iArxiu: Formació Tècnica Equip iArxiu iArxiu: Formació Tècnica 14 d’agost de 2009

Índex Introducció Components iArxiu Arquitectura iArxiu Funcions dels components Ingrés Consulta i difusió Administració Preservació Autenticació / Autorització Integració en el portal eaCAT Mecanismes de seguretat Referències

Introducció Què és iArxiu Agents o actors: iArxiu és una servei de preservació del documents/expedients electrònics a llarg termini, que garanteix la seva integritat, autenticitat i accessibilitat per part d’usuaris autoritzats. Agents o actors: Productor: Genera i transfereix els documents a preservar Persona o maquinari que envia a iArxiu els documents a preservar Consumidor: Consulta o accedeix a la documentació preservada Persona o maquinari que recupera de la plataforma iArxiu els documents preservats iArxiu: Plataforma encarregada de preserva els documents a llarg termini 3 3

Paquets d’informació (METS) amb els documents a preservar Introducció Paquets d’informació de transferència (METS) Paquets d’informació de consulta (METS) iArxiu Consumidor Productor Paquets d’informació d’arxiu (METS) Paquets d’informació (METS) amb els continguts preservats 4 4

Components iArxiu Dos grans components: Client web extern Dos grans components: Frontal Web (Web de Referència) Motor d’arxiu (Core) Web de Referència Core Client web intern (Portal eaCAT) Les persones interactuen mitjançant navegadors web amb la web de referència Els sistemes interactuen mitjançant serveis web amb el Core La web iArxiu és alhora un client de serveis web del Core Client Webservice 5 5

Arquitectura lògica del Sistema iArxiu Web Servers Apache Servlet Core i servlet Web de Referència Emmagatzemament en File System i Base de Dades Antivirus OpenOffice Interfícies externes (OpenOffice, Antivirus ClamAV, PSIS) 6 6

Arquitectura del Sistema iArxiu Balancejador de càrrega Bateria de servidors Apache Bateria de servidors JBoss Base de dades compartida Oracle Sistema d’arxius GFS Altres components OpenOffice Antivirus ClamAV Connector a PSIS 7 7

Funcions dels components Web de Referència Ingrés  Amb els continguts enviats pels productors genera paquets d’ingrés i els envia al Core Consulta  Executa funcions de cerca en el Core Difusió  Recupera els continguts del Core Administració  Creació dels ens i fons; gestió dels permisos, grups, usuaris, administració de les polítiques, etc... Core Ingrés  Accepta els paquets dels productors per el seu emmagatzematge i preservació Preservació  Assegura la integritat dels continguts al llarg del temps: Verificació de la integritat, segellat, migració de formats. A més, s’encarrega de gestionar el cicle de vida dels documents Difusió  Recupera els continguts 8 8

Ingrés 9 La Web construeix paquets d’informació de transferència (PIT) Web de Referència Els usuaris envien a la Web documents simples o expedients (ZIP) Documents / Expedients (ZIP) PIT (METS) Usuari Core Els maquinaris generen i envien els paquets d’informació de transferència (PIT) PIT (METS) Validació d’integritat Validació de metadades Validació estructural Validació de signatures (PSIS) Validació antivirus (ClamAV) Client Webservice 9 9

Consulta i difusió La Web procesa els paquets d’informació de consulta (PIC) Web de Referència Els usuaris reben els documents simples Documents PIC (METS) Usuari Core PIC (METS) Client Webservice Els maquinaris procesen els paquets d’informació de consulta (PIC) 10

Usuari administrador / arxiver Administració Web de Referència Els usuaris administradors configuren la Web i el Core: Web Ens i Fons Grups i Permisos Core Polítiques Permisos Estadístiques Historial accions Usuari administrador / arxiver Core Els maquinaris poden administrar un conjunt reduit de funcionalitats: Polítiques de preservació Polítiques de disposició Polítiques d’accés Client Webservice 11 11

Preservació 12 Web de Referència Únic component que intervé: Core Segellat Validació integritat Validació antivirus (ClamAV) Validació de signatures (PSIS) Migració de formats (OpenOffice) Usuari Core Client Webservice 12 12

Autenticació / Autorització Verificar que l’usuari (persona o màquina) és realment qui diu ser Basada en certificats digitals X.509 emesos per entitats certificadores de CATCert Autorització Concedir o denegar els drets per executar una acció Els usuaris (persones o màquines) estan registrats juntament amb els permisos en repositoris locals de seguretat  L’autorització és sempre local i no es delega en sistemes externs al sistema 13 13

