Интеграция ИС с ЕСИА посредством SAML

ФРГУ – Федеральный реестр государственных услуг, доступ к которому имеют далеко не все пользователи. Данный портал предназначен в первую очередь для муниципальных и государственных учреждений. Он позволяет отслеживать и управлять услугами, которыми пользуются граждане.

При выполнении очередного госзаказа наша команда столкнулась с проблемой интеграции сайта с ЕСИА. Инструкции по решению этой задачи в сети нет, кроме информации в официальных документах МинКомСвязи (примерно 300 страниц в трех регламентах). Также есть компании, которые оказывают платные услуги по интеграции ЕСИА. Мы реализовали, описали процесс интеграции и решили поделиться с сообществом habrahabr.

Основные функции

К основным функциональным возможностям ЕСИА относятся:

• идентификация и аутентификация пользователей
• управление идентификационными данными
• авторизация уполномоченных лиц органов исполнительной власти при доступе к функциям ЕСИА

Что такое ЕСИА

Единая Система Идентификации и Аутентификации — российская информациия система, обеспечивающая доступ (регистрация, аутентификация) на сайты государтсвенных структур и некоторых коммерческих организаций. Подробнее на википедии

В процессе интеграции ЕСИА, система сможет отправлять запрос на ЕСИА и при успешной авторизации получать в качестве ответа данные пользователя

Сценарий авторизации выглядит примерно так:

• Система переадресует на сайт ЕСИА
• При успешной авторизации ЕСИА возвращает пользователя обратно на сайт и по защищенному протоколу передает его личные данные

Что такое ФРГУ или единый реестр госуслуг

ФРГУ представляет собой систему, которая создана для контроля и анализа услуг, которые предоставляются гражданам от администрации, органов внутренних дел, образовательных учреждений и других муниципальных организаций.

Люди, которые имеют доступ к системе, могут получать государственные услуги непосредственно через сам сайт

Федеральная государственная информационная система «Федеральный реестр государственных и муниципальных услуг (функций)» создана для обеспечения ведения в электронной форме реестра государственных и муниципальных услуг, функций по осуществлению государственного контроля (надзора) и муниципального контроля, а также реестра иных услуг в соответствии с перечнем иных услуг, сведения о которых размещаются в федеральном реестре государственных и муниципальных услуг (функций), утвержденным Правительством Российской Федерации.

Система предназначена для автоматизации процессов ведения информации о государственных и муниципальных услугах (функциях), предоставляемых (исполняемых) федеральными органами исполнительной власти, органами государственных внебюджетных фондов, исполнительными органами государственной власти субъектов Российской Федерации, органами местного самоуправления.

Введение

Стоит упомянуть, что есть компании, которые имеют готовые решения для интеграции с ЕСИА, например эта или вот эта — если вам лень во всем этом разбираться, можно воспользоваться их услугами. Сами не пользовались, советовать не можем.

Подробное описание общего механизма интеграции представлено на сайте Министерства цифрового развития. Методичка довольно увесистая, но даже из нее не все детали очевидны при реализации. Если в кратце, то основные шаги выглядят следующим образом:

• Регистрация ИС в регистре информационных систем ЕСИА
• Регистрация ИС в тестовой среде
• Выполнение доработки системы для взаимодействия с ЕСИА

В данной статье будет описан только 3 пункт, предыдущие 2 – бюрократия, оставим ее за рамками Хабра. В методичке предлагают реализовать интеграцию 2 способами: SAML или OpenID Connect. Говорят,

с 01. 2018 г. взаимодействие по протоколу SAML 2. 0 больше не будет разрешено (только для действующих систем). Для подключения к ЕСИА необходимо будет использовать протокол OAuth 2. 0 / OpenID Connect (сейчас доступны оба варианта).

Поэтому мы выбрали красную таблетку второй вариант. Согласно методичке, базовый сценарий аутентификации представляет собой примерно следующие шаги:

• Система-клиент отправляет в ЕСИА запрос на аутентификацию
• После успешной аутентификации ЕСИА возвращает ответ системе с кодом аутентификации.
• Используя код аутентификации система получает доступ к данным пользователя

• CNews FORUM 1 ноябряCNews AWARDS 1 ноября
• CNews FORUM 1 ноября
• CNews AWARDS 1 ноября
• Защита данных
• Импортозамещение
• Безопасность
• ИТ в госсекторе
• ИТ в банках
• ИТ в торговле
• Цифровизация
• Телеком
• Интернет
• ИТ-бизнес
• Рейтинги

