Installasjon

Formålet med denne siden er å gjøre det enklest mulig å installere og konfigurere eFormidlings integrasjonspunkt.

1. Forutsetninger
2. Docker-spesifikk konfigurasjon
3. Java-spesifikk konfigurasjon
4. Konfigurer integrasjonspunktet
   1. Minimumskonfigurasjon
      1. Ekstern database
      2. Meldingskø
      3. Miljø (produksjon eller test)
   2. Valgfri konfigurasjon
      1. Hashicorp Vault
      2. Mellomlagring av meldinger til ekstern database
      3. Transportsikring
      4. HTTP Basic Auth
      5. Levetid for meldinger
      6. Kapasitet
      7. Webhook-abonnement
      8. Port
      9. Støttetjenester
      10. E-post
   3. Meldingstjenester
      1. Konfigurere eFormidlings meldingstjeneste (DPO)
      2. Konfigurere eInnsyns meldingstjeneste (DPE)
      3. Konfigurere KS SvarUt og SvarInn (DPF)
      4. Konfigurere Altinn Digital Post (DPV)
      5. Konfigurere Digital Post til Innbyggere (DPI)
      6. Konfigurere KS FIKS IO
5. Neste steg

Forutsetninger

Installasjon av eFormidlings integrasjonspunkt forutsetter at følgende punkt er gjennomført:

• Forberede installasjon

Docker-spesifikk konfigurasjon

Ved bruk av Docker må integrasjonspunktet konfigureres ved hjelp av miljøvariable.

Hvordan en spesifiserer konfigurasjonen avhenger av hvilke verktøy som brukes: docker-compose, Kubernetes eller andre. Et par eksempler:

• Eksempel på konfigurasjon med Kubernetes
• Eksempel på konfigurasjon med docker-compose (ekstern lenke)

Integrasjonspunktets Docker-image er uten persistent volum. For å unngå tap av data ved f.eks. omstarter er det derfor nødvendig å konfigurere:

• Ekstern database
• Mellomlagring av meldinger til ekstern database
• Ekstern meldingskø

Java-spesifikk konfigurasjon

Ved bruk av Java direkte kan integrasjonspunktet konfigureres ved hjelp av en konfigurasjonsfil, Java-parametere eller miljøvariable.

1. Start med å opprette en mappe, for eksempel c:\integrasjonspunkt
2. Last så ned integrasjonspunkt-local.properties og lagre i overnevnte mappe
3. Last ned integrasjonspunkt-[versjonsnummer].jar

eFormidling anbefaler å verifisere at integrasjonspunkt-[versjon].jar er fra Digitaliseringsdirektoratet.

• Hvordan verifiserer jeg at jar-filen er fra Digitaliseringsdirektoratet?

Når du er ferdig skal strukturen på området se slik ut:

c:/
|-- integrasjonspunkt/
   |-- integrasjonspunkt-local.properties
   |-- integrasjonspunkt-[versjon].jar

Du må fjerne bort-kommentering (# i starten av en linje) fra integrasjonspunkt-local.properties for at den aktuelle konfigurasjonsegenskapen skal ha effekt.

I tillegg må integrasjonspunktet kjøres med nødvendige tilganger til å opprette filer og mapper på dette filområdet.

Ved bruk av Java direkte anbefales det at det konfigureres en bakgrunnstjeneste som starter og stopper integrasjonspunktet når operativsystemet starter og stopper, og som ved behov kan startes og stoppes manuelt. Eksempel:

• Kjøre integrasjonspunktet som en tjeneste (Windows)
• Kjøre integrasjonspunktet med task scheduler (Windows)
• systemctl, upstart eller tilsvarende, avhengig av distribusjon (Linux)

Det er også mulig å starte og stoppe integrasjonspunktet manuelt:

• Kjøre integrasjonspunktet fra kommandovindu

Konfigurer integrasjonspunktet

Før integrasjonspunktet kan startes må det konfigureres.

Det brukes ulike konvensjoner for navngiving av konfigurasjonsegenskaper avhengig av hvilke mekanisme som brukes for konfigurasjon. Følgende varianter tilsvarer samme konfigurasjonsegenskap:

• person.firstName, person.first-name eller person.first_name (for konfigurasjonsfil og Java-parametere)
• PERSON_FIRST_NAME (for miljøvariable)

Ved behov for ekstra beskyttelse av virksomhetssertifikat, passord og andre hemmeligheter er det mulig å ta i bruk Hashicorp Vault eller mekanismer som injiserer verdier til miljøvariable.

• HashiCorp Vault
• Eksempel på installasjon av integrasjonspunktet på Azure inneholder et eksempel på en mekanisme som injiserer verdier til miljøvariable

Vi anbefaler å konfigurere integrasjonspunktet i følgende rekkefølge:

1. Minimumskonfigurasjon for å få starte integrasjonspunktet
2. Frivillig konfigurasjon (f.eks. ekstern database)
3. En og en meldingstjeneste

Vi anbefaler å konfigurere eFormidlings meldingstjeneste (DPO) før Altinn Digital Post (DPV) og KS SvarUt og SvarInn (DPF) for å sikre at virksomheten mottar post i sak- og arkivsystemet (og unngå fallback til Altinn Digital Post og KS SvarUt og SvarInn for virksomheter som ikke har konfigurert eFormidligs meldingstjeneste)

Minimumskonfigurasjon

Integrasjonspunktet krever at virksomhetens virksomhetssertifikat er konfigurert.

Eksempel:

difi.move.org.number=991825827
difi.move.org.keystore.alias=myalias
difi.move.org.keystore.password=mypassword
difi.move.org.keystore.path=file:c:/integrasjonspunkt/keystore.p12
difi.move.org.keystore.type=PKCS12

Ekstern database

Påkrevd

Integrasjonspunktet støtter tilkobling til følgende databaser: MySQL, PostgreSQL, Microsoft SQL Server og H2 (filbasert). Det er ikke lenger innebygd støtte for H2 som standard – du må nå eksplisitt konfigurere databasen du ønsker å bruke.

Anbefaling: Det anbefales å bruke en ekstern database (MySQL, PostgreSQL eller MSSQL), spesielt i produksjon og ved bruk av Docker, for å unngå risiko for datatap ved omstart eller oppdatering av container.

Eksempel (MySQL):

difi.datasource.url=jdbc:mysql://mydatabaseserver/mydatabase?serverTimezone=UTC
difi.datasource.username=myuser
difi.datasource.password=mypassword

Eksempel (Postgres):

difi.datasource.url=jdbc:postgresql://mydatabaseserver:5432/mydatabase
difi.datasource.username=myuser
difi.datasource.password=mypassword

Eksempel (MSSQL):

difi.datasource.url=jdbc:sqlserver://mydatabaseserver:1433;databaseName=mydatabase
difi.datasource.username=myuser
difi.datasource.password=mypassword

Eksempel (H2):

difi.datasource.url=jdbc:h2:file:/opt/data/integrasjonspunkt
difi.datasource.username=sa
difi.datasource.password=

Meldingskø

Påkrevd

Integrasjonspunktet bruker ikke lenger en intern meldingskø som standard. Du må nå eksplisitt konfigurere en meldingskø.
Kun ActiveMQ støttes.

Anbefaling: Det anbefales å bruke en ekstern ActiveMQ-instans, spesielt ved bruk av Docker, for å unngå risiko for datatap ved omstart eller containeroppdatering.

Eksempel ekstern ActiveMQ:

difi.activemq.broker-url=tcp://localhost:61616
difi.activemq.user=myuser
difi.activemq.password=mypassword

Eksempel intern ActiveMQ:

Merk: vm://localhost starter en lokal ActiveMQ-instans i samme JVM-prosess, og egner seg kun for utvikling eller enkel testing.

difi.activemq.broker-url=vm://localhost
difi.activemq.user=myuser
difi.activemq.password=mypassword

Miljø (produksjon eller test)

Det må spesifiseres om integrasjonspunktet skal kjøre med produksjonsmiljø eller test(staging)miljø.

Tilgjengelige miljø:

• eForidling Produksjon
• eFormidling Test

Eksempel:

java -jar -Dspring.profiles.active=staging integrasjonspunkt-2.8.3.jar

Valgfri konfigurasjon

Hashicorp Vault

Valgfritt

Hashicorp Vault gjør det mulig å beskytte virksomhetssertifikat, passord og andre hemmeligheter. Dokumentasjon for HashiCorp Vault finnes på https://www.vaultproject.io/.

