Teknisk spec HRM 171 april 2017

Teknisk specifikation Datum 2017-04-27 Version 171 Sida 1(14) Teknisk spec HRM 171 april 2017 Programversion: 171 april 2017 Teknisk spec HRM 171 april 2017 1

Innehåll 1 FÖRBEREDELSER... 3 1.1 ALLMÄNNA... 3 1.2 FÖRBEREDELSER AV IT MILJÖ... 3 1.2.1 Flex HRM Programmiljö... 4 2 INSTALLATION... 5 2.1 DATABAS... 5 2.2 KRAVSPECIFIKATION SQL SERVER... 5 2.3 KONFIGURATION AV SQL SERVER... 5 2.4 WEBBSERVERMJUKVARA... 6 2.5 WEBBSERVERHÅRDVARA... 6 2.6 RÄKNEEXEMPEL VID UPPSKATTNING AV SERVERHÅRDVARA... 7 2.7 NÄTVERK... 7 2.8 KLIENTER OCH KLIENTMJUKVARA... 8 2.8.1 Utskrifter... 8 2.9 HRM MOBILE... 8 2.10 HRM TIMECLOCK... 8 2.11 INSTALLATION... 9 2.12 UPPDATERING TILL NY PROGRAMVERSION... 9 3 INTEGRATIONER MED EXTERNA APPLIKATIONER OCH TJÄNSTER... 10 3.1 FLEX LÖN OCH FLEX HRM... 10 3.2 KONTOKORT... 10 3.3 EUROCARD... 10 3.4 FIRST CARD... 11 3.5 FILER OCH FILTYPER... 11 4 SINGLE SIGN ON-LÖSNINGAR... 12 4.1 MIXED MODE AUTHENTICATION FLEX HRM... 12 4.2 MIXED MODE AUTHENTICATION FLEX HRM MOBILE... 13 4.3 CLAIMS-BASED AUTHENTICATION FLEX HRM & FLEX HRM MOBILE... 13

1 Förberedelser 1.1 Allmänna Installation av Flex HRM programvaror skall alltid göras av eller i samarbete med Flex Applications konsulter. För att installationen skall gå så smidigt som möjligt är det bra om det inför installationen är förberett med alla nödvändiga serveradresser och inloggningar. Om installationen skall göras via uppkoppling bör förutsättningarna för detta kontrolleras. Vi kan erbjuda uppkoppling med TeamViewer, en klient för detta finns tillgänglig för kunder på vår hemsida. Om uppkoppling skall ske via VPN bör konto för VPN-uppkoppling vara förberett. Inloggningsuppgifter skickas med fördel till konsulten i förväg så att uppkopplingen kan testas i god tid innan installationen. Ifall det inte är möjligt att göra installationen via uppkoppling görs den på plats hos kunden. Detta alternativ innebär i regel en merkostnad då debitering för hel alternativt halvdag utgår samt debitering av restid. I de fall kunden väljer att låta driften av HRM skötas av Flex så behövs inga förberedande åtgärder vidtas av kunden. 1.2 Förberedelser av IT miljö Flex HRM använder Microsoft SQL Server och vi rekommenderar att den senaste versionen av Microsoft SQL Server används. För dem som inte har en licens av Microsoft SQL Server finns möjlighet att använda en kostnadsfri variant, Microsoft SQL Server Express, som finns att hämta på Microsofts hemsida. Då Expressversionerna av SQL är gratis finns vissa begränsningar i dess funktion vad gäller databasernas storlek, möjlighet att schemalägga backuper och liknande. Vad som gäller kan variera beroende på vilken version av SQL Express som är tänkt att använda, kontrollera därför vad som gäller för just den versionen ni har valt. Det är också viktigt att SQL Server Management Studio finns installerat, detta är ett verktyg för att hantera Microsoft SQL databaser. Verktyget är gratis och följer med vissa installationspaket av SQL Express. Flex HRM är en webbaserad programvara och kräver således en webbserver för att fungera. Flex HRM använder sig av Microsoft IIS Server som plattform. Microsoft IIS (Internet Information Services) Server är en serverprogramvara från Microsoft för internetbaserade tjänster. IIS levereras tillsammans med Microsofts Server operativsystem (Windows Server 2012 etc.) där det installeras som en server roll. Vid installationen av HRM är det viktigt att Flex konsulter får de behörigheter som krävs för att kunna utföra sitt arbete. Detta innebär att ett användarkonto med Teknisk spec HRM 171 april 2017 3

