Skip to content
Snippets Groups Projects

Compare revisions

Changes are shown as if the source revision was being merged into the target revision. Learn more about comparing revisions.

Source

Select target project
No results found

Target

Select target project
  • fit-connect/docs
1 result
Show changes
Commits on Source (21)
Expand all Hide whitespace changes
Inline Side-by-side
Showing
with 509 additions and 243 deletions
docs/changelog.md
View file @ b645d7e2
...@@ -4,6 +4,14 @@ Das Format dieser Datei basiert auf [Keep a Changelog](https://keepachangelog.co ...@@ -4,6 +4,14 @@ Das Format dieser Datei basiert auf [Keep a Changelog](https://keepachangelog.co
Das hier veröffentlichte Changelog bezieht sich auf die [Testinstanz von FIT-Connect](https://docs.fitko.de/fit-connect/docs/getting-started/get-started#testing). Das hier veröffentlichte Changelog bezieht sich auf die [Testinstanz von FIT-Connect](https://docs.fitko.de/fit-connect/docs/getting-started/get-started#testing).
## 2022-08-22
### Dokumentation
- Die Startseite wurde geändert.
- Inhalte, die bislang auf der Startseite zu finden waren, sind nun in den neuen Seiten "Anträge senden" und "Anträge empfangen" vorhanden, unterhalb des Menüpunkts "FIT-Connect nutzen".
- Der Menüpunkt "Infos für Verantwortliche" wurde eingeführt, mit den neuen Seiten "Fachverfahren anbinden", Onlinedienste/Softwareprogramme anbinden" und "Zertifikate beantragen".
## 2022-08-18 ## 2022-08-18
### Dokumentation ### Dokumentation
......
docs/getting-started/account.mdx
View file @ b645d7e2
...@@ -57,7 +57,7 @@ Weitere Informationen zu den Scopes von sendenden Systemen finden Sie unter [OAu ...@@ -57,7 +57,7 @@ Weitere Informationen zu den Scopes von sendenden Systemen finden Sie unter [OAu
### Subscriber hinzufügen ### Subscriber hinzufügen
Mit **Client anlegen**, Auswahl der Art des Clients als **Subscriber**, Eingabe einer Bezeichnung und anschließender Betätigung mit **Anlegen** wird ein Client von Typ **Sender** angelegt. Mit **Client anlegen**, Auswahl der Art des Clients als **Subscriber**, Eingabe einer Bezeichnung und anschließender Betätigung mit **Anlegen** wird ein Client von Typ **Subscriber** angelegt.
<img width="600" alt="Neuen OAuth-API-Client vom Typ: Subscriber hinzufügen" src={useBaseUrl('/images/ssp/3b-Client-hinzufuegen-Subscriber.png')} /> <img width="600" alt="Neuen OAuth-API-Client vom Typ: Subscriber hinzufügen" src={useBaseUrl('/images/ssp/3b-Client-hinzufuegen-Subscriber.png')} />
......
docs/intro.mdx
View file @ b645d7e2
This diff is collapsed.
docs/organisation-tasks/apply-for-certificates.mdx 0 → 100644
View file @ b645d7e2
---
title: Zertifikate beantragen
---
import useBaseUrl from '@docusaurus/useBaseUrl';
import Tabs from '@theme/Tabs'
import TabItem from '@theme/TabItem'
# Zertifikate
### Zertifikate der Verwaltungs-PKI beantragen
Verantwortliche für Fachverfahren benötigen für das Produktivsystem von FIT-Connect Zertifikate der Verwaltungs-PKI. <br/>
Die Zertifikate enthalten öffentliche und private Schlüssel für Verschlüsselung und Signierung. Sie dienen zur Sicherung der Anträge und Berichte, die Antragsplattformen oder Softwareprogramme an Fachverfahren senden.
#### Überblick
Das Beantragen von Zertifikaten ist eine Aufgabe, die Verantwortliche für Fachverfahren beachten müssen, um Fachverfahren an FIT-Connect anzubinden.
Alle Aufgaben sind [hier im Überblick](./publish_destination) aufgelistet. <br/>
:::note Hinweis
Pro Fachverfahren ist ein Zertifikat der Verwaltungs-PKI erforderlich, um ein Fachverfahren an das Produktivsystem anzubinden. <br/>
Für die Anbindung an die Testumgebung sind keine Zertifikate der Verwaltungs-PKI erforderlich. In der Testumgebung können auch selbstgenerierte Zertifikate genutzt werden. Das Vorgehen ist im Artikel [Erstellen von JSON Web Keys für Testzwecke](../details/jwk-creation.md) beschrieben.
:::
Sie erhalten Zertifikate von der Zertifizierungsstelle (Certification Authority, CA) „Deutschland Online Infrastruktur-Certification Authority“ (DOI-CA), die von der Deutsche Telekom Security GmbH betrieben wird. <br/>
Die DOI-CA ist in die Verwaltungs-Public Key Infrastructure (V-PKI, auch *Verwaltungs-PKI*) des Bundesamtes für Sicherheit in der Informationstechnik (BSI) integriert. <br/>
### Vorgaben für Zertifikate der Verwaltungs-PKI
Da Zertifikate der Verwaltungs-PKI für Behörden ausgestellt werden, ist es erforderlich, dass die im Zertifikat angegebenen Daten sicher überprüft werden.
Hierzu ist eine Identifizierung durch die siegelführende Stelle Ihrer Behörde erforderlich („Behörden-Ident“). <br/>
Der von der siegelführenden Stelle gegengezeichnete Antrag muss dann zu einer Registrierungsstelle (Registration Authority, RA) gesendet werden, die nach einer Überprüfung der Daten die Zertifikatserzeugung freigibt. <br/>
Weitere Vorgaben für die eingesetzten X.509-Zertifikate sind unter [Vorgaben für kryptographische Verfahren in FIT-Connect](../details/crypto.md#certificates) dokumentiert.
### Web-Portal der DOI-CA
Um Zertifikate der Verwaltungs-PKI zu beantragen, melden Sie sich im [Webportal der DOI-CA](https://doi.telesec.de/doi/ee/) an.
Nach der erfolgreichen Anmeldungen sehen Sie die folgende Startseite:
<img width="600" alt="Management von Zertifikaten der DOI-CA" src={useBaseUrl('/images/certificate_registration/certificate_registration_1.png')} />
Klicken Sie in der Navigation auf der linken Seite auf den Menü-Punkt **Software-Zertifikat**. <br/>
Dann klicken Sie auf den Untermenü-Punkt **beantragen**. <br/>
Nun wird eine Seite angezeigt, auf der Sie eine Domäne auswählen können, die dann im Zertifikat als "Organizational Unit (OU) übernommen wird. Je nachdem, ob Sie eine Smartcard oder ein Software-Zertifikat beantragen, stehen Ihnen nur bestimmte Domänen zur Auswahl. Wählen Sie hier die Sub-Domäne `DOI_OSCI` aus und bestätigen Sie Ihre Auswahl mit **Weiter**.
:::info Hinweis
Bei der Beantragung von Zertifikaten über die **Thüringer Registrierungsstelle** beim TLRZ wählen Sie stattdessen die Sub-Domäne `Kommunikation Thüringen`.
:::
<img width="600" alt="Auswahl der Domäne" src={useBaseUrl('/images/certificate_registration/certificate_registration_2.png')} />
Im nächsten Schritt gilt, es den Zertifikatstyp auszuwählen.
Zur Wahl stehen ein personenbezogenes Zertifikat (für eine konkrete Person) und ein Gruppen- bzw. Funktions-Zertifikat, das für Personengruppen, Funktionen, Rollen, Systeme oder IT-Prozesse Anwendung findet.
