Atlassian uses cookies to improve your browsing experience, perform analytics and research, and conduct advertising. Accept all cookies to indicate that you agree to our use of cookies on your device.
Atlassian uses cookies to improve your browsing experience, perform analytics and research, and conduct advertising. Accept all cookies to indicate that you agree to our use of cookies on your device. Atlassian cookies and tracking notice, (opens new window)
Confluence
/
Nätverksinställningar för tjänster inom identitet och åtkomst
Nätverksinställningar för tjänster inom identitet och åtkomst
Innehållsförteckning
Revisionshistorik
Version Datum Författare Kommentar 1.0 @Former user (Deleted) Godkännande av dokumentet 1.01 @Former user (Deleted) Uppdatering av IP-adresser för Autentisering med SITHS eID 1.1 @Former user (Deleted) Förberedelser för IPv6 hos en av driftleverantörerna
1.2 @Former user (Deleted) Autentiseringstjänstskonsolidering, konnektivitetsmatris, felsökning slutanvändare mm 1.3 @Former user (Deleted) Förberedande information om nya sökvägar till Autentiseringstjänst, samt Utfärdandeportal för Mobilt SITHS och dess IdP 1.4 @Former user (Deleted) PU samt testportal (QA och PROD) IP# 1.5 @Former user (Deleted) Justering av sökväg för Direktanslutning av IdP till Autentiseringstjänst i TEST-miljö 1.51 @Former user (Deleted) Justering av sökväg för Direktanslutning av IdP till Autentiseringstjänst i QA-miljö 1.52 @Former user (Deleted) Justering av sökväg för Direktanslutning av IdP till Autentiseringstjänst i Produktionsmiljö 1.53 @Former user (Deleted) Justering av sökväg för klienter i produktion 1.54 @Former user (Deleted) Justering av länk till Swagger för Relying party API i TEST-miljö 1.55 @Former user (Deleted) Kompletterade med kommande IP-adresser för TEST-miljö 1.56 @Former user (Deleted) Kompletterade med kommande IP-adresser för QA/Prod-miljö 1.57 @Former user (Deleted) Förtydligande om att kunder ska öppna för hela nätverkssegmenten. 1.58 @Former user (Deleted) Lade till ytterligare IP-adresser som kommer att användas för mTLS i IdP:n från hösten 2023. 1.60 @Former user (Deleted) Lade till IP-adresser och FQDN för samtliga tjänster 1.61 @Former user (Deleted) Lade till datum då secure-endpoints/domännamn för IdP:n kommer att byta IP-adress under september för respektive miljö. Dvs. de domännamn som används för autentiseringsmetoden "SITHS-kort på denna enhet", närmare bestämt Dubbelriktad TLS/Mutual TLS (mTLS) 1.62 @Former user (Deleted) Justerade datum får TEST-miljön kommer få ny IP-adresser för mTLS till 31/5-2023 1.63 @Christoffer Johansson Justering av nomenklatur då Utfärdandeportalen för Mobilt SITHS utgår och ersätts av SITHS eID Portal och Mina sidor. Dessa fungerar inte heller via verktyg för trafikinspektion som t ex. proxy. 1.7 @Christoffer Johansson Justering av information om Cipher Suites för olika ingångar 1.71 @Niclas Hedlund Länkjusteringar, smärre textförtydliganden i inledning kring syfte, wikiediareferens mm 1.8 @Simon Dahlström Nya URL:ar för IdP Bas & Plus i samband med driftmiljösmigrering. 1.81 IdP Förvaltning Lagt till information för Legitimeringstjänst IdP för Invånare och städat bort gamla referenser till Utfärdandeportalen för Mobilt SITHS
Inledning
Ineras tjänster för Identitet och åtkomsthantering (IAM-tjänster), Personuppgiftstjänsten och Säkerhetstjänsterna finns tillgängliga både på Sjunet och Internet med samma instanser och adresser i syfte att öka tillförlitligheten för dessa tjänster utan traditionella, separata instanser med ökad förvaltningskomplexitet och -kostnad. Detta görs med så kallad multihoming (Multihoming).
Med IAM-tjänster avses:
Legitimeringstjänst IdP för medarbetare BAS och PLUS
Legitimeringstjänst IdP för invånare
Autentiseringstjänst SITHS
Detta gör att kunder som har en Sjunetuppkoppling behöver vara extra noggranna med att tänka över sina trafikmönster vid integration mot dessa tjänster eller anställda som administrerar spärrar i den nationella tjänsten.
