Vers une architecture orientée services et l’utilisation commune des services de base

1. KSZ-BCSS Vers une architecture orientée services et l’utilisation commune des services de base Kruispuntbank van de Sociale Zekerheid

2. Plan de l’exposé • TIC interopérable sur base d’une architecture orientée services (service oriented architecture – SOA) • aperçu de plusieurs services de base offerts • gestion des utilisateurs et des accès • ticketing et accusé de réception • pages personnelles • logging • customer relationship management (CRM) ou gestion de la relation client • état de la question en ce qui concerne les mandats autorisés à intervenir au nom des entreprises et des citoyens

3. TIC interopérable • architecture orientée services (SOA – Service Oriented Architecture) • en couches • basée sur des standards ouverts ou au moins des spécifications ouvertes • basée sur des composants • modulaire • souple • extensible • sécurisée

4. Architecture orientée services “Service Oriented Architecture (SOA) is a paradigm for organizing and utilizing distributed capabilities that may be under the control of different ownership domains. It provides a uniform means to offer, discover, interact with and use capabilities to produce desired effects consistent with measurable preconditions and expectations. Enterprise architects believe that SOA can help businesses respond more quickly and cost-effectively to the changing market conditions. This style of architecture promotes reuse at the macro (service) level rather than micro levels (eg. objects). It also makes interconnection of existing IT assets trivial.” (OASIS Reference Group)

5. Architecture en couches Présentation Applications Services métier Services de base Données

6. Spécifications ouvertes et standards ouverts • spécification ouverte: spécification qui est suffisante pour écrire une application entièrement opérationnelle et qui est libre de contraintes juridiques entravant sa diffusion et son utilisation • standard ouvert: spécification ouverte qui a été approuvée par une organisation de standardisation indépendante • principales organisations de standardisation indépendantes internationales • International Organization for Standardization (ISO) (http://www.iso.org) • World Wide Web Consortium (W3C) (http://www.w3.org) • OASIS (http://www.oasis-open.org)

7. Spécifications ouvertes et standards ouverts • exemples • sets de caractères • interconnexion • échange de messages • échange de documents • enregistrement de messages • enregistrement de documents • compression de documents • sécurisation • voir par exemple http://www.bcss.fgov.be/documentation/fr/ documentation/Presse/OpenstandaardenFR_FEDICT.pdf

8. Composants • composants clairement définis, fonctionnant de manière autonome • qui interopèrent mutuellement et avec des composants externes, sur base d’une architecture orientée services, à l’aide de standards ouverts • de sorte à garantir une souplesse maximale afin • de connecter d’autres composants • d’ajouter d’autres composants • de remplacer des composants par d’autres composants • de réutiliser des composants pour d’autres finalités • en fonction de • l’évolution des besoins • l’évolution des possibilités technologiques • sans avoir d’impact sur les composants existants • en faisant appel à la concurrence ouverte pour le développement des composants à connecter, à ajouter ou à remplacer

9. Données et informations • données à caractère personnel • enregistrées et gérées dans des banques de données authentiques complémentaires en fonction d’une répartition des tâches • informations non personnelles • enregistrées de façon modulaire et tenues à jour dans des systèmes de content management accessibles de manière générale • contenant des métadonnées standardisées basées sur des thésaurus standardisés • avec séparation du contenu, des métadonnées et de la forme (réutiliser et non réécrire) • pouvant faire l’objet d’une réindexation automatique

10. Données et informations • informations à l’appui de la politique et de la recherche • en agrégeant des données provenant de systèmes opérationnels dans des datawarehouses • avec possibilités d’approche des données en fonction de différentes dimensions et différents degrés de granularité • avec des outils puissants d’exploration, d’analyse et de visualisation • de préférence, en temps réel (on line analytical processing – OLAP)

11. Services de base • composants offrant un service générique à tout service métier qui veut l’utiliser • valeur ajoutée • permet d’économiser des coûts de développement et d’exploitation: develop once, use many • permet aux développeurs de services métier et d’applications de se concentrer sur les services métier • cohérence pour les utilisateurs des différentes applications • simplifie l’offre et le monitoring de processus et de chaînes de processus

12. Services de base • gestion des utilisateurs et des accès pour les citoyens, les entreprises et les professionnels • signature électronique • transformation de formats • ticketing et accusé de réception • time stamping • routage • gestion de statut • orchestration • logging • pages personnelles • gestion de la relation client • ...

