aftages webservices, f.eks. service.bm.dk (AMS 1 ) - Importere/installere (AMS 1 ) i sit lokale Certificate Store, så det kan ses af det system, der skal foretage forespørgslen. - Kryptere sin forespørgsel med (AMS 1 ) - Signere sin forespørgsel med den offentlige del af (C 1 ) - I SOAP-headeren for forespørgslen indsættes relevante medarbejdercertifikat M x som en bytestream 2 - Afsende sin forespørgsel mod det pågældende miljø og webservice. Aftager vil modtage et svar: - Krypteret med (C 1 ) - Signeret med (AMS 1 ) Aftager skal dekryptere svaret med den private del af C 1 Sik 3 Aftager skal bruge: - Et eller flere funktionscertifikater idet der som minimum skal anvendes et funktionscertifikat pr a-kasse (F 1 F n ) - Arbejdsmarkedsstyrelsens offentlige servercertifikat til det miljø, hvorfra der skal aftages webservices, f.eks. service.bm.dk (AMS 1 ) - Importere/installere (AMS 1 ) i sit lokale Certificate Store, så det kan ses af det system, der skal foretage forespørgslen. - Kryptere sin forespørgsel med (AMS 1 ) - Signere sin forespørgsel med den offentlige del af (F x ) - Afsende sin forespørgsel mod det pågældende miljø og webservice. Aftager vil modtage et svar: - Krypteret med (F x ) 2 For nærmere specificering af dette, se da webservicespecifikationen afsnit Side 6 af 7

7 - Signeret med (AMS 1 ) Aftager skal dekryptere svaret med den private del af F 1 Ved anvendelse af funktionscertifikater til webservice kald på vegne af en bruger skal der medsendes et metadataobjekt i SOAP-beskeden, der unikt identificerer, hvilken bruger der har udløst forespørgslen. 3 Certifikater under TLS Som udgangspunkt anvendes samme certifikater som beskrevet i det foregående afsnit, Kort om certifikater. Forskellen er, at certifikaterne ikke anvendes til kryptering og signering af de enkelte forespørgsler, men i stedet til 1) sikring af en TLS-forbindelse som forespørgsler og svar kan sendes over 2) til logning og autentificering på webservicesiden af aftager. - Importere/installere (AMS 1 ) som trusted root certificate, så det kan ses af det system, der skal foretage forespørgslen. - Installere aftagers certifikat (Sik 1, Sik 3 ) pr. TLS-forbindelse, der skal opsættes. For Sik 2 skal kun installeres virksomhedscertifikatet (C 1 ) pr. TLS-forbindelse, mens det relevante medarbejdercertifikat M x inkluderes i selve forespørgslen som en bytestream som tidligere beskrevet. - Sende sin forespørgsel i klartekst mod det pågældende miljø og webservice. Aftager vil modtage et svar i klartekst. Kontakt og forvaltning Tilslutningsaftale oprettes ved at kontakte Thorbjørn H. Pedersen (thp@ams.dk) fra 7. kontor - Digital Arbejdsmarkedsservice i AMS. Forvaltning af certifikater og spørgsmål til samme kan rettes til Systemforvalter via: support@knowledgecube.net Her vil man også kunne få tilsendt en certifikatpakke indeholdende de relevante AMS-certifikater til brug for forbindelse til Arbejdsmarkedsportalens webservices. 3 Det vil blive nærmere specificeret i webservicespecifikationen men vil først fungere ultimo Side 7 af 7