In Abhängigkeit der zuvor gewählten Domäne kann auch nur eine der beiden Möglichkeiten zur Auswahl stehen.
Für unseren Anwendungsfall wählen Sie bitte `Gruppen-/Funktions-Zertifikat` und bestätigen sie Ihre Auswahl mit **Weiter**.
<img width="600" alt="Auswahl des Zertifikatstyps" src={useBaseUrl('/images/certificate_registration/certificate_registration_3.png')} />
Es folgt die Erfassung der Anschrift und Kontaktdaten des Anstragsstellers bzw. des Schlüsselverantwortlichen.
Der Schlüsselverantwortliche ist der Repräsentant einer Gruppe und verantwortlich für die sichere Verteilung, Nutzung und ggf. Sperrung des Schlüssels.
Er wird wie ein Antragsteller für ein personenbezogenes Zertifikat identifiziert und registriert.
Bestätigen sie Ihre Eingaben mit **Weiter**.
<img width="600" alt="Erfassung der Daten des Antragstellers/Schlüsselverantwortlichen" src={useBaseUrl('/images/certificate_registration/certificate_registration_4.png')} />
Mit Eingabe der Zertifikatsdaten werden die eigentlichen zu beglaubigenden Inhalte erfasst.
Da zuvor als Zertifikatstyp Gruppen-/Funktions-Zertifikat gewählt wurde, ist jetzt im Common Name des Zertifikats der Gruppen-/Funktionsname zu benennen.
Gemäß der Zertifikats-Policy muss dieser mit Zusatz `GRP: `&nbsp;beginnen.
Im Feld E-Mail-Adresse sollten Sie zur Gewährleistung der Erreichbarkeit, sofern vorhanden, eine zentrale E-Mail-Adresse bzw. ein Funktionspostfach eintragen.
An diese E-Mail-Adresse werden sowohl die Informationen über die Zertifikatserstellung als auch später eine Erinnerung vor Ablauf des Zertifikats zur Erneuerung gesendet.
Geben Sie jetzt den Gruppen-/Funktionsnamen sowie die E-Mail-Adresse ein und bestätigen Sie Ihre Eingaben mit **Weiter**.
<img width="600" alt="Zertifikatsdaten: Name und E-Mail-Adresse" src={useBaseUrl('/images/certificate_registration/certificate_registration_5.png')} />
Zusätzlich zum Namen und zur E-Mail-Adresse können weitere Daten zu Ihrer Behörde optional in das Zertifikat aufgenommen werden.
Im Feld Dienstort können Sie den Dienstort Ihrer Behörde erfassen.
Im Feld Kennung 1 tragen Sie bitte den Namen Ihrer Behörde ein, sofern sich dieser nicht bereits aus dem Gruppennamen ergibt.
Nach Eingabe der optionalen Angaben bestätigen Sie Ihre Eingaben mit **Weiter**.
<img width="600" alt="Zertifikatsdaten: Optionale Zertifikatsdaten" src={useBaseUrl('/images/certificate_registration/certificate_registration_6.png')} />
Neben den Zertifikatsinhalten haben Sie als antragstellende Person auch die Möglichkeit, über einige technische Rahmenbedingungen zu entscheiden.
So können Sie wählen, ob das Zertifikat neben einer Veröffentlichung im DOI-Netz auch über einen im Internet verfügbaren Verzeichnisdienst veröffentlicht werden soll.
Damit wird das Zertifikat auch für nicht öffentliche Stellen im Internet auffindbar.
Für die Verwendung der Zertifikate in FIT-Connect müssen gemäß den [Vorgaben für kryptographische Verfahren](../details/crypto.md#certificates) der Hash-Algorithmus `SHA-512` und der Schlüsseltyp `4096 Bit` ausgewählt werden.
Das Sperrpasswort wird benötigt, wenn Sie Ihr Zertifikat vor Ende seiner Laufzeit sperren müssen.
Notwendig kann das zum Beispiel sein bei Kompromittierung des geheimen Schlüssels, dem Ausscheiden einer Person aus der Behörde oder der Auflösung einer Organisationseinheit.
Haben Sie sich für die technischen Rahmenbedingungen entschieden, dann bestätigen Sie Ihre Eingaben mit **Weiter**.
<img width="600" alt="Veröffentlichung, Hash-Algorithmus, Schlüsseltyp und Sperrpasswort" src={useBaseUrl('/images/certificate_registration/certificate_registration_7.png')} />
Für die Abrechnung Ihres Zertifikats geben Sie bitte in diesem Schritt die Rechnungsanschrift des zuständigen Rechnungsempfängers an.
<img width="600" alt="Rechnungsanschrift" src={useBaseUrl('/images/certificate_registration/certificate_registration_8.png')} />
Im nächsten Schritt haben Sie die Möglichkeit, der zuständigen Registrierungsstelle eine Mitteilung zu Ihrem Antrag zu übermitteln.
Bestätigen Sie Ihre Eingabe mit **Weiter**.
<img width="600" alt="Mitteilung an die Registrierungsstelle" src={useBaseUrl('/images/certificate_registration/certificate_registration_9.png')} />
Im letzten Schritt der Zertifikatsbeantragung werden die Antragsdaten in einer Zusammenfassung angezeigt. Überprüfen Sie die Angaben. Mithilfe von **Zurück** können Sie zu vorherigen Seiten zurück navigieren. <br/>
Schließen Sie Ihren Zertifikatsantrag mit **Absenden** ab. Ihr Antrag wird nun an das Trustcenter gesendet.
<img width="600" alt="Zusammenfassung der Antragsdaten" src={useBaseUrl('/images/certificate_registration/certificate_registration_10.png')} />
Klicken Sie nun auf die Schaltfläche **Zertifikatsantrag herunterladen**.
Der Antrag beinhaltet neben dem eigentlichen Antrag für die Registrierungsstelle auch noch eine Kopie des Antrags für Ihre Unterlagen, einen PIN-Brief sowie ggf. weitere Blätter.
Drucken Sie den Antrag bitte aus, unterschreiben Sie ihn und lassen Sie sich gemäß den Vorgaben (siehe Antrag) in einer siegelführenden Stelle Ihrer Behörde identifizieren.
Senden Sie den Antrag an die zuständige Registrierungsstelle.
Die Anschrift finden Sie im Antragsformular.
Mit dem Versand des Antrags an die Registrierungsstelle ist der Vorgang für Sie zunächst abgeschlossen.
Nachdem Ihr Zertifikat ausgestellt wurde, erhalten Sie eine E-Mail mit weiteren Informationen zu der Abholung Ihres Zertifikats.
<img width="600" alt="Download und Versand des Zertifikatsantrags" src={useBaseUrl('/images/certificate_registration/certificate_registration_10_2.png')} />
### Abruf des Zertifikats
Nachdem das Trust Center der Telekom Ihr Zertifikat erstellt hat, werden Sie per E-Mail darüber informiert, dass Ihr Zertifikat bereit zum Download steht.
Rufen Sie die Startseite des [Webportals der DOI-CA](https://doi.telesec.de/doi/ee/) auf.
Nach erfolgreichem Login klicken Sie in der Navigation auf der linken Seite auf den Menü-Punkt **Software-Zertifikat**.
Im Untermenü klicken Sie auf **abholen**.
Geben Sie anschließend die Referenznummer und das Download-Passwort ein, das Sie Ihrem Antragsformular bzw. dem PIN-Brief entnehmen, und bestätigen Sie Ihre Eingaben mit **Suchen**.
<img width="600" alt="Software-Zertifikat abholen" src={useBaseUrl('/images/certificate_registration/certificate_registration_11.png')} />
Bei erfolgreicher Eingabe wird Ihr Zertifikat angezeigt.
