X-Road.eu versio 5.x Tiedoston nimi Järjestelmäraportti X-RoadEU.docx Tekijä Mikael Puusa Hyväksyjä Tuula Kanerva Tila Hyväksytty Versio 0.3 Julkisuusluokka Tieran sisäinen (myös alihankkijoiden käytettävissä) Sijainti SharePoint:https://tiera.sharepoint.com Muutoshistoria: Päivämäärä Versio Muuttaja Kommentit 11.02.2014 0.1 Mikael Puusa Ensimmäinen vedos 11.03.2014 0.2 Mikael Puusa Korjauksia ja lisäyksiä 05.05.2014 0.3 Mikael Puusa Korjauksia ja lisäyksiä Kuntien Tiera Oy Tammasaarenkatu 3 00180 Helsinki Y-tunnus 2362180-3 ALV-numero FI23621803 Kotipaikka Helsinki info@tiera.fi www.tiera.fi
Sisällys 1 Asiakirjan tarkoitus... 3 2 Pilottiympäristö... 3 2.1 Taustaa... 3 2.2 Rajaukset... 3 2.3 Alustapalvelut... 3 2.4 Tietoliikenne... 4 3 Väylän palvelut... 4 3.1 Varmennepalvelin... 4 3.2 Keskuspalvelimet... 4 3.3 Lokipalvelin... 5 3.4 Turvapalvelin... 5 3.5 Portaalipalvelin... 5 4 Varmistaminen ja palautus... 6 2/6
1 Asiakirjan tarkoitus Tämä asiakirja on X-Road järjestelmän raportti. Asiakirjaan on koottu kokemuksia ja havaintoja X-Road EU palveluväyläalustan pilotointiprojektin käyttöönotosta infrastruktuurin näkökulmasta. 2 Pilottiympäristö 2.1 Taustaa X-Road on Virolaisen Cybernetica:n Viron valtiolle tekemään ohjelmisto, pilotin aikana testatun ohjelmiston ainoa tuettu ajoympäristö oli Ubuntu Linux LTS 10.04. 2.2 Rajaukset Palvelinympäristön keskus-, loki, varmenne,- turva-, sekä portaalipalvelu asennettiin virtualitointiympäristöön joka on toimittajan puolelta tuettu ratkaisu testaus ja tuotekehitysympäristöissä. Varmenteisiin pohjautuva tunnistautuminen rajattiin pilotin ulkopuolelle. Varmennepalvelussa käytettiin ohjelmistopohjaista turvamodulia laitteeseen perustuvan ratkaisun tilalla. Ohjelmistot ja dokumentointi sisältää runsaasti ominaisuuksia ja viittauksia mm. tunnistautumisjärjestelmiin ja sisäänrakennettuihin ryhmiin sekä käytäntöihin jotka ovat käytössä vain Virossa, nämä ominaisuudet oli rajattu pilotin ulkopuolelle. Turva-, portaali- ja liityntäpalvelimien välinen liikenne on mahdollista salata mutta em. ominaisuutta ei testattu pilotin yhteydesä. 2.3 Alustapalvelut Toimittajan valitsema käyttöjärjestelmäalusta on julkaistu Huhtikuussa 2010 ja on osittain jo hieman vanhentunut, tuki päättyykin Huhtikuussa 2015. Pilotin aikana ei ilmennyt käyttöjärjestelmään liittyviä haasteita. 3/6
2.4 Tietoliikenne Pilottiympäristön keskuspalvelut asennettiin yhteen loogiseen verkkoon joka oli pilotointitarkoituksiin riittävä palvelu- ja tietoturvatasoltaan. Käytännön syistä jotka liittyvät varmennepalvelun tiedonsiirtorajoitteista valitussa palveluympäristössä myös varmennepalvelin pidettiin jatkuvasti liitettynä verkkoon. 3 Väylän palvelut 3.1 Varmennepalvelin Varmennepalvelu on asennettu ja toiminnot vastasivat toimittajan tekemiä dokumentteja. Pilotissa käytettiin ohjelmistopohjaista varmennemodulia joka käyttäjän salasanan palautusta lukuunottamatta toimi pilotin aikana odotusten mukaisesti. HSM-modulin hankintaan ei oltu erikseen osoitettu varoja joten sen testaminen on rajattu pois. Testi ja tuotekehitysympäristön ollessa virtalisoitu tehtiin varmennepyyntöjen siirtäminen turva-, varmenne- ja keskuspalvelimien välillä 1.44 Mt levykuvilla joka ei tuotantoympäristössä ole mahdollista kun siirrettävän tietokannan koko ylittää käytettävissäolevan median kapasiteetin. Mikäli alustapalveluita tuottavaan laitteistoon on fyysien pääsy ja valittu alusta tukee siirrettävien medioiden käyttöä on virtualisoitujen palvelimien käyttö mahdollista. Tuotannoympäristöissä tuetut tallennusmediat ovat 1.44 Mt levyke, CD- ja DVDlevy sekä USBlevy. Ohjelmiston toimittajalle on esitetty toive että tulevissa versioissa olisi myös paikallinen hakemisto vaihtoehtona varmenteiden tuontia sekä varmennetietokannan vientiä varten. 3.2 Keskuspalvelimet Keskuspalvelimia on asennettu suositustenmukaiset kaksi kappaletta joista toinen toimii väylän ensisijaisena ja toinen toissijaisena keskuspalvelimena. Palvelimien asennus ja operointi sujui dokumentoinnin mukaisesti. Muutoksia joita tehtiin ohjelmistoon pilotin alkuvaiheessa oli keskuspalvelimien valikoiden toiminnassa joka pilotin alkaessa oli toimitettu niin että kaikki valikot olivat aktiivisia. Ohjelmistokorjauksen jälkeen ensisijaisen turvpalvelimen hallintaohjelmistossa on aktivoituina vain ensisijaisen keskuspalvelimen toimintoihin vaikuttavat valikot ja painikkeet ja toisisijaisen palvelimen valikoissa vain toisisijaisen palvelimen toimintoja koskevat valikot. 4/6
3.3 Lokipalvelin Lokipalvelin on asennettu ja sen toiminta vastaa toimittajan laatimia dokumentteja, tietoliikenneosiossa mainitaan lokipalvelun portit udp:6666 sekä udp:6668 joista aiemman pitäisi olla käytössä vain X-Road 4 version yhteensopivuuden takia. Pilotin aikana havaittiin kuitenkin että lokiliikenne ei kuljekaan portin udp:6668 kautta vaan vaatii udp:6666 avaamista turvapalvelimen ja keskuslokipalvelimen välille. Pilotissa ei testata lokipalvelimeen liitettävää arkistiointia. 3.4 Turvapalvelin Turvapalvelimia asennettiin kaikkiaan kolme joista yksi Tieran palvelutoimittajan palveluympäristöön virtualisoituna, yksi FastRoi:n palvelutoimittajan tiloihin sekä yksi fyysiselle alustalle Espoon kaupungin palvelinkeskukseen. Pilotin aikana ei ilmennyt palvelimien toiminnassa mitään toimittajan dokumentoinnista poikkeavaa. Turvapalvelimen ja liityntäpalvelimen välisen tietolikenteen salaukseen löytyi dokumentoinnista ristiriitaista tietoa jonka toimittaja korjaa seuraavaan julkaisuun sekä https NoAuth konfigurointiin virhe jonka ohjelmistotoimittaja korjasi. Espoon turvapalvelin toimitettiin aluksi sellaisella kokoonpanolla jota käytetty käyttöjärjestelmä ei tukenut, alustan vaihdon jälkeen suoritettu asennus meni odotusten muksisesti. Fyysisen alustan valinnassa tulisi ottaa huomioon nykyisen käyttöjärjestelmän elinkaarivaihe. Palveluiden kahdentaminen ei kuulunut pilotointiprojektin piiriin. Turvapalvelimet eivät tue kahdennusta tai monentamista natiivisti mutta palvelu on toimittajan mukaan kahdennettavissa kuormantasaajilla tai vastaavilla tekniikoilla. 3.5 Portaalipalvelin Portaalipalvelin asennettiin Tieran alustapalvelutoimittajan tiloihin virtualisena. Dokumentointi ei sisällä mitään tietoa palvelun toiminnasta mutta käy asennusprosessin läpi riittävän seikkaperäisesti. Dokumentissa on virheellisiä viittauksia kappaleisiin joita ei dokumentissa ole ja toimittaja on lupautunut korjaamaan nämä virheet seuravaan versioon. Portaalin tuetut kielivaihtoehdot ovat Eesti ja Englanti, suomen- tai ruotsinkielistä käännöstä palvelun sivustoon ei ole. Portaalipalvelua ei ole liitetty mihinkään eikä siihen konfiguroitu tuottajadataa perustoiminnallisuuden päälle. 5/6
4 Varmistaminen ja palautus X-road:in palveluiden konfiguraatiotiedostot voi varmistaa ja palauttaa suoraan ohjelmistojen hallintapanelista. Pilottiympäristön varmistus tai palautus ei kuulunut pilottiin. 6/6