STS Driftsvejledning. STS Driftsvejledning

Transkript

1 STS Driftsvejledning i STS Driftsvejledning

2 STS Driftsvejledning ii REVISION HISTORY NUMBER DATE DESCRIPTION NAME HT

3 STS Driftsvejledning iii Indhold 1 Introduktion 1 2 Konfigurations opdateringer Blacklisting AudienceConfiguration af ITS Billetomvekslings konfiguration Cache tømning SLA logning 1 4 Monitorering 2 5 Services 2 6 Certifikater 3 7 Administrations Interface 3

4 STS Driftsvejledning 1 / 3 1 Introduktion Dette dokument indeholder en vejledning til driften af SOSI-STS version Konfigurations opdateringer Ud over statisk konfiguration, som er beskrevet i installationsvejledning, så findes der desuden følgende områder som kan konfigureres dynamisk: 2.1 Blacklisting Det er muligt at blackliste enkelte certifikater. Dette kan gøres via web-interfacet på blacklist.view eller direkte i databasen i tabellen, blacklist. Ændringer træder i kraft med det samme. 2.2 AudienceConfiguration af ITS IdentityToken Service har en konfiguration per modtager system. Dette kan konfigureres i databasen. Se installationvejledning omkring opsætning af SQL til hentning og detaljer op værdier. Her skal blot noteres at denne konfiguration er dynamisk og altid er aktuel ifht. databasen indhold. 2.3 Billetomvekslings konfiguration Omveksling fra ID-kort til OIOSaml assertions kræver konfiguration gemt i databasen. Denne konfiguration er beskrevet i Anvenderdokumentet, og i Installationsvejledningen er der beskrevet hvordan konfigurationen udvides. Konfiguration i database er altid den gældende det er ikke nødvendigt at genstarte før ændringer træder i kraft. 2.4 Cache tømning Det er muligt at tømme CVR-RID cachen. Dette gøres via web-interface på view. Funktionen skal dog nødig bruges. Cachens indhold er stabilt, hvorfor en tømning blot vil forårsage øget trafik mod CVR-RID servicen. 3 SLA logning Følgende tabel viser STS ens sla logpunkter samt tilhørende navn. De enkelte logpunkter beskrives i detaljer i det følgende. Tabel 1: SLA log punkter ID Navn Beskrivelse 200 AbstractStsRequestHandler. request Alle forespørgelser, der modtages rammer dette logpunkt. Følgende attributer tilknyttes: RequestSize, ResponseSize. 210 SecurityTokenService. Når et IDKort signeres, vil dette logpunkt blive ramt. issueidcard 220 WsOcesCvrRidService. findrelatedcpr Ved opslag til CVR-RID tjenesten vil dette logpunkt blive ramt. Her tilknyttes endpoint og cvr-rid værdier.

5 STS Driftsvejledning 2 / 3 Tabel 1: (continued) ID Navn Beskrivelse 230 IdentifyTokenService.serialize Omveksling fra SOSI idkort til IDWSH tokens går igennem dette logpunkt. 240 StsOcesCrlServiceImpl.load Når spærrelister hentes, vil der bliver logget til dette logpunkt. Her tilknyttes endpointet (url) for CRL en. 250 NboRequestHandler.serialize Ved omveksling mellem OIOSaml tokens (NemLogin tokens) til SOSI idkort vil dette log punkt blive brugt. 4 Monitorering Der findes en check URL, som afgører om servicen som helhed kan svare. Der skelnes ikke mellem de enkelte dele af STS en. Adressen er: Ved fejl, vil HTTP returkoden være 500. Ellers vil den være 200. Følgende aspekter af STS en checkes: 1. STS certifikatets gyldighed 2. Adgang til databasen Derudover udskrives en række statitiske oplysninger. Her er et eksempel: Version: Local time: Mon Nov 05 10:35:49 GMT+01: Started: Mon Nov 05 10:27:07 GMT+01: Last transaction: never Last issued: never Sts certificate, valid from: Thu Sep 01 14:40:08 GMT+01: Sts certificate, valid until: Sun Sep 01 15:10:08 GMT+01: Sts certificate valid: OK Requests, 24h: 0 Requests, total: 0 Response time, avg 24h: 0 ms Response time, max 24h: 0 ms CRL, latest successful download: Mon Nov 05 10:27:18 GMT+01: CRL, latest failed download: never CPR-RID, latest successful call: Mon Nov 05 10:27:23 GMT+01: CPR-RID, latest failed call: never DB: OK EOS 5 Services Der udstilles 5 services. Disse er alle HTTP/SOAP web services. De kan findes på: SecurityTokenService

6 STS Driftsvejledning 3 / 3 NewSecurityTokenService (Bruges i forbindelse med billetomveksling) IdentityTokenService OIOSaml2Sosi Sosi2OIOSaml For de 3 førstnævnte vil der findes wsdl er ved GET af selv samme url, men også som forventelig ved at postfixe?wsdl. 6 Certifikater Servicen bruger certifikater til forskellige formål. Her følger en oversigt: 1. SOSI føderationens certifikat også kaldet STS ens certifikat. 2. Trust certifikat til NemLogin føderationen. 3. Kryptering i forbindelse med omveksling. 4. Truststore til etablering af forbindelse CVR-RID service. De 2 første har udløbsdatoer. Det sidste 2 kan have. Det forventes derfor at disse certifikater fornyes inden de udløber. Procedurer herfor ligger uden for denne leverance. Opbevaring af certifikaterne ligger ligeledes uden for leverancen, dog kan mulighederne her beskrives: Et certifikat kan ligge på filsystemet, hvor også servicen er installeret, eller det kan placeres i en Luna Boks, som kan nåes netværksmæssigt. I nogle tilfælde opbevares certifikater (public key) også i databasen. 7 Administrations Interface Der findes et administrations interface på: