= Grouper Instellingen = De aansluiting op de landelijke Grouper in het kader van de [wiki:Documentatie/Onderwerpen/DOT overgang naar DOT] in 2012 vereist een aantal instellingen. Deze pagina beschrijft hoe een UZI servercertificaat in OpenAC opgenomen kan worden en welke andere instellingen nodig zijn. Onderstaande stappen moeten '''per AGB code''' die het AC gebruikt, uitgevoerd worden. Wij raden aan om aparte UZI servercertificaten voor elke AGB code aan te vragen. De [#LocatieInstellingen locatie instellingen] moeten sowieso voor elke AGB code die in gebruik is, ingevuld worden. === Certificaat Aanvragen === Vraag het certificaat aan. Hiervoor moet je een ''server key'' genereren en dan via de [http://www.uziregister.nl/servercertificaat/servercertificaataanvragen/ site van het UZI Register] een formulier invullen. Het maken van de server key kan op veel verschillende manieren. De pagina's van het UZI Register over [http://www.uziregister.nl/servercertificaat/servercertificaataanvragen/20genereereenPKCS10bestand/default.asp aanmaken van een key] en [http://www.uziregister.nl/ondersteuning/handleidingen/installerenuziservercertificaat.asp installeren van het certificaat] kunnen behulpzaam zijn; in het bijzonder ook de documentatie voor het aanmaken van een [http://www.uziregister.nl/doc/pdf/Installatie%20Configuratie%20Servercertificaat%20Apache%20%28UZ58.01%29_28735.pdf server key voor Apache]. Omdat dezelfde OpenSSL gereedschappen meegeleverd worden met OpenAC is het ook mogelijk om de server key aan te maken met een OpenAC installatie: - Op een vertrouwd werkstation, start een command-prompt (opdrachtregel) en ga naar de installatiemap van OpenAC. - Ga dan naar de subdirectory `bin`. - Controleer of er een subdirectory `openssl` bestaat met daarin een `openssl.exe`. (Zo niet, start OpenAC een keer op en log in; daarmee wordt de meegeleverde `openssl-0.9.8b.zip` uitgepakt om de gevraagde bestanden aan te maken.) - Ga naar de subdirectory `openssl` (dan zit je nu meestal in de map `C:\Program Files\OpenAC\bin\openssl`). - Download [raw-attachment:openssl.cnf dit openssl.cnf bestand] en sla het op in diezelfde map. - Genereer een server key en een PKCS!#10 certificaat aanvraag door het volgende commando uit te voeren: {{{ openssl.exe req -nodes -newkey rsa:2048 -keyout server.key -out server.csr -config openssl.cnf }}} Dit staat omschreven in stap 1.2.3 van de Apache handleiding van het UZI Register. Er wordt naar een aantal gegevens gevraagd. Het is '''sterk aanbevolen''' om toch het land (NL) en de Organization Name (organisatie, bijvoorbeeld "FENAC") in te vullen. Als je niks invult, werkt het niet. - Als je deze stappen volgt, krijg je een server key zonder wachtwoord. [[NoteBox(warning, Maak een backup van het bestand `server.key` en onthoud het wachtwoord goed!)]] === Certificaat Ontvangen === Bij het aanvragen van een certificaat maak je een server key aan; meestal staat die key in een (met wachtwoord beveiligd) bestand `server.key`. Van het UZI Register krijg je een certificaat terug, meestal in een tekst bestandje zoals `services-cert-900009320.txt` (de cijfers in de bestandsnaam stellen je UZI Registernummer voor). Die twee bestanden moeten samengevoegd worden tot een zogenaamd PKCS!#12 bestand dat zowel de server key als het certificaat bevat. Dit kan met gereegschap dat is meegeleverd bij OpenAC: - Open een command-prompt (opdrachtregel) en ga naar de installatiemap van OpenAC. - Ga naar de subdirectory `bin`. Controleer dat de subdirectory `openssl` bestaat (zo niet, start OpenAC een keer op). Ga naar de subdirectory `openssl`. - Zet beide bestanden in diezelfde subdirectory (vaak `C:\Program Files\OpenAC\bin\openssl`) van OpenAC. - Combineer nu de twee bestanden (de server key en het certificaat) naar een PKCS!#12 bestand dat geschikt is om in Internet Explorer te importeren: {{{ openssl pkcs12 -export -out grouper.pfx -in services-cert-900009320.txt -inkey server.key -name "Grouper Certificaat" }}} Indien de server key een wachtwoord heeft, zal het nodig zijn om hier een wachtwoord in te voeren. Er wordt gevraagd om een export wachtwoord. Die mag leeg zijn. - Controleer dat je een bestand `grouper.pfx` in deze map hebt gekregen. Nu er een gecombineerd bestand is, kan het in Internet Explorer worden geimporteerd. - Start Internet Explorer. - Ga naar het menu ''Extra'', en dan ''Internetopties''. - Op het tabblad ''Inhoud'' [[Image(WikiStart:callout-1.png)]], klik op de knop ''Certificaten'' [[Image(WikiStart:callout-2.png)]].