Kunder med Sjunetuppkoppling ska ha tagit del av avsnitten om:
Nedan hittar du information om om vilka Domännamn, IP-adresser, Subnät, Portar och protokoll som används samt en konnektivitetsmatris
Proxy och TLS-inspektion
Ineras IAM-tjänster är inte tänkta att användas via verktyg för inspektion av nätverkstrafik, t ex. proxy, TLS-inspektion eller annan teknik som riskerar att manipulera/påverka anropen från användarnas datorer till SITHS eID Portal, Mina sidor, Certificate Services, IdP eller Autentiseringstjänsten.
Om ni använder detta och stöter på problem är rekommendationen att vitlista domännamn och IP-adresser för aktuell miljö.
För information om Nätverksinställningar för SITHS i samband med Utfärdande av certifikat till smarta kort och Mobilt SITHS, samt för information om spärrkontroll för certifikat, se: Nätverksinställningar för SITHS
Konnektivitet
För att kunna Autentisera sig eller Skriva under via Legitimeringstjänst IdP för medarbetare BAS/PLUS med autentiseringsmetoderna för Out-of-band Authentication (OOB), dvs. “SITHS eID på denna enhet” respektive “SITHS eID på annan enhet” måste:
användarnas SITHS eID-appar kunna kommunicera med Autentiseringstjänsten
användarnas webbläsare kunna kommunicera med Legitimeringstjänst IdP för medarbetare BAS/PLUS
För att kunna Autentisera sig eller Skriva under via Legitimeringstjänst IdP för medarbetare BAS/PLUS med autentiseringsmetoderna för Mutual TLS (mTLS) måste:
användarnas webbläsare kunna kommunicera med Legitimeringstjänst IdP för medarbetare BAS/PLUS
Organisationer som sitter på Sjunet och internet samtidigt behöver välja över vilket nät och hur trafiken skall routas (se avsnitt Sjunet)
Detta kan sammanfattas på matrisform.
Kommunikation behövs mellan..
SITHS eID-app
Autentiseringstjänst
Webbläsare
Legitimeringstjäsnt IdP för medarbetare BAS/PLUS
Lokal IdP
SITHS eID-app
N/A
Ja
Autentiseringstjänst SITHS
Ja
N/A
Ja
Ja
Webbläsare
N/A
Ja
Ja
Legitimeringstjäsnt IdP för medarbetare BAS/PLUS
Ja
Ja
N/A
Lokal IdP
Ja
Ja
N/A
IP-adresser
För att säkerställa full funktionalitet över tid ska kund öppna för trafik från hela nätverkssegmenten nedan.
IPv4
82.136.183.0/24
IPv6
2a01:58:6106::/48
IP-adresser per miljö
Miljö Tjänst Domännamn Adress (IPv4) Adress (IPv6) TEST Legitimeringstjänst IdP för medarbetare BAS/PLUS Huvudsida för IdP https://idp.test.siths.se 82.136.183.38 Inloggning via IdP med metoden mTLS https://secure0.idp.test.siths.se https://secure1.idp.test.siths.se ...osv. https://secure9.idp.test.siths.se 82.136.183.43
Klientadministration IdP https://klientadministratin-idp.test.siths.se 82.136.183.38 Autentiseringstjänst SITHS för autentisering med SITHS eID-apparna Anslutande SITHS eID-app https://authservice.test.siths.se 82.136.183.38 Anslutande IdP https://secure-authservice.test.siths.se 82.136.183.40 Legitimseringstjänst IdP för invånare Huvudsida för IdP https://idp.test.invanar-idp.inera.se 82.136.183.167 Klientadministration IdP https://klientadministration-idp.test.invanar-idp.inera.se 82.136.183.167 QA Legitimeringstjänst IdP för medarbetare BAS/PLUS Huvudsida för IdP https://idp.qa.siths.se 82.136.183.71 Inloggning via IdP med metoden mTLS https://secure0.idp.qa.siths.se https://secure1.idp.qa.siths.se ...osv. https://secure24.idp.qa.siths.se 82.136.183.78 Klientadministration IdP https://klientadministratin-idp.qa.siths.se 82.136.183.71 Autentiseringstjänst SITHS för autentisering med SITHS eID-apparna Anslutande SITHS eID-app https://authservice.qa.siths.se 82.136.183.71 Anslutande IdP https://secure-authservice.qa.siths.se 82.136.183.72 Legitimseringstjänst IdP för invånare Huvudsida för IdP https://idp.qa.invanar-idp.inera.se 82.136.183.183 Klientadministration IdP https://klientadministration-idp.qa.invanar-idp.inera.se 82.136.183.183 PROD Legitimeringstjänst IdP för medarbetare BAS/PLUS Landningssida https://idp.siths.se 82.136.183.103 Inloggning via IdP med metoden mTLS https://secure0.idp.siths.se https://secure1.idp.siths.se ...osv. https://secure24.idp.siths.se 82.136.183.110 Klientadministration IdP https://klientadministratin-idp.siths.se 82.136.183.103 Autentiseringstjänst SITHS för autentisering med SITHS eID Anslutande SITHS eID-app https://authservice.siths.se 82.136.183.103 Anslutande IdP https://secure-authservice.siths.se 82.136.183.104 Legitimseringstjänst IdP för invånare Huvudsida för IdP https://idp.invanar-idp.inera.se 82.136.183.199 Klientadministration IdP https://klientadministration-idp.invanar-idp.inera.se 82.136.183.199
Portar
443
80 (redirectas till https 443).
