Esup-Signature

Arborescence des pages

Comparaison des versions

Ancienne version 4

changes.mady.by.user David Lemaignent

Sauvegardée le

comparé à

Nouvelle version Actuel

changes.mady.by.user David Lemaignent

Sauvegardée le

Légende

  • Ces lignes ont été ajoutées. Ce mot a été ajouté.
  • Ces lignes ont été supprimées. Ce mot a été supprimé.
  • La mise en forme a été modifiée.


Info

Depuis la version 1.21, il Il est possible d'utiliser un certificat cachet d'établissement (personne morale). Le POC mené à Rouen repose sur l'utilisation d'un certificat cachet eIDAS (RGS**) obtenu auprès de Certinomis au format clé cryptographique.

La clé est de marque Feitian et la carte à puce de type Gemalto.

Pré-requis

Installation des paquets :

  • pcsc-tools
  • libpcsclite1
  • libpcsclite-dev

Installation des pilotes sous linux

Depuis la version 1.27, il est possible d'utiliser OpenSC en lieu et place du driver safenet.


Remarque

L'installation se passe coté serveur ce qui implique de connecter la clé usb sur le serveur hébergeant esup-signature. Cela implique des contraintes particulière par rapport aux serveurs virtuels.À Rouen, un port a été

Deux solution sont possibles :

  • Un port mappé sur le serveur hébergeant esup-signature. De ce fait, le serveur ne peux pas changer d'hyperviseur sans que la clé ne soit débranchée. Le débranchement de la clé est géré coté esup-signature pour permettre une continuité de service (en mode dégradé) lors des manipulations sur l'infra serveur.
  • Un hub USB (type AnywhereUSB) permettant de virtualiser le port usb et éviter les contraintes liées à la première solution

Sommaire

...

Pré-requis

Installation des paquets :

  • pcsc-tools
  • libpcsclite1
  • libpcsclite-dev

Instalation de la clé USB :

  • directement sur le serveur
  • via un hub USB réseau Digi AnywhereUSB® (solution en place à Rouen)

https://fr.digi.com/products/networking/infrastructure-management/usb-connectivity/usb-over-ip/anywhereusb


...

Installation avec le driver SafeNet

Pour le materiel de type clé Feitian et carte sim Gemalto (comme fournis par Certinomis par examplePour le materiel utilisé à Rouen (clé de marque Feitian et carte sim Gemalto), les pilotes sont à télécharger ici :   https://support.globalsign.com/ssl/ssl-certificates-installation/safenet-drivers#Linux%20Debian

Une fois le paquet installé, on obtient le fichier /lib/pkcs11/libIDPrimePKCS11.so qui est le pilote qui sera utilisé par esup-signature ci-après...

Configuration d'esup-signature

Trois paramètres sont à configurer La configuration à mettre dans le fichier application.yml :

Bloc de code
languageyml
seal-certificat-type: PKCS11
seal-certificat-driver: /lib/pkcs11/libIDPrimePKCS11.so
seal-certificat-pin: ******

...

Remarque

Il est possible d'utiliser un certificat PKCS12 en guise de certificat cachet. Pour cela seal-certificat-type doit être PKSC12 et il faudra utiliser seal-certificat-file pour préciser l'emplacement du fichier .p12


...

Installation avec OpenSC

Afin d'éviter l'utilisation d'un pilote spécifique vous pouvez passer par OpenSC. L'installation et la vérification sont decrites ici : OpenSC


...

Configuration

à mettre dans le fichier application.yml :

Bloc de code
languageyml
themeRDark
seal-certificat-type: OPENSC
seal-certificat-pin: ******


...

Mode d'accès

Cette signature éléctronique est disponible de trois manières :

  • Les utilisateurs ayant obtenu le ROLE_SEAL ont la possibilité de signer avec le certificat d'établissement.
  • Il est possible de configurer esup-signature pour signer automatiquement tous les documents en fin de circuits avec le paramètre seal-all-docs: true
  • Enfin, il est possible de configurer la signature cachet automatique, circuit par circuit

...