Installasjon

Formålet med denne siden er å gjøre det enklest mulig å installere og konfigurere eFormidlings integrasjonspunkt.

1. Forutsetninger
2. Docker-spesifikk konfigurasjon
3. Java-spesifikk konfigurasjon
4. Konfigurer integrasjonspunktet
   1. Minimumskonfigurasjon
   2. Valgfri konfigurasjon
      1. Miljø (produksjon eller test)
      2. Hashicorp Vault
      3. Ekstern database
      4. Mellomlagring av meldinger til ekstern database
      5. Ekstern meldingskø
      6. Transportsikring
      7. HTTP Basic Auth
      8. Levetid for meldinger
      9. Kapasitet
      10. Webhook-abonnement
      11. Port
      12. Støttetjenester
      13. BEST/EDU-grensesnittet (under utfasing)
      14. E-post
   3. Meldingstjenester
      1. Konfigurere eFormidlings meldingstjeneste (DPO)
      2. Konfigurere eInnsyns meldingstjeneste (DPE)
      3. Konfigurere KS SvarUt og SvarInn (DPF)
      4. Konfigurere Altinn Digital Post (DPV)
      5. Konfigurere Digital Post til Innbyggere (DPI)
      6. Konfigurere KS FIKS IO
5. Neste steg

Forutsetninger

Installasjon av eFormidlings integrasjonspunkt forutsetter at følgende punkt er gjennomført:

• Forberede installasjon

Docker-spesifikk konfigurasjon

Ved bruk av Docker må integrasjonspunktet konfigureres ved hjelp av miljøvariable.

Hvordan en spesifiserer konfigurasjonen avhenger av hvilke verktøy som brukes: docker-compose, Kubernetes eller andre. Et par eksempler:

• Eksempel på konfigurasjon med Kubernetes
• Eksempel på konfigurasjon med docker-compose (ekstern lenke)

Integrasjonspunktets Docker-image er uten persistent volum. For å unngå tap av data ved f.eks. omstarter er det derfor nødvendig å konfigurere:

• Ekstern database
• Mellomlagring av meldinger til ekstern database
• Ekstern meldingskø

Java-spesifikk konfigurasjon

Ved bruk av Java direkte kan integrasjonspunktet konfigureres ved hjelp av en konfigurasjonsfil (anbefalt), Java-parametere eller miljøvariable.

1. Start med å opprette en mappe, for eksempel c:\integrasjonspunkt
2. Last så ned integrasjonspunkt-local.properties og lagre i overnevnte mappe
3. Last ned integrasjonspunkt-[versjonsnummer].jar

eFormidling anbefaler å verifisere at integrasjonspunkt-[versjon].jar er fra Digitaliseringsdirektoratet.

• Hvordan verifiserer jeg at jar-filen er fra Digitaliseringsdirektoratet?

Når du er ferdig skal strukturen på området se slik ut:

c:/
|-- integrasjonspunkt/
   |-- integrasjonspunkt-local.properties
   |-- integrasjonspunkt-[versjon].jar

Du må fjerne bort-kommentering (# i starten av en linje) fra integrasjonspunkt-local.properties for at den aktuelle konfigurasjonsegenskapen skal ha effekt.

I tillegg må integrasjonspunktet kjøres med nødvendige tilganger til å opprette filer og mapper på dette filområdet.

Ved bruk av Java direkte anbefales det at det konfigureres en bakgrunnstjeneste som starter og stopper integrasjonspunktet når operativsystemet starter og stopper, og som ved behov kan startes og stoppes manuelt. Eksempel:

• Kjøre integrasjonspunktet som en tjeneste (Windows)
• Kjøre integrasjonspunktet med task scheduler (Windows)
• systemctl, upstart eller tilsvarende, avhengig av distribusjon (Linux)

Det er også mulig å starte og stoppe integrasjonspunktet manuelt:

• Kjøre integrasjonspunktet fra kommandovindu

Konfigurer integrasjonspunktet

Før integrasjonspunktet kan startes må det konfigureres.

Det brukes ulike konvensjoner for navngiving av konfigurasjonsegenskaper avhengig av hvilke mekanisme som brukes for konfigurasjon. Følgende varianter tilsvarer samme konfigurasjonsegenskap:

• person.firstName, person.first-name eller person.first_name (for konfigurasjonsfil og Java-parametere)
• PERSON_FIRST_NAME (for miljøvariable)

Ved behov for ekstra beskyttelse av virksomhetssertifikat, passord og andre hemmeligheter er det mulig å ta i bruk Hashicorp Vault eller mekanismer som injiserer verdier til miljøvariable.

