Page History

Начиная с версии 1.3 WNAM позволяет проводить идентификацию поддерживает возможность идентификации пользователей через учетную запись на портале Госуслуги Госуслуг (с использованием единой системы идентификации и аутентификации - ЕСИА). Для такого способа идентификации применяется протокол используется протокол OAuth 2.0.

Использование данного метода требуетДля использования данного способа необходимо:

• Получения получение разрешения Россвязьнадзора на работу с персональными данными (статус присвоение статуса оператора персональных данных);
• Получения получение учетной записи вашей организации на портале Госуслуги,а также регистрация организации в ЕСИА;
• Получения получение тестового и промышленного доступа к ЕСИА , используя регламент Минкомсвязис использованием регламента Минкомсвязи;
• установка Установки соответствующих сертификатов на сервер WNAM.

...

...

...

...

За разъяснениями по первым трем пунктам обратитесь по адресу support@netams.com

Для работы с RSA-сертификатами в WNAM версии 1.5 и младше выполните следующие шаги:

Для создания сертификата, используемого для подписи запросов к ЕСИА, необходимо в командной строке выполнить (заменив параметры в dname):

keytool -genkeypair -v -alias wnam-esia -keyalg RSA -keysize 2048 -validity 10000 -keypass wnam-pass -keystore wnam-esia.jks -storepass wnam-pass -dname "CN=WNAM-ESIA, OU=WNAM, O=Netams LLC, L=Moscow, S=Moscow, C=RU"

keytool -exportcert -alias wnam-esia -keystore wnam-esia.jks -storepass wnam-pass -file wnam-esia.crt

Полученный файл, wnam-esia.jks, положите в каталог /etc/. Это сертификат с приватным ключом в формате, доступном Java-приложению. Сертификат без ключа, wnam-esia.crt, понадобится позже.

Файл конфигурации /etc/wnam.properties может содержать такие параметры:

esia_keystore=     # по умолчанию путь - /etc/wnam-esia.jks
esia_keypassword=wnam-pass    # пароль по умолчанию wnam-pass

Внимание! ЕСИА прекратила поддержку работы с сертификатами RSA с января 2020 годаболее подробными разъяснениями по присвоению статуса оператора персональных данных, получению учетной записи на портале Госуслуг и доступа к ЕСИА можно обратиться в службу технической поддержки компании-разработчика WNAM по адресу support@netams.com или в соответствующие уполномоченные органы.

Для работы с ГОСТ-сертификатами в WNAM 1.6 купите необходимо приобрести у любого аккредитованного государством удостоверяющего центра (далее - УЦ) квалифицированный (т.е. подписанный по цепочке доверия государственным УЦ) сертификат на имя ответственного сотрудника вашей организации. Его Сертификат можно будет использовать для целей авторизации через Госуслуги. Подойдет портал Госуслуг. Также для такого способа авторизации подойдет и сертификат, которым вы подписываете организация подписывает отправку документов в гос.государственные органы. Не подойдет персональный Персональный самоподписанный сертификат, даже если его выдал УЦ по ГОСТ использовать невозможно. При покупке приобретении сертификата важно, чтобы его приватный ключ был экспортируемым (вариант: неизвлекаемый ключ на токене - не подходитподойдет). Вам понадобится Ключ потребуется экспортировать ключ (формат VipNet CSP или КриптоПро CSP), а затем конвертировать его в текстовый OpenSSL-формат (обратитесь за подробной инструкцией можно обратиться по адресу support@netams.com за инструкциями ).

Для настройки данного метода идентификации необходимо выполнить следующие действия:

1. Сертификат Сертификат и ключ поместите поместить на сервере в файлы /home/wnam/esia_cert.pem и /home/wnam/esia_cert.key соответственно. В Далее в интерфейсе WNAM в "Конфигурация-" → "Дополнительные настройки" укажите необходимо указать полные пути до этих файлов в параметрах esia_certificate и esia_key:

Перезапустите 2. Перезапустить сервис WNAM, и поищите в логе файле логов wnam.log строку c  будет отображена строка со значением "ESIA_GOST", например:

12:58:15.316 INFO [EsiaService.java:121] - ESIA_GOST: ECGOST3410-2012 CN="...", EMAILADDRESS=..., OID.1.2.643.100.4=..., OID.1.2.643.100.1=..., O=..., C=RU
12:58:15.361 INFO [EsiaService.java:140] - ESIA_GOST: ECGOST3410-2012 Private Key

...

...

Необходимо на 3. На технологическом портале ЕСИА необходимо создать вашу информационную систему , и загрузить сертификат. Зайдите Для этого требуется зайти на портал https://esia.gosuslugi.ru/console/tech с учетной записью сотрудника, привязанной к вашей организации , желательно - её руководителя(желательно с учетной записью руководителя организации):

Создайте информационную систему4. Создать информационную систему, перейдя во вкладку "Информационные системы" в системе ЕСИА, и введя её полное и краткое название:

В представленной форме следует указать необходимые параметры - это её краткое имя, идентификатор.Укажите необходимые параметры в форме:

Сохраните Сохранить форму и загрузите загрузить созданный сертификат (.crt файл, открытая часть который является открытой частью сертификата):

Затем выполните 5. Выполнить заполнение бумажной формы заявки на подключение к тестовой тестовому и продуктивной продуктивному доступу к ЕСИА (доступ к тестовой можно и не делать), подпишите тестовый доступ является необязательным). После заполнения заявки необходимо её подписать (электронно или бумажно) заявку и отправьте её в Минкомсвязь согласно "Регламенту информационного взаимодействия Участников с Оператором ЕСИА и Оператором эксплуатации инфраструктуры электронного правительства" (регламенту). Заявка будет отправлена на рассмотрение. Как только заявка будет одобрена, можно настраивать следующим шагом необходимо настроить WNAM и выполнять выполнить проверки работоспособности доступа.