Klicken Sie auf **Herunterladen** und speichern Sie die Datei auf Ihrer Festplatte oder einem Datenträger.
Bei der PKCS-12-Datei handelt es sich um einen Container, in dem ein Schlüsselpaar (öffentlicher und geheimer Schlüssel, siehe dazu auch [Verschlüsselte Übertragung in FIT-Connect](../getting-started/encryption.mdx)) sowie das Zertifikat enthalten sind.
**Hinweis:** Die Anzahl der möglichen Downloads ist auf drei Versuche begrenzt!
Sollten Sie nach dem 3. Versuch den erfolgreichen Download nicht bestätigt haben, wird beim nächsten Versuch das Zertifikat gesperrt und der geheime Schlüssel gelöscht.
Die PKCS12-Datei kann dann nicht mehr heruntergeladen werden und ein Zugriff auf die Schlüssel ist nicht länger möglich.
Sie müssen in dem Fall einen neuen Antrag stellen.
Nach dem Herunterladen der Datei müssen Sie den erfolgreichen Download zwingend mit **Bestätigen** quittieren, damit die geheimen Schlüssel gelöscht werden und die Datei kein weiteres Mal heruntergeladen werden kann.
Darüber hinaus wird mit dieser Bestätigung das Zertifikat in den Verzeichnissen veröffentlicht.
<img width="600" alt="Software-Zertifikat herunterladen" src={useBaseUrl('/images/certificate_registration/certificate_registration_11_2.png')} />
Sie erhalten nach der Bestätigung eine Meldung, dass Ihr Zertifikat freigeschaltet wurde.
<img width="600" alt="Zertifikat als *.der-Datei herunterladen" src={useBaseUrl('/images/certificate_registration/certificate_registration_11_3.png')} />
docs/organisation-tasks/publish_destination.mdx 0 → 100644
View file @ b645d7e2
---
title: Fachverfahren anbinden
---
import useBaseUrl from '@docusaurus/useBaseUrl';
import Tabs from '@theme/Tabs'
import TabItem from '@theme/TabItem'
# Fachverfahren
### Aufgaben für die Anbindung an das Produktivsystem
:::note Hinweis
Vor der Anbindung an das Produktivsystem von FIT-Connect ist es erforderlich, Ihr Fachverfahren mit der Testumgebung von FIT-Connect zu testen. Für den Zugang zur Testumgebung ist keine Anmeldung bei der FITKO erforderlich. <br/>
:::
#### Konzeptionelle Vorüberlegungen
Verantwortliche für ein Fachverfahren sollten zunächst die folgenden Fragen klären:
- Welche Leistungen sollen Bürger:innen online beantragen können? <br/>
Wie lauten die Leika-Schlüssel dieser Leistungen? <br/>
- Wie antwortet Ihr Fachverfahren auf Anträge? <br/>
Werden Sie Bescheide über FIT-Connect, Elster, FINK, als E-Mail, De-Mail oder als Brief zustellen?
- Welches Schema (FIM- oder XÖV-Schema) für Fachdaten will Ihr Fachverfahren nutzen?
#### Schritte für die Anbindung an das Produktivsystem
Als Verantwortliche für ein Fachverfahren müssen Sie die folgenden Aufgaben beachten, um ein Fachverfahren an das Produktivsystem von FIT-Connect anzubinden (Überblick):
1. Beantragen Sie bei der FITKO einen Zugang zum Produktivsystem für FIT-Connect. <br/>
Die rechtlichen Voraussetzungen sind unter [Punkt 1](#1-beantragen-sie-bei-der-fitko-einen-zugang-zum-produktivsystem-f%C3%BCr-fit-connect) beschrieben.
2. Beantragen Sie Zertifikate der Verwaltungs-PKI (siehe unten [Punkt 2](#2-beantragen-sie-zertifikate-der-verwaltungs-pki)).
3. Zustellpunkt und API-Client anlegen <br/>
Beauftragen Sie Administrator:innen Ihrer Behörde (oder Dienstleister) damit, im Self-Service-Portal der FITKO einen Zustellpunkt und einen API-Client anzulegen. <br/>
Was dabei zu beachten ist, das ist nachfolgend unter [Punkt 3](#3-zustellpunkt-und-api-client-anlegen)) beschrieben.
4. Adressierungsinformationen in Redaktionssysteme einfügen <br/>
Das Self-Service-Portal stellt die im Schritt 3 eingetragenen Informationen in signierter Form zur Verfügung. <br/>
Fügen Sie diese signierten Adressierungsinformationen in das Redaktionssystem Ihrer Behörde ein. <br/>
Was dabei zu beachten ist, das ist nachfolgend unter [Punkt 4](#4-adressierungsinformationen-in-redaktionssysteme-einf%C3%BCgen) beschrieben.
### 1. Beantragen Sie bei der FITKO einen Zugang zum Produktivsystem für FIT-Connect
Die rechtlichen Vertreter:innen eines Fachverfahrens, die FIT-Connect für ihre Fachverfahren nutzen wollen, müssen den Nutzungsbedingungen der FITKO zustimmen. <br/>
Die FITKO legt anschließend für das Fachverfahren einen Account für FITKO-GitLab an, sodass Sie auf dem Self-Service-Portal der Produktivumgebung Daten pflegen können (oder ein von Ihnen beauftragter Mitarbeiter oder Dienstleister pflegt die Daten).
### 2. Beantragen Sie Zertifikate der Verwaltungs-PKI.
Wie Sie Zertifikate beantragen, das ist [hier](./apply-for-certificates#zertifikate-der-verwaltungs-pki-beantragen) beschrieben.
### 3. Zustellpunkt und API-Client anlegen
Beauftragen Sie Administrator:innen Ihrer Behörde (oder Dienstleister) damit, einen Zustellpunkt und einen API-Client des Typs "Subscriber" anzulegen. Hierfür benötigen die Administrator:innen die Zertifikate, die Sie im Schritt 2 erhalten haben. <br/>
Das Anlegen von Zustellpunkten und API-Clients im Self-Service-Portal ist [hier](../getting-started/account) beschrieben. <br/>
#### Onlinedienste erhalten Informationen zu Fachverfahren
Nach dem Anlegen eines Zustellpunktes überträgt das Self-Service-Portal die eingetragenen Informationen zu den Leistungen eines Fachverfahrens (zum Beispiel die Leika-Schlüssel) an das Deutsche Verwaltungsdiensteverzeichnis (DVDV), und Onlinedienste rufen diese Informationen vom DVDV ab, über den Routingdienst von FIT-Connect.
#### Signierte Adressierungsinformationen
Die signierten Adressierungsinformationen (`destinationSignature`) eines Zustellpunktes sind im Self-Service-Portal auf der Übersichtsseite zu den Zustellpunkten hinterlegt. Das folgende Bid zeigt die Übersichtseite. <br/>
<br/>
<div class="center">
<img width="800" alt="Button in der Zustellpunkt-Übersichtsliste"
src={useBaseUrl('/images/ssp/destination-overview-export-address-information.png')}/>
</div>
Lassen Sie sich eine Kopie der signierten Adressierungsinformationen aushändigen. Diese Daten werden im Schritt [4. Adressierungsinformationen in Redaktionssysteme einfügen](#4-adressierungsinformationen-in-redaktionssysteme-einf%C3%BCgen) benötigt. <br/>
#### Routingdienst
Der Routingdienst von FIT-Connect stellt Informationen über Fachverfahren zur Verfügung, zum Beispiel die online beantragbaren Leistungen eines Fachverfahrens.