• HashiCorp Vault
• Eksempel på installasjon av integrasjonspunktet på Azure inneholder et eksempel på en mekanisme som injiserer verdier til miljøvariable

Vi anbefaler å konfigurere integrasjonspunktet i følgende rekkefølge:

1. Minimumskonfigurasjon for å få starte integrasjonspunktet
2. Frivillig konfigurasjon (f.eks. ekstern database, BEST/EDU-integrasjon, osv.)
3. En og en meldingstjeneste

Vi anbefaler å konfigurere eFormidlings meldingstjeneste (DPO) før Altinn Digital Post (DPV) og KS SvarUt og SvarInn (DPF) for å sikre at virksomheten mottar post i sak- og arkivsystemet (og unngå fallback til Altinn Digital Post og KS SvarUt og SvarInn for virksomheter som ikke har konfigurert eFormidligs meldingstjeneste)

Minimumskonfigurasjon

Integrasjonspunktet krever at virksomhetens virksomhetssertifikat er konfigurert.

I tillegg anbefales det å skru av støtte for eInnsyn, som er den eneste meldingstjenesten som er på som standard. Dersom en skal bruke eInnsyn kan en heller slå på igjen støtten etter at en har verifisert at minimumskonfigurasjonen er ok.

Eksempel:

difi.move.org.number=991825827
difi.move.org.keystore.alias=myalias
difi.move.org.keystore.password=mypassword
difi.move.org.keystore.path=file:c:/integrasjonspunkt/keystore.p12
difi.move.org.keystore.type=PKCS12
difi.move.feature.enableDPE=false

Valgfri konfigurasjon

Miljø (produksjon eller test)

Valgfritt

Tilgjengelige miljø:

• eForidling Produksjon
• eFormidling Test

Eksempel:

java -jar -Dspring.profiles.active=staging integrasjonspunkt-2.8.3.jar  

Hashicorp Vault

Valgfritt

Hashicorp Vault gjør det mulig å beskytte virksomhetssertifikat, passord og andre hemmeligheter. Dokumentasjon for HashiCorp Vault finnes på https://www.vaultproject.io/.

Eksempel:

vault.uri=http://localhost:8200
vault.token=s.7NP3IvIjdpHqaInbNQD4NpIY	
vault.path=secret/move
vault.resource-path=secret/resourceleve

For å legge hemmeligheter i HashiCorp Vault kan følgende kommandoer brukes:

vault kv put secret/move difi.move.org.keystore.password=mypassword difi.move.dpo.password=mypassword
$ vault kv put secret/resource keystore="$(base64 keystore.jks)"

Ved bruk av tekstlige hemmeligheter overstyrer disse eventuelle tilsvarende hemmeligheter satt i konfigurasjon. Ved bruk av binære hemmeligheter må disse refereres i konfigurasjon som i eksempelet under:

difi.move.org.keystore.path=vault:keystore

Ekstern database

Valgfritt

Integrasjonspunktet bruker en intern fildatabase (H2) som standard. Denne er mulig å bytte ut med en ekstern database. MySQL, Postgres og MSSQL støttes. Ved bruk av Docker må en slå på ekstern database for å unngå risiko for datatap ved f.eks. omstarter.

Eksempel (MySQL):

difi.datasource.url=jdbc:mysql://mydatabaseserver/mydatabase?serverTimezone=UTC
difi.datasource.username=myuser
difi.datasource.password=mypassword

Eksempel (Postgres):

difi.datasource.url=jdbc:postgresql://mydatabaseserver:5432/mydatabase
difi.datasource.username=myuser
difi.datasource.password=mypassword

Eksempel (MSSQL):

difi.datasource.url=jdbc:sqlserver://mydatabaseserver:1433;databaseName=mydatabase
difi.datasource.username=myuser
difi.datasource.password=mypassword

Mellomlagring av meldinger til ekstern database

Valgfritt

Integrasjonspunktet mellomlagrer meldinger til fil som standard. Dette er mulig å bytte ut med mellomlagring til database. Ved bruk av Docker må en slå på mellomlagring til database for å unngå risiko for datatap ved f.eks. omstarter.

Eksempel:

difi.move.nextmove.useDbPersistence=true

Ekstern meldingskø

Valgfritt

Integrasjonspunktet bruker en intern meldingskø (ActiveMQ) som standard. Denne er mulig å bytte ut med en ekstern meldingskø. Bare ActiveMQ støttes. Ved bruk av Docker må en slå på ekstern meldingskø for å unngå risiko for datatap ved f.eks. omstarter.

