Page Comparison

Programvare og annet utstyr

Buypass Access Manager er klientprogramvare som er utviklet av Buypass. Tidligere var den kjent som Buypass LRA (Local Registry Authority), men i 2014 fikk den navnet Buypass Access Manager (BAM) som fortsatt er en Local Registry Authority. Buypass Access Manager inngår i Buypass Bedriftsløsning – Buypass Access Solution.

BAM-klienten er utviklet i .NET. 

BAM har følgende enheter/komponenter/grensesnitt:

• Egen PC/stasjonær maskin med oppdatert OS
• Kortlesere for Operatørkort og Brukerkort
• PinPad hvor Bruker setter PIN på eget smartkort
• SignaturPad hvor Bruker signerer og aksepterer vilkår for utstedelse
• Skanner hvor Brukers legitimasjonsdokument skannes ved førstegangsutstedelse av sertifikater
• Lokal MS CA/AD
• Buypass sentrale systemer (BPS)
• Lokale filområder for PDF-filer, rapporter og fjernadministrasjon

Image Added

BAM må ha følgende portåpninger:

• AD: Port 389 (LDAP)
• CA: Port 80, 443 og 135 (RPC) - avhengig av organisasjonens infrastruktur 
• Lokalt dokument register: Port 135,137 og 139 (filoverføring til filområde)
• Buypass: Port 443 – kommunikasjon over https. Krav til åpninger i brannmur mot adressen https://www.buypass.no/weblts/p1

Funksjoner

LRABAM-klienten støtter følgende funksjoner:

• Utstedelse av nye ID-kort med lokale og/eller kvalifiserte sertifikater
• Utstedelse av erstatningskort med lokale og/eller kvalifiserte sertifikater
• Fornyelse av lokale og/eller kvalifiserte sertifikater
• Utstedelse av lånekort med lokale sertifikater med kort levetid
• Sperring av kort og sertifikater
• PIN-kode administrasjon – avblokkering av sperret PIN / endre PIN
• Fjernfunksjoner for sertifikater fra lokal Microsoft CA *)
• Smartkortdiagnose - feilsøking
• Opprette og administrer Operatører og sertifikater for Operatører
• Rapporter:
• Oversikt over sertifikater utstedt til angitt person
• Oversikt over sertifikater utstedt i en angitt periode
• Oversikt over sertifikater som utløper i en angitt periode
• Oversikt over utstedte midlertidige kort - lånekort

Fjernfunksjoner – distribuert

support for lokale sertifikater

*) BAM-klienten har, sammen med Buypass Access Enterprise, funksjonalitet for fjernbehandling av sertifikater fra lokal MS CA; registrering, utstedelse og vedlikehold. Det vil si behandling av sertifikater for brukere som befinner seg på lokasjoner utenfor sentralt ID-kontor.

Brukeren må ha kontakt med sentralt ID-kontor og en

Operatør via telefon for å få utført ønsket operasjon, men det gir samtidig brukeren mulighet til å administrere smartkortet sitt fra egen PC.

Følgende funksjoner tilbys:

• Aktivering av nytt ID-kort med lokalt sertifikat (ID-kort er utstedt sentralt)
• Fornyelse av

• lokalt sertifikat
• Utstedelse av lånekort
• Avblokkering av sperret PIN for lokalt sertifikat

NB! Fjernfunksjoner gjelder pt. kun administrering av lokale sertifikat fra lokal MS CA.

Installasjon og klientprogramvare

Image Removed

Buypass Access Manager - LRA er klientprogramvare som installeres på en egen PC, heretter benevnt som LRA-PC.

• Kortleser for Operatørkort
• Kortleser for Brukerkort
• SignaturPad hvor Bruker signerer og aksepterer vilkår for utstedelse
• PinPad hvor Bruker setter PIN på eget smartkort
• Skanner hvor Brukers legitimasjonsdokument skannes ved førstegangsutstedelse av sertifikater

LRA-klienten betjenes av en Operatør som selv benytter sitt personlige ID-kort for autentisering og elektronisk signering. Dersom LRA-klienten kun utsteder og administrerer lokale sertifikater vil Operatøren identifisere seg med lokalt sertifikat ved pålogging til LRA-klienten, mens Operatørens kvalifisert autentiseringssertifikat vil bli brukt når LRA-klienten er konfigurert for å utstede kvalifiserte sertifikater enten alene eller i tillegg til lokale sertifikater.

Såfremt LRA-klienten er satt opp for å utstede og administrere lokale sertifikater fra en lokal CA (Microsoft CA) – enten kun lokale sertifikater eller i tillegg til kvalifiserte sertifikater fra Buypass CA er LRA-klienten konstruert slik at informasjon om brukerne inklusiv hvilke roller og sertifikattyper de skal ha kan hentes fra lokal AD.

LRA-klienten kommuniserer med Buypass sentrale systemer  (BPS) ved pålogging på LRA-klienten og i forbindelse med operasjoner som involverer kvalifiserte sertifikater. Hvis Buypass ikke er tilgjengelig, vil LRA-klienten operere i lokal modus og kun utstede/administrere lokale sertifikater.

All utstedelse og administrasjon av sertifikater både lokale og/eller kvalifiserte dokumenteres elektronisk i et lokalt dokumentregister. Disse dokumentene betegnes som kontrolldokumenter og lagres som PDFer. Operatøren bekrefter operasjonene gjennom å signere disse dokumentene elektronisk. For operasjoner som også inkluderer kvalifiserte sertifikater vil en kopi av kontrolldokumentet bli oversendt til Buypass. Dokumentregisteret bør være et filområde med begrenset tilgang, for eksempel kun til RA-ADMINer eller kun til bedriftens Sikkerhetsavdeling for revisjonsformål.