13. Services de base personal pages logging user & access mgt electronic signature ticketing/ receipt transfor-mation … orches-tration

14. Services métier et applications • développement de services métier grâce à la coordination de composants et l’utilisation de services de base • développement d’applications répondant aux besoins des différents types d’utilisateurs par une coordination des services métier • où les mêmes composants et services de base peuvent être utilisés pour le développement de différents services métier, et où les mêmes services métier peuvent être utilisés pour le développement de différentes applications

15. Applications Clients Application Application Application Exposed services Enterprise Service Bus Enterprise Application Integration Orchestration Orchestration Consulted services Providers Application Application Application

16. Intégration d’applications via services web service web: composant logiciel offrant une fonctionnalité autodécrite univoque et qui est appelé de manière distribuée grâce à la technologie Internet standard web services repository (WSDL) (recherche services web) UDDI UDDI (enregistrement services web) XML/SOAP XML/SOAP web services client web services provider XML/SOAP

17. Intégration d’applications dans l’administration fédérale • environnements middleware • environnement Enterprise Application Integration dans le secteur social géré par la Banque Carrefour de la sécurité sociale • Universal Messaging Engine (FEDICT), avec évolution vers Federal Service Bus • Centre de communication de la fiscalité fédérale (CCFF) en cours de développement au sein du SPF Finances • environnement Enterprise Application Integration en cours de développement au sein du SPF Justice dans le cadre du projet Phenix • réseaux interconnectés • extranet de la sécurité sociale entre les institutions de sécurité sociale • FEDMAN entre les services publics fédéraux • extranets d’autres niveaux de pouvoir • Internet et sur celui-ci des réseaux privés virtuels

18. Intégration de présentation: sites portail • sites web • avec présentation intégrée des • informations, gérées de préférence dans des systèmes de content management • transactions • avec single log on ou single sign on • éventuellement soutenus par des outils de gestion de la relation client

19. Intégration de présentation: sites portail • personnalisés, axés sur les intentions ou le groupe cible • personnalisés • look & feel et interface • contenu (uniquement informations et transactions pertinentes) • appui personnalisé, par ex. • utilisation de données à caractère personnel disponibles • aide contextuelle adaptée à l’utilisateur (par ex. texte, explication orale, aide lors de l’utilisation de supports électroniques, accompagnement des processus, …) • langage propre • vocabulaire approprié • simulations en ligne • axés sur les intentions ou le groupe cible • événements (p.ex. naissance, mariage, création d’une entreprise, …) • domaines de la vie (p.ex. culture, sport, …) • statut social (p.ex. travailleur salarié, chômeur, pensionné, …) ou secteur d’entreprise • groupes cibles

20. Sites portail: faux intermédiaires personnel fournisseurs • utilisateurs • citoyens • entreprises partenaires • PORTAIL B • single sign on • personnalisation • groupes d’utilisateurs • multi-channel • agrégation • PORTAIL A • single sign on • personnalisation • groupes d’utilisateurs • multi-channel • agrégation content management content management transactions transactions gestion utilisateurs gestion utilisateurs • systèmes • back-end, p.ex. • ERP • groupware • DB’s • applications • systèmes • back-end, p.ex. • ERP • groupware • DB’s • applications

21. Sites portail: vrai intermédiaires personnel fournisseurs • clients • citoyens • entreprises partenaires • PORTAIL A • single sign on • personnalisation • groupes d’utilisateurs • multi-channel • agrégation • PORTAIL B • single sign on • personnalisation • groupes d’utilisateurs • multi-channel • agrégation gestion utilisa- teurs gestion utilisa-teurs • systèmes • back-end, • p.ex. • ERP • groupware • DB’s • applications • systèmes • back-end, • p.ex. • ERP • groupware • DB’s • applications content management content management transactions transactions