ЕСИА
Единая система идентификации и аутентификации

Публикаций – 574, упоминаний – 786

ЕСИА упоминается на CNews совместно со следующими персонами и организациями:

* Страница-профиль компании, системы (продукта или услуги), технологии, персоны и т. создается редактором на основе анализа архива публикаций портала CNews. Обрабатываются тексты всех редакционных разделов (новости, включая “Главные новости”, статьи, аналитические обзоры рынков, интервью, а также содержание партнёрских проектов). Таким образом, чем больше публикаций на CNews было с именем компании или продукта/услуги, тем более информативен профиль. Профиль может быть дополнен (обогащен) дополнительной информацией, в т. презентацией о компании или продукте/услуге. Читатели CNews — это руководители и сотрудники одной из самых успешных отраслей российской экономики: индустрии информационных технологий. Ядро аудитории составляют топ-менеджеры и технические специалисты департаментов информатизации федеральных и региональных органов государственной власти, банков, промышленных компаний, розничных сетей, а также руководители и сотрудники компаний-поставщиков информационных технологий и услуг связи.

Департамент обеспечения качества предоставления государственных услуг населению и выполнения государственных функций Минэкономразвития на прошлой неделе провёл для регионов онлайн-семинар на тему внедрения цифровых административных регламентов, стало известно D-Russia.

В ходе реализации положений Федерального закона от 30 декабря 2020 г. № 509 «О внесении изменений в отдельные законодательные акты Российской Федерации» Минэкономразвития России совместно с Минцифры ведёт работу по созданию механизма разработки административных регламентов предоставления государственных услуг в электронном машиночитаемом виде.

Цифровой административный регламент. Из презентации Минэкономразвития.

Принято постановление правительства Российской Федерации от 20 июля 2021 г. № 1228, предусматривающее разработку, согласование, экспертизу, утверждение и государственную регистрацию административных регламентов в электронном виде при помощи конструктора цифровых регламентов ФГИС «Федеральный реестр государственных и муниципальных услуг (функций)» (ФГИС «ФРГУ»).

Также в работе регионам рекомендовано использовать постановление правительства № 1822 о новых правилах ведения ФРГУ.

Конструктор цифровых регламентов, как сообщил представитель Минэкономразвития, должен заработать с 1 декабря 2021 года, вход в систему будет осуществляться с помощью ЕСИА. Технической реализацией конструктора занимается Минцифры и «РТ-Лабс».

Регионам при разработке своих административным регламентов рекомендовано использовать федеральные правила, но и свои решения допустимы.

Конструктор цифровых регламентов.

Разработка цифровых административных регламентов для региональных и муниципальных услуг ожидается до конца 2023 года, для федеральных услуг – до конца декабря 2022 года.

Пилотный проект по построению цифровых административных регламентов прошёл в апреле в Республике Марий Эл, Ульяновской области и Ненецком автономном округе.

Ранее Минэкономразвития поясняло, что на этапе разработки текста административного регламента предполагается использовать машиночитаемое описание процедур предоставления соответствующей услуги, обеспечивающее автоматизацию процедур предоставления такой услуги с использованием информационных технологий.

При разработке административного регламента орган, предоставляющий государственную услугу, должен будет указать все варианты предоставления государственной услуги, включающие порядок предоставления услуг отдельным категориям заявителей, объединённых общими признаками, в том числе в отношении результата государственной услуги, за получением которого они обратились.

Согласование проектов административных регламентов предполагается осуществлять в ФГИС «ФРГУ», обеспечивающей ведение федерального реестра государственных услуг в электронной форме.

Процесс согласования.

Следите за нашим Телеграм-каналом, чтобы не пропускать самое важное!

Поделиться:

Межведомственная государственная информационная система Свердловской области № ИС-14/0010. Введена в действие Постановлением Правительства Свердловской области от 19. 2012 № 17-ПП “О региональных государственных информационных системах «Реестр государственных и муниципальных услуг (функций) Свердловской области» и «Портал государственных и муниципальных услуг (функций) Свердловской области».

Cистема «Реестр государственных и муниципальных услуг» предназначена для сбора и хранения информации о порядке предоставления государственных и муниципальных услуг (функций) органами власти, а также обеспечения единства и непротиворечивости нормативно-справочной информации (НСИ) в Системе порталов государственных услуг (СПГУ).

Реестр ведется в целях обеспечения заинтересованных органов государственной власти, органов местного самоуправления муниципальных образований в Свердловской области, физических и юридических лиц полной, актуальной и достоверной информацией о предоставляемых (исполняемых) исполнительными органами государственной власти Свердловской области государственных услугах (функциях). Основным назначением реестра является размещение информации об услуге (функции) в Сводном реестре государственных и муниципальных услуг (функций) и на Едином портале государственных и муниципальных услуг. Для заполнения реестра государственных и муниципальных услуг используется программа «РГУ-клиент».

Адрес РГУ 4. 1 – rgu4. egov66. ru rgu41. egov66

Работа в РГУ 4. 1 осуществляется в браузерах Mozilla Firefox, Chrome. Работа в браузерах Internet Explorer не поддерживается.

Авторизация осуществляется с действующими учётными записями РГУ. Авторизация через ЕСИА временно не поддерживается.

Инструкция по восстановлению кнопки «Получить услугу в Электронном виде»

Почему услуга или госорган не опубликованы в сводном реестре или на портале государственных услуг?

Если вы не нашли решение проблемы, вышлите письмо в адрес техподдержки. В письме обязательно укажите:

Последние изменения: 12. 2022

История создания

2013 — Постановлением Правительства Российской Федерации от 25 января 2013 года № 33 «Об использовании простой электронной подписи при оказании государственных и муниципальных услуг» предусмотрено создание в ЕСИА регистра органов и организаций, имеющих право создания (замены) и выдачи ключа простой электронной подписи в целях оказания государственных и муниципальных услуг. Однако информация о сроках исполнения данного постановления и появлении соответствующих функциональных возможностей в ЕСИА отсутствует.

Технические подробности

Например, сценарий идентификации и аутентификации выглядит следующим образом:

• Пользователь обращается к защищённому ресурсу информационной системы (например, ведомственному или региональному порталу государственных услуг).
• Информационная система направляет в ЕСИА запрос на аутентификацию.
• ЕСИА проверяет наличие у пользователя открытой сессии и, если активная сессия отсутствует, проводит его аутентификацию. Для этого ЕСИА направляет пользователя на веб-страницу аутентификации ЕСИА. Заявитель проходит идентификацию и аутентификацию, используя доступный ему метод аутентификации.
• Если пользователь успешно аутентифицирован, то ЕСИА передаёт в информационную систему набор утверждений, содержащих идентификационные данные пользователя, информацию о контексте аутентификации, в том числе данные об уровне достоверности идентификации.

Для осуществления аутентификации пользователей в ведомственной ИС посредством ЕСИА необходимо выполнить следующее:

• С помощью веб-интерфейса ЕСИА осуществляется регистрация учётной записи руководителя организации и учётной записи юридического лица (органа государственной власти).
• С помощью веб-интерфейса Технологического портала ЕСИА регистрируется учётная запись информационной системы.
• Генерируется закрытый ключ и сертификат открытого ключа (в одном из аккредитованных удостоверяющих центрах).
• С помощью веб-интерфейса Технологического портала ЕСИА загружается сертификат информационной системы.
• Направляется заявка на подключение ИС к тестовой среде ЕСИА;
• Производится отладка взаимодействия;

Ссылки

Базовая информация

Мы реализовали сервис интеграции с ЕСИА под Windows, используя КриптоПро CSP. В теории скорее всего можно это все аккуратно упаковать в docker и положить в Linux-образные системы, оставим это на откуп читателю. Для нас же актуальным стеком был следующий:

• КриптоПро CSP, КриптоПро .Net
• Сертификат с закрытым ключом, полученный при регистрации ИС в реестре ИС ЕСИА (на пункте 1 из Введения)

Каждый запрос в ЕСИА по соображениям безопасности дополняется полем client_secret, которое формируется как открепленная подпись 4 полей запроса в формате UTF-8:

• Scope (Скоуп запроса, перечень данных, которые нужно получить из ЕСИА). Например, «fullname gender email mobile usr_org»
• Timestamp (Текущие дата и время в формате «yyyy.MM.dd HH:mm:ss +0000»)
• ClientId (Идентификатор ИС, который выдается при регистрации системы в ЕСИА)
• State (Идентификатор текущего запроса, каждый раз генерируется как Guid.NewGuid().ToString(«D»))

Тут SignatureProvider – класс для реализации работы с сертификатами, он довольно просто реализуется. Для подписи использовался алгоритм ГОСТ – импортозамещение и все такое.

Перенаправление в ЕСИА и аутентификация

где RedirectUri – адрес, на который будет направлен ответ от ЕСИА, а ClientSecret – результат выполнения функции GetClientSecret. Остальные параметры описаны ранее.

