iArxiu: Formació Tècnica

Presentación del tema: "iArxiu: Formació Tècnica"— Transcripción de la presentación:

1 iArxiu: Formació Tècnica
Equip iArxiu iArxiu: Formació Tècnica 14 d’agost de 2009

2 Índex Introducció Components iArxiu Arquitectura iArxiu
Funcions dels components Ingrés Consulta i difusió Administració Preservació Autenticació / Autorització Integració en el portal eaCAT Mecanismes de seguretat Referències

3 Introducció Què és iArxiu Agents o actors:
iArxiu és una servei de preservació del documents/expedients electrònics a llarg termini, que garanteix la seva integritat, autenticitat i accessibilitat per part d’usuaris autoritzats. Agents o actors: Productor: Genera i transfereix els documents a preservar Persona o maquinari que envia a iArxiu els documents a preservar Consumidor: Consulta o accedeix a la documentació preservada Persona o maquinari que recupera de la plataforma iArxiu els documents preservats iArxiu: Plataforma encarregada de preserva els documents a llarg termini 3 3

4 Paquets d’informació (METS) amb els documents a preservar
Introducció Paquets d’informació de transferència (METS) Paquets d’informació de consulta (METS) iArxiu Consumidor Productor Paquets d’informació d’arxiu (METS) Paquets d’informació (METS) amb els continguts preservats 4 4

5 Components iArxiu Dos grans components:
Client web extern Dos grans components: Frontal Web (Web de Referència) Motor d’arxiu (Core) Web de Referència Core Client web intern (Portal eaCAT) Les persones interactuen mitjançant navegadors web amb la web de referència Els sistemes interactuen mitjançant serveis web amb el Core La web iArxiu és alhora un client de serveis web del Core Client Webservice 5 5

6 Arquitectura lògica del Sistema iArxiu
Web Servers Apache Servlet Core i servlet Web de Referència Emmagatzemament en File System i Base de Dades Antivirus OpenOffice Interfícies externes (OpenOffice, Antivirus ClamAV, PSIS) 6 6

7 Arquitectura del Sistema iArxiu
Balancejador de càrrega Bateria de servidors Apache Bateria de servidors JBoss Base de dades compartida Oracle Sistema d’arxius GFS Altres components OpenOffice Antivirus ClamAV Connector a PSIS 7 7

8 Funcions dels components
Web de Referència Ingrés  Amb els continguts enviats pels productors genera paquets d’ingrés i els envia al Core Consulta  Executa funcions de cerca en el Core Difusió  Recupera els continguts del Core Administració  Creació dels ens i fons; gestió dels permisos, grups, usuaris, administració de les polítiques, etc... Core Ingrés  Accepta els paquets dels productors per el seu emmagatzematge i preservació Preservació  Assegura la integritat dels continguts al llarg del temps: Verificació de la integritat, segellat, migració de formats. A més, s’encarrega de gestionar el cicle de vida dels documents Difusió  Recupera els continguts 8 8

9 Ingrés 9 La Web construeix paquets d’informació de transferència (PIT)
Web de Referència Els usuaris envien a la Web documents simples o expedients (ZIP) Documents / Expedients (ZIP) PIT (METS) Usuari Core Els maquinaris generen i envien els paquets d’informació de transferència (PIT) PIT (METS) Validació d’integritat Validació de metadades Validació estructural Validació de signatures (PSIS) Validació antivirus (ClamAV) Client Webservice 9 9

10 Consulta i difusió La Web procesa els paquets d’informació de consulta (PIC) Web de Referència Els usuaris reben els documents simples Documents PIC (METS) Usuari Core PIC (METS) Client Webservice Els maquinaris procesen els paquets d’informació de consulta (PIC) 10

11 Usuari administrador / arxiver
Administració Web de Referència Els usuaris administradors configuren la Web i el Core: Web Ens i Fons Grups i Permisos Core Polítiques Permisos Estadístiques Historial accions Usuari administrador / arxiver Core Els maquinaris poden administrar un conjunt reduit de funcionalitats: Polítiques de preservació Polítiques de disposició Polítiques d’accés Client Webservice 11 11

12 Preservació 12 Web de Referència Únic component que intervé: Core
Segellat Validació integritat Validació antivirus (ClamAV) Validació de signatures (PSIS) Migració de formats (OpenOffice) Usuari Core Client Webservice 12 12