22. @ Centre contact Eranova IPSS SPF Internet Intégration de présentation: centre de contact • accessible de manière multimodale: téléphone, e-mail, formulaire sur le portail … • soutenu par outil de gestion de la relation client E-mail Téléphone Internet

23. Réseau d’intégrateurs de services intégrateur de services SPR SPR catalogue de services Extranet communauté ou région intégrateur de services (BCSS) catalogue de services ISS Extranet sécurité sociale ISS Internet commune SPF ISS VPN, Publilink, VERA, ... SPF FedMAN catalogue de services intégrateur de services (FEDICT) province ville SPF catalogue de services

24. Réseau d’intégrateurs de services • types d’informations échangées • données structurées • documents • images • multimédia • métadonnées • processus métier • sur base d’une technologie de services web

25. Réseau d’intégrateurs de services • tâches possibles d’un intégrateur de services (BCSS, FEDICT, …) • organisation de la gestion des données, des services de base et métier, de l’intégration d’applications et de l’intégration de présentation • organisation du cadre d’interopérabilité sécurisé • gestion des utilisateurs et des accès • liste des utilisateurs (personnes, entreprises, applications, …) • détermination des moyens d’authentification possibles pour chaque service • gestion des autorisations • quel service est accessible pour quel type d’utilisateur concernant quelles personnes/entreprises en quelles qualités, dans quelle situation et concernant quelle période • contrôle préventif quant au respect des autorisations • logging d’échange de données à caractère personnel

26. Réseau d’intégrateurs de services • tâches possibles d’un intégrateur de services • gestion d’un répertoire des références • quelles personnes/entreprises possèdent un dossier (électronique) sous quelles qualités, auprès de quelles instances et pour quelles périodes • quelle information est disponible auprès d’une instance donnée lorsqu’elle gère un dossier concernant une personne/entreprise déterminée sous une qualité donnée • gestion d’un répertoire des instances qui souhaitent obtenir des (modifications de) données de manière automatique • quelles instances souhaitent obtenir quelles données de manière automatique, dans quelles situations, concernant quelles personnes/entreprises, sous quelles qualités

27. Vers une répartition des tâches ? • autorité fédérale, institutions publiques de sécurité sociale (IPSS) gérant des régimes ou branches, régions et communautés • accent est mis sur les couches de données et de services, avec pour résultat des services métier utilisables par les administrations locales, les institutions coopérantes de sécurité sociale et les fournisseurs de services aux citoyens et entreprises • le cas échéant, offre aux administrations locales, aux institutions coopérantes de sécurité sociale et aux fournisseurs de services aux citoyens et entreprises d’un environnement standard pour le développement d’applications et d’une couche de présentation

28. Quelques services de base offerts • gestion des utilisateurs et des accès • notions • rappel du fonctionnement de la carte d’identité électronique (CIE) • modèle de « policy enforcement » • situation actuelle • quelques évolutions • ticketing et accusé de réception • pages personnelles • gestion de la relation client

29. Gestion utilisateurs/accès - notions • entité: quelqu’un ou quelque chose qui doit pouvoir être identifié, comme par exemple une personne physique, une entreprise, un établissement d’une entreprise, une machine ou une application • attribut: une petite partie d’informations relatives à une entité • identité: un numéro unique ou une série d’attributs d’une entité qui permet de savoir de manière univoque qui est l’entité; une entité ne possède qu’une seule identité • caractéristique: un attribut d’une entité autre que les attributs qui déterminent l’identité de l’entité, tel qu’une qualité, une fonction dans une organisation déterminée, une qualification professionnelle, …; une entité peut avoir différentes caractéristiques

30. Gestion utilisateurs/accès: notions • mandat: un droit conféré par une entité identifiée à une autre entité identifiée pour poser en son nom et pour son compte certains actes juridiques • enregistrement: le processus qui établit avec une certitude suffisante l’identité, une caractéristique d’une entité ou un mandat, avant la mise à disposition de moyens permettant d’authentifier ou de vérifier l’identité, une caractéristique ou un mandat

