Transportprofil AS4

Figur 1 Illustration av AS4 - transportprofilens fokus. Se bilden i ett större format.

Denna AS4-profil använder en delmängd funktionaliteten som beskrivs i CEF eDelivery AS4-profilen.

AS4-profilen använder miljötjänsterna Service Metadata Locator (SML) och Service Metadata Publisher (SMP).

1.1 Målgrupper

Detta dokument syftar till att stödja följande intressenter i deras arbete, dess informationsbehov samt ge svar på vanligt förekommande frågeställningar.

Intressenter:

• IT-arkitekter och utvecklare
• Som utvärderar, analyserar, designar, bygger, och testar programvaror.

1.2 Referenser

1.3 Federationsspecifika anpassningar

Detta dokument innehåller ett par regler, krav eller principer som en federation kan anpassa i federationsdeklarationen. Dessa anpassningspunkter är numrerade enligt formen [A1],[A2] osv.

2. Profilering av AS4

2.1 Sammanfattning

Detta dokument specificerar hur information utbyts mellan accesspunktsoperatörer enligt kommunikationsprotokollet AS4 och med ytterligare precisering av CEF eDelivery AS4 Profile.

Transportprofilen använder och preciserar följande underliggande tekniska profiler:

• eDelivery AS4 Profile, version: 1.15, och dess ”Common profile”.

2.2 Övergripande beskrivning av transportkommunikation med AS4

Denna profil erbjuder följande grundläggande egenskaper.

[a] En accesspunktsfunktion måste använda och följa de riktlinjer som beskrivs nedanstående tabell

2.3 Detaljerad beskrivning av transportprofil

2.3.1 P-Mode parametrar

P-Mode-parametrar är ett koncept som används inom ebMS/AS4 för att referera till de konfigurationsuppgifter som gäller för ett visst standardiserat informationsutbyte. Tabellen nedan visar de parametrar som har preciserats jämfört med CEF AS4 Profile som denna profil baseras på. I de fall denna profil inte ger information om en konfigurationsparameter så nyttjas CEF AS4 Profile. Kolumnen ”Värde som ska användas” förklarar på vilket sätt som parametern ska användas för att vara följsam gentemot denna transportprofil.

2.4 Dynamisk adressering med stöd av BDX-Location (BDXL)

eDelivery BDX Location 1.0 används i samverkan med eDelivery-SMP (SMP) för att via DNS(U-NAPTR records) hämta deltagarens metadata från SMP (sk Dynamic discovery).

[a] Vid registrering i SMP ska identifierings schema "iso6523-actorid-upis" användas för deltagare.
Ex <ParticipantIdentifier scheme="iso6523-actorid-upis">0203:sdk-qa.digg.se</ParticipantIdentifier>

[b] Vid användning av AS4 meddelanden ska originalSender och finalRecipient anges med typ "iso6523-actorid-upis".

Not. Det finns idag inga krav på att "type" skall valideras mot AS4 nivån. Endast att värdet skall kontrolleras mellan AS4-XHE-meddelande av MT.

2.5 Användning av TLS

Denna profil specificerar grundregler (default) för användning av TLS (Transport Layer Security). I det fall regeln anpassas specificeras det i federationens dokument tekniska anpassningar mot plattform för eDelivery.

2.5.1 Certifikatsutgivare

Grundregel [a]
TLS ska användas och endast TLS-certifikat utfärdade av utgivare som finns med på Mozillas lista över förinlästa CA-certifikat ('List of pre-loaded CA-certificates') ska användas. TLS-konfigurationen ska uppnå minst en "grade A" enligt SSL Labs bedömning.

Anpassning [A1]
Specificering av accepterade utgivare för TLS-certifikat

2.5.2 Autentiseringsmetod

Grundregel [b]
Accesspunktsfunktioner som agerar i eDelivery transportinfrastruktur ska använda ”one-way authentication”.

Anpassning [A2]
Om ”two-way authentication” (mutual TLS) ska användas i stället för grundprincipen ”one-way authentication”

2.5.3 Portar för SSL/TLS-trafik

Grundregel [c]
Port 443 ska användas för TLS

Anpassning [A3]
Om andra portar än 443 får användas för TLS vid utväxling av meddelanden mellan accesspunktsfunktioner

2.6 Felhantering vid felaktig mottagare/tjänst

En accesspunktsfunktion behöver ha funktionalitet för att kontrollera att inkommande anrop överensstämmer med den avsedda mottagaren och meddelandetyp.

