Remplacement certificat SSO
publicité
Manuel Migration Certificat 2016 SSO Table des matières 1 INTRODUCTION ......................................................................................................................................................2 2 IMPACTS SUR LA CONFIGURATION DE L’ACCELERATEUR PHP ...............................................................3 2.1 RECONFIGURATION DU CERTIFICAT DE L’APPEL SECURISE ........................................................................................3 2.1.1 Reconfiguration du certificat pour l’appel sécurisé avec un pont Java .....................................................3 2.1.2 Reconfiguration pour l’appel sécurisé direct .................................................................................................3 2.2 RECONFIGURATION DU CERTIFICAT DE VERIFICATION DE L’ASSERTION SSO............................................................4 2.2.1 Reconfiguration du certificat SSO lors d’un appel sécurisé par pont Java ...............................................4 2.2.2 Reconfiguration du certificat SSO lors d’un appel sécurisé direct .............................................................4 Error! Reference source not found. Error! Reference source not found.Error! Reference source not found. 1 Introduction Le certificat utilisé pour la signature des certificats SSO expire en septembre 2016. Un changement est nécessaire pour garantir le fonctionnement au-delà de cette date. Ce document décrit les impacts que ce changement implique dans la configuration des applications partenaires. Page 2 / 4 Error! Reference source not found. Error! Reference source not found.Error! Reference source not found. 2 Impacts sur la configuration de l’accélérateur PHP 2.1 Reconfiguration du certificat de l’appel sécurisé Ce certificat est utilisé pour effectuer l’appel de service sécurisé avec le protocole WS-Security. Il représente la partie publique du certificat serveur qui doit être installée dans l’accélérateur pour chiffrer les messages envoyés au service sécurisé. 2.1.1 Reconfiguration du certificat pour l’appel sécurisé avec un pont Java Dans ce cas, l’appel sécurisé est effectué en amont par l’accélérateur Java. C’est donc ce dernier qui doit être reconfiguré. Cf. documentation correspondante. 2.1.2 Reconfiguration pour l’appel sécurisé direct 2.1.2.1 Reconfiguration du certificat serveur L’accélérateur PHP charge les certificats à partir de fichiers. Il faut donc modifier le chemin de ces derniers en configuration. C’est le paramètre de configuration « securedCallServerCertificatePath » se trouvant dans le fichier « pshelper\main\classes\PSHelper.php » qui indique le chemin du certificat serveur à charger. Il doit être reconfiguré pour pointer vers le fichier « sante-ra-2016.cer » fourni avec cette documentation. Ce chemin dépendra de l’implémentation faite par l’éditeur. Par défaut, les certificats pour les pages d’exemple sont stockés dans le répertoire « pshelper\test\resources ». 2.1.2.2 Reconfiguration de l’URL de l’appel sécurisé Les URL d’appels sécurisées par l’ancien certificat sont : Environnement Valeur Recette https://recette.santera.fr/ServicesSecurises/RoutingService.svc/CompatibilitySecured Production https://www.santera.fr/ServicesSecurises/RoutingService.svc/CompatibilitySecured Avec le nouveau certificat elle deviennent : Environnement Valeur Recette https://soap-recette.santera.fr/ServicesSecurises2016/RoutingService.svc/CompatibilitySecured Production https://soap.santera.fr/ServicesSecurises2016/RoutingService.svc/CompatibilitySecured Cette URL est renseignée dans paramètre « urlTokenProviderSecured ». Page 3 / 4 le fichier « pshelper\main\classes\PSHelper.php » avec le Error! Reference source not found. Error! Reference source not found.Error! Reference source not found. 2.2 Reconfiguration du certificat de vérification de l’assertion SSO Ce certificat est utilisé pour vérifier que les données de l’assertion SAML récupérées lors d’une résolution de jeton SSO sont correctement signées et n’ont pas été altérées. Plus exactement, il intervient lors de la vérification du certificat qui a été utilisé pour la signature, lequel est directement renvoyé avec l’assertion SAML. Pour cela, c’est l’autorité intermédiaire du certificat de signature qui doit être configurée dans l’accélérateur PHP. En pratique, le certificat en question est directement chargé à partir d’un fichier. Dans notre cas, il s’agit du « sante-ra-2016-intermediate.cer » fournis avec ce manuel. 2.2.1 Reconfiguration du certificat SSO lors d’un appel sécurisé par pont Java Dans ce cas, les vérifications de sécurité sont faites en amont par l’accélérateur Java. Cf. documentation correspondante. 2.2.2 Reconfiguration du certificat SSO lors d’un appel sécurisé direct C’est le paramètre de configuration « tokenSignatureTrustCertificatePath » se trouvant dans le fichier « pshelper\main\classes\PSHelper.php » qui indique le chemin du certificat à charger. Il doit être reconfiguré pour pointer vers le fichier « sante-ra-2016-intermediate.cer ». Ce chemin dépendra de l’implémentation faite par l’éditeur. Par défaut, les certificats pour les pages d’exemple sont stockés dans le répertoire « pshelper\test\resources ». Page 4 / 4
