Certifikater

En klient præsenterer sig selv med dets funktionscertifikat, og et service endpoint præsenterer sig selv med dets HTTPS-certifikat. Forudsætningen for, at der kan etableres sikker forbindelse mellem parterne (også kaldet to-vejs-TLS) er, at de stoler på hinanden.

Når du skal kalde services (som klient), skal du registrere dit funktionscertifikat på dit anvendersystem i Fælleskommunalt Administrationsmodul. Tilsvarende skal du sørge for, at din klientkode stoler på det HTTPS-certifikat, der anvendes af det endpoint, du kalder.

Følgende HTTPS-certifikater anvendes i den fælleskommunale infrastruktur:

• .eksterntest-stoettesystemerne.dk
• .stoettesystemerne.dk
• .serviceplatformen.dk

Du finder HTTPS-certifikaterne i -zip-pakkerne ovenfor for henholdsvis Eksternt testmiljø og Produktionsmiljø, inkl. de Root og Intermediate Certification Authorities (CA), der har signeret dem.

Oftest er det tilstrækkeligt at etablere tillid til Root CA, i visse tilfælde også Intermediate CA. Der etableres tillid, ved at importere dem i det Trust Store, som koden anvender (se vejledningen Kom-godt i gang - Certifikater). HTTPS-certifikater kaldes også SSL-certifikater, selvom dette faktisk er den gamle protokol, der er udfaset og erstattet af TLS. Den gamle betegnelse benyttes stadig, da den er meget udbredt.

Hvis du derimod skal udstille en webservice, skal du udstille dit eget endpoint med et HTTPS-certifikat, og dit endpoint kaldes med et funktionscertifikat. Hvordan du registrerer dit HTTPS-certifikat og endpoint, samt hvilket funktionscertifikat, der kaldes med, afhænger af hvilken integration eller service, du benytter:

• For SF1461 Modtag beskeder via Beskedfordeler (servicen BeskedFåTilsendt) og SF1606 Modtag post (servicen PostModtag):
  • Du registrerer endpoint på dit anvendersystem i Fælleskommunalt Administrationsmodul og angiver adresse samt dit endpoints HTTPS-certifikat
  • Fælleskommunal Beskedfordeler kalder med funktionscertifikatet ”BFO_[miljø]_Beskedfordeler”
  • Serviceplatformen kalder med funktionscertifikatet ”SP_[miljø]_Callback”
     
• For SF2900 Fordelingskomponenten og andre integrationer, hvor dit it-system er registreret som serviceudbyder - fx økonomiintegrationer:
  • Du registrerer endpoint og HTTPS-certifikat i en Word-formular, som du indsender til Serviceplatformens helpdesk
  • Serviceplatformen kalder med funktionscertifikatet ”SP_[miljø]_Callback”

Fælleskommunal Adgangsstyring for systemer
Services, der benytter SOAP-protokollen, anvender certifikater til signering af payload:

• SOAP-services udstillet af Serviceplatformen benytter ”SP_[miljø]_Signing”-certifikatet. Her skal du angive tillid til det specifikke certifikat – hvordan du gør det, er specifikt for den platform, du benytter.
• Security Token Service signerer beskeder med ”ADG_[miljø]_Adgangsstyring”-certifikatet.
• Services udstillet af Fælleskommunalt Klassifikationssystem, Organisationssystem, Sags- og Dokumentindeks eller Ydelsesindekset benytter hver deres eget certifikat til signering; ”YDI_[miljø]_Ydelsesindeks”, ”ORG_[miljø]_Organisation”, osv. Her skal du angive tillid til det specifikke certifikat – hvordan du gør det, er specifikt for den platform, du benytter.

Fælleskommunal Adgangsstyring for brugere
Certifikater benyttes til at signere SAML-tokens (samt eventuel kryptering af Assertions).

Context Handler signerer beskeder med ”ADG_[miljø]_Adgangsstyring”-certifikatet. Du konfigurerer SAML i dit brugervendte system med dit eget funktionscertifikat. En parts certifikat er inkluderet i dennes SAML-metadata, og ved registrering af modpartens metadata bliver der automatisk etableret tillid til dets certifikat.

Alle certifikater har en udløbsdato, og de skiftes jævnligt. Som det fremgår af beskrivelsen ovenfor, er der mange certifikater i spil og i mange forskellige scenarier. Så det er vigtigt, at du får dokumenteret et komplet overblik over:

• Hvilke integrationer, du anvender
• Hvilke certifikater, hver integrationer benytter
• Hvilke af dine komponenter, der benytter pågældende certifikater