Suomi.fi-tunnistuksen käyttöönotto

Abstract

Tämän opinnäytetyön tarkoituksena on olla Suomi.fi-tunnistuksen käyttöönotto-ohje vahvaa tunnistautumista vaativille asiointipalveluille. Työn toimeksiantaja on Visma Consulting Oy, ja se on tehty helpottamaan vahvan tunnistautumisen käyttöönottoa projekteissa. Työn tarkoituksena on kuvata vahva tunnistautuminen, miten tehdään tunnistautumispyyntö ja kuinka tunnistuspalvelulta saadaan ja käytetään käyttäjästä haluttua tietoa.

Palvelun suojaaminen vahvalla tunnistautumisella vaatii rekisteröitymisen Suomi.fi-tunnistautumiseen. Rekisteröityminen tapahtuu luomalla palvelusta metadata-tiedosto, joka lähetetään Suomi.fi-tunnistautumiseen. Se kuvaa palvelun, sen käyttämät osoitteet ja mitä tietoja palvelu tarvitsee tunnistetusta käyttäjästä.

Kun palvelin saa kutsun suojattuun resurssiin, tarkistaa se ensin omasta istunnostaan, onko käyttäjä tunnistettu. Mikäli tietoa ei löydy, lähetetään käyttäjän selain tunnistus-palveluun, missä käyttäjä tunnistautuu.

Käyttöönotto-ohjeessa oletetaan, että Apache-palvelinta käytetään palvelinohjelmistona, Shibboleth-ohjelmistoa SAML-implementaationa ja että web-palvelin toimii välityspalvelimena, joka lähettää tiedot AJP-protokollalla.

The purpose of this thesis is to act as an mplentation guide for Suomi.fi e-Identification for services that require strong authentication. The assignment was received from Visma Consulting Oy, and it has been made to ease the implementation of strong authentication in projects. The purpose is to describe strong authentication, how authentication request is made, and how to get and use the data we want about the user from the identity provider.

Securing a service with strong authentication requires registering with the Suomi.fi e-Identification. Registration is made by creating a metadata file and sending it to Suomi.fi e-Identification. The metadata describes the service, what addresses it uses and what information the service requires from the authenticated user.

When the server receives a request to the resource that requires authentication, it first checks its own session for authentication info. If none is present, then the users browser is redirected to the identity provider for authentication

The implementation guide assumes the web server uses Apache application, Shibboleth as the SAML implementation and that the web server acts as a proxy for the application, sending the data using AJP protocol.