[[br]][[Image(certificaat-ie-instellingen.png, 420px)]] - Er verschijnt een dialoog met reeds geinstalleerde certificaten (misschien is die leeg). Zorg ervoor dat het tabblad ''Persoonlijk'' open staat. Klik op de knop ''Importeren''. - De Wizard voor het importeren van certificaten verschijnt. Klik op ''Volgende''. Klik op ''Bladeren...'' en ga naar de OpenAC installatiemap, dan naar `bin` en naar `openssl`, alwaar het bestand `grouper.pfx` staat. Selecteer dat bestand (misschien moet je bij het bladeren, rechtsonder het bestandstype veranderen van "X.509-certificaat `*.cer`" naar "Personal Information Exchange `*.pfx`"). Klik op ''Openen'' in dat dialoog, dan ''Volgende''. - Er wordt om een wachtwoord gevraagd [[Image(WikiStart:callout-3.png)]]. Dit is het wachtwoord '''van het gecombineerde bestand''', dat niet noodzakelijk hetzelfde is als het wachtwoord van de server key (dat hangt af van wat je hebt ingevoerd bij het maken van het gecombineerde bestand). Vul het wachtwoord in, of laat het leeg als er geen wachtwoord is gebruikt.[[br]][[Image(certificaat-ie-eigenschappen.png, 420px)]] - Vink het vakje ''Deze sleutel als exporteerbaar aanmerken'' [[Image(WikiStart:callout-4.png)]] '''aan'''. Anders kan OpenAC de sleutel niet ophalen. Klik dan op ''Volgende''. - Op de pagina ''Certificaatarchief'' hoef je niks te veranderen. Klik ''Volgende''. Klik tot slot ''Voltooien''. - Controleer nu dat het certificaat voor de Grouper is verschenen in het lijstje van certificaten. Het bestand `grouper.pfx` kan worden verplaatst naar andere machines die ook met de Grouper moeten communiceren en op elke machine op soortgelijke wijze in Internet Explorer geimporteerd worden. === Certificaat Installatie === [[Image(openac-select.png, 472px,class=inline-right)]]Nu het certificaat in Internet Explorer is geimporteerd, kan OpenAC het overnemen. Hiervoor is het wel essentieel dat het certificaat daarbij is gemarkeerd als exporteerdbaar. - Start OpenAC op en ga naar het instellingenscherm. Ga naar de instellingen van de Grouper. - Laat het vinkje ''OpenAC groepeert zelf'' [[Image(WikiStart:callout-1.png)]] '''uit''' staan. Klik op de link ''grouper certificaat installeren'' [[Image(WikiStart:callout-2.png)]]. - Selecteer het certificaat dat zojuist is geimporteerd (met deze instructies heeft het de naam Grouper) [[Image(WikiStart:callout-3.png)]]. - Klik ''OK''. Er verschijnt een groene (success) melding in het meldingen tabblad. Het certificaat is nu voor OpenAC bruikbaar. Desnoods kunnen de twee resulterende bestanden (`grouper-19003223.cert` en `grouper-19003223.key`, genoemd naar de AGB code die in gebruik is) samen gekopieerd worden naar andere machines waar OpenAC met de Grouper moet communiceren. Zet de bestanden in de certificaten map van OpenAC. === Locatie Instellingen === Tot slot moet OpenAC weten welk UZI certificaatnummer en welk UZI Registernummer horen bij de AGB code die het AC gebruikt. - Start OpenAC op en ga naar het codetabellen scherm. - Kies bij module ''kern.d010_systeem'' de tabel ''AGB-Locatie''. - [[Image(locatie-record.png, 480px, class=inline-right)]]Waarschijnlijk zijn de AGB codes van het AC al ingevoerd als codetabel-entries. Klik op de regel van de AGB code waarvoor het Grouper certificaat is geinstalleerd. De entry wordt geopend. Controleer of de AGB code [[Image(WikiStart:callout-1.png)]] van het record de juiste is. - Vul het UZI certificaatnummer (dat wordt vermeld door het UZI als ze het certificaat opsturen) in bij ''UZI-Nummer'' [[Image(WikiStart:callout-2.png)]]. Vul het UZI Register Abonneenummer van het AC in bij ''URA-Nummer'' [[Image(WikiStart:callout-3.png)]]. Sla deze wijzigingen op. - (optioneel) Lever de wijziging op de codetabel in, zodat centraal bij de FENAC ook bekend is welke UZI- en URA-nummers in gebruik zijn. === Alternatieve Installatie === Het is mogelijk om de `server.key` en het server certificaat rechtstreeks in OpenAC neer te zetten, zonder tussenkomst van Internet Explorer of OpenAC zelf. - Kopieer het bestand dat van de UZI komt, `services-cert-900009320.txt`, naar de OpenAC certificaten directory (dit staat onder de OpenAC bestanden directory; die instelling is in OpenAC zelf te vinden). Hernoem het bestand naar `grouper-AGBCODE.cert` waarbij voor `AGBCODE` de acht-cijferige AGB code van het AC wordt ingevuld. - Converteer de server key met OpenSSL als volgt: {{{ openssl.exe rsa -in server.key -out grouper-AGBCODE.key }}} Voer het wachtwoord (als er een is) voor de server key in als dit commando er om vraagt. Verplaats dit bestand naar de OpenAC certificaten directory.