Получение токена доступа

Некоторые статичные параметры запроса получаем из файла конфигурации (поле Configuration). Как мы можем видеть, поле code запроса заполняется значением кода аутентификации, полученным ранее. Для десериализации ответа используется следующие классы:

Получение данных пользователя из ЕСИА

Этот метод принимает на вход идентификатор пользователя в ЕСИА и токен доступа – оба эти параметра мы получили на предыдущем этапе. Заметьте, запрос можно расширить и наряду с ФИО пользователя получить список его организаций. В этом случае мы получим список ссылок на организации пользователя, по которым можно будет получить данные в свою очередь. Таким образом, у нас получилась такая модель пользователя ЕСИА:

Получение данных организации

Полученный токен доступа для запроса данных по организации мы использовать не можем, т. он завязан на определенный scope. Поэтому нужно получить отдельный токен. По сути методы получения токена доступа для организации и информации по ней не сильно отличаются от рассмотренных ранее. Для получения токена доступа мы используем идентификатор организации, код аутентификации, State предыдущего запроса на токен доступа. Новый scope формируется как список scope’ов организации, разделенных через пробел, например:

Метод получения информации по организации использует новый токен доступа и ссылку на организацию, полученную ранее вместе с данными о пользователе.

Полностью же код получения пользователя и его организации из ЕСИА выглядит так:

Главная

Что такое ГУЦ?

Информационная система головного удостоверяющего центра

• Создание и контроль актуальности сертификатов электронной подписи аккредитованных удостоверяющих центров
• Выполнение проверок сертификатов электронной подписи

Ссылка на систему: e-trust. gosuslugi

Как подключиться к СМЭВ?

Для подключения к СМЭВ необходимо направить заявку на присоединение к Регламенту СМЭВ. Оригинал заявки направляется в Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации (125375, г. Москва, ул. Тверская, д. 7) с сопроводительным письмом на бланке организации. Дополнительно посредством личного кабинета Ситуационного центра необходимо создать запрос на подключение к СМЭВ приложив скан-копию направленной заявки на присоединение.

Территориальные органы/структурные подразделения не являются Участниками взаимодействия. Взаимодействие со СМЭВ структурных подразделений осуществляется через головную организацию. Взаимодействие внутри организации производится по внутренним каналам Участника взаимодействия.

На основании чего требуется электронный адрес smev@<домен организации>?

В соответствии с п. 1 Регламента СМЭВ 2. х и п. 1 Регламента СМЭВ 3

Почему для подключения функционала регламентации доступа по электронной подписи информационной системы (ЭП-ОВ) на отдельном сервисе Поставщика, зарегистрированном в СМЭВ, необходима перерегистрация сервиса?

В СМЭВ не поддерживается режим, при котором для электронного сервиса Поставщика, зарегистрированного в СМЭВ, для одних потребителей применяются механизмы регламентации доступа по электронной подписи информационной системы (ЭП-ОВ), а для других – нет. В связи с этим, в случае необходимости настройки функционала регламентации доступа по электронной подписи информационной системы (ЭП-ОВ), существующий сервис Поставщика оставляют в эксплуатации до его отключения, одновременно инициируя перерегистрацию сервиса на основании обновленных Поставщиком руководства пользователя электронного сервиса и паспорта электронного сервиса. При перерегистрации в СМЭВ электронному сервису присваивается новый идентификатор (SID). Новый идентификатор сервиса сообщается Поставщику, и информация о версии сервиса с подключенным функционалом регламентации доступа по электронной подписи информационной системы (ЭП-ОВ) публикуется на технологическом портале СМЭВ.

После перерегистрации сервиса с подключенным функционалом регламентации доступа по электронной подписи, Оператор СМЭВ и Поставщик должны обеспечивать доступность ранее зарегистрированной версии сервиса Поставщика до тех пор, пока все Потребители сервиса не подтвердят готовность взаимодействовать с сервисом Поставщика по новому адресу в СМЭВ. Оператор СМЭВ по согласованию с Участниками может инициировать деактивацию старой версии сервиса без подключенного функционала регламентации доступа по электронной подписи в согласованные со сторонами сроки.

Как следует предоставлять контрольные примеры для электронных сервисов, содержащие электронную подпись?