Eksempel:

difi.activemq.broker-url=tcp://localhost:61616
difi.activemq.user=myuser
difi.activemq.password=mypassword

Transportsikring

Valgfritt

Integrasjonspunktet er designet for å kjøre i et lukket miljø som bare gir autoriserte system og brukere tilgang til grensesnittene som tilbys av integrasjonspunktet. Integrasjonspunktets grensesnitt er som standard ikke beskyttet av transportsikring. Det er mulig å slå på støtte for transportsikring.

Eksempel:

difi.ssl.enabled=true
difi.ssl.key-store-type=PKCS12
difi.ssl.key-store=file:c:/integrasjonspunkt/https.p12
difi.ssl.key-store-password=mypassword
difi.ssl.key-alias=myalias

NB!: Dersom en bruker et selvsignert SSL sertifikat må dette legges inn i Java Trust Store (cacerts). I hostfilen til server må en registrere IP-adressen til det som blir hostname til integrasjonspunktet.

HTTP Basic Auth

Valgfritt

Integrasjonspunktet er designet for å kjøre i et lukket miljø som bare gir autoriserte system og brukere tilgang til grensesnittene som tilbys av integrasjonspunktet. Integrasjonspunktets grensesnitt er som standard ikke beskyttet av autentisering. Det er mulig å slå på støtte for autentisering. Det er bare autentiseringsmekanismen HTTP basic auth som støttes.

Eksempel:

difi.security.enable=true
difi.security.user.name=myusername
difi.security.user.password=mypassword

Levetid for meldinger

Valgfritt

Integrasjonspunktet er designet for å tåle at meldingstjenestene som brukes kan ha nedetid og andre driftsproblemer uten at dette skal medføre at levering av meldinger feiler.

En kan også sette levetid per meldingstype dersom det er ønskelig:

difi.move.dpo.default-ttl-hours  # For meldingstypen DPO
difi.move.dpv.default-ttl-hours  # For meldingstypen DPV
difi.move.dpi.default-ttl-hours  # For meldingstypen DPI
difi.move.fiks.ut.default-ttl-hours  # For meldingstypen DPF
difi.move.fiks.io.default-ttl-hours  # For meldingstypen DPFIO
difi.move.nextmove.serviceBus.default-ttl-hours  # For meldingstypen DPE (einnsyn)

Kapasitet

Valgfritt

Standardoppsettet for integrasjonspunktet har vanligvis god kapasitet. Ved utsending av store volum (fra ~ 50 000 daglige meldinger) kan det være aktuelt å finjustere integrasjonspunktet for å øke kapasiteten:

• øke samtidigheten for utgående meldinger
• senke hyppighet for innhenting av meldingsstatuser
• slå av oppslag i det sentrale folkeregister (DSF) dersom dette ikke trengs
• øke tilgjengelige ressurser for integrasjonspunktet: minne, disk (IO og kapasitet), CPU og nettverk

Eksempel:

difi.move.nextmove.statusPollingCron=0 0/10 * * * *
difi.move.feature.enableDsfPrintLookup=false
difi.move.queue.concurrency=20

Webhook-abonnement

Som standard blir ingen meldinger videreformidlet til webhook-abonnement. Dette må konfigureres.

Eksempel:

difi.move.feature.statusQueueIncludes=DPI,DPV

Port

Valgfritt

Eksempel:

server.port=80

Støttetjenester

Valgfritt

Integrasjonspunktet tilbyr en del støttetjenester som eksponerer helsestatus, konfigurasjon og annet som standard. Disse kan begrenses eller slås helt av dersom en ønsker dette.

• Støttetjenester

Dersom en skal bruke automatisk oppgradering av integrasjonspunktet krever dette at støttetjenestene info, health og shutdown er tilgjengelig.

Eksempel:

management.endpoints.web.exposure.include=info,health,shutdown
management.endpoint.health.show-details=never

BEST/EDU-grensesnittet (under utfasing)

Valgfritt

Dersom en skal ta i bruk integrasjonspunktet vha. BEST/EDU-grensesnittet (under utfasing) så må dette konfigureres. Dette er bare aktuelt for eldre sak- og arkivsystemer.

For å benytte BEST/EDU kreves det at eFormidlings meldingstjeneste er slått på:

• Konfigurasjon av eFormidlings meldingstjeneste

Eksempel:

difi.move.noarkSystem.endpointURL=http://localhost:8088/testExchangeBinding
difi.move.noarkSystem.type=P360
difi.move.noarkSystem.username=myuser
difi.move.noarkSystem.password=mypassword
difi.move.noarkSystem.domain=MYUSERDOMAIN

E-post

Valgfritt

Ved bruk av KS SvarInn så kan integrasjonspunktet håndtere feil ved behandling av innkommende meldinger ved å sende en e-post. Dette fordi det kan oppstå uforutsette problem med konvertering av meldinger mellom KS FIKS og eFormidling.