lokala administratörsbehörigheter på de berörda servrarna ställs till Flex konsultens förfogande vid installationstillfället. 1.2.1 Flex HRM Programmiljö HRM är utvecklat i C# och.net. Utöver det används även andra språk som XML, JavaScript, HTML och CSS. Flex HRM är designat att köras på Windowsbaserade webbservrar som kör IIS.

2 Installation 2.1 Databas HRM lagrar all data i en databas och är därmed beroende av en SQL-server för att kunna fungera. Databasen kan installeras på samma server som HRM eller läggas på en separat SQL server. I de fallen där kunden väljer att ha sin HRM-installation i den egna miljön eller hos en av kunden utvald IT-partner så ansvarar kunden själv för säkerhetshantering och administrering av HRM-databasen. Flex ansvarar inte heller för att backuper av databasen tas och kommer inte heller att sätta upp schemalagda backuper av databasen. Att backuper av databasen tas med jämna mellanrum måste alltså kunden säkerställa tillsammans med sin IT-avdelning. Väljer kunden att låta Flex med driftpartners stå för driften så ansvarar dessa parter för administrering och backuper av databasen. 2.2 Kravspecifikation SQL Server Flex HRM är designat för användning tillsammans med Microsoft SQL 2008R2 eller högre. Versioner som stödjs är följande: Microsoft SQL Server 2008R2 Microsoft SQL Server 2012 Microsoft SQL Server 2014 Detta inkluderar även Express-versionerna. 2.3 Konfiguration av SQL Server SQL-servern skall vara inställd på att använda Mixed Mode Authentication utöver Windows authentication för autentisering mot databasen. Vid uppsättning av HRM kommer en databas med tillhörande användare att skapas. Denna användare kommer applikationen att använda sig av och skall ställas in med SQL Server authentication. Användaren kommer även att sättas som dbo (db_owner) på databasen. Collation på databasen skall vara Finnish_Swedish_CS_AS eller Finnish_Swedish_CI_AS för att sorteringar i programmet skall följa svensk standard. I de fallen där någon av dessa collations inte är satta som default på instansen så skall detta ändras på HRM-databasen. Databasen som skapas för HRM är gemensam för alla dess programmoduler, vilket innebär att HRM Mobile och HRM TimeClock använder sig av samma databas som moderprogrammet. Teknisk spec HRM 171 april 2017 5

2.4 Webbservermjukvara Flex HRM är designat för att användas tillsammans med Microsoft IIS. IIS är en webbserver som levereras tillsammans med Microsofts server operativsystem och installeras där som en tilläggsroll. Operativsystem: Webbserver: Microsoft Windows Server 2008R2 Rekommenderat: Microsoft Windows Server 2012/2012R2 IIS version 7 eller senare tillsammans med tillägget Microsoft Web Deploy 3.5 Rekommenderat: IIS version 8 eller 8.5 1.NET HRM Kräver att.net Framework 4.6.2 är installerat 2 Utöver IIS rollen behöver även följande funktioner läggas till IIS, dessa återfinns under noden Applications Development:.NET Extensibility 4.5 ASP ASP.NET 4.5 Verktyget Web Deploy Forms Authentication Aktiverat Övriga tillägg kan bli aktuella beroende på vilka funktioner som önskas användas. 2.5 Webbserverhårdvara Hårdvarukraven för HRM varierar beroende på organisationens storlek och antalet användare samt vilka programmoduler som används. Nedan rekommendationer är generella för att ge en fingervisning i planering och uppsättning. Processor Internminne: Nätverk: X64 baserad Intel Xenon processor eller motsvarande AMD Opteron. Exempelvis Xeon E5 1620V3 eller likvärdig processor. 4 GB minne rekommenderas (se rekommendationsexempel nedan) Anslutningen mot internet skall vara minst 10/10 Mbit/s. Rekommenderat är 100/100 Mbit/s. Vid fler än 50 användare rekommenderas alltid minst 100/100 Mbit. HRM är en uträkningsintensiv applikation som ställer krav på webbserver när många är inne och administrerar sina tidrapporter och reseräkningar samtidigt. På 1 Levereras tillsammans med Windows Server 2012 respektive Windows Server 2012R2. 2 Vid installation kommer våra tekniker att installera.net Framework 4.6.2 på servern om det inte redan finns tillgängligt. Säkerställ därför att andra applikationer på servern är kompatibla med denna version av.net. Finns osäkerheter kring detta måste det kontrolleras innan installation då Flex Applications inte tar ansvar för funktion av andra applikationer