LRA-klienten kan settes opp et filområde for rapporter som ikke er det samme filområde som PDF-dokumentene. Dersom Operatøren ønsker å kjøre rapporter som i tillegg til å vises i skjermbilder i klienten også kan lagres på egne filområde som Excel-dokumenter for videre behandling.

Om fjernfunksjoner er i bruk må det defineres et eget filområde hvor sertifikatforespørsler og sertifikatresponser skal plasseres. Dette er filer som inneholder sertifikatrequester (.req) med kortspesifikke nøkler og selve sertifikatene (.cer) når disse er produsert og er klare for lasting i kortene. Filområdet må være et område som uautoriserte brukere har skrive og lese-tilgang til siden brukerne for flere av funksjonene ikke er pålogget domenet.

LRA Modes

Menyer - skjermbilder

Alle funksjoner i klienten er prosessorientert. Operatøren blir guidet gjennom alle nødvendige steg i valgt funksjon.  LRA-klientens funksjoner er beskrevet i detalj i egen Brukerguide med retningslinjer for utstedelse av Buypass kvalifiserte sertifiakter.

Image Added

Figur: Hovedmenyen i LRA-klienten 

Image Added

Figur: Utstedelse av ID-kort - et eksempel på prosesstyrt operasjon med veiledning for Operatører

Konfigurering

Gjennom oppsett av BAM er det mulig å bestemme hvilke funksjoner en BAM-klienten skal settes opp med - om det er en fullstendig installasjon med alle funksjoner, eller om det er en begrenset installsjon med kun et fåtall funksjoner. Ved installasjon er det altså mulig å skreddersy en klient til å innehold kun de funksjoner som er nødvendig. Her er noen eksempler:

• BAM-klienten på ID-kontoret vil være en fullstendig klient med ALLE funksjoner
• BAM-klienten på Kundesupport vil være en begrenset klient med kun PIN-administrasjon
• BAM-klienten på Personalkontoret eller IKT-kontoret vil være en begrenset klient med kun Preregistrering av brukere

Modus

BAM-klienten kan settes opp og konfigureres i 3 ulike modus for å tilpasse bedriftens virksomhetens behov. For de ulike modusene vil det være behov for ulik oppkobling av de eksterne komponentene beskrevet overgrensesnittene.

1. Local Mode: Utstedelse og vedlikehold av kun lokale sertifikater (MS CA). Her er det ingen kommunikasjon mot Buypass. Brukere og sertifikatgrupper sjekkes kun mot lokal AD. Operatørene logger seg på BAM-klienten med bruk av sitt lokale påloggingssertifikat (LC). Sertifikatrequestene og kontrolldokumentene – PDFene, signeres med Operatørens Enrollment Agent sertifikat (EA). Operatørens rolle og sertifikater sjekkes kun mot lokal AD.
   
   
2. Buypass Mode: Utstedelse og vedlikehold av kun kvalifiserte sertifikater (Buypass CA). Her er det kun kommunikasjon mot Buypass, og ingen avsjekk mot lokal AD. Brukerne registreres og vedlikeholdes kun hos Buypass (Customer Management System). Operatørene logger seg på BAM-klienten med bruk av sitt kvalifiserte autoriseringssertifikat (QC_A). Sertifikatrequestene og kontrolldokumentene – PDFene, signeres med Operatørens kvalifiserte signeringssertifikat (QC_S). Operatørens rolle og sertifikater sjekkes kun mot Buypass.
   
   
3. Mixed Mode: Utstedelse og vedlikehold av både lokale og kvalifiserte sertifikater. Her er det både kommunikasjon mot lokal AD og mot Buypass. Brukere og sertifikatgrupper sjekkes mot lokal AD, og i tillegg må brukere som skal ha kvalifiserte sertifikater være registrert hos Buypass

LRA konfigurering

Gjennom setup av LRA er det mulig å bestemme hvilke funksjoner en LRA skal settes opp med - om det er en fullstendig installasjon med alle funksjoner, eller om det er en begrenset installsjon med kun et fåtall funksjoner. Ved installasjon er det altså mulig å skreddersy en klient til å innehold kun de funksjoner som er nødvendig. Her er noen eksempler:

• LRA-klienten på ID-kontoret vil være en fullstendig klient med ALLE funksjoner
• LRA-klienten på Kundesupport vil være en begrenset klient med kun PIN-administrasjon
• LRA-klienten på Personalkontoret eller IKT-kontoret vil være en begrenset klient med kun Preregistrering av brukere

Menyer - skjermbilder

Image Removed 

Figur: Hovedmenyen i LRA-klienten 

Image Removed

Figur: Utstedelse av ID-kort - et eksempel på prosesstyrt operasjon med veiledning for Operatører  

Neste >>

1. (standard løsningskonfigurering). Operatørene logger seg på BAM-klienten med bruk av sitt kvalifiserte autoriseringssertifikat (QC_A). Sertifikatrequestene for lokale sertifikater signeres med Operatørens Enrollment Agent sertifikat (EA), mens sertifikatrequestene for kvalifiserte sertifikater signeres av Operatørens kvalifiserte signeringssertifikat (QC_S). Alle kontrolldokumenter – PDFene, signeres med Operatørens kvalifiserte signeringssertifikat (QC_S). Operatørens rolle og sertifikater sjekkes både mot AD og mot Buypass.