Autenticació / Autorització a la Web de Referència Repositori Local De Seguretat Certificat X.509 Client web extern Autorització Certificat X.509 HTTPS Web de Referència Validació de permisos en el repositori local de seguretat Autenticació Certificat X.509 PSIS L’usuari presenta les seves credencials amb un certificat X.509 emés per alguna CA de CATCert Validació del certificat a PSIS 14 14

Integració amb el portal eaCAT Autenticació L’autenticació es gestiona des del portal eaCAT (La web redirigeix l’usuari cap el portal) Basada en certificats digitals X.509 emesos per entitats certificadores del CATCert Autorització Es gestiona internament per la web de la mateixa manera que en el cas anterior 15 15

Integració amb el portal eaCAT Repositori Local De Seguretat Certificat X.509 Client web extern Autorització Web de Referència Autenticació Validació de permisos en el repositori local de seguretat Certificat X.509 L’usuari és redirigit al portal eaCAT on s’autentica amb un certificat X.509 emés per alguna entitat certificadora de CATCert PSIS Portal eaCAT PSIS no intervé en aquest escenari 16 16

Autenticació / Autorització al Core Els permisos de les TA es troben en el repositori local de seguretat mentre que els permisos dels usuaris s’obtenen de les metadades dels paquets Metadades dels paquets Certificat X.509 Repositori Local De Seguretat Del missatge SOAP s’extreu el certificat i els atributs dels usuaris alegats Core Missatge SOAP (Webservice) PSIS Certificat X.509 Client Webservice (Trusted Application TA) HTTPS Validació del certificat a PSIS 17 17

Mecanismes de seguretat en el Core (I) Missatgeria SOAP sobre canal segur HTTPS Únicament les aplicacions reconegudes poden sol·licitar serveis al Core (Trusted Applications TA) Autenticació Signatura digital del missatge SOAP utilitzant el perfil X.509 Certificate Token Profile Validació de la signatura digital la qual engloba: Cos del missatge (Body) Capçalera d’atribucions SAML Capçalera de seguretat Validació del certificat signant a PSIS o en el repositori local de TA 18 18

Mecanismes de seguretat en el Core (II) Autorització La TA actua en nom propi Es verifiquen els permisos per aquesta TA en el repositori local de seguretat La TA actua en nom d’altre (al·legació) S’extreuen els atributs al·legats de la capçalera SAML Es confien en aquests atributs perquè es confia en la TA Validació dels permisos contra el repositori local de seguretat Si l’acció requereix accés a un paquet d’informació es verifiquen els permisos segons la metadada associada al paquet 19 19

Mecanismes de seguretat en el Core (III) <SOAP-ENV:Envelope…> Perfil X.509 Certificate Token Profile <SOAP-ENV:Header…> <wsse:Security…> <wsse:BinarySecurityToken…> <ish:Context…> <saml2:Assertion…> La signatura cobreix: Token de seguretat Capçalera d’atribucions SAML Cos de la petició Missatge SOAP (Simplificat) <ds:Signature…> </wsse:Security…> </SOAP-ENV:Header…> <SOAP-ENV:Body…> <SOAP-ENV:Body…> Cos de la Petició webservice </SOAP-ENV:Envelope…> 20 20

Referències (I) Guies d’usuari i integració d’aplicacions iArxiu Clients webservice (WSDL): https://www.iarxiu.eacat.cat/core/soap http://www.iarxiu.eacat.cat/core/soap/ingest.wsdl http://www.iarxiu.eacat.cat/core/soap/dissemination.wsdl http://www.iarxiu.eacat.cat/core/soap/administration.wsdl Missatgeria SOAP http://www.w3.org/TR/soap12-part0/ 21 21

Referències (II) Llenguatge d’assercions SAML http://docs.oasis-open.org/security/saml/v2.0/saml-core-2.0-os.pdf Extensions de seguretat en webservices http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-soap-message-security-1.0.pdf http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-x509-token-profile-1.0.pdf 22 22

Equip del servei iArxiu iarxiu@catcert.net Aquesta obra està subjecta a una llicència Reconeixement-No comercial-Sense obres derivades 2.5 Espanya de Creative Commons. Per veure'n una còpia, visiteu http://creativecommons.org/licenses/by-nc-nd/2.5/es/deed.ca o envieu una carta a Creative Commons, 171 Second Street, Suite 300, San Francisco, California 94105, USA."