Remplacement certificat SSO

Manuel Migration Certificat 2016
SSO
Table des matières
1 INTRODUCTION ......................................................................................................................................................2
2 IMPACTS SUR LA CONFIGURATION DE L’ACCELERATEUR PHP ...............................................................3
2.1 RECONFIGURATION DU CERTIFICAT DE L’APPEL SECURISE ........................................................................................3
2.1.1 Reconfiguration du certificat pour l’appel sécurisé avec un pont Java .....................................................3
2.1.2 Reconfiguration pour l’appel sécurisé direct .................................................................................................3
2.2 RECONFIGURATION DU CERTIFICAT DE VERIFICATION DE L’ASSERTION SSO............................................................4
2.2.1 Reconfiguration du certificat SSO lors d’un appel sécurisé par pont Java ...............................................4
2.2.2 Reconfiguration du certificat SSO lors d’un appel sécurisé direct .............................................................4

Error! Reference source not found. Error! Reference source not found.Error! Reference source not
found.
Page 2 / 4
1 Introduction
Le certificat utilisé pour la signature des certificats SSO expire en septembre 2016. Un changement est
nécessaire pour garantir le fonctionnement au-delà de cette date.
Ce document décrit les impacts que ce changement implique dans la configuration des applications partenaires.

Error! Reference source not found. Error! Reference source not found.Error! Reference source not
found.
Page 3 / 4
2 Impacts sur la configuration de l’accélérateur PHP
2.1 Reconfiguration du certificat de l’appel sécurisé
Ce certificat est utilisé pour effectuer l’appel de service sécurisé avec le protocole WS-Security. Il représente la
partie publique du certificat serveur qui doit être installée dans l’accélérateur pour chiffrer les messages envoyés
au service sécurisé.
2.1.1 Reconfiguration du certificat pour l’appel sécurisé avec un pont Java
Dans ce cas, l’appel sécurisé est effectué en amont par l’accélérateur Java. C’est donc ce dernier qui doit être
reconfiguré. Cf. documentation correspondante.
2.1.2 Reconfiguration pour l’appel sécurisé direct
2.1.2.1 Reconfiguration du certificat serveur
L’accélérateur PHP charge les certificats à partir de fichiers. Il faut donc modifier le chemin de ces derniers en
configuration.
C’est le paramètre de configuration « securedCallServerCertificatePath » se trouvant dans le fichier
« pshelper\main\classes\PSHelper.php » qui indique le chemin du certificat serveur à charger. Il doit être
reconfiguré pour pointer vers le fichier « sante-ra-2016.cer » fourni avec cette documentation.
Ce chemin dépendra de l’implémentation faite par l’éditeur. Par défaut, les certificats pour les pages d’exemple
sont stockés dans le répertoire « pshelper\test\resources ».
2.1.2.2 Reconfiguration de l’URL de l’appel sécurisé
Les URL d’appels sécurisées par l’ancien certificat sont :
Environnement
Valeur
Recette
https://recette.sante-
ra.fr/ServicesSecurises/RoutingService.svc/CompatibilitySecured
Production
https://www.sante-
ra.fr/ServicesSecurises/RoutingService.svc/CompatibilitySecured
Avec le nouveau certificat elle deviennent :
Environnement
Valeur
Recette
https://soap-recette.sante-
ra.fr/ServicesSecurises2016/RoutingService.svc/CompatibilitySecured
Production
https://soap.sante-
ra.fr/ServicesSecurises2016/RoutingService.svc/CompatibilitySecured
Cette URL est renseignée dans le fichier « pshelper\main\classes\PSHelper.php » avec le
paramètre « urlTokenProviderSecured ».

Error! Reference source not found. Error! Reference source not found.Error! Reference source not
found.
Page 4 / 4
2.2 Reconfiguration du certificat de vérification de l’assertion SSO
Ce certificat est utilisé pour vérifier que les données de l’assertion SAML récupérées lors d’une résolution de
jeton SSO sont correctement signées et n’ont pas été altérées.
Plus exactement, il intervient lors de la vérification du certificat qui a été utilisé pour la signature, lequel est
directement renvoyé avec l’assertion SAML.
Pour cela, c’est l’autorité intermédiaire du certificat de signature qui doit être configurée dans l’accélérateur
PHP.
En pratique, le certificat en question est directement chargé à partir d’un fichier. Dans notre cas, il s’agit du
« sante-ra-2016-intermediate.cer » fournis avec ce manuel.
2.2.1 Reconfiguration du certificat SSO lors d’un appel sécurisé par pont Java
Dans ce cas, les vérifications de sécurité sont faites en amont par l’accélérateur Java. Cf. documentation
correspondante.
2.2.2 Reconfiguration du certificat SSO lors d’un appel sécurisé direct
C’est le paramètre de configuration « tokenSignatureTrustCertificatePath » se trouvant dans le fichier
« pshelper\main\classes\PSHelper.php » qui indique le chemin du certificat à charger. Il doit être reconfiguré
pour pointer vers le fichier « sante-ra-2016-intermediate.cer ». Ce chemin dépendra de l’implémentation faite
par l’éditeur. Par défaut, les certificats pour les pages d’exemple sont stockés dans le répertoire
« pshelper\test\resources ».