Diese Informationen stammen aus den folgenden Quellen:
- Deutsches Verwaltungsdiensteverzeichnis (DVDV) <br/>
Nach dem Anlegen eines Zustellpunktes sendet das Self-Service-Portal der FITKO Informationen zu den online beantragbaren Leistungen zum DVDV, und das DVDV reicht diese Informationen an den Routing-Dienst von FIT-Connect weiter (siehe folgendes Bild, linker Zweig).
- Onlinegateway des Portalverbunds [PVOG](https://servicesuche.bund.de/) <br/>
Das Onlinegateway des Portalverbunds wird von den Redakionssystemen des Bundes und der Länder gespeist. <br/>
Das PVOG sendet Informationen zu den online beantragbaren Leistungen der Fachverfahren an den Routingdienst von FIT-Connect (siehe folgendes Bild, rechter Zweig).
<div class="center">
<img width="550" alt="FIT-Connect Routing-Architektur"
src={useBaseUrl('/images/routing/routing-architecture-overview.png')}/>
</div>
### 4. Adressierungsinformationen in Redaktionssysteme einfügen
Das Self-Service-Portal (SSP) stellt Informationen über Zustellpunkte in signierter Form zur Verfügung. <br/>
Wie Sie diese Informationen aus dem SSP kopieren, das ist [hier](#signierte-adressierungsinformationen) beschrieben.
Fügen Sie die Adressierungsinformationen in das Redaktionssystem Ihrer Behörde ein. <br/>
Das Einpflegen der Informationen ist abhängig vom verwendeten Redaktionssystem:
#### Infodienste (Systeme) der Linie6Plus (BB, HE, MV, NI, RP, SH, SL, ST, TH)
##### Einleitung/Allgemeines
Zur Steuerung von Antragsinformationen der Plattform FIT-Connect bzw. um die signierten Adressierungsinformationen eines Zustellpunktes (Destination) auszugegeben, muss die in Schritt 1 abgerufene „destinationSignatur“ (im Folgenden „FIT-Connect destinationSignatur“ genannt) verwendet werden.
Dafür wird die teilweise eingeführte Destination-ID entfallen, da die FIT-Connect destinationSignatur bereits die Destination-ID enthält.
Diese lässt sich in den Infodiensten pflegen; Voraussetzung und Ablauf sind im folgenden Abschnitt beschrieben.
##### Anlage eines Zustellkanals für die FIT-Connect destinationSignatur
Für die Pflege der FIT-Connect destinationSignatur in den Infodiensten wird ein neuer Zustellkanal benötigt.
Dieser kann nach Beauftragung durch die jeweiligen Länder der Linie6Plus durch den Support (support@teleport.de) zentral in den Infodiensten für die benötigte Datenpflege implementiert werden.
Da die FIT-Connect destinationSignatur einen eindeutigen Zustellpunkt definiert, muss sie an der Organisationseinheit als zuständige Stelle für definierte Verwaltungsleistungen verortet sein.
In dem Modul `Organisationseinheit` -> `Einstellung Kontakt/Verkehr`, kann die FIT-Connect destinationSignatur als neues Kontaktsystem für die Organisationseinheit angegeben werden.
Dementsprechend darf in den Infodiensten nicht nur der Wert Destination-ID hinterlegt werden, sondern dort müssen ebenfalls die signierten Adressierungsinformationen aus Schritt 1 hinterlegt werden können.
Dies ist durch das Anlegen der FIT-Connect destinationSignatur möglich, da diese den Wert ebenfalls enthält.
Konkret wird das (neue) Kontaktsystem wie folgt benannt: „FIT-Connect (destinationSignatur)“ mit der Kurzbezeichnung "FITCONNECTDESTSIGNATURE".
##### Pflege der FIT-Connect destinationSignatur in den Infodiensten
Die Redakteure der Kommunen und der zentralen Landesredaktion pflegen die FIT-Connect destinationSignatur an der Organisationseinheit dezentral.
In dem Modul `Organisationseinheit` -> `Einstellung Kontakt/Verkehr` kann der Redakteur ein Kontaktsystem hinzufügen.
Hierbei steht ihm als Option das Kontaktsystem „FIT-Connect (destinationSignatur)“ als Auswahloption zur Verfügung.
Im Feld `Kennung` hinterlegt der Redakteur die FIT-Connect destinationSignatur der Organisationseinheit.
Für bestimmte Anwendungsfälle besteht aber auch die Möglichkeit die FIT-Connect destinationSignatur mehrfach zu hinterlegen.
#### Weitere Redaktionssysteme
Wir streben an, für alle in Deutschland gängigen Systeme ein entsprechendes Pflegekonzept bereitzustellen.
Hierzu freuen wir uns über Bedarfsmeldungen, um besser abschätzen zu können, für welche Systeme ein Pflegekonzept prioritär benötigt wird.
Teilen Sie uns auch gerne mit, wenn Ihnen ein hier noch nicht aufgeführtes Pflegekonzept bekannt ist.
docs/organisation-tasks/register_onlineservice.mdx 0 → 100644
View file @ b645d7e2
---
title: Onlinedienste / Softwareprogramme anbinden
---
import useBaseUrl from '@docusaurus/useBaseUrl';
# Onlinedienste
### Aufgaben zur Anbindung an das Produktivsystem
:::note Hinweis
Vor der Anbindung an das Produktivsystem von FIT-Connect ist es erforderlich, Ihren Onlinedienst mit der Testumgebung von FIT-Connect zu testen. Für den Zugang zur Testumgebung ist keine Anmeldung bei der FITKO erforderlich. <br/>
:::
Als Verantwortliche für einen Onlinedienst (eine Antragsplattform oder ein Softwareprogramm) müssen Sie die folgenden Aufgaben beachten, um ein System an die Produktivumgebung von FIT-Connect anzubinden (Überblick)::
1. Beantragen Sie bei der FITKO einen Zugang zum Produktivsystem für FIT-Connect. <br/>
Die rechtlichen Voraussetzungen sind unter [Punkt 1](#1-rechtliche-voraussetzung-erf%C3%BCllen) beschrieben.
2. API-Client für Sender <br/>
Verantwortliche für Onlinedienste (Antragsplattformen und Softwareprogramme), die Einreichungen über FIT-Connect senden wollen, müssen für ihre Systeme API-Clients anlegen. Eine Beschreibung dazu finden Sie [hier](#2-api-client-f%C3%BCr-sender-anlegen). <br/>
Sie legen API-Clients im Self-Service-Portal (SSP) der FITKO an. Das SSP erreichen Sie über die Schaltfläche "Self-Service-Portal" oben rechts auf dieser Seite. Wie Sie sich beim SSP anmelden, das ist [hier](../getting-started/account#anmeldung-am-self-service-portal) beschrieben. <br/>
### 1. Rechtliche Voraussetzung erfüllen
Schließen Sie mit der FITKO einen Auftragsdatenverarbeitungsvertrag (AVV). <br/>
Nach Abschluss des Vertrags erstellt die FITKO einen Account für FITKO-GitLab. Damit kann im Self-Service-Portal ein API-Client angelegt werden (siehe folgenden Punkt):
### 2. API-Client für Sender anlegen
Legen Sie im Self-Service-Portal einen Client des Typs "Sender" an. <br/>
Dazu klicken Sie in der Ansicht "Client anlegen", bei der Auswahl der Art des Clients, auf "Sender". <br/>
Geben Sie eine Bezeichnung für den Client ein. Weitere Angaben sind für API-Clients des Typs "Sender" nicht erforderlich. <br/>
Um den neuen API-Client anzulegen, klicken Sie auf die Schaltfläche "Anlegen". <br/>
<img width="600" alt="Neuen OAuth-API-Client vom Typ: Sender hinzufügen" src={useBaseUrl('/images/ssp/3-Client-hinzufuegen-Sender.png')} />
Das Self-Service-Portal generiert daraufhin **Client-ID** und **Client-Secret**.
