Bürgerservices-Plugin: Installation

Geändert am Fr, 5 Sep um 3:37 NACHMITTAGS

Inhalt

Initiale Installation

Das Bürgerservice Plugin muss im System Bereich von Xima® formcycle installiert werden (Menüpunkt: System > Systemplugins).
Es bietet aktuell die Anbindung an folgende Servicekonten:

BundID
BayernID
ELSTER (Mein Unternehmenskonto)
ein Portal mittels der ExtensionAPI (z.B. Kommunalportal.NRW oder OpenR@thaus)

Vorüberlegungen zur Anbindung neuer Servicekonten

Neue Anbindungen an Servicekonten müssen im formcycle - System als Login-Dienst (auch als Authentikatoren bezeichnet) angelegt werden. Dabei ist es möglich diese im System- als auch im Bereich des Mandanten anzulegen.

Folgende Überlegungen sollten für eine Entscheidung des Bereichs, in welchem die Login-Dienste angelegt werden, herangezogen werden.

Ist ein Multi-Mandanten formcycle - System mit unterschiedlichen Host-Adressen für die Ansteuerung der Formulare der einzelnen Mandanten vorhanden? (Meist realisiert über Anbindung mehrerer Frontend-Server)

In diesem Fall sollte jeweils im Mandanten ein Login Dienst angelegt werden, welcher die Anbindung an des Servicekonto realisiert.

Der Grund für dieses empfohlene Vorgehen ist, dass die aktuellen Anbindungen an die BundID, die BayernID, sowie an das ELSTER-Portal alle auf Grundlage des SAML 2.0-Protokolls arbeiten. Eine Festlegung bei der Kommunikation über das SAML 2.0 Protokoll ist es, dass im Vorfeld zwischen dem jeweiligen Identity Provider (Servicekonto-Portal) und dem Service Provider (FORMCYCLE) Metadaten ausgetauscht werden müssen. In diesen Metadaten sind die Rücksprungziele in das jeweils andere System (per URL) fest definiert.

Durch das Anlegen eines Login-Dienstes im Bereich des jeweiligen Mandanten kann hier eine saubere Trennung und damit auch Nutzung in den Formularen stattfinden.

Legt man bei dieser Systemkonstellation verschiedene Login-Dienste im System - Bereich an, so muss der Formularentwickler innerhalb des Formular die für seinen Mandanten korrekte Anbindung auswählen, was eine potenzielle Fehlerquelle sein kann.

Ist ein Multi-Mandanten- oder ein Single-Mandat- formcycle System mit einer Host-Adresse für die Ansteuerung der Formulare vorhanden?

Hier sollten alle Login-Dienste für die Servicekonten-Ansteuerung im System-Bereich angelegt werden. Der Vorteil ist an dieser Stelle, dass alle Anbindungen zentral an einer Stelle vorhanden sind und alle Formular-Benutzer in den verschiedenen Mandanten Zugriff auf diese erhalten.

Wenn Sie einen Frontend-Server einsetzen, ist hierbei zu beachten, dass die Testbarkeit im Login-Dienst eingeschränkt zur Verfügung steht. Wenn die Installation im System-Bereich erfolgt, sind folgende Punkte zu beachten:

Aufruf muss über eine aus dem Internet ansprechbare Domain erfolgen
im System-Kontext besteht kein Zugriff auf die hinterlegten Mandant-Frontend-Server URL

Dadurch das sich, bei Vorhandensein eines Frontend-Servers, der Login-Dienst testen Button im Mandant-Scope erweitert, ist hier auch ein Testen über die Frontend-Server Domain sofort aus Konfigurationsoberfläche heraus möglich.

Button-Darstellung im Mandant-Scope mit angebundenen Frontend-Server

Weiterhin besteht die Möglichkeit den Test über ein Formular durchzuführen. Wie dies umgesetzt werden kann, ist im Hilfe-Artikel Bürgerservices-Plugin erläutert.

Allgemeine Informationen zur Anbindung eines Servicekontos

Auswahl eines Servicekontos

In diesem Abschnitt werden die Schritte, welche für die Anbindung aller Servicekonten gleichermaßen gelten, erläutert.

Bevor man ein Servicekonto anbindet sollten folgende Voraussetzungen erfüllt sein:

Die im Unternehmen verantwortlichen technischen und organisatorischen Ansprechpartner müssen bekannt sein (Namen, E-Mail-Adressen). Diese Informationen werden innerhalb des Registrierungs-Prozesses für die einzelnen Servicekonten an unterschiedlichen Stellen benötigt.
URLs für die Anbindung des FORMCYCLE-Systems müssen eingerichtet und von außen erreichbar sein. Dabei ist zu beachten, dass bei Verwendung eines Frontend-Servers die URL zu diesem verwendet wird.

