Single sign-on til statens systemer. April 2019 version 5

Transkript

1 Single sign-on til statens systemer April 2019 version 5

2 Velkommen Formålet med i dag er, at I skal vide, hvad der kræves at tilslutte sig MODST SSO hvornår I bliver berørt af MODST SSO Agenda for dagen Hvad er MODST SSO Hvordan virker MODST SSO Hvilke systemer kommer på MODST SSO Hvornår bliver institutionerne tilsluttede Hvad skal institutionerne gøre for at tilslutte sig Hvem har ansvar for hvad Spørgsmål 2

3 Hvad er single sign-on (SSO)? Single sign-on (SSO) er en adgangskontrol, med den egenskab, at en bruger kan logge på én gang og få adgang til alle systemer uden at blive afkrævet login for hvert system/applikation. 3

4 Hvad er single sign-on (SSO)? Moderniseringsstyrelsens Single Sign-On-løsning (MODST SSO) er et omstillingsbord et klik og brugeren er inde i fagsystemet MODST SSO formidler tillid (trust) mellem institutionernes brugerkataloger (Identity Provider = IDP fx AD) og fagsystemer (Service Provider = SP fx IndFak/RejsUd) MODST SSO formidler identifikation af brugere til fagsystemer Brugerkatalog (IdP): institutionen varetager brugerstyring i deres AD Fagsystem (SP): fortsat bruger-/rettighedsadministration, men ikke passwords 4

5 Hvordan kædes brugeren og fagsystemet sammen? MODST SSO binder brugeren og fagsystemet sammen med eller UPN Kan kræve datavask/strømligning i AD og i fagsystemerne for at få en sammenhængende nøgle Andre brugerinformationer (Claims) medsendes i denne kommunikation Central brugerstyring Fagsystem IdP 5

6 MODST SSO i overblik Central brugerstyring Browser Interface Fagsystem 1 IdP IdP IdP Ekstra brugerkontrol Såfremt ikke stemmer overens med GUID nummeret, dvs. endte GUID og/eller IdP er ændret, vil adgangen for brugeren blive spærret. SSO-løsning 4. Option - 2-faktor godkendelse Fagsystem 2 Fagsystem 3 Fagsystem 4 6 SSO /upn kontrol 2-faktor

7 Hvordan virker den ekstra GUID kontrol? Institutionen (IdP) skal medsende GUID nummeret Kontrol af, om der er ændringer GUID og/eller /upn ift. tidligere login, dvs. er /upn blevet ændret ift. GUID nummer er GUID blevet ændret ift. /upn Såfremt /upn ikke stemmer overens med GUID nummeret, dvs. endte GUID og/eller er ændret, vil adgangen for brugeren blive spærret. SSO-løsning SSO /upn kontrol 7

8 Globeteam Hvordan tilslutter man sig MODST SSO?

9 Hvordan kobler du på MODST SSO? I skal have en SAML 2.0-compliant IdP i institutionen I skal forholde jer til lokal brugerstyring og forståelse af de attributter MODST skal modtage fra jeres IdP Tekniske detaljer i opsætningen på jeres IdP Testforløbet med MODST (to miljøer) 9

10 SAML 2.0 compliant IdP AD FS 2.x, 3.0, 4.0 SimpleSamlPhp Shibboleth ish PING The list goes on... 10

11 Lokal brugerstyring og MODST attributter MODST skal bruge: Brugerattributter (åbn og gennemgang liste af attributter fra vejledning) Hvilke suffixes i bruger Vær præcis omkring attributterne, det er en meget ofte set kilde til smerte at der ikke er styr på disse 11

12 Tekniske detaljer i opsætningen på jeres IdP SHA-256 hashing er mandatory Regulær SAML 2.0-passive protokol Lidt anbefalinger omkring hvordan I styrer det på jeres IdP Attributter på brugerne vs. de attributter IdP en udsteder (claims) Metadata fra MODST og metadata fra jer (åbn vejledning) 12

13 Testforløbet med MODST (to miljøer) Der er 2 stk, et testmiljø og et produktionsmiljø På hvert miljø er der en testapplikation I bruger til at validere jeres føderationsopsætning med MODST Metadataudveksling sker med jeres IdP (eller IdP er) med hvert miljø separat Claimapp en validerer at tingene virker, det gælder attributter, Single Sign On og ikke mindst Single Log Out 13