Die **Client-ID** stellt dabei einen öffentlichen, im FIT-Connect-Umfeld einzigartigen Identifikator für eine Anwendungen dar.
Das **Client-Secret** wiederum ist ein Geheimnis, welches nur der Anwendung und dem OAuth-Server bekannt ist.
Mit Hilfe von Client-ID und Client-Secret können API-Clients anschließend OAuth Access Tokens [beim OAuth-Dienst abrufen](../getting-started/authentication.mdx), die zum Zugriff auf die FIT-Connect Submission API berechtigen.
Für den Zugriff auf die Submission-API werden Berechtigungen in Form von OAuth-Scopes verwaltet.
Jedem **API-Client** werden zu diesem Zweck ein oder mehrere OAuth-Scopes zugeordnet.
Für **Sender** legen diese fest, ob ein sendendes System eine Einreichung an einen bestimmten Zustellpunkt übermitteln darf. <br/>
In der Testphase ist dieser mit `send:region:DE` vorbefüllt.
Dies erlaubt eine Antragstellung bei allen in FIT-Connect registrierten **Subscribern**.
<img width="600" alt="OAuth-API-Client vom Typ: Sender" src={useBaseUrl('/images/ssp/4-Client-hinzufuegen-Sender2.png')} />
Weitere Informationen zu den Scopes von sendenden Systemen finden Sie unter [OAuth-Scopes für sendende Systeme](../details/authentication/scopes-sender.md).
#### Clients bearbeiten und löschen
Durch einen Klick auf die **Client-ID** in der Client-Verwaltung öffnet sich die Detailansicht für den ausgewählten Client.
<img width="600" alt="Detailansicht von Clients, hier ein Sender" src={useBaseUrl('/images/ssp/4-Client-hinzufuegen-Sender2.png')} />
Durch einen Klick auf **Client editieren** öffnet sich die Bearbeitungsansicht. Hier kann die Bezeichnung des Clients angepasst werden.
<img width="600" alt="Client bearbeiten" src={useBaseUrl('/images/ssp/5-Client-bearbeiten.png')} />
Durch einen Klick auf **Client löschen** öffnet sich hingegen ein Kontrolldialog, in dem das Löschen bestätigt werden muss.
<img width="600" alt="Client löschen" src={useBaseUrl('/images/ssp/15-Client-loeschen.png')} />
docs/receiving/certificate.mdx
View file @ b645d7e2
--- ---
title: Zertifikatsbeantragung title: Zertifikate
--- ---
import useBaseUrl from '@docusaurus/useBaseUrl'; import useBaseUrl from '@docusaurus/useBaseUrl';
Bei der verschlüsselten Übertragung in FIT-Connect werden JSON Web Keys (JWK) gemäß [RFC 7517](https://tools.ietf.org/html/rfc7517) eingesetzt. Die JSON Web Keys werden aus Zertifikaten abgeleitet. Der öffentlichen Schlüssel eines Schlüsselpaares wird in einem Zustellpunkt hinterlegt. Bei der verschlüsselten Übertragung in FIT-Connect werden JSON Web Keys (JWK) gemäß [RFC 7517](https://tools.ietf.org/html/rfc7517) eingesetzt.
Die JSON Web Keys werden aus Zertifikaten abgeleitet. Der öffentliche Schlüssel eines Schlüsselpaares wird in einem Zustellpunkt hinterlegt.
Es können mehrere JWKs hinterlegt werden, welche entweder für die Verschlüsselung oder Signaturprüfung verwendet werden können. Es können mehrere JWKs hinterlegt werden, welche entweder für die Verschlüsselung oder Signaturprüfung verwendet werden können.
:::note Hinweis :::note Hinweis
Die Zertifikate und damit verbundene JWKs haben eine begrenzte Gültigkeitsdauer und müssen gemäß den Vorgaben der Zertifikatsinfrastruktur in regelmäßigen Intervallen erneuert werden. Die Zertifikate und die damit verbundenen JWKs haben eine begrenzte Gültigkeit und müssen gemäß den Vorgaben der Zertifikatsinfrastruktur in regelmäßigen Intervallen erneuert werden.
::: :::
## Beantragung von Zertifikaten aus der Verwaltungs-PKI ### Zertifikate der Verwaltungs-PKI
:::note Hinweis Sie benötigen Zertifikate der Verwaltungs-PKI, um ein Fachverfahren an das Produktivsystem von FIT-Connect anzubinden.
In der Testumgebung ist die Absicherung der öffentlichen Schlüssel eines Zustellpunktes durch Zertifikate optional. Stattdessen können in der Testumgebung selbstgenerierte Zertifikate genutzt werden. Das Vorgehen ist im Artikel [Erstellen von JSON Web Keys für Testzwecke](../details/jwk-creation.md) beschrieben. Wie Sie Zertifikate der Verwaltungs-PKI beantragen, das ist [hier](../getting-started/account#anmeldung-am-self-service-portal) beschrieben.
:::
Die Voraussetzung, damit sendende Systeme Daten verschlüsseln bzw. Signaturen prüfen können, ist die Hinterlegung eines gültigen X.509-Zertifikats aus der Verwaltungs-PKI in einem Zustellpunkt.
Ihr Zertifikat erhalten Sie von der Zertifizierungsstelle (Certification Authority, CA) „Deutschland Online Infrastruktur-Certification Authority“ (DOI-CA), welche durch die Deutsche Telekom Security GmbH im Trust Center betrieben wird und in die Verwaltungs-Public Key Infrastructure (V-PKI, auch *Verwaltungs-PKI*) des Bundesamtes für die Sicherheit in der Informationstechnik (BSI) integriert ist.
Da Zertifikate aus der Verwaltungs-PKI nur an Behörden ausgestellt werden dürfen, ist es erforderlich, dass die im Zertifikat angegebenen Daten sicher überprüft werden.
Hierzu ist eine Identifizierung durch die siegelführende Stelle Ihrer Behörde erforderlich („Behörden-Ident“).
Der von der siegelführenden Stelle gegengezeichnete Antrag muss dann zu einer Registrierungsstelle (Registration Authority, RA) gesendet werden, welche dann nach einer Überprüfung der Daten die Zertifikatserzeugung freigibt.
Weitere Vorgaben für die eingesetzten X.509-Zertifikate sind unter [Vorgaben für kryptographische Verfahren in FIT-Connect](../details/crypto.md#certificates) dokumentiert.
### Beantragunsgprozess über das Web-Portal der DOI-CA
Um Zertifikate aus der Verwaltungs-PKI beantragen zu können, melden Sie sich im [Webportal der DOI-CA](https://doi.telesec.de/doi/ee/) an.
Nach der erfolgreichen Anmeldungen sehen Sie die folgende Startseite:
<img width="600" alt="Management von Zertifikaten der DOI-CA" src={useBaseUrl('/images/certificate_registration/certificate_registration_1.png')} /> :::note Hinweis
Für die Testumgebung von FIT-Connect sind keine Zertifikate der Verwaltungs-PKI erforderlich. Hier können selbst signierte Zertifikate genutzt werden. Das Vorgehen ist im Artikel [Erstellen von JSON Web Keys für Testzwecke](../details/jwk-creation.md) beschrieben.
In der Navigationsspalte auf der linken Seite sehen Sie durch einen Klick auf den Menü-Punkt **Software-Zertifikat** weitere Unterpunkte.
Wählen Sie hier den Menü-Punkt **beantragen** aus.