Ved bruk av BEST/EDU-grensesnittet er det støttet å levere innkommende meldinger på e-post istedenfor en BEST/EDU- integrasjon. Dette kan slås på ved å sette difi.move.noarkSystem.type=mail.

I disse tilfellene er det nødvendig å konfigurere e-post.

Eksempel:

difi.move.mail.smtpHost=localhost
difi.move.mail.smtpPort=25
difi.move.mail.receiverAddress=postmottak@virksomheten.no
difi.move.mail.senderAddress=integrasjonspunkt@virksomheten.no
difi.move.mail.trust=${difi.move.mail.smtpHost}

Meldingstjenester

Konfigurere eFormidlings meldingstjeneste (DPO)

eFormidlings meldingstjeneste er realisert ved hjelp av Altinn Formidling, og krever bruker for Altinn Formidling.

• Opprette bruker i Altinn Formidling

Før eFormidlings meldingstjeneste kan tas i bruk må Digdir aktivere den sentralt.

Send forespørsel om dette til servicedesk@digdir.no

Eksempel:

difi.move.feature.enableDPO=true
difi.move.dpo.username=1234
difi.move.dpo.password=mypassword

Konfigurere eInnsyns meldingstjeneste (DPE)

Før eInnsyns meldingstjeneste kan tas i bruk må Digdir aktivere den sentralt.

Send forespørsel om dette til servicedesk@digdir.no

Eksempel:

difi.move.feature.enableDPE=true

Konfigurere KS SvarUt og SvarInn (DPF)

KS SvarUt og SvarInn krever hver sin bruker:

• Opprette brukere i KS SvarUt og SvarInn

Eksempel:

difi.move.feature.enableDPF=true
difi.move.fiks.inn.username=myusername
difi.move.fiks.inn.password=mypassword
difi.move.fiks.ut.username=myusername2
difi.move.fiks.ut.password=mypassword2
difi.move.fiks.inn.mailOnError=false

Eksempel på oppsett for å sende og motta på vegne av to virksomheter:

difi.move.feature.enableDPF=true
difi.move.fiks.ut.paa-vegne-av.991825827.username=myusername
difi.move.fiks.ut.paa-vegne-av.991825827.password=mypassword
difi.move.fiks.inn.paa-vegne-av.991825827.username=myusername2
difi.move.fiks.inn.paa-vegne-av.991825827.password=mypassword2
difi.move.fiks.ut.paa-vegne-av.986252932.username=myusername
difi.move.fiks.ut.paa-vegne-av.986252932.password=mypassword
difi.move.fiks.inn.paa-vegne-av.986252932.username=myusername2
difi.move.fiks.inn.paa-vegne-av.986252932.password=mypassword2

Konfigurere Altinn Digital Post (DPV)

Altinn Digital Post krever bruker:

• Opprette bruker i Altinn Digital Post

Eksempel:

difi.move.feature.enableDPV=true
difi.move.dpv.username=myusername
difi.move.dpv.password=mypassword
difi.move.dpv.enableDueDate=false

Konfigurere Digital Post til Innbyggere (DPI)

Før Digital Post til Innbyggere kan tas i bruk må Digdir aktivere den sentralt.

Send forespørsel om dette til servicedesk@digdir.no

Dersom en skal bruke DPI`s proxy-klientbiblioteket, se gjerne:

• Hva skal til for at proxy-klientbiblioteket for Digital Post til Innbyggere skal fungere?

Eksempel:

difi.move.feature.enableDPI=true

difi.move.dpi.mpcId=DigdirSinKø

Konfigurere KS FIKS IO

KS FIKS IO krever bruker:

• Hvordan tar man i bruk FIKS IO (ekstern lenke)

Eksempel:

difi.move.feature.enableDPFIO=true
difi.move.fiks.io.konto-id=47b0c75b-ddb5-447b-88d2-c4030d183fb3
difi.move.fiks.io.integrasjons-id=54f9d591-5523-447a-b839-eb5a43bb75ca
difi.move.fiks.io.integrasjons-passord=d9efdc55-a3a3-4b66-8b38-c73202655f2f
difi.move.fiks.io.sender-orgnr=910077473

Neste steg

• Automatisk oppgradering (anbefalt)
• Sikkerhetskopi (anbefalt)
• Overvåking (anbefalt)