nästa sida följer ett räkneexempel hur man kan uppskatta lämplig hårdvara för Flex HRM. 2.6 Räkneexempel vid uppskattning av serverhårdvara För en installation avsedd för mellan noll till hundra användare rekommenderas en server med 2 CPU kärnor och 4GB minne. Därtill rekommenderas 1 CPU kärna samt ytterligare 1 GB minne per 100 användare. Exempel för 400 användare blir då: 2 CPU + 4GB minne + 3x (1 CPU + 1GB minne) = 5 CPU & 7GB minne. I stora miljöer med hundratals användare där många användare kan förmodas jobba i systemet samtidigt kan en lastbalanserad miljö vara att rekommendera. Exempelvis en miljö där en server agerar lastbalanserare och fördelar arbetsbelastningen över ett antal IIS servrar där HRM finns installerat. 2.7 Nätverk För att kunna surfa in till applikationerna via Internet ska webbservern ha en fast publik internetadress. Servern bör alltid skyddas utifrån Internet genom att den placeras bakom en brandvägg. Port 80 (HTTP) eller port 443 (HTTPS) är de portar som ska vara öppna för att användare ska kunna ansluta till webbservern. Att skydda den externa anslutningen med hjälp av HTTPS-certifikat är starkt rekommenderat. Kommunikationen mellan HRM-applikationen och dess databas är beroende av låga svarstider för att bibehålla en optimal prestanda och användarupplevelse. Kopplingen till databasservern bör därför ligga på 1 Gbit/s och svarstiderna bör aldrig överstiga 1 ms. HRM använder sig utav en Connection String för kommunikation mot databasen. Standardporten för denna är 1433 och denna skall därför vara öppen för trafik mellan webbservern där HRM installeras och SQL- servern. Port 1433 kan bytas mot en egenkonfigurerad port 3, men det viktiga är att de berörda servrarna kan kommunicera över avsedd port. 3 Konfigurationen för detta sker i SQL Server Configuration Manager: https://msdn.microsoft.com/en-us/library/ms177440.aspx Teknisk spec HRM 171 april 2017 7

