Technische Anbindung
Netzwerkumgebung
Aktuell werden die Dienste des IDA-Verfahrens ausschließlich in den Netzen des Bundes (NdB) und dem Verbindungsnetz (VN) angeboten. Dementsprechend müssen alle Kommunikationspartner an eines dieser Netze angebunden sein.
Eine frühzeitige Beantragung der Netzanbindung ist notwendig, da die Herstellung der Verbindung selbst bis zu 3 Monate in Anspruch nehmen kann. Hierbei handelt es sich um Erfahrungswerte des Infrastrukturdienstleisters des BVA. Üblicherweise werden diese über die jeweiligen Infrastrukturdienstleister der jeweiligen registerführenden Stellen bereitgestellt, konfiguriert und gewartet. Das BVA übernimmt keine Tätigkeiten oder Verantwortlichkeit im Rahmen der Beantragung oder der Aufrechterhaltung einer Anbindung an die NdB oder VN.
Einen ersten Einstieg zur Herstellung der Netzwerkanbindung an IDA (NdB) finden Sie im Kurzbericht Erprobung Identitätsdatenabruf (IDA) mit dem Nationalen Waffenregister.
Nutzung von Zertifikaten
Für einen abgesicherten Verbindungsaufbau zu IDA wird ein Client- sowie ein Server (CA-)Zertifikat benötigt, da das IDA-Verfahren eine über mTLS abgesicherte REST-Schnittstelle zur Kommunikation bereitstellt. Das IDA-seitige Zertifikat im X.509-Format wird seitens des BVA ausgestellt, hierzu ist zunächst das fachliche Anbindungsverfahren zu durchlaufen. Es wird sowohl für die Testumgebungen sowie die Produktionsumgebung ein Set an Zertifikaten bereitgestellt. Die Zertifikate für die Testumgebungen können für jede bereitgestellte Testumgebung (Testing und Testing-NG) verwendet werden. Weitere Informationen zur Anbindung der Register an das IDA-Verfahren und zum Anbindungsverfahren finden Sie im Anbindungsleitfaden.
Ansprechpartner für Zertifikate: ida@bva.bund.de
Zusammenschaltung der Netze/Freischaltungen
Die über NdB/VN erreichbaren Endpunkte müssen zwischen dem BVA und dem anzubindenden Verfahren ausgetauscht werden, damit sowohl seitens BVA als auch seitens der registerführenden Stelle entsprechende Freischaltungen beantragt und eingerichtet werden können. Selbige Freischaltungen werden in den restriktiven NdB und deren VN benötigt.
Für die Freischaltung ist die dedizierte IP-Adresse des aufrufenden Kommunikationsendpunktes im jeweiligen Netz (NdB/VN) erforderlich. Um die weiten Schritte zur Freischaltung einzuleiten, ist diesem dem BVA mitzuteilen.
Verfügbare Umgebungen und Cluster
Seitens des IDA-Verfahrens existieren grundsätzlich zwei Cluster: Produktion- und Testcluster. Während das Produktionscluster nur die aktuelle, produktive IDA-Anwendung bereitstellt, existieren im Testcluster mehrere ansprechbare Umgebungen mit unterschiedlichen Versionsständen: Testing und Testing-NG („Next-Generation", hier ist das nächste für die Produktion bestimmte Release installiert). Da die Produktions- und Testcluster physisch sowie logisch voneinander getrennt sind, müssen entsprechende Freischaltungen je Cluster erfolgen.
Verbindungstests
Das ICMP-Protokoll ist aus Sicherheitsgründen abgeschaltet, weswegen ping nicht zum Testen verwendet werden kann.
Auf folgende Weise kann die netzwerktechnische Verbindung in Richtung IDA sukzessive überprüft werden. Wir empfehlen die Verbindung mit dem Kommandozeilen-Tool cURL zu testen.
Eine ausführliche Dokumentation der verwendeten Optionen und Parameter des Kommandozeilentools finden Sie unter https://curl.se/docs/manpage.html
In den Beispielen werden Platzhalter verwendet in Form von Environment-Variablen, die abhängig von der verwendeten Testumgebung zu setzen sind. Die zu verwendenden Parameter werden im Rahmen des Anbindungsverfahrens mitgeteilt.
Damit werden die Aufrufe übersichtlicher und sind auch nach eventuellen Änderungen von URLs etc. weiterhin gültig.
Test ohne Verwendung eines Client-Zertifikats (ohne mTLS)
Direkter Aufruf des Standardgateway von IDA ohne Mitgabe des benötigten Client-Zertifikats. Eine positive Rückmeldung ist dann gegeben, wenn der Verbindungsaufbau wegen eines SSL/TLS Fehlers abgebrochen wird.