Es öffnet sich dann eine Webseite, auf der Sie unter verschiedenen Möglichkeiten eine Domäne auswählen können, die dann im Zertifikat als "Organizational Unit (OU) übernommen wird.
Je nachdem ob Sie eine Smartcard oder ein Software-Zertifikat beantragen, stehen Ihnen nur bestimmte Domänen zur Auswahl.
Wählen Sie hier die Sub-Domäne `DOI_OSCI` aus und bestätigen sie Ihre Auswahl mit **Weiter**.
:::info Hinweis
Bei der Beantragung von Zertifikaten über die **Thüringer Registrierungsstelle** beim TLRZ wählen Sie stattdessen die Sub-Domäne `Kommunikation Thüringen`.
::: :::
<img width="600" alt="Auswahl der Domäne" src={useBaseUrl('/images/certificate_registration/certificate_registration_2.png')} />
Im nächsten Schritt gilt es den Zertifikatstyp auszuwählen.
Zur Wahl stehen ein personenbezogenes Zertifikat, wenn das Zertifikat für eine konkrete Person beantragt werden soll, oder ein Gruppen- bzw. Funktions-Zertifikat, welches für Personengruppen, Funktionen, Rollen, Systeme oder IT-Prozesse Anwendung findet.
In Abhängigkeit der zuvor gewählten Domäne, kann auch nur eine der beiden Möglichkeiten zur Auswahl stehen.
Für unseren Anwendungsfall wählen Sie bitte `Gruppen-/Funktions-Zertifikat` und bestätigen sie Ihre Auswahl mit **Weiter**.
<img width="600" alt="Auswahl des Zertifikatstyps" src={useBaseUrl('/images/certificate_registration/certificate_registration_3.png')} />
Es folgt die Erfassung der Anschrift und Kontaktdaten des Anstragsstellers bzw. des Schlüsselverantwortlichen.
Der Schlüsselverantwortliche ist der Repräsentant einer Gruppe und verantwortlich für die sichere Verteilung, Nutzung und ggf. Sperrung des Schlüssels.
Er wird wie ein Antragsteller für ein personenbezogenes Zertifikat identifiziert und registriert.
Bestätigen sie Ihre Eingaben mit **Weiter**.
<img width="600" alt="Erfassung der Daten des Antragstellers/Schlüsselverantwortlichen" src={useBaseUrl('/images/certificate_registration/certificate_registration_4.png')} />
Mit Eingabe der Zertifikatsdaten werden die eigentlichen zu beglaubigenden Inhalte erfasst.
Da zuvor als Zertifikatstyp Gruppen-/Funktions-Zertifikat gewählt wurde, ist jetzt im Common Name des Zertifikats der Gruppen-/Funktionsname zu benennen.
Gemäß der Zertifikats-Policy muss dieser mit Zusatz `GRP: `&nbsp;beginnen.
Im Feld E-Mail-Adresse sollten Sie zur Gewährleistung der Erreichbarkeit, sofern vorhanden, eine zentrale E-Mail-Adresse bzw. ein Funktionspostfach eintragen.
An diese E-Mail-Adresse werden sowohl die Informationen über die Zertifikatserstellung als auch später eine Erinnerung vor Ablauf des Zertifikats zur Erneuerung gesendet.
Geben Sie jetzt den Gruppen-/Funktionsname sowie die E-Mail-Adresse ein und bestätigen sie Ihre Eingaben mit **Weiter**.
<img width="600" alt="Zertifikatsdaten: Name und E-Mail-Adresse" src={useBaseUrl('/images/certificate_registration/certificate_registration_5.png')} />
Zusätzlich zu Name und E-Mail-Adresse können weitere Daten zu Ihrer Behörde optional in das Zertifikat aufgenommen werden.
Im Feld Dienstort können Sie den Dienstort Ihrer Behörde erfassen.
Im Feld Kennung 1 tragen Sie bitte den Namen Ihrer Behörde ein, sofern sich dieser nicht bereits aus dem Gruppennamen ergibt.
Nach Eingabe der optionalen Angaben bestätigen sie Ihre Eingaben mit **Weiter**.
<img width="600" alt="Zertifikatsdaten: Optionale Zertifikatsdaten" src={useBaseUrl('/images/certificate_registration/certificate_registration_6.png')} />
Neben den Zertifikatsinhalten haben Sie als antragstellende Person auch die Möglichkeit über einige technische Rahmenbedingungen zu entscheiden.
So können Sie wählen, ob das das zu erstellende Zertifikat neben einer Veröffentlichung im DOI-Netz auch über einen im Internet verfügbaren Verzeichnisdienst veröffentlicht werden soll.
Damit wird das Zertifikat auch für nicht öffentliche Stellen im Internet auffindbar.
Für die Verwendung der Zertifikate in FIT-Connect müssen gemäß den [Vorgaben für kryptographische Verfahren](../details/crypto.md#certificates) der Hash-Algorithmus `SHA-512` und der Schlüsseltyp `4096 Bit` ausgewählt werden.
Das Sperrpasswort wird benötigt, wenn Sie Ihr Zertifikat vor Ende seiner Laufzeit sprerren müssen.
Notwendig kann das z. B. bei Kompromittierung des geheimen Schlüssels, dem Ausscheiden einer Person aus der Behörde oder der Auflösung einer Organisationseinheit der Fall sein.
Haben Sie sich für die technischen Rahmenbedingungen entschieden, bestätigen sie Ihre Eingaben mit **Weiter**.
<img width="600" alt="Veröffentlichung, Hash-Algorithmus, Schlüsseltyp und Sperrpasswort" src={useBaseUrl('/images/certificate_registration/certificate_registration_7.png')} />
Für die Abrechnung Ihres Zertifikats geben Sie bitte in diesem Schritt die Rechnungsanschrift des zuständigen Rechnungsempfängers an.
Nach Eingabe der Rechnungsanschrift bestätigen sie Ihre Eingaben mit **Weiter**.
<img width="600" alt="Rechnungsanschrift" src={useBaseUrl('/images/certificate_registration/certificate_registration_8.png')} />
Im nächsten Schritt haben Sie die Möglichkeit der zuständigen Registreierungsstelle eine Mitteilung bis maximal 170 Zeichen länge zu Ihrem Antrag zu übermitteln.
Bestätigen Sie Ihre Eingabe mit **Weiter**.
<img width="600" alt="Mitteilung an die Registrierungsstelle" src={useBaseUrl('/images/certificate_registration/certificate_registration_9.png')} />
Im letzten Schritt der Zertifikatsbeantragung werden Ihnen noch einmal sämtliche Antragsdaten übersichtlich in einer Zusammenfassung dargestellt.
Sollten Ihnen hier noch etwaige Fehler auffallen, können Sie mithilfe von **Zurück** zu vorherigen Seiten zurück navigieren.
Sind Sie mit in der Zusammenfassung angezeigten Daten zufrieden, schließen Sie Ihren Zertifikatsantrag mit **Absenden** ab.
Ihr Antrag wird dann an das Trustcenter gesendet und Ihnen anschließend das daraus erstellte Antragsformular zum Download als PDF-Dokument angeboten.
<img width="600" alt="Zusammenfassung der Antragsdaten" src={useBaseUrl('/images/certificate_registration/certificate_registration_10.png')} />
Ihr Antrag ist damit bei der Zertifizierungsstelle eingegangen.
Laden Sie nun bitte über die Schaltfläche **Zertifikatsantrag herunterladen** den PDF-Antrag herunter.
Der Antrag beinhaltet neben dem eigentlichen Antrag für die Registrierungsstelle auch noch eine Kopie des Antrags für Ihre Unterlagen, einen PIN-Brief sowie ggf. weitere Blätter.