Die Anbindung eines Servicekontos lässt sich in folgende Schritte gliedern:

Anlegen eines neuen Login-Dienstes (Authentikator) unter dem Menüpunkt System > Systemplugins oder Mandant > Plugins.
Spezifische Authentikator Konfiguration über die zur Verfügung gestellte Oberfläche ausführen. Die Konfigurationsoberfläche unterscheidet sich je nach ausgewählten Servicekonto. Auf die Unterschiede bei der Anbindung des jeweiligen Servicekonto-Typs wird in den nachfolgenden Abschnitten näher eingegangen.
Download und Weiterleitung der festgelegten Konfigurationsdaten (Metadaten), sowie der Vertragsdaten an den jeweiligen Identity Provider (BundID, BayernID) bzw.
selbst durchzuführende Konfiguration auf Seiten des Identity Providers über ein Self-Service Portal (ELSTER)
Freigabe des Authentikators im formcycle System, nach erfolgter Rückmeldung über die erfolgte Registrierung der Metadaten durch den jeweiligen Identity Provider bzw. Freigabe durch Prüfungsinstanz (bei ELSTER Self Service Portal Registrierung) und damit Beginn der Einbindung des Servicekontos in Formulare

Details für die Anbindung

Migration bestehender Service-Konten-Anbindungen

Bestehende Anbindungen zu Service-Konten von BundID, BayernID und ELSTER werden bei der Installation des Plugins automatisch auf das neue Plugin umgestellt.
Die veralteten Plugin-Bundles (jar-Dateien) bleiben dabei auf dem System erhalten, werden aber deaktiviert.
Alle zuvor konfigurierten Anbindungen werden als Login-Dienst im jeweiligen Bereich (System oder Mandant) definiert.
Designer-Vorlagen, die mit den veralteten Plugins in das System gekommen sind, werden entfernt.

Migrations-Beispiel für BayernID Anbindung

Ausgangspunkt ist ein formcycle System mit mehreren Mandanten. In zwei Mandanten ist jeweils das AKDB: Bürgerkonto-Service-Plugin (Anbindung an BayernID) installiert.
Einer der BayernID Mandanten hat die Einbindung des Bürgerkonto Logins als Login-Dienst konfiguriert.

Nachdem das Bürgerservice Plugin im System Bereich installiert wurde ergibt sich folgendes Bild:

Die veralteten AKDB: Bürgerkonto-Service-Plugins in den jeweiligen Mandanten sind deaktiviert, aber noch vorhanden.

Achtung:
Das veraltete AKDB: Bürgerkonto-Service-Plugin darf nach der Migration nicht wieder aktiviert werden. Sollte dies dennoch der Fall sein, so ist das Plugin wieder zu deaktivieren und das Systemplugin Bürgerservice muss nach der Deaktivierung nochmalig gespeichert werden. Das nochmalige Speichern bewirkt die Reinitialisierung eines Servlets, welches für die Entgegennahme und Weiterleitung der BayernID Authentifizierungsdaten zuständig ist.

BayernID Anbindung befindet sich jetzt ein Login Dienst, welcher zukünftig die Authentifizierung mit dem BayernID-Portal realisiert.
In einem Mandanten wurde dazu im Zuge der Migration der Login-Dienst neu angelegt. In dem Mandanten, wo bereits ein Login Dienst bestand, wurde dieser um notwendige Daten (Zertifikate zur Kommunikation, Anbindungsdaten für den Postkorb-Schnittstelle) erweitert, sodass er auch weiterhin in den bereits bestehenden Formularanbindungen genutzt werden kann.
Der Menüpunkt AKDB Setup ist in den Mandanten nicht mehr vorhanden. Die Einstellungen, welche den Postkorb betreffen (z.B.: Zertifikat für Postkorb-Kommunikation) sind jetzt direkt am neu erstellten bzw. migrierten Login Diensten zu finden.
Alte Designer-Vorlagen für die Anzeige der Bürgerkonto-Daten wurden durch neue Vorlagen ersetzt.
Die Formulare welche bisher die BayernID über den Login-Button eingebunden hatten müssen nicht angepasst werden. Bei Nutzung des Login-Buttons, sowie der Postkorb-Aktion im Workflow erfolgt eine automatische Weiterleitung an die durch das Bürgerservice Plugin bereitgestellte Funktionalität.

Hinweis:
Es werden nur fertig konfigurierte BayernID Anbindungen migriert. Ist nur das Plugin im Mandaten vorhanden ist, sind aber keine Einstellungen zur Anbindung (Keystore, EntityID etc.) konfiguriert, kann keine Migration in einen Login Dienst erfolgen.

Migration für BundID Anbindungen

Bei bestehenden BundID Anbindungen werden die vorhandenen Login Dienste mit der neuen Konfigurationseinstellungen erweitert. Vorhandene Formulare mit BundID Anbindung, können ähnlich, wie bei der BayernID ohne Anpassung genutzt werden.

Migration für ELSTER Anbindungen

Bei bereits im System existenten ELSTER Anbindungen werden die vorhandenen Login Dienste mit neuen Konfigurationseinstellungen erweitert. Formulare mit einer Zugriffssteuerung über ELSTER können ohne weitere Anpassung genutzt werden. Anbindungen an den ELSTER-Transfer-Client, welche über die entsprechende ELSTER Postkorbnachricht Workflow-Aktion in den Formularen eingebunden sind, werden automatisch auf die Bürgerservice Plugin Funktionalität weitergeleitet. Dadurch ergibt sich auch hier keine notwendige Anpassung der vorhandenen Formulare.