Transportkryptering
Allt trafik mot Ineras IAM-tjänster krypteras över HTTPS. För anrop mot vissa tjänster krävs Mutal TLS över HTTPS.
TLS-protokoll
Lägsta TLS protokollversion som stöds är TLSv1.2.
Cipher suites
Eftersom Ineras IAM-tjänster i dagsläget har två olika driftleverantörer har olika tjänster vissa variationer i vilka Cipher Suites som stöds. Se Cipher Suites per protokoll och funktion genom att expandera nedan fält.
Sjunet
IAM-tjänsterna finns tillgängliga både på Sjunet och Internet med samma instanser och adresser, så kallad multi-homing. Detta gör att kunder som har en Sjunetuppkoppling behöver vara extra noggranna med att tänka över sina trafikmönster vid integration mot Ineras komponenter för Identitet- och åtkomsthantering.
Bakgrund IP-adressblocken som omnämns under rubriken "Inledning" har historiskt funnits endast på Sjunet, och kan tidigare ha routats antingen via Internet eller Sjunet beroende på: tidigare kommunikation från Sjunetförvaltningen om att alla dessa nät ska routas via Sjunet tidigare kommunikation från Ineras Projekt, IdP- eller SITHS förvaltning om att 82.136.183.0/24 ska routas via Internet eller Sjunet beroende på hur man vill styra sina användares trafik vid inloggning till IdP:n Beroende på hur er organisation routar dessa nät kommer ev. brandväggsöppningar att behöva utföras antingen i brandväggen för internet eller i brandväggen för Sjunet. Åtgärder Bestäm om ni vill nå dessa komponenter via Internet eller Sjunet. Säkerställ att ni routar ovanstående adressblock rätt baserat på ovan val av routing Säkerställ att er trafik NAT:as bakom en IP-adress som matchar den routing ni väljer: Routing Sjunet → NAT bakom en Sjunet IP-adress Routing Internet → NAT bakom en Internet IP-adress
Webbadresser
Huvuddomäner
Miljö
Domän
Miljö
Domän
TEST
*.test.siths.se
*.test.invanar-idp.inera.se
QA
*.qa.siths.se
*.qa.invanar-idp.inera.se
PROD
*.siths.se
*.invanar-idp.inera.se
Subdomäner
Varje subdomän inom Ineras komponenter för identitet- och åtkomsthanteringhar ett syfte som beskrivs nedan
Tjänst Subdomän Anteckning Legitimeringstjänst IdP för medarbetare BAS/PLUS idp.<miljö>.siths.se secure[0-24].idp.<miljö>.siths.se Användarautentisering via mTLS klientadministration-idp.<miljö>.siths.se Klientadministration för IdP Autentiseringstjänst authservice.<miljö>.siths.se secure-authservice.<miljö>.siths.se Kommunikation via mTLS mellan IdP och Autentiseringstjänsten. Behövs endast för kunder som har en direktanslutning lokal IdP → Autentiseringstjänsten. Legitimeringstjänst IdP för invånare idp.<miljö>.invanar-idp.inera.se klientadministration-idp.<miljö>.invanar-idp.inera.se Klientadministration för IdP
Fullständiga adresser
Nedan finns en tabell över samtliga hostnamn/adresser som används av Ineras komponenter för identitet- och åtkomsthantering samt övriga tjänster
IdP interagrerar direkt mot HSA-katalogen för att hämta användarattribut, ej via den nationella tjänsteplattformen.
Felsökningsguide
Innehåller en översikt och målgruppsanpassade felsökningsguider.
DNS uppslag: Får klienten DNS-uppslag mot rätt IP-adresser? (Testet inkluderar ett DNS-namn från respektive subnät) nslookup idp.siths.se (resultatet som klienten ska få är 82.136.183.103) nslookup authservice.siths.se (resultatet som klienten ska få är 82.136.183.103) Routing: Vilken väg tar trafiken (Sjunet/Internet)?