13 Autenticació / Autorització
Verificar que l’usuari (persona o màquina) és realment qui diu ser Basada en certificats digitals X.509 emesos per entitats certificadores de CATCert Autorització Concedir o denegar els drets per executar una acció Els usuaris (persones o màquines) estan registrats juntament amb els permisos en repositoris locals de seguretat  L’autorització és sempre local i no es delega en sistemes externs al sistema 13 13

14 Autenticació / Autorització a la Web de Referència
Repositori Local De Seguretat Certificat X.509 Client web extern Autorització Certificat X.509 HTTPS Web de Referència Validació de permisos en el repositori local de seguretat Autenticació Certificat X.509 PSIS L’usuari presenta les seves credencials amb un certificat X.509 emés per alguna CA de CATCert Validació del certificat a PSIS 14 14

15 Integració amb el portal eaCAT
Autenticació L’autenticació es gestiona des del portal eaCAT (La web redirigeix l’usuari cap el portal) Basada en certificats digitals X.509 emesos per entitats certificadores del CATCert Autorització Es gestiona internament per la web de la mateixa manera que en el cas anterior 15 15

16 Integració amb el portal eaCAT
Repositori Local De Seguretat Certificat X.509 Client web extern Autorització Web de Referència Autenticació Validació de permisos en el repositori local de seguretat Certificat X.509 L’usuari és redirigit al portal eaCAT on s’autentica amb un certificat X.509 emés per alguna entitat certificadora de CATCert PSIS Portal eaCAT PSIS no intervé en aquest escenari 16 16

17 Autenticació / Autorització al Core
Els permisos de les TA es troben en el repositori local de seguretat mentre que els permisos dels usuaris s’obtenen de les metadades dels paquets Metadades dels paquets Certificat X.509 Repositori Local De Seguretat Del missatge SOAP s’extreu el certificat i els atributs dels usuaris alegats Core Missatge SOAP (Webservice) PSIS Certificat X.509 Client Webservice (Trusted Application TA) HTTPS Validació del certificat a PSIS 17 17

18 Mecanismes de seguretat en el Core (I)
Missatgeria SOAP sobre canal segur HTTPS Únicament les aplicacions reconegudes poden sol·licitar serveis al Core (Trusted Applications TA) Autenticació Signatura digital del missatge SOAP utilitzant el perfil X.509 Certificate Token Profile Validació de la signatura digital la qual engloba: Cos del missatge (Body) Capçalera d’atribucions SAML Capçalera de seguretat Validació del certificat signant a PSIS o en el repositori local de TA 18 18

19 Mecanismes de seguretat en el Core (II)
Autorització La TA actua en nom propi Es verifiquen els permisos per aquesta TA en el repositori local de seguretat La TA actua en nom d’altre (al·legació) S’extreuen els atributs al·legats de la capçalera SAML Es confien en aquests atributs perquè es confia en la TA Validació dels permisos contra el repositori local de seguretat Si l’acció requereix accés a un paquet d’informació es verifiquen els permisos segons la metadada associada al paquet 19 19

20 Mecanismes de seguretat en el Core (III)
<SOAP-ENV:Envelope…> Perfil X.509 Certificate Token Profile <SOAP-ENV:Header…> <wsse:Security…> <wsse:BinarySecurityToken…> <ish:Context…> <saml2:Assertion…> La signatura cobreix: Token de seguretat Capçalera d’atribucions SAML Cos de la petició Missatge SOAP (Simplificat) <ds:Signature…> </wsse:Security…> </SOAP-ENV:Header…> <SOAP-ENV:Body…> <SOAP-ENV:Body…> Cos de la Petició webservice </SOAP-ENV:Envelope…> 20 20

21 Referències (I) Guies d’usuari i integració d’aplicacions iArxiu
Clients webservice (WSDL): Missatgeria SOAP 21 21

22 Referències (II) Llenguatge d’assercions SAML Extensions de seguretat en webservices 22 22

23 Equip del servei iArxiu iarxiu@catcert.net
Aquesta obra està subjecta a una llicència Reconeixement-No comercial-Sense obres derivades 2.5 Espanya de Creative Commons. Per veure'n una còpia, visiteu o envieu una carta a Creative Commons, 171 Second Street, Suite 300, San Francisco, California 94105, USA."