Настройка WNAM заключается в указании параметров подключения к ЕСИА в окне "Социальные сети - ЕСИАво вкладке "ЕСИА" раздела "Конфигурация" → "Гостевая авторизация" → "Внешние OAuth системы":

Вам необходимо Необходимо будет указать мнемонику системы (как которая была задана указана при регистрации системы на технологическом портале), исполнение использование (продуктивное или тестовое), пароль на сертификат. Поле "Адрес возврата" - это ссылка внутри WNAM, на которую пользователь будет перенаправлен после завершения идентификации в ЕСИА.Внимание!

...

...

...

...

...

Поле "Область доступа" определяет перечень атрибутов, возвращаемых системой авторизации при успешном выполнении пользователем входа в ЕСИА. В настоящий момент для тестовой тестового использования ЕСИА это "fullname birthdate gender email mobile id_doc snils inn". Для продуктивной , для продуктивного использования ЕСИА это только "fullname openid". Область определяется в соответствии с текущей версией методических рекомендаций."Методических рекомендаций по использованию Единой системы идентификации и аутентификации" (методические рекомендации). Перечень параметров в области доступа  должен совпадать с тем, что указано в запросе на регистрацию системы (продуктивной или тестовой).

...

...

...

...

...

Вам понадобится 6. В настройки nginx необходимо добавить следующую конфигурацию в параметр location { ...} в настройки nginx:

proxy_buffer_size 16k;
proxy_buffers 4 16k;
proxy_busy_buffers_size 16k;
client_body_buffer_size 16K;
client_max_body_size 8m;

На этом этапе настройка способа идентификации через портал Госуслуг завершена.

Для проверки работы системы авторизации через ЕСИА необходимо временно включите включить в меню "Конфигурация - " → "Общие настройки" параметр "Тестовые интерфейсы СМС и шаблонов страниц", и откройте обычным браузером открыть в любом веб-браузере ссылку http://адрес_сервера_wnam/wnam/auth_test. 

Image Added

Выбрать Выберите ссылку "Auth in ESIA" . Пройдите и пройти процедуру авторизации. В случае успеха вам будет выдано сообщение, например:

EsiaUser{firstName='Андрей', lastName='Контент-менеджер', middleName='Алексеевич', birthDate=Mon Feb 07 03:00:00 MSK 1994, gender='M', trusted=true, verifying=false, snils='000-000-600 02', inn='000123123002', status='REGISTERED'}

В лог-файле wnam.log при этом появятся записи: 

23:40:13.855 DEBUG [com.netams.wnam.web.AuthController:259] - Request esia code ... 
23:40:13.855 DEBUG [com.netams.wnam.web.AuthController:260] - State 7324de34-618e-4ed9-b5cc-f5ea35838ae9
23:40:14.021 DEBUG [c.n.w.s.socnet.esia.EsiaService:136] - Esia token EsiaToken{idToken='null', state='c4a355eb-70e3-4dcd-95a5-b9fcd581bba1', accessToken='...', payload=null, error='null', errorDescription='null'}
23:40:14.022 DEBUG [c.n.w.s.socnet.esia.EsiaService:147] - {"alg":"RS256","sbt":"access","typ":"JWT","ver":1}
23:40:14.022 DEBUG [c.n.w.s.socnet.esia.EsiaService:148] - {"exp":1483911613,"scope":"http:\/\/esia.gosuslugi.ru\/usr_inf?oid=1000299654","iss":"http:\/\/esia.gosuslugi.ru\/","nbf":1483908013,"urn:esia:sid":"...","urn:esia:sbj_id":1000299654,"client_id":"WNAMTEST1","iat":1483908013}
23:40:14.130 DEBUG [c.n.w.s.socnet.esia.EsiaService:211] - Response: EsiaUser{firstName='Андрей', lastName='Контент-менеджер', middleName='Алексеевич', birthDate=Mon Feb 07 03:00:00 MSK 1994, gender='M', trusted=true, verifying=false, snils='000-000-600 02', inn='000123123002', status='REGISTERED'}

Если авторизация проходит успешно, необходимо включить возможность авторизации в вашу назначенную в меню разделе "Авторизация" страницу входа в интернет, например исправив изменив штатный шаблон страницы sms.html, добавив в ней кнопку:

<A href="#" type="button" onclick='esia();'><button class="btn btn-primary">Вход через Госуслуги</button></a>

и скрипт:

<script type="text/javascript">

   function esia() {

      document.location.href="$(soc_esia)";
        return false;
      }
</script>

Попробуйте выполнить идентификацию Далее следует повторить попытку идентификации с мобильного устройства, подключенного к Wi-Fi сети через ваш сервер доступа.

Если она авторизация пройдет успешно, то в списке пользователей в административном интерфейсе WNAM появится запись о пользователе: