SID:Leveranciers proberen
Nummervoorziening: Leveranciers proberen
De koppeling met de Nummervoorziening wordt ontwikkeld en getest tegen de kwalificatieomgeving. De leverancier maakt een testcertificaat en krijgt hier toegang mee. De WSDL en de referentie implementaties helpen bij het ontwikkelen van de client.
- De leverancier maakt of hergebruikt een test-certificaat.
- Een contactpersoon van de leverancier verzoekt toegang tot de sandbox omgeving.
- Toegang wordt verleend.
- De leverancier ontwikkelt zijn client software en zorgt dat deze werkt.
Certificaat
Het testcertificaat waarmee de leverancier de TLS verbinding naar de sandbox maakt moet in elk geval bevatten: ‘serialNumber=[20-cijferig getal]’ als onderdeel van het attribuut ‘Onderwerp’ (Subject) in het certificaat[1]. Het 20-cijferig getal wordt gebruikt om de autorisatie op te verlenen. De Nummervoorziening gebruikt dit getal voor de autorisatie van de leverancier. De leverancier geeft dit getal daarom door bij de aanvraag voor aansluiting op de sandbox omgeving.
|
Deze code is nog niet gevalideerd; pas toe met beleid |
De leverancier maakt een testcertificaat bijvoorbeeld met de openssl toolkit:
user@host $openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 -keyout [privkey].key -subj /serialNumber=[OIN]/C=NL/O=[Organisatie]/CN=[domeinnaam of eigen naam] -out [certificate].crt
|
Vervang hierbij de delen tussen [ ] door toepasselijke invulling van organisatie, common name en de naam van de bestanden (certificaat en private sleutel). |
Dit levert een bestand [certificate].crt op, dat de privé sleutel en de publieke sleutel bevat. Het is gebruikelijk om dit certificaat in de trust store van het gebruikte ontwikkelplatform onder te brengen. Op Windows worden certificaten meestal in een PKCS#12 codering gebruikt. De conversie gaat als volgt:
user@host $openssl pkcs12 -export -out [naam certificaat].pfx -inkey [privkey].key -in [certificate].crt
- ↑ Dit is analoog aan het OIN in het PKI Overheid certificaat dat in de kwalificatie- en productieomgevingen gebruikt zal worden. Het testcertificaat hoeft niet hetzelfde OIN als het PKI Overheid certificaat te bevatten.
Sandbox
Deze omgeving verschilt op 3 punten van de productieomgeving:
- Er wordt gebruik gemaakt van self-signed test certificaten (leveranciers kunnen ook aan deze omgeving koppelen met PKI Overheid certificaten, maar de Nummervoorziening valideert dit niet en stuurt een self-signed certificaat in zijn reply)
- Het gegenereerde ECK ID is geen ‘echt’ ECK ID maar een pilot variant, te herkennen aan dat het begint met ‘https://id.school/pilot’.
- De url van de service is https://service-s.id.school/ws/eck/201509/ in plaats van https://service.id.school/ws/eck/201509/
|
|
Een verzoek voor toegang tot de sandbox omgeving kan door het formulier in te vullen. |
Ontwikkelingshulp
- De wsdl: Wsdl
- Referentie implementatie en documentatie voor een .Net / C# omgeving: Referentie implementatie .Net
- Referentie implementatie en documentatie voor een Java omgeving: Referentie implementatie Java