[a] Accesspunktsfunktionen ska kontrollera att den betjänar den adresserade Deltagaren för den specifika meddelandetypen.

[b] Om den adresserade Deltagaren inte betjänas för den specifika meddelandetypen, kan accesspunktsfunktionen avvisa meddelandet och synkront returnera ett ebMS-Error.

[c] Om accesspunktsfunktionen använder ebMS-Error för att avvisa meddelanden ska felkodattributet sättas till EBMS:0004 (Other Error) och dess allvarlighetsattribut ska sättas till failure samt ska errorDetail-attributet ha värdet NOT_SERVICED för att indikera att den adresserade Deltagaren inte betjänas av accesspunktsfunktionen.

2.7 Användning av kuvert

Kuverteringsprofil XHE beskriver hur ett meddelande kan kuverteras. Kuvertet innehåller en identifierare för den federation som accesspunktsfunktionen ska förmedla meddelandet inom.

[a] Meddelanden som utväxlas inom en federation skall alltid vara förpackade i enlighet med en godkänd specifikationen för gällande kuverteringsprofil.

[b] Accesspunktsoperatören måste tillse att Deltagaren den betjänar är godkänd för att delta i federationen.

2.8 Spårning av konversationer

Meddelandet som förmedlas har i kuvertet en globalt unik identifierare som en accesspunktsfunktion kan använda för spårning.

[a] SOAP-attributet ConversationID ska innehålla den globalt unika identifieraren för meddelandets kuvert

2.9 Hantering av stora meddelanden

Denna profil specificerar grundkrav (default) för accesspunktsfunktioners kapacitet att skicka och ta emot stora meddelanden. Med storlek avses antal Byte som meddelandet inklusive kuvert (upptar när meddelandet lagras som en xml-fil. I det fall regeln anpassas specificeras det i federationsdeklarationen.

Grundregel [a]
Accesspunktsfunktionen ska ha kapacitet att ta emot och skicka meddelanden med en storlek av minst 100 MB

Anpassning [A4]
Nedre storleksgräns på meddelande som en accesspunktsfunktion åtminstone ska kunna ta emot och skicka.

2.10 Validering av nyttolast

Validering av nyttolast (genom t.ex XML-schema, schematron mm) görs av Deltagarens verksamhetssystem/meddelandetjänst. Återkoppling av validering görs i en egen försändelse genom en separat meddelandekvittens som skapas av Deltagarens verksamhetssystem/meddelandetjänst.

Resultat av validering av nyttolast ska alltså inte återrapporteras genom den synkrona AS4-kvittensen.

2.11 Användning av PKI

Alla försändelser som utväxlas mellan accesspunktsfunktioner i eDelivery transportinfrastruktur ska signeras och krypteras på AS4/SOAP-nivå.

Certifikat för kryptering hämtas genom att accesspunktsfunktionens certifikat publiceras som en del av service metadatat. Accesspunktsfunktionen ska vara konfigurerad för att acceptera försändelser till/från andra accesspunktsfunktioner i samma federation, det vill säga sådana accesspunktsfunktioner som har certifikat utgivna av samma intermediära certifikatsutgivare.

[a] Den sändande accesspunktsfunktionen måste kontrollera att mottagande accesspunktsfunktion är godkänd för att agera i federationen och miljön genom att verifiera att certifikatet är utfärdat av aktuell CA

[b] Den sändande accesspunktsfunktionen ska kontrollera mottagande accesspunktsfunktions certifikat gentemot spärrlista.

Sändande accesspunktsfunktion använder sitt certifikat för att signera försändelsen.

[c] Den mottagande accesspunktsfunktionen måste kontrollera att sändande accesspunktsfunktion är godkänd för att agera i federationen och miljön genom att verifiera att certifikatet är utfärdat av aktuell CA

[d] Den mottagande accesspunktsfunktionen ska kontrollera sändande accesspunktsfunktions certifikat gentemot spärrlista.

[e] Om en accesspunktsoperatör är godkänd för att agera i flera federationer parallellt ska accesspunktsfunktionen hanteras isolerat för varje federation.

[f] Accesspunktsfunktionen ska vara konfigurerad för att lita på det certifikat som används av SMP för signering av metadata i aktuell federation och miljö

[g] Accesspunktsfunktionen ska kontrollera SMP-certifikat gentemot spärrlista.