El repositorio horizontal de usuarios y autenticación de las Administraciones Publicas

Transcripción

1 El repositorio horizontal de usuarios y autenticación de las Administraciones Publicas CPCSAE - Madrid, 26 de Febrero de 2014 Proyecto de la Dirección General de Modernización Administrativa, Procedimientos e Impulso de la Administración Electrónica Ministerio de Hacienda y Administraciones Públicas

2 Indice 1. Análisis de Necesidades 2. Objetivos 3. Beneficios 4. Los Usuarios y el Repositorio 5. La Autenticación 6. El Single Sign-On 7. El Aprovisionamiento de Usuarios 8. Integraciones con otros repositorios 1. DIR3 2. RCP 3. Integracion con CC.AA y EE.LL. 9. La Interoperabilidad

3 La Motivación 1. Análisis de Necesidades Existencia de diferentes repositorios de usuarios de las Administraciones Públicas y diferentes sistemas de aprovisionamiento y autenticación para los mismos, generalmente inconexos. Algunos repositorios, caso del Portal del Empleado Público (Funcion@), se proveen de manera automática y sincronizada desde una fuente registral, con un paraguas normativo que regula su alcance y actuaciones (Registro Central de Personal RCP) Los repositorios de usuarios de otras AA.PP. (EE.LL y CC.AA) a las que se les ofertan servicios verticales y horizontales por parte de la AGE disponen de diferentes vías de provisión que alimentan múltiples repositorios en los que un usuario existe varias veces

4 Los Objetivos 2. Objetivos Disponer de un único repositorio horizontal de usuarios de las AA.PP, y un sistema de autenticación asociado al mismo, incorporando funcionalidades de Single Sign-On (SSO). Favorecer la puesta en marcha de nuevos servicios finales de manera más ágil y sostenible, mediante diferentes escenarios de uso y/o integración e interoperabilidad que facilite la autenticación de usuarios en las AA.PP. Explotar las sinergias de las soluciones e infraestructuras comunes existentes (DIR3, Registro Central de Portal de EE.LL y CC.AA, Red SARA) Proyectar AutenticA como un servicio común más para su uso por las Administraciones Públicas, que posibilita la reutilización y, por tanto, un uso adecuado de los recursos públicos con el correspondiente ahorro de costes.

5 Beneficios 3. Beneficios Los derivados de la puesta en marcha de servicios comunes: Mayor interoperabilidad entre AA.PP. Reutilización Racionalización Sostenibilidad Eficiencia Valor añadido y agilidad para la puesta en marcha de nuevos servicios finales

6 4. Los Usuarios y el Repositorio Los usuarios que conformarán el repositorio común son: Usuarios adscritos a la Función Pública (AGE, CC.AA y EE.LL) Usuarios externos pertenecientes a empresas colaboradoras Estarán organizados básicamente en: Rama empleados públicos y personal externo colaborando con la Administración Rama usuarios de colectivos de especial protección y altos cargos El Repositorio se apoya en el LDAP (Lightweight Directory Access Protocol) de la Red SARA. El LDAP, como tal, es un servicio básico de la Red SARA y esta bajo su Servicio de Soporte 24x7.

7 5. La Autenticación (no es Autorización) El servicio de autenticación de los usuarios estará disponible a través del software no comercial Central Authentication Service (CAS) adaptado y mejorado en funcionalidades, si bien existen sistemas (no portales) que sólo soportan una autenticación LDAP. En la primera fase, la autenticación se llevará a cabo a través de certificado electrónico (validando y/o usuario y contraseña asignadas con garantía de correspondencia a personas reales. A medida que los proyectos de Identificación en la Nube de la AGE avancen se utilizará sus proxy de identidad para validar credenciales de otros proveedores de identidad (IdPs) que se determinen: PIN24 (AEAT) AUFI (DGT), etc AutenticA es también proveedor de Atributos si la autenticación es OK y el usuario existe en el repositorio, devolviendo un XML con información del repositorio para que las aplicaciones puedan realizar el proceso de AUTORIZACIÓN u otros tipos de tratamiento.

8 EJEMPLO Cuando un usuario perteneciente a un portal adscrito a AutenticA acceda al sistema, éste verificará el navegador del usuario en busca de un certificado electrónico valido. Si el sistema no pudiera encontrar certificado válido en el navegador, se mostrará la pantalla para introducir usuario y contraseña. Si la autenticación es satisfactoria (se han validado las credenciales y existe en el repositorio) se devuelven los atributos asociados.