Eksempel:

vault.uri=http://localhost:8200
vault.token=s.7NP3IvIjdpHqaInbNQD4NpIY
vault.path=secret/move
vault.resource-path=secret/resourceleve

For å legge hemmeligheter i HashiCorp Vault kan følgende kommandoer brukes:

vault kv put secret/move difi.move.org.keystore.password=mypassword difi.move.dpo.password=mypassword
$ vault kv put secret/resource keystore="$(base64 keystore.jks)"

Ved bruk av tekstlige hemmeligheter overstyrer disse eventuelle tilsvarende hemmeligheter satt i konfigurasjon. Ved bruk av binære hemmeligheter må disse refereres i konfigurasjon som i eksempelet under:

difi.move.org.keystore.path=vault:keystore

Mellomlagring av meldinger til ekstern database

Valgfritt

Integrasjonspunktet mellomlagrer meldinger til fil som standard. Dette er mulig å bytte ut med mellomlagring til database. Ved bruk av Docker må en slå på mellomlagring til database for å unngå risiko for datatap ved f.eks. omstarter.

Eksempel:

difi.move.nextmove.useDbPersistence=true

Transportsikring

Valgfritt

Integrasjonspunktet er designet for å kjøre i et lukket miljø som kun gir tilgang til autoriserte systemer og brukere. Likevel er det anbefalt å sikre kommunikasjonen med HTTPS. Som standard er transportsikring (HTTPS) aktivert. Det er mulig å deaktivere dette ved behov. Krever TSL/SSL sertifikat - kan være selvsignert.

Eksempel:

difi.ssl.enabled=true
difi.ssl.key-store-type=PKCS12
difi.ssl.key-store=file:c:/integrasjonspunkt/https.p12
difi.ssl.key-store-password=mypassword
difi.ssl.key-alias=myalias

NB!: Dersom en bruker et selvsignert SSL sertifikat må dette legges inn i Java Trust Store (cacerts). I hostfilen til server må en registrere IP-adressen til det som blir hostname til integrasjonspunktet.

HTTP Basic Auth

Valgfritt

Integrasjonspunktet er designet for å kjøre i et lukket miljø som bare gir autoriserte system og brukere tilgang til grensesnittene som tilbys av integrasjonspunktet. Som standard er grensesnittet beskyttet av autentisering. Dette kan deaktiveres dersom det er nødvendig. Det er bare autentiseringsmekanismen HTTP basic auth som støttes.

Eksempel:

difi.security.enable=true
difi.security.user.name=myusername
difi.security.user.password=mypassword

Levetid for meldinger

Valgfritt

Integrasjonspunktet er designet for å tåle at meldingstjenestene som brukes kan ha nedetid og andre driftsproblemer uten at dette skal medføre at levering av meldinger feiler.

En kan også sette levetid per meldingstype dersom det er ønskelig:

difi.move.dpo.default-ttl-hours  # For meldingstypen DPO
difi.move.dpv.default-ttl-hours  # For meldingstypen DPV
difi.move.dpi.default-ttl-hours  # For meldingstypen DPI
difi.move.fiks.ut.default-ttl-hours  # For meldingstypen DPF
difi.move.fiks.io.default-ttl-hours  # For meldingstypen DPFIO
difi.move.nextmove.serviceBus.default-ttl-hours  # For meldingstypen DPE (einnsyn)

Kapasitet

Valgfritt

Standardoppsettet for integrasjonspunktet har vanligvis god kapasitet. Ved utsending av store volum (fra ~ 50 000 daglige meldinger) kan det være aktuelt å finjustere integrasjonspunktet for å øke kapasiteten:

• øke samtidigheten for utgående meldinger
• senke hyppighet for innhenting av meldingsstatuser
• slå av oppslag i det sentrale folkeregister (DSF) dersom dette ikke trengs
• øke tilgjengelige ressurser for integrasjonspunktet: minne, disk (IO og kapasitet), CPU og nettverk

Eksempel:

difi.move.nextmove.statusPollingCron=0 0/10 * * * *
difi.move.feature.enableDsfPrintLookup=false
difi.move.queue.concurrency=20

Webhook-abonnement

Som standard blir ingen meldinger videreformidlet til webhook-abonnement. Dette må konfigureres.

Eksempel:

difi.move.feature.statusQueueIncludes=DPI,DPV

Port

Valgfritt

Eksempel:

server.port=80

Støttetjenester

Valgfritt

Integrasjonspunktet tilbyr en del støttetjenester som eksponerer helsestatus, konfigurasjon og annet som standard. Disse kan begrenses eller slås helt av dersom en ønsker dette.

• Støttetjenester

Dersom en skal bruke automatisk oppgradering av integrasjonspunktet krever dette at støttetjenestene info, health og shutdown er tilgjengelig.