Drucken Sie diesen Antrag bitte aus, unterschreiben ihn und lassen Sie sich gemäß den Vorgaben (siehe Antrag) in einer siegelführenden Stelle Ihrer Behörde identifizieren.
Senden Sie den Antrag an die zuständige Registrierungsstelle.
Die Anschrift finden Sie im Antragsformular.
Mit dem Versand des Antrags an die Registrierungsstelle ist der Vorgang für Sie zunächst abgeschlossen.
Nachdem Ihr Zertifikat ausgestellt wurde, erhalten Sie eine E-Mail mit weiteren Informationen zu der Abholung Ihres Zertifikats.
<img width="600" alt="Download und Versand des Zertifikatsantrags" src={useBaseUrl('/images/certificate_registration/certificate_registration_10_2.png')} />
### Abruf des Zertifikats
Nach dem das Trust Center der Telekom Ihr Zertifikat erstellt hat, werden Sie über die für den Antragsteller/Schlüsselverantwortlichen hinterlegte E-Mail-Adresse darüber informiert, dass Ihr Zertifikat bereit zum Download steht.
Rufen Sie dazu die Startseite des [Webportal der DOI-CA](https://doi.telesec.de/doi/ee/) auf.
Nach dem erfolgreichen Login sehen Sie in der Navigationsspalte auf der linken Seite durch einen Klick auf den Menü-Punkt **Software-Zertifikat** weitere Unterpunkte.
Wählen Sie hier den Menü-Punkt **abholen** aus.
Geben Sie bitte anschließend in den entsprechenden Feldern die Referenznummer und das Download-Passwort ein, welche Sie Ihrem Antragsformular bzw. dem PIN-Brief entnehmen können und bestätigen Sie Ihre Eingaben mit **Suchen**.
<img width="600" alt="Software-Zertifikat abholen" src={useBaseUrl('/images/certificate_registration/certificate_registration_11.png')} />
Bei erfolgreicher Eingabe wird Ihnen Ihr Zertifikat angezeigt.
Klicken Sie auf **Herunterladen** und speichern Sie die Datei auf Ihrer Festplatte oder einem Datenträger.
Bei der PKCS-12-Datei handelt es sich um einen Container, in dem Schlüsselpaar (öffentlicher und geheimer Schlüssel, siehe dazu auch [Verschlüsselte Übertragung in FIT-Connect](../getting-started/encryption.mdx) sowie das Zertifikat enthalten sind.
**Hinweis:** Die Anzahl der möglichen Downloads ist auf drei Versuche begrenzt!
Sollten Sie nach dem 3. Versuch den erfolgreichen Download nicht bestätigt haben, wird beim nächsten Versuch das Zertifikat gesperrt und der geheime Schlüssel gelöscht.
Die PKCS12-Datei kann dann nicht mehr heruntergeladen werden und ein Zugriff auf die Schlüssel ist nicht länger möglich.
Sie müssen in dem Fall einen neuen Antrag stellen.
Nach dem Herunterladen der Datei müssen Sie den erfolgreichen Download zwingend mit **Bestätigen** quittieren, damit die geheimen Schlüssel gelöscht werden und die Datei kein weiteres Mal heruntergeladen werden kann.
Darüber hinaus wird mit dieser Bestätigung das Zertifikat in den Verzeichnissen veröffentlicht.
<img width="600" alt="Software-Zertifikat herunterladen" src={useBaseUrl('/images/certificate_registration/certificate_registration_11_2.png')} />
Sie erhalten nach der Bestätigung eine Meldung, dass Ihr Zertifikat freigeschaltet wurde.
<img width="600" alt="Zertifikat als *.der-Datei herunterladen" src={useBaseUrl('/images/certificate_registration/certificate_registration_11_3.png')} />
## Ableitung von JSON Web Keys (JWKs) aus einem Zertifikat ## Ableitung von JSON Web Keys (JWKs) aus einem Zertifikat
JWKs sind das Austauschformat, mit dem kryptografische Schlüssel in FIT-Connect zwischen der Destination und dem JWKs sind das Austauschformat, mit dem kryptografische Schlüssel in FIT-Connect zwischen der Destination und dem
Onlinedienst ausgetauscht werden. Private Schlüssel sollten nach Möglichkeit dort generiert werden, wo sie am Ende eingesetzt werden. Onlinedienst ausgetauscht werden. Private Schlüssel sollten nach Möglichkeit dort generiert werden, wo sie am Ende eingesetzt werden.
...@@ -169,8 +34,8 @@ Sollte dies doch notwendig sein, so muss die Übermittlung verschlüsselt erfolg ...@@ -169,8 +34,8 @@ Sollte dies doch notwendig sein, so muss die Übermittlung verschlüsselt erfolg
### Python Skript ### Python Skript
Für das Erzeugen von JWKs aus PKCS#12-Dateien stellt die FITKO das Skript [pkcs12ToJwk.py](https://git.fitko.de/fit-connect/fit-connect-tools) bereit. <br/> Für das Erzeugen von JWKs aus PKCS#12-Dateien stellt die FITKO das Skript [pkcs12ToJwk.py](https://git.fitko.de/fit-connect/fit-connect-tools) bereit. <br/>
Dieses Skript erstellt zwei JSON Web Keys (JWKs): Dieses Skript erstellt zwei JSON Web Keys (JWKs):
- ein JWK mit einem [öffentlichen Schlüssel zum Verschlüsseln](https://docs.fitko.de/fit-connect/docs/details/crypto/#vorgaben-zur-ver--und-entschl%C3%BCsselung-von-daten) <br/> - ein JWK mit einem [öffentlichen Schlüssel zum Verschlüsseln](../details/crypto.md#vorgaben-zur-ver--und-entschl%C3%BCsselung-von-daten) <br/>
- ein JWK mit einen [öffentlichen Schlüssel zum Überprüfen von Signaturen](https://docs.fitko.de/fit-connect/docs/details/crypto/#vorgaben-zur-signaturerstellung-und--pr%C3%BCfung). - ein JWK mit einen [öffentlichen Schlüssel zum Überprüfen von Signaturen](../details/crypto.md#vorgaben-zur-signaturerstellung-und--pr%C3%BCfung).
Diese beiden JWKs mit öffentlichen Schlüsseln benötigen Sie zum Konfiguration eines Zustellpunkts im Self-Service-Portal der FITKO. <br/> Diese beiden JWKs mit öffentlichen Schlüsseln benötigen Sie zum Konfiguration eines Zustellpunkts im Self-Service-Portal der FITKO. <br/>
Zudem erzeugt das Skript zwei weitere JWKs: Diese JWKs enthalten die privaten Schlüssel, die zu den öffentlichen Schlüsseln gehören. <br/> Zudem erzeugt das Skript zwei weitere JWKs: Diese JWKs enthalten die privaten Schlüssel, die zu den öffentlichen Schlüsseln gehören. <br/>
...@@ -192,7 +57,7 @@ $ poetry install ...@@ -192,7 +57,7 @@ $ poetry install
Das Skript benötigt die folgenden Parameter: Das Skript benötigt die folgenden Parameter:
- Den Pfad zu einem Zertifikat im PKCS#12-Format (`-i`) - Den Pfad zu einem Zertifikat im PKCS#12-Format (`-i`)
- Den Pfad zu dem Verzeichnis, in dem die JWKs gespeichert werden sollen (`-o`) - Den Pfad zu dem Verzeichnis, in dem die JWKs gespeichert werden sollen (`-o`)
- Die Umgebung, in der Gearbeitet wird. Die Default-Einstellung hierfür ist "prod". (`-e`) - Die Umgebung, in der gearbeitet wird. Die Default-Einstellung hierfür ist "prod". (`-e`)
Ausgeführt wird das Skript dann mit dem folgenden Befehl. Ausgeführt wird das Skript dann mit dem folgenden Befehl.