В связи с тем, что при редактировании документа значение электронной подписи, вычисленной на основе сообщения при отправке, может быть легко изменено, в дополнение к тексту контрольных примеров, содержащихся в руководстве пользователя электронных сервисов, Поставщик должен предоставить файлы контрольных примеров в виде отдельных файлов. Для удобства, документы по отдельному электронному сервису необходимо предоставлять в едином zip-архиве, содержащем:

• Паспорт электронного сервиса;
• Руководство пользователя электронного сервиса;
• Контрольные примеры в виде отдельных файлов (электронные сообщения-примеры должны содержать электронную подпись ЭП-ОВ);
• ЭП информационной системы, используемой для подписания электронных сообщений, передаваемых сервисом в ответ на поступающие запросы других Участников информационного взаимодействия.

Как правильно оформить заявку на доступ к электронному сервису?

Наименование Участника информационного взаимодействия в СМЭВ, ОГРН – Потребителя информации, запрашивающего доступ;

Наименование и мнемонику информационной системы Потребителя, интерфейсом которой является электронный сервис, который будет обращаться к запрашиваемому сервису Поставщика. Мнемоника ИС – это буквенно-цифровой код информационной системы Участника информационного взаимодействия, который присваивается ИС в процессе ее регистрации в СМЭВ;

Наименование Поставщика информации в СМЭВ – Поставщика электронного сервиса, к сервису которого запрашивается доступ;

Реквизиты нормативных правовых актов, с указанием конкретных пунктов (частей, статей), подтверждающих основание получения доступа к электронному сервису (федеральные законы, постановления Правительства Российской Федерации, приказы Участника информационного взаимодействия об утверждении административных регламентов, соглашения об информационном обмене, иные правовые акты, предусматривающие информационное взаимодействие);

Таблицу с указанным уровнем доступа к электронному сервису (полный уровень доступа ко всем операциям электронного сервиса или доступ к конкретным операциям электронного сервиса, перечисленным в таблице);

Подпись уполномоченного лица Потребителя, заверенную соответствующей гербовой печатью.

Технологические работы

В связи с проведением технологических работ возможны перерывы с доступом к
Ситуационному Центру в период с 23:00 14. 2022 по 05:00 15. 2022
(UTC/GMT+3).

14 Июль 2022

В связи с проведением технологических работ возможны перерывы с доступом к
Ситуационному Центру в период с 23:00 05. 2022 по 05:00 06. 2022
(UTC/GMT+3).

05 Июль 2022

Пошаговая инструкция, как войти в единую систему идентификации личного кабинета через сайт Госуслуги

Пользователи, зарегистрированные на портале государственных услуг, могут авторизоваться в личном кабинете ФРГУ напрямую, не вводя дополнительных данных. Но стоит учитывать, что это правило распространяется только на тех граждан, которые в определенном порядке получили ключ доступа. Имея все основания для входа можно приступать к основным действиям.

Шаг 1

Шаг 2

При выборе варианта «Вход через Госуслуги» откроется стандартная форма авторизация, которая используется на самом портале. В открывшемся окне необходимо указать личные данные для входа, а именно номер мобильного телефона или номер СНИЛС, а также личный пароль от учетной записи.

Если гражданин имеет доступ к системе, то процесс авторизации пройдет без проблем, откроется личный кабинет, и пользователь сможет управлять всеми возможностями сайта. Если нужный ключ не был предварительно получен, то в следующем окне откроется ошибка.

Обойти эту ошибку никак не получится, так как система надежно защищена от входа граждан, не имеющих доступ.

Шаг 3

Если доступ в систему отсутствует, то необходимо ознакомиться с информацией о правилах его получения. Вся информация представлена на региональном сайте МФЦ.

Необходимо выбрать вариант – «Заявка на предоставление доступа в ФРГУ». Далее откроется форма заявления, которое необходимо заполнить.

Также на сайте можно ознакомиться с контактной информацией, куда обращаться по вопросам доступа в ФРГУ в своем регионе.

Процесс получения доступа занимает несколько дней, так как необходимо подождать, пока заявление будет рассмотрено уполномоченным органом. После рассмотрения гражданин будет уведомлен о результатах решения.

Трудности при входе в систему

Отказать в предоставлении доступа к системе могут в том случае, если гражданин допустил ошибки в заполнении заявления, либо предоставил ложные сведения. В этом случае подать заявление необходимо повторно, устранив все недочеты.

Заключение

Пожалуй, этого достаточно для базового сценария взаимодействия с ЕСИА. В целом, если знать особенности реализации, программное подключение системы к ЕСИА не займет более 1 дня. Если у вас появятся вопросы, добро пожаловать в комменты. Спасибо, что дочитали мой пост до конца, надеюсь, он будет полезен.