9 FLUJO PARA LA AUTENTICACIÓN DE UN USUARIO EN UNA APLICACIÓN ATRAVÉS DE AutenticA Acceso a portal Intro. certificado Comprobación certificado No dispone de certificado Si dispone de certificado Usuario y contraseña Acceso al portal Si son correctas Comprobación de credenciales (1) No son correctas Autoregistro (1) En el caso de Certificado, antes de comprobar en el repositorio se valida

10 6. El Single Sign-On (no es Autorización) El propósito es permitir a un usuario el acceso a múltiples aplicaciones de múltiples portales (las adscritas a ese grupo de SSO) presentando sus credenciales una sola vez, en lugar de tener que acreditarse en cada una de las aplicaciones de manera individual. El sistema permitirá SSO en función del usuario y la aplicación de procedencia. Como mecanismo de seguridad se dispondrá de una relación de los sistemas adscritos, a los cuales se les asignará un identificador único de aplicación Sólo las aplicaciones que pertenezcan a dicho grupo tendrán acceso al servicio de SSO

11 EJEMPLO Cuando un usuario perteneciente a un Portal accede a su sistema a través de AutenticA, éste le pedirá certificado (o usuario y contraseña) una única vez. Cuando se haya autenticado, el sistema verifica si forma parte del grupo de aplicaciones de confianza y una vez confirmada podrá acceder al servicio de SSO. Si la aplicación de la cual procede la sesión del usuario no forma parte del grupo de aplicaciones de confianza, no tendrá acceso al servicio de SSO.

12 FLUJO PARA EL SERVICIO DE SSO DE UNA APLICACIÓN ATRAVÉS DE AUTENTICA Acceso a portal Intro. credenciales Comprobación fuente de procedencia Fuente de procedencia no sindicada Fuente de procedencia sindicada Ticket de un solo uso Ticket para SSO Proceso completado

13 7. El Aprovisionamiento de Usuarios El módulo de aprovisionamiento de usuarios está indicado para llevar a cabo el alta de los usuarios en AutenticA de manera segura y controlada. El objetivo es cubrir todas las necesidades de las diferentes aplicaciones consumidoras en lo referente a la gestión de usuarios de las Administraciones Públicas. El sistema contará con tres perfiles definidos para la gestión de usuarios: Administración estándar Administración delegada Autoregistro Todas las inserciones en el Repositorio serán verificadas y validadas previamente

14 8.1 Integración con DIR3 Con objeto de complementar la información que debe residir en el repositorio, es necesaria la información asociada a las unidades de la administración residentes en DIR3. Dicho directorio proporcionará datos de las unidades (a través del identificador de unidad) y asociará dichos datos al usuario que se encuentre en proceso de alta. Existen procesos de sincronización para la correcta actualización de la información entre los dos sistemas

15 8.2 Integración con RCP El Registro Central de Personal (RCP) es pieza clave en el aprovisionamiento automático de AutenticA. Tal y como se viene realizando con el directorio de la AGE a través de Funcion@, el RCP seguirá volcando diariamente los datos referentes a los colectivos de la AGE. Este aprovisionamiento seguirá tratándose como un mecanismo de sincronización debido a su criticidad.

16 8.3 Integración con repositorios de EE.LL. y CC.AA A partir de las BB.DD. de usuarios del Portal de EE.LL se hará la migración de este colectivo al repositorio de Autentica. Posteriormente la gestión de este colectivo en el repositorio único se podrá realizar bien con el sistema de aprovisionamiento común, bien a partir del módulo de interoperabilidad de AutenticA invocado desde el Portal de EE.LL. Se propondrá la colaboración a las CC.AA.,en el Consejo Sectorial de Administración Electrónica, para la provisión y el consumo de la información del repositorio y de las funcionalidades de Autenticación. Se está estudiando la viabilidad para tratar de proporcionar un paraguas normativo, en el marco del ENI.

17 9. La Interoperabilidad Con objeto de ofrecer una completa cobertura técnica en todos los escenarios definidos, el sistema cuenta con un catalogo de Servicios Web disponible para aquellas aplicaciones que requieran funcionalidades parciales de AutenticA. El catalogo de Servicios Web (ampliable) consta de: Alta de usuario Modificación de usuario Autenticación Obtención de datos Perfil completo Tipo de usuario Situación administrativa del usuario Existencia o no del usuario en el repositorio común

18 10. Conclusiones Los desarrollos y las implementaciones realizadas para AutenticA (el repositorio, su provisión, el sistema de autenticación y el SSO) están orientados, en principio, a los usuarios de las Administraciones Públicas. Las iniciativas en la AGE, relativas a la Identificación, están orientadas a proporcionar credenciales fuertes en las que se exige garantía de correspondencia a personas reales Es posible que exista necesidad de implementar sistemas de autenticación de credenciales débiles para lo cual sería posible el aprovechamiento del análisis y módulos de AutenticA

19 Gracias