...@@ -213,12 +78,11 @@ These keys can be used to sign and decrypt in your client application. ...@@ -213,12 +78,11 @@ These keys can be used to sign and decrypt in your client application.
``` ```
:::note Hinweis :::note Hinweis
Die zwei Punkte im Ausgabepfad "**..**\res\privateKey_decryption.jwk.json" bedeuten das von dem aktuellen Verzeichnis ausgegangen wird. Beispielsweise "**C:\Users\username\fit-connect-tools**\res\rivateKey_decryption.jwk.json" Die zwei Punkte im Ausgabepfad "**..**\res\privateKey_decryption.jwk.json" bedeuten, dass von dem aktuellen Verzeichnis ausgegangen wird. Beispielsweise "**C:\Users\username\fit-connect-tools**\res\rivateKey_decryption.jwk.json"
::: :::
### OpenSSL ## OpenSSL
Im Folgenden eine beispielhafte Schritt-für-Schritt-Anleitung, um aus einem Zertifikat aus der Verwaltungs-PKI einen Dieses Kapitel enthält eine Schritt-für-Schritt-Anleitung, um aus einem Zertifikat der Verwaltungs-PKI einen JSON-Web-Key zu erzeugen:
JSON-Web-Key zu erzeugen:
1. Das von der Verwaltungs-PKI signierte Zertifikat muss nun in einen JWK umgewandelt werden: 1. Das von der Verwaltungs-PKI signierte Zertifikat muss nun in einen JWK umgewandelt werden:
......
docs/use_cases/receiver.mdx 0 → 100644
View file @ b645d7e2
---
hide_table_of_contents: false
---
# Anträge empfangen
### Anträge und Berichte erhalten
Bei FIT-Connect durchlaufen Anträge die folgenden Schritte:
- Ein Onlinedienste (eine Antragsplattform oder ein Softwareprogramm) sendet einen Antrag zum Zustelldienst. <br/>
- Der Zustelldienst informiert das zuständige Fachverfahren darüber, dass ein Antrag eingegangen ist. <br/>
- Anschließend ruft das zuständige Fachverfahren den Antrag beim Zustelldienst ab. <br/>
#### Schnittstelle "Submission API"
Das Fachverfahren nutzt zum Empfangen von Anträgen die Schnittstelle "Submission API". Diese Schnittstelle dient als Ausgangstor für digitale Anträge und Berichte (Einreichungen beim Fachverfahren). <br/>
Das Abrufen von Einreichungen ist der Anwendungsfall 4 von FIT-Connect (siehe folgende Grafik: "4. Abruf von Einreichungen (Anträge oder Berichtsmeldungen)"). <br/>
Die folgende Grafik zeigt die vier Anwendungsfälle von FIT-Connect:
![Darstellung der Anwendungsfälle von FIT-Connect](/images/api_overview/fitconnect-use-cases.png "Darstellung der Anwendungsfälle von FIT-Connect")
#### Empfang bestätigen
Nach dem Abruf einer Einreichung bestätigt das empfangende Systeme den Erhalt der Einreichung, siehe [Ereignisprotokoll](../getting-started/event-log/events.mdx). <br/>
### Empfangende Systeme anmelden
Um FIT-Connect zu nutzen, müssen Sie empfangende Systeme bei FIT-Connect als API-Clients anmelden und konfigurieren (siehe "1. Konfiguration von API-Clients und Zustellpunkten" in der Grafik oben). <br/>
Das Anlegen von API-Clients für empfangende Systeme ist [hier](../organisation-tasks/publish_destination) beschrieben.
### Weitere Anwendungsfälle
Das Senden von Anträgen und das Ermitteln des zuständigen Fachverfahrens sind [hier](./sender) beschrieben.
<br/>
:::note Hinweis
Verantwortliche für Fachverfahren, die beabsichtigen, die Produktivumgebung von FIT-Connect zu nutzen, sollten alle [hier](../organisation-tasks/publish_destination#aufgaben-f%C3%BCr-die-anbindung-an-das-produktivsystem) beschriebenen Aufgaben beachten.
:::
\ No newline at end of file
docs/use_cases/sender.mdx 0 → 100644
View file @ b645d7e2
---
hide_table_of_contents: false
---
# Anträge senden
### Anträge und Berichte einreichen
Die FITKO entwickelt und betreibt einen Zustelldienst, über den Onlinedienste (Antragsplattformen oder Softwareprogramme) Anträge und Berichte an das zuständige Fachverfahren senden. Zum Senden nutzen Onlinedienste die Schnittstelle "Submission API" des Zustelldienstes. <br/>
Das Senden von Anträgen und Berichten ist der Anwendungsfall 3 von FIT-Connect (siehe folgende Grafik: "3. Übermittlung von Einreichungen (Anträge oder Berichtsmeldungen)"). <br/>
Die folgende Grafik zeigt die vier Anwendungsfälle: <br/>
![Darstellung der Anwendungsfälle von FIT-Connect](/images/api_overview/fitconnect-use-cases.png "Darstellung der Anwendungsfälle von FIT-Connect")
#### Ereignisprotokoll
Sendende Systeme können sich über den Status einer Einreichung informieren, indem sie das [Ereignisprotokoll (Event Log)](../getting-started/event-log/overview.mdx) des Zustelldienstes abrufen. <br/>
Zum Abrufen des Ereignisprotokolls dient die Schnittstelle "Submission API" des Zustelldienstes.
### Sendende Systeme anmelden
Um FIT-Connect zu nutzen, müssen Sie sendende Systeme als API-Clients anmelden und konfigurieren (siehe "1. Konfiguration von API-Clients" in der Grafik oben).
Das Anlegen von API-Clients für sendende Systeme (Antragsplattformen oder Softwareprogramme) ist [hier](../organisation-tasks/register_onlineservice#2-api-client-f%C3%BCr-sender-anlegen) beschrieben.
### Fachverfahren ermitteln
Ist nicht bekannt, welches Fachverfahren für eine Einreichung zuständig ist, dann muss ein sendendes System zunächst das zuständige Fachverfahren ermitteln. <br/>
Dazu dient der Routingdienst (siehe "2: Abruf von Zuständigkeiten und Parametrisierungs-Informationen" in der Grafik oben). <br/>
Zum Ermitteln des Fachverfahrens steht die Schnittstelle "Routing API" zur Verfügung.
### Abrufen von Anträgen
Das Empfangen von Einreichungen (Anträgen oder Berichtsmeldungen) ist [hier](./receiver#antr%C3%A4ge-und-berichte-%C3%BCber-fit-connect-erhalten) beschrieben.
<br/>
:::note Hinweis
Verantwortliche für Onlinedienste, die beabsichtigen, die Produktivumgebung von FIT-Connect zu nutzen, sollten alle [hier](../organisation-tasks/register_onlineservice#aufgaben-zur-anbindung-an-das-produktivsystem) beschriebenen Aufgaben beachten.
:::
\ No newline at end of file
sidebar.js
View file @ b645d7e2
module.exports = { module.exports = {
defaultSidebar: [ defaultSidebar: [
'intro', 'intro',
{
type: 'category',
label: 'FIT-Connect nutzen',
collapsed: true,
items: [
'use_cases/sender',
'use_cases/receiver',
]
},
{
type: 'category',
label: 'Infos für Verantwortliche',
items: [
'organisation-tasks/publish_destination',
'organisation-tasks/register_onlineservice',
'organisation-tasks/apply-for-certificates',
],
},
'changelog', 'changelog',
'glossary', 'glossary',
'roadmap', 'roadmap',
......