Använd tracert för att se vilken väg trafiken tar: tracert -d 82.136.183.103 (Om den i slutet passerar 81.89.159.168 så går trafiken över sjunet) tracert -d 82.136.183.103 (Om den i slutet passerar 81.89.159.168 så går trafiken över sjunet) NAT: Säkerställ att era klienter NAT:as bakom rätt adress beroende på vilken routing ni väljer så att trafiken hittar tillbaka Routing Sjunet → NAT bakom en Sjunet IP-adress Routing Internet → NAT bakom en Internet IP-adress Om ni inte kan Source-routa och ha olika NAT-adresser för era olika Interna nät måste samtliga nät NAT:as bakom rätt IP-adress beroende på ert val av routing (Internet/Sjunet)
Kan du inte logga in i etjänsten? har du provat från fler datorer? JA: felanmäl till din lokala IT support och hänvisa gärna till den sida du nu läser: Nätverksinställningar för tjänster inom identitet och åtkomst NEJ: prova gärna med annan dator Anges något servicefönster med beräknad användarpåverkan på www.inera.se/driftstatus/kommande-atgarder/ eller allmän driftstörning på www.inera.se/driftstatus/ för etjänsten eller dess stödtjänster? JA: avvakta tills störningen/servicefönstret är avslutat NEJ: Kan du surfa till idp.siths.se eller och få fram bilden: JA: Kan en kollega logga in i etjänsten? NEJ: kontakta Inera Support (support@inera.se) och ange problem med etjänsten JA: kontakta lokal katalogansvarig för att säkerställa att du har rätt medarbetaruppdrag, attribut i HSA etc NEJ: din organisations nätadministratörer behöver öppna brandväggar och/eller justera DNS. Felanmäl till din lokala IT support och hänvisa gärna till denna sida. Har du Information om SITHS eID Testportal och det fungerar där? JA: felet ligger troligen i den etjänst du försöker nå, om det är en etjänst från Inera, kontakta Inera Support (inera@support.se) och ange problem med etjänsten NEJ: problemet är ditt eID (mobilt eller på SITHS kort) och du behöver felanmäla till din lokala SITHS eller HSA förvaltning
Erbjuds er eTjänst på Sjunet? JA: genomför vanliga informationsinsatser när tjänst finns på ny IP adress NEJ: Sitter vissa/alla av eTjänstens slutanvändare i organisation med Sjunet? Genomför tester innan övergång till IdP:n i så breda (geografiskt spridda) organisatoriska enheter som möjligt för att i god tid fånga och hantera de användargrupper på nätsegment som har konntektivitetsproblem Eventuellt implementera loggning av konnektivitet och kontakta Säkerhetstjänsters förvaltning genom ett ärende till support@inera.se Fungerar autentisering i Testportalen (Information om SITHS eID Testportal) JA: felet ligger troligen etjänsten NEJ: problemet är den aktuella personenens eID:t (mobilt eller på SITHS kort) och behöver felanmälas till den lokala SITHS förvaltningarna (IT support)
Kontrollera att portar öppnats och instruktioner följts i avsnitt Sjunet? Har organisationen olika routrar för Sjunet och internet? (d v s separat routing)? JA: Kontrollera routingtabell för 82.136.183.0/24 (exponeras både på Sjunet och internet) Inera rekommenderar att ni routar trafiken över sjunet där ni har en högre tillgänglighetsgaranti Justera tabell / BGP NEJ: Kontrollera routingtabell för 82.136.183.0/24 (exponeras både på Sjunet och internet) Båda routrarna bör få näten annonserade till sig - alternativt static/default route Justera tabell / BGP Har organisationen brandväggsregler som begränsar TCP trafik på portarna 80 eller 443 mot internet? Öppna dessa efter behov och nät
Har ni brandväggsregler som begränsar TCP trafik på portarna 80 eller 443 mot internet? JA: Öppna dessa mot 82.136.183.0/24 NEJ: Om klienter på aktuella nät för slutanvändare besöker idp.siths.se och idp.test.siths.se (eller motsvarande tjänsts adress/miljö) i webbläsare ser de då "404"? NEJ: Kontrollera att portar öppnats och instruktioner följts i avsnitt Sjunet? JA: Kommunikationen med Ineras IdP och andra Ineratjänster fungerar
Översikt: olika nätscenarier för slutkund Under uppdatering Dessa bilder är under arbete att bli mer generella för alla tjänster och komponenter Fullständigt fråga-svarsträd