02 · Архитектур

Нэг лавлах, олон хаалга, гурван итгэлцлийн үйлчилгээ.

X-Road instance нь гурван төрлийн бүрэлдэхүүнээс тогтоно: бүртгэл ба бодлогыг хадгалах Central Server, байгууллага бүрийн хаалга болох Security Server, гэрчилгээ ба цагийг баталгаажуулах итгэлцлийн үйлчилгээ (CA, OCSP, TSA).

Бүдүүвч

Мессеж хэрхэн дамждаг вэ

Удирдлагын урсгал (дээд мөр) ба өгөгдлийн урсгал (доод мөр) тусдаа. Central Server өгөгдөл хардаггүй.

Central ServerГишүүд, серверүүд, батлагдсан CA/TSA-гийн бүртгэл. Гарын үсэгтэй глобал тохиргоо гаргана.

CA · OCSPAuth ба sign гэрчилгээ олгоно. OCSP нь гэрчилгээ хүчинтэй эсэхийг хариулна.

TSA (RFC 3161)Мессежийн логийг багцаар цагийн тэмдэглэнэ.

Хэрэглэгч байгууллага

Мэдээллийн системREST /r1/… эсвэл SOAP, X-Road-Client толгойтой

Security ServerГарын үсэг зурна · цагийн тэмдэг авна · лог хөтөлнө

:5500 · mTLS Интернэтээр шууд,
хоёр тал гэрчилгээгээ шалгана

Нийлүүлэгч байгууллага

Security ServerГарын үсэг шалгана · хандах эрх (ACL) шалгана · лог хөтөлнө

Мэдээллийн системЭх бүртгэл. Өгөгдөл энд үлдэнэ

Дараалал

Нэг хүсэлтийн амьдрал

Хэрэглэгч IS → Security Server A

POST /r1/MN/GOV/…/service, X-Road-Client толгойтой.

Гарын үсэг

A сервер мессежийг байгууллагын SIGN түлхүүрээр гарын үсэг зурна.

mTLS холболт :5500

A нь AUTH гэрчилгээгээр B сервертэй шууд холбогдоно. Хоёр тал глобал тохиргоо ба OCSP-оор бие биеэ шалгана.

Хандах эрх

B сервер гарын үсэг ба тухайн клиентийн эрхийг (ACL) шалгаад нийлүүлэгчийн системд дамжуулна.

Гарын үсэгтэй хариу

Хариу ижил замаар, B-гийн гарын үсэгтэй буцна.

Лог ба цагийн тэмдэг

Хоёр сервер мессежийг логдож, TSA-аас багц цагийн тэмдэг авна. Энэ нь хожим нотлох баримт болно.

Танигч

Хэн, хаана, юу

X-Road-д байгууллага, дэд систем, үйлчилгээ бүр шаталсан танигчтай. Instance-ийн нэрийг нэг л удаа тогтооно — дараа нь өөрчлөх боломжгүй.

instanceMN

ангилалGOV

код6806252

серверmgmt

instanceMN

ангилалCOM

код6235972

дэд системGEREGE-WALLET-BFF

instanceEE

ангилалGOV

код70006317

байгууллагаRIA

Гишүүний код = улсын бүртгэлийн дугаар. Эстонийн мөр нь X-tee-гийн операторын бүтцийн жишээ.

Протокол

SOAP ба REST

X-Road Message Protocol 4.0 — SOAP 1.1 профайл. Заавал: client, id, protocolVersion.
REST (6.21-ээс): /r1/{instance}/{class}/{code}/{subsystem}/{service}, X-Road-Client толгой.
Үйлчилгээний тодорхойлолт: SOAP-д WSDL, REST-д OpenAPI 3.
Мета үйлчилгээ: listClients, listMethods, allowedMethods, getOpenAPI.
Менежментийн хүсэлт (клиент, гэрчилгээ бүртгэх) нь өөрөө X-Road үйлчилгээ.
Технологи (7.x): Java 21, PostgreSQL, Spring Boot 3, Vue 3; HSM-ийг PKCS#11-ээр.