31. Gestion utilisateurs/accès: notions • authentification de l’identité: le processus permettant de vérifier que l’identité que prétend posséder une entité pour pouvoir utiliser un service électronique constitue bien l’identité exacte; l’authentification d’une identité peut intervenir sur base d’un contrôle • des connaissances (p.ex. un mot de passe) • d’une possession (p.ex. un certificat sur une carte lisible par la voie électronique) • de caractéristiques biométriques • d’une combinaison d’un ou plusieurs de ces moyens

32. Gestion utilisateurs/accès: notions • vérification d’une caractéristique ou d’un mandat: le processus permettant de vérifier qu’une caractéristique ou un mandat que prétend posséder une entité pour pouvoir utiliser un service électronique est effectivement une caractéristique ou un mandat de cette entité; la vérification d’une caractéristique ou d’un mandat peut intervenir sur base • des mêmes types de moyens que ceux utilisés pour l’authentification de l’identité • après l’authentification de l’identité d’une entité, par la consultation d’une banque de données où sont enregistrés les caractéristiques ou les mandats relatifs à une entité identifiée

33. Gestion utilisateurs/accès: notions • autorisation: une permission accordée à une entité afin de réaliser une action déterminée ou d’utiliser un service donné • groupe d’autorisations: un ensemble d’autorisations • rôle: un ensemble d’autorisations ou des groupes d’autorisations afférents à un service donné • role based access control (RBAC): une méthode permettant d’attribuer des autorisations à des entités à l’aide de groupes d’autorisations et de rôles, afin de simplifier sur le plan administratif la gestion des autorisations et leur attribution à des entités Autorisation Entité Rôle Service (groupe)

34. Carte d’identité électronique

35. Carte d’identité électronique (CIE) • fonctions retenues • identification visuelle et électronique du titulaire • authentification électronique de l’identité du titulaire au moyen de la technique de la signature numérique • apposition d’une signature électronique au moyen de la technique de la signature numérique • pas d’enregistrement d’autres données électroniques, mais promotion de l’accès contrôlé aux données via des réseaux où la carte d’identité électronique fait office d’instrument d’accès • éviter de percevoir la carte comme un ‘big brother’ • éviter la perte d’une multitude de données en cas de perte de la carte • éviter la nécessité d’une mise à jour multiple de la carte

36. CA CA clé publique clé publique signature numérique 04/07/2006 36 Kruispuntbank van de Sociale Zekerheid

37. CIE – quelques notions • certificat d’authentification: authentification de l’identité – usage requiert l’introduction d’un mot de passe, une fois par session • certificat de signature: apposition d’une signature électronique valide sur le plan juridique - usage requiert l’introduction d’un mot de passe lors de toute apposition d’une signature électronique • communes assument la fonction d’autorité d’enregistrement (RA): ‘guichet’ où le certificat est demandé et qui vérifie si l’identité communiquée est exacte; dans l’affirmative, il approuve la demande et le signale à l’autorité de certification

38. CIE – quelques notions • Certipost assume la fonction d’autorité de certification (CA): produit sur base des informations reçues de la RA un certificat, associé à une paire de clés, et indiquant ce que cette paire de clés prouve dorénavant, et gère ce certificat

39. hash Alice Alice Alice CIE 1. Compose message 3. Generate signature 5. Collect certificate 2. Compute hash 4. Collect signature 6. Send message Matching triplet? 7 6 1 1 6 hash CRL 8 2 2 5 4 5 3, 4 3 Alice Bob 1. Receive message3. Check CRL/OCSP5. Fetch public key 7. Compute reference hash 2. Inspect certificate4. Check certificate6. Fetch signature 8. Hash, signature, public keymatch?

40. CIE • CIE • identification et authentification électroniques de l’identité des personnes physiques âgées de plus de 12 ans qui sont inscrites dans les registres de population • signature électronique de ces personnes • encore besoin d’une solution pour l’identification et l’authentification électroniques de l’identité des personnes • âgées de moins de 12 ans • qui ne sont pas inscrites dans les registres de population • des compléments sont nécessaires pour une gestion intégrée complète des utilisateurs, p.ex. • vérification des caractéristiques pertinentes (p.ex. médecin, notaire, …) d’une personne physique • vérification d’un mandat entre une personne morale ou une personne physique sur lequel porte un service électronique et la personne qui utilise ce service • autorisations d’utilisation des services