14 Tidsplan for systemer og institutioner

15 Hovedtidsplan for institutioner og systemer SIT (alle institutioner) Q1 + Q2 Prioriteret ift. SBS, HCM (og Atrium (BYGST)) Q2 + Q3 Øvrige statsinstitutioner Q3 + Q4 Selvejende institutioner Q4 + Q1 + Q2 IndFak og RejsUd Idrift Evt. konvertering af brugerid: Q3/Q4 Campus & erekruttering & HCM (& Atrium (BYGST)) Q2 + Q3 Statens Budgetsystem Q3/Q4 Navision Stat og LDV Q3/Q4 SLS & HR-løn Q1/Q2 15

16 Hvem er ansvarlig for hvad? Moderniseringsstyrelsens ansvar Opsætning/konfiguration af SSO Tilgængelighed Vejledninger og support Vedligehold og sikkerhed Institutionens ansvar Opkobling af AD mod SSO og sikre korrekte certifikater Overholde specifikationer for snitflader mod MODST SSO Brugeradministration (alle brugere skal have en ) Brugerstyring og kontrol ift. brugerkatalog og fagsystemer Bruger-/rettighedsstyring 16

17 Flere information på modst.dk Moderniseringsstyrelsens hjemmeside modst.dk Systemer => Systemstandarder => Single sign-on Dybt link Der vil være løbende opdateringer af Vejledning, tilslutning, præsentation mv. Tjekliste for tilslutning Tips og Tricks 17

18 Support og hjælp til tilslutning brug altid

19 Andre som gerne vil bruge MODST SSO Bygningsstyrelsen BYGST vil gerne have deres kommende Facility management system på MODST SSO BYGST har brug for nogen basale oplysninger, hvorefter BYGST Facility management system automatisk opretter brugerne Skal gå i luften 1. oktober 2019, forventer cirka brugere i SKI For at få SKI på MODST SSO, skal der medsendes roller. Dvs. at MODST SSO vil medsende roller til SKI Har en forventning af, at SKI er MODST SSO i Q

20 Roadmap To-faktor og sms NemID (medarbejdercertifikater) Rollestyring 20

21 Opsamling Hvad skal institutionen gøre? Institutioner, som har deres brugerkatalog (AD) hos Statens IT er teknisk set koblet på MODST SSO af Moderniseringsstyrelsen; bliver orienteret i Q Øvrige institutioner skal sørge for følgende: Have egen føderationsserver (typisk Microsoft AD FS 2.0 eller højere) Anvende, https TLS 1.2 (transport), SHA-256 hashing til kryptering af token og SHA-256 signing Levere SAML 2.0-baserede metadata til Moderniseringsstyrelsen - helst en URL Modtage og opsætte metadata fra MODST SSO Sende token med claims som specificeret 21

22 Opsamling Hvad er processen for tilslutning? 1. Institutionen opretter MODST SSO testmiljø i deres IDP 2. Institutionen bestiller oprettelse af IdP på MODST SSO via a. Er institutionen ikke oprettet, som bruger af serviceportalen, kan information om oprettelse findes her: 3. Institutionen sender metadata url til Moderniseringsstyrelsen sammen med bestillingen jf. pkt MODST kobler institutionen på testmiljøet 5. Institutionen afprøver forbindelsen via a. Ved succesfuldt login forsættes til pkt 6 ellers fejlsøges i samarbejde med MODST eller Institutionens egen tekniker 6. Institutionen opretter MODST SSO produktionsmiljø i deres IDP 7. MODST opsætter Institutionens IdP i MODST SSO produktionsmiljø pba. metadata url fra pkt Institutionen afprøver forbindelsen via a. Ved succesfuldt login kan institutionen udrulle anvendelse af SSO til MODST systemer. 22

23 Opsamling De vigtigste informationer MODST SSO bliver obligatorisk for Statsinstitutioner Vejledninger, tjeklister mv. findes på modst.dk Support og henvendelser skal ske igennem SAMs serviceportal Brugerkontroller er institutionernes ansvar både for fagsystemer og brugerkatalog Tilslutning af institutioner sker ift. prioritering af fagsystemer MODST SSO er gratis, da det er en del af infrastrukturen for MODST systemer 23

24 24

25 Eksempler på mapningen 1. Brugerens Fagsystem 1 Brugernavn = IdP Fx RejsUd/IndFak, Campus IdP 1. Brugerens Mapning (internt i fagsystemet) Bruger = Brugernavn (ikke ) Fagsystem 2 Hvis Brugernavn ikke er , så skal der ske en mapning Fx HCM, NS/LDV IdP 1. Brugerens Mapning (eksternt ift. fagsystemet) Bruger = Brugernavn (ikke ) Fagsystem 3 Hvis Brugernavn ikke er , så skal der ske en mapning Fx Budget 25