Аюулгүй байдал

Итгэлцлийг юу баталдаг вэ

Хоёр гэрчилгээ

AUTH — серверийн TLS гэрчилгээ (CN = серверийн код). SIGN — байгууллагын гарын үсгийн гэрчилгээ (O = ангилал, CN = гишүүний код).

OCSP кэш

Хариуг 20 мин тутам шинэчилж, 1 цаг хүчинтэй хадгална. OCSP 1 цагаас дээш унавал мессеж солилцоо зогсоно — OCSP бол хамгийн эмзэг цэг.

Багц цагийн тэмдэг

Мессеж бүрд биш, логийн багцад тэмдэглэнэ. TSA урт хугацаагаар унавал сервер мессеж дамжуулахаа зогсооно.

Мессежийн лог

Өгөгдмөлөөр 6 цаг тутам архивлаж, 30 хоногийн дараа устгана. Шифрлэж хадгалж болно. Админы өөрчлөлт бүр аудит логт.

Түлхүүр

RSA 2048 өгөгдмөл. Software token эсвэл HSM. Token PIN алдвал түлхүүр сэргэхгүй.

eIDAS

ЕХ-д гарын үсэг нь сайжруулсан цахим тамгад тооцогдоно. Шаардлага хангасан тамгад HSM ба итгэмжлэгдсэн CA хэрэгтэй.

Сүлжээ

Security Server-ийн портууд

Интернэтэд зөвхөн 5500, 5577 (мөн ACME-д 80) нээгдэнэ. Админ интерфейс 4000 хэзээ ч интернэтэд гарах ёсгүй.

Чиглэл	Порт	Зориулалт
Орох	5500	Security Server хоорондын мессеж (mTLS)
Орох	5577	Серверүүдийн хоорондын OCSP хариу
Орох · дотоод	4000	Админ UI ба менежментийн API
Орох · дотоод	8080 / 8443	Байгууллагын өөрийн мэдээллийн системээс
Гарах	4001	Central Server (бүртгэлийн хүсэлт)
Гарах	80 / 443	Глобал тохиргоо татах, OCSP, TSA
Локал	5432 · 2080	PostgreSQL · үйл ажиллагааны мониторинг

Үйлдлийн систем (7.8.x): Ubuntu 22.04 / 24.04 LTS, RHEL 8/9, эсвэл Docker. Central Server зөвхөн Ubuntu. Хамгийн бага: 2 цөм (AES), 4 GB RAM, 3 GB диск — production-д мессежийн логийн өсөлтөөр тооцно.

Холбогдох дараалал

Шинэ Security Server instance-д нэгдэх нь

Багц суулгах

NIIS-ийн агуулахыг GPG түлхүүрийн хурууны хээг шалгаж нэмээд xroad-securityserver суулгана.

Configuration anchor

Central Server-ээс авсан anchor-ыг оруулж, hash-ыг өөр сувгаар тулгана.

Эхлүүлэх

Эзэмшигчийн ангилал, код, серверийн код, token PIN оруулна. Гишүүн Central Server дээр урьдчилан бүртгэлтэй байх ёстой.

TSA нэмэх

TSA тохируулаагүй бол клиент бүртгэх хүсэлт бүр унана.

Түлхүүр, CSR, гэрчилгээ

AUTH ба SIGN түлхүүр үүсгэж, CSR-ийг батлагдсан CA-аар гарын үсэг зуруулж, импортлон идэвхжүүлнэ.

Бүртгүүлэх

AUTH гэрчилгээг Central Server-т бүртгүүлж, оператор батална. Дараа нь дэд систем бүрийг бүртгүүлнэ.

Үйлчилгээ нийтлэх

OpenAPI эсвэл WSDL-ээ нэмж, хандах эрхийг тодорхой клиентүүдэд олгоно.