41. Policy Enforcement Model Action sur Action application sur Policy REFUSÉE application Utilisateur Application Application AUTORISÉE ( PEP ) Action sur application Demande Réponse de décision décision Information Question / Policy Recherche Réponse policies Décision ( PDP ) Information Question / Réponse Gestion Policy Autorisation Policy Information Policy Information de l’autorisation ( PAP ) ( PIP ) ( PIP ) Gestionnaire Source authentique Source authentique Policy repository

42. Policy Enforcement Point (PEP) • intercepter la demande d’autorisation avec toutes les informations disponibles concernant l’utilisateur, l’action demandée, les ressources et l’environnement • transmettre la demande d’autorisation au Policy Decision Point (PDP) et exiger une décision d’autorisation • donner accès à l’application et fournir les justificatifs pertinents Action sur Action application sur Policy REFUSÉE application Utilisateur Application Application AUTORISÉE ( PEP ) Action sur application Demande Réponse de décision, décision Policy Décision ( PDP )

43. Policy Decision Point (PDP) • sur la base de la demande d’autorisation reçue, recher-cher la policy d’autorisation adéquate dans les Policy Administration Points (PAP) • évaluer la policy et, au besoin, rechercher les informa-tions pertinentes dans les Policy Information Points (PIP) • prendre la décision d’autorisation (permit / deny / not applicable) et la communiquer au PEP Policy Application ( PEP ) Demande de Réponse décision décision Information Question / Policy Recherche Réponse Policies Décision ( PDP ) Information Question / Réponse Policy Autorisation Policy Information Policy Information ( PAP ) ( PIP ) ( PIP )

44. Policy Administration Point (PAP) • environnement de sauvegarde et de gestion des policies d’autorisation par les personnes compétentes désignées par le responsable de l’application • mise à la disposition du PDP des policies d’autorisation Gestion Recherche de l’autorisation Policies PDP PAP Gestionnaire Policy repository

45. Policy Information Point (PIP) • mise à la disposition du PDP de l’information pour l’évaluation des policies d’autorisation (sources authentiques avec caractéristiques, mandats, …) Information Question/ Réponse PDP Information Question/ Réponse PIP 1 PIP 2 Source authentique Source authentique

46. Principe de « cercles de confiance » • objectif • éviter une centralisation inutile • éviter des menaces inutiles à l’égard de la protection de la vie privée • éviter des contrôles identiques multiples et la sauvegarde multiple de loggings • méthode: répartition des tâches entre les instances concernées par la prestation de services électroniques et décisions claires en en ce qui concerne les questions suivantes: • qui effectue quels authentifications, vérifications et contrôles à l’aide de quels moyens et qui en est responsable • comment échanger électroniquement entre les instances concernées, de façon sécurisée, les résultats des authentifications, vérifications et contrôles • qui conserve quels loggings • comment veiller, lors d’un examen à l’initiative d’un organisme de contrôle ou suite à une plainte, à retracer entièrement quelle personne physique a utilisé quel service ou transaction concernant quel citoyen ou entreprise par l’intermédiaire de quel canal et pour quelle finalité

47. Situation actuelle – principes généraux • une distinction est opérée entre 4 groupes cibles • citoyens • collaborateurs des institutions de sécurité sociale (ISS) • entreprises • autres acteurs concernés par le secteur social • les informations et transactions disponibles sont réparties sur base d’une analyse des risques et les procédures d’enregistrement et d’authentification de l’identité requises dépendent du niveau de sécurité exigé • 5 niveaux pour les citoyens et les collaborateurs des institutions de sécurité sociale • 4 niveaux pour les entreprises (pas de niveau spécifique faisant appel à des tokens)

48. Situation actuelle citoyens • actuellement un citoyen obtient uniquement accès • à des informations et transactions publiques • à des transactions non publiques le concernant • donc uniquement besoin • d’un enregistrement de l’identité • d’une authentification de l’identité à un niveau adapté au degré de sensibilité de la transaction • (pour l’instant) pas • de vérification de caractéristiques • de vérification de mandats • de gestion d’autorisations

49. Situation actuelle citoyens

50. Token