Eksempel:

management.endpoints.web.exposure.include=info,health,shutdown
management.endpoint.health.show-details=never

E-post

Valgfritt

Ved bruk av KS SvarInn så kan integrasjonspunktet håndtere feil ved behandling av innkommende meldinger ved å sende en e-post. Dette fordi det kan oppstå uforutsette problem med konvertering av meldinger mellom KS FIKS og eFormidling.

I disse tilfellene er det nødvendig å konfigurere e-post.

Eksempel:

difi.move.mail.smtpHost=localhost
difi.move.mail.smtpPort=25
difi.move.mail.receiverAddress=postmottak@virksomheten.no
difi.move.mail.senderAddress=integrasjonspunkt@virksomheten.no
difi.move.mail.trust=${difi.move.mail.smtpHost}

Meldingstjenester

Konfigurere eFormidlings meldingstjeneste (DPO)

eFormidlings meldingstjeneste er realisert ved hjelp av Altinn Formidling, og krever bruker for Altinn Formidling.

• Opprette bruker i Altinn Formidling

Før eFormidlings meldingstjeneste kan tas i bruk må Digdir aktivere den sentralt.

Send forespørsel om dette til servicedesk@digdir.no

Eksempel:

difi.move.feature.enableDPO=true
difi.move.dpo.username=1234
difi.move.dpo.password=mypassword

Konfigurere eInnsyns meldingstjeneste (DPE)

Før eInnsyns meldingstjeneste kan tas i bruk må Digdir aktivere den sentralt.

Send forespørsel om dette til servicedesk@digdir.no

Eksempel:

difi.move.feature.enableDPE=true

Konfigurere KS SvarUt og SvarInn (DPF)

KS SvarUt og SvarInn krever hver sin bruker:

• Opprette brukere i KS SvarUt og SvarInn

Eksempel:

difi.move.feature.enableDPF=true
difi.move.fiks.inn.username=myusername
difi.move.fiks.inn.password=mypassword
difi.move.fiks.ut.username=myusername2
difi.move.fiks.ut.password=mypassword2
difi.move.fiks.inn.mailOnError=false

Eksempel på oppsett for å sende og motta på vegne av to virksomheter:

difi.move.feature.enableDPF=true
difi.move.fiks.ut.paa-vegne-av.991825827.username=myusername
difi.move.fiks.ut.paa-vegne-av.991825827.password=mypassword
difi.move.fiks.inn.paa-vegne-av.991825827.username=myusername2
difi.move.fiks.inn.paa-vegne-av.991825827.password=mypassword2
difi.move.fiks.ut.paa-vegne-av.986252932.username=myusername
difi.move.fiks.ut.paa-vegne-av.986252932.password=mypassword
difi.move.fiks.inn.paa-vegne-av.986252932.username=myusername2
difi.move.fiks.inn.paa-vegne-av.986252932.password=mypassword2

Konfigurere Altinn Digital Post (DPV)

Altinn Digital Post krever bruker:

• Opprette bruker i Altinn Digital Post

Eksempel:

difi.move.feature.enableDPV=true
difi.move.dpv.username=myusername
difi.move.dpv.password=mypassword
difi.move.dpv.enableDueDate=false

Konfigurere Digital Post til Innbyggere (DPI)

Før Digital Post til Innbyggere kan tas i bruk må Digdir aktivere den sentralt.

Send forespørsel om dette til servicedesk@digdir.no

Dersom en skal bruke DPI`s proxy-klientbiblioteket, se gjerne:

• Hva skal til for at proxy-klientbiblioteket for Digital Post til Innbyggere skal fungere?

Eksempel:

difi.move.feature.enableDPI=true

difi.move.dpi.mpcId=DigdirSinKø

Konfigurere KS FIKS IO

KS FIKS IO krever bruker:

• Hvordan tar man i bruk FIKS IO (ekstern lenke)

Eksempel:

difi.move.feature.enableDPFIO=true
difi.move.fiks.io.konto-id=47b0c75b-ddb5-447b-88d2-c4030d183fb3
difi.move.fiks.io.integrasjons-id=54f9d591-5523-447a-b839-eb5a43bb75ca
difi.move.fiks.io.integrasjons-passord=d9efdc55-a3a3-4b66-8b38-c73202655f2f
difi.move.fiks.io.sender-orgnr=910077473

Neste steg

• Automatisk oppgradering (anbefalt)
• Sikkerhetskopi (anbefalt)
• Overvåking (anbefalt)