Integration eines R-Profil-Verfahrens

Reverse Proxy einrichten

Der USP Reverse Proxy empfängt die Anfragen des User-Agents, prüft die Authentizität und Autorisierung des jeweiligen Benutzers und leitet die Anfragen an das Verfahren weiter. Dafür sind folgende Anforderungen notwendig:

1. Netzwerkverbindung

Der USP Reverse Proxy muss den Server Ihres Verfahrens netzwerktechnisch erreichen können. Dazu sind unter Umständen sowohl auf USP, als auch auf Verfahrensseite Firewall- und andere Netzwerkkonfigurationen notwendig. Falls sich die zu integrierende Anwendung nicht innerhalb des BRZ-Netzwerkes befindet, ist es erforderlich, dass das Anwendungsnetzwerk HTTPS-Verbindungen von der BRZ NAT-IP auf Port 443 zulässt.

Die BRZ NAT-IP erhalten Sie im Rahmen der Anbindung.

2. TLS-Zertifikate

Der USP Reverse Proxy akzeptiert ausschließlich öffentlich anerkannte TLS-/SSL-Zertifikate vertrauenswürdiger Certificate Authorities, sowie Zertifikate vom Bundesrechenzentrum (BRZ) bzw. Bundesministerium für Inneres (BMI). Self-signed-Zertifikate oder Zertifikate aus nicht öffentlichen bzw. privaten Certificate Authorities werden nicht unterstützt.

3. Session-Management

Verfahren, die über ein R-Profil in USP integriert sind, sollten nach Möglichkeit stateless sein. Das heißt: Sie verwalten keine eigene Anwendungs-Session am Server. Sollte das aus anwendungsspezifischen Gründen dennoch notwendig sein, muss sichergestellt sein, dass die existierende Anwendungs-Session invalidiert wird, sobald benutzeridentifizierende PVP-Header ihren Wert ändern. Das geschieht, wenn sich eine Person mit einem Benutzer anmeldet und das Verfahren aufruft und sich anschließend ummeldet (z.B. ein anderes Unternehmen auswählt) und das Verfahren nochmal aufruft.

Das USP kann bei einem Benutzerwechsel in Mein USP die R-Verfahren nicht direkt über den Wechsel informieren: Das R-Verfahren muss daher bei jedem HTTP-Request die PVP-Header analysieren und bei Bedarf seine eigene Session invalidieren oder anpassen. Geschieht dies nicht, dann arbeitet das Verfahren mit den User-Daten des vorherigen Users und zeigt dem Benutzer möglicherweise die falschen Daten an.
Anwendungen müssen daher ihre bestehenden Sessions erneuern, sobald sie über den Reverse Proxy neue oder geänderte HTTP-Header erhalten. Sessions, die weiterhin auf
Basis der ursprünglichen Header verwendet werden, gelten als ungültig.

4. Hostname und URLs

Der USP Reverse Proxy erhält die Anfragen über eine definierte URL-Struktur, die wie folgt aufgebaut ist:

• https://[VERFAHREN].services.usp.gv.at/at.gv.[VERFAHREN]-[STAGE]/**
• z.B.: https://xyz.services.usp.gv.at/at.gv.xyz-p/**

Diese Anfragen werden an die Anwendung in der folgenden Form weitergeleitet:

• https://[VERFAHREN-DOMAIN]/at.gv.[VERFAHREN]-[STAGE]/**
• z.B.: https://anwendung-host/at.gv.xyz-p/**
• X-Forwarded-Host: app.services.usp.gv.at
• X-Forwarded-Prefix: /at.gv.xyz-p

Das Verfahren muss unter dem Kontext /at.gv.xyz-p erreichbar sein, wobei gv.xyz-p prinzipiell vom Verfahren frei wählbar ist. Konventionell definiert das Suffix -p die Produktionsumgebung, -t die Testumgebung und -q die Qualitätssicherungsumgebung.

Attribute im R-Profil

Attribute werden als HTTP-Header an das Verfahren übermittelt. Nicht-ASCII-Zeichen und das kaufmännische "und" (&) werden HTML-Entity-encoded (HTML Decimal Numeric Character Reference) übermittelt, gemäß PVP Version 2 R-Profil.

Security und Web Application Firewall

R-Verfahren im USP werden durch eine Web Application Firewall (WAF) geschützt. Diese prüft eingehende Anfragen und blockiert Angriffe, bevor sie das Backend erreichen. Damit eine Anbindung mittels R-Profil erfolgreich möglich ist, muss das Verfahren mit den aktuellen Web-Sicherheitsrichtlinien kompatibel sein. Insbesondere sind Schutzmaßnahmen gegen SQL-Injection, Command-Injection und Cross-Site-Scripting erforderlich.

Die folgenden Compliance-Regeln müssen jedenfalls eingehalten werden: