X-Road Mongolia¶

Хагас · Давхарга 0 — Өгөгдөл солилцоо · Репо: xroad-mn · instance MN

Байгууллага хоорондын стандартчилсан, баталгаажсан өгөгдөл солилцооны давхарга. Эстонид үүсэж, олон улсад нэвтэрсэн X-Road технологи дээр суурилсан, Монголын instance нь MN тэмдэглэгээтэй.

Юу шийддэг вэ?¶

Байгууллага хоорондын интеграц уламжлалт байдлаар N × N асуудал үүсгэдэг: 20 байгууллага бие биетэйгээ холбогдоход 190 хос интеграц, тус бүр өөрийн танилт, өөрийн формат, өөрийн SLA-тай.

X-Road үүнийг N болгож хураадаг. Байгууллага бүр нэг security server босгож, түүгээрээ бүх бусадтай ярина. Танилт, шифрлэлт, гарын үсэг, цагийн тэмдэг, лог нь протоколын түвшинд шийдэгдсэн — апп нь тэдгээрийг дахин бичдэггүй.

Топологи¶

graph TB
    subgraph trust[Итгэлцлийн үйлчилгээ]
        direction LR
        CA["eID Mongolia<br/>Root + Issuing CA<br/>OCSP / CRL"]
        TSA["timeserver.mn<br/>RFC 3161 TSA"]
    end

    subgraph control[Instance-ийн удирдлага]
        direction LR
        CS["cs.xroad.mn<br/>Central Server (MN)<br/>globalconf гарын үсэглэнэ"]
        MGMT["mgmt.xroad.mn<br/>Management SS"]
    end

    subgraph members[Гишүүдийн security server]
        direction LR
        RP["rp.gerege.mn<br/>Producer SS"]
        SSG["ss.gerege.mn<br/>Consumer SS"]
        PAY["ss.paygrid.mn<br/>Member SS"]
    end

    CS -->|globalconf| RP
    CS -->|globalconf| SSG
    CS -->|globalconf| PAY
    CS -->|globalconf| MGMT
    MGMT -->|mgmt proxy| CS

    SSG -->|SS ↔ SS| RP
    PAY -->|SS ↔ SS| RP

    CA -.->|OCSP / CRL| RP
    CA -.->|OCSP / CRL| SSG
    TSA -.->|цагийн тэмдэг| RP
    TSA -.->|цагийн тэмдэг| SSG

Бүрэлдэхүүн¶

Сервер	Үүрэг
`cs.xroad.mn`	Central Server — instance `MN`-ийн итгэлцлийн жагсаалт (`globalconf`)-ыг гарын үсэглэн тараана
`mgmt.xroad.mn`	Management security server — гишүүн бүртгэлийн үйлчилгээг нийтэлнэ
`rp.gerege.mn`	Producer security server — үйлчилгээ нийлүүлнэ
`ss.gerege.mn`	Consumer security server — үйлчилгээ хэрэглэнэ
`ss.paygrid.mn`	Гишүүний security server

Итгэлцлийн үндэс¶

X-Road-ийн бүх мессеж гарын үсэгтэй, цагийн тэмдэгтэй явдаг. Тэр гарын үсгийг баталгаажуулах гэрчилгээг хэн олгох вэ?

eID Mongolia нь X-Road-ийн CA үүрэг гүйцэтгэдэг. Мөн OCSP-ээр гэрчилгээний хүчинтэй байдлыг real-time шалгуулна; timeserver.mn нь RFC 3161 цагийн тэмдэг өгнө.

Энэ нь экосистем дэх цорын ганц зөвшөөрөгдсөн «доогуур» хамаарал — Давхарга 1 нь Давхарга 0-д итгэлцлийн үндсийг өгч байна.

Одоогийн төлөв¶

Хагас

Бэлэн: топологийн төлөвлөлт бүрэн; central server ба эхний security server-үүд босч, ажиллаж байна; CA-гийн handover багц бэлтгэгдсэн.

Дутуу: өргөн хэрэглээнд production нэвтрүүлэлт эхлээгүй.

Эрх зүйн урьдач нөхцөл

Одоогийн CA-нууд нь өөрөө гарын үсэгтэй (self-signed) root дээр суурилдаг. Цахим гарын үсгийн тухай хууль тогтоомжийн дагуу root нь эрх бүхий үндэсний байгууллагад байх шаардлагатай. Энэ асуудал X-Road-ийг өргөн хэрэглээнд нэвтрүүлэхээс өмнө шийдэгдэх ёстой — техникийн бус, эрх зүйн блокер.

Gerege Verify-тай хамаарал¶

Gerege Verify нь одоогоор X-Road-ийн хажуугаар ажиллаж буй лавлагааны суваг. X-Road бүрэн нэвтэрсний дараа зарим лавлагаа стандарт X-Road үйлчилгээ рүү шилжих боломжтой.

Дэлгэрэнгүй баримт¶

Гишүүнчлэлийн дэлгэрэнгүй (member class, code, бүртгэлтэй subsystem), серверийн тохиргоо, скриптүүд нь xroad-mn репо-д байрлана. Тэнд сервер бүрийн хавтас, docs/topology.md болон handover баримтууд бий.