2.8 Klienter och klientmjukvara HRM kan användas från både MAC och Windows PC. Skärmupplösning: Lägsta skärmupplösning som stöds är 1280 x 1024 För TimeClock är det 800x600 samt 9 tums storlek Stöd för zoomning i webbläsaren saknas, så för en korrekt återgivning av applikationen behöver zoominställningen i webbläsaren vara satt till 100% Nätverk: Hastigheten för nätverksuppkopplingen (internet) rekommenderas till 10Mbit/s Webbläsare: Internet Explorer 10 eller högre Google Chrome 33 eller högre Mozilla FireFox 29 eller högre Safari 6.2 (OBS endast för Mac användare) Microsoft EDGE 2.8.1 Utskrifter För att du ska kunna skriva ut från Flex HRM behöver Adobe Reader eller annan PDF-läsare finnas installerad på den klient från vilken utskriften sker. 2.9 HRM Mobile HRM Mobile är en mobilanpassad version av Flex HRM anpassad för åtkomst från mobila enheter. HRM Mobile är utvecklat i HTML 5, varför stöd för detta måste finnas på de enheter som skall ansluta till sidan. Operativsystem: IOS version 9 eller Android 4.1.2 eller högre Webbläsare: Stöd för HTML 5. Chrome rekommenderas som webbläsare för Androidvarianten. Skärmupplösning: Minst 320 x 480 Uppkoppling: Minst 3G (6,7Mbit/s) rekommenderas. Funktionen för Mobile testas med hjälp av ett urval av mobilmodeller, dessa är Samsung Galaxy S6 och S7, Iphone 5, 6 och 7, Huawei Nexus 6P samt Sony Xperia Z5 Premium. Telefonerna hålls uppdaterade med senast tillgängliga systemprogramvara ios10 samt Android v7.0 Nougat. För bästa upplevelse bör zoomen på mobilens webbläsare vara inställd på 100%. För Windows Phone testas funktionen med webbläsaren Microsoft EDGE. Målsättningen är att Mobile skall fungera på ett så brett spektrum av Android, Windows Phone och ios enheter som möjligt, men av praktiska skäl är det dessa modeller som den idag testas med. 2.10 HRM TimeClock HRM TimeClock är ett webbaserat tidstämplingsur som man surfar in på från en klient likt en vanlig hemsida. Hård- och mjukvarukraven för HRM TimeClock är desamma som för övriga delarna av HRM applikationssvit med undantag för webbläsaren. Internet Explorer rekommenderas inte för användning tillsammans

med HRM TimeClock då prestandan och minnesanvändningen kommer försämras över tid. När man ansluter till HRM TimeClock så möts man av en inloggningsruta, alla användare som läggs upp i HRM har som standard rättigheten att logga in i HRM TimeClock, inloggningsrutan finns där för att bara autentiserade anrop skall gå mot HRM WebApi. Det är WebApi som sköter all autentisering och kommunikation med HRM åt webbklockan. Inloggningen till TimeClock sparas sedan i en cookie i klientens webbläsare, denna cookie kommer att vara giltig även om webbläsaren startas om, så en ny inloggning efter omstartad webbläsare skall inte vara nödvändig. 2.11 Installation Rekommendationen är att Flex HRM installeras under Default Web Site eller under en egen site på IIS:en. Att lägga applikationen på sitenivå rekommenderas inte, då kompabiliteten med bland annat verktyget för uppdatering av HRM programvaran försvinner. Även programinställningar som lagras på sitenivå kommer att skrivas över vid uppdatering om applikationen installeras på den nivån. Bilden till vänster illustrerar den rekommenderade installationslayouten i IIS. I detta fall kommer applikationsinställningar lagras i web.config filer under den virtuella mappen Default Web Site och kommer inte påverkas vid uppdatering av HRM-mjukvaran. 2.12 Uppdatering till ny programversion Uppdateringsverktyget för Flex HRM kallas för Flex.Net.Installer och medföljer programuppdateringarna för Flex HRM som finns att hämta på kundzonen på flex applications hemsida: https://www.flexapplications.se/flex-kundzon/ Uppdateringsprogrammet kräver att Flex HRM är installerat enligt de rekommendationer som nämns under avsnittet Installation. Utöver det kräver uppdateringsprogrammet motsvarande.net version som Flex HRM samt att IIS tillägget Web Deploy 3.5 finns installerat: http://www.iis.net/downloads/microsoft/web-deploy För användarinstruktion om Flex.Net.Installer, se dokumentet Uppdateringsanvisning Flex HRM som finns publicerad på kundzonen. Teknisk spec HRM 171 april 2017 9

3 Integrationer med externa applikationer och tjänster 3.1 Flex Lön och Flex HRM Flex HRM kan integreras med Flex Lön för att presentera bl.a. lönespecifikationer och kontrolluppgifter i HRM, samt för att föra över personuppgifter, lönetransaktioner, scheman och saldon mellan applikationerna. För att integrationen skall fungera måste följande komponenter finnas på plats: HRM WebAPI (HRM) FlexAPI (Classic) Flex Lön (Classic) För att rapporterna skall kunna skapas och föras över till HRM så måste Flex_Client_Setup finnas installerat på samma server som FlexAPI:t. Flex Client Setup är en applikation som levereras tillsammans med Flex Lön och innehåller den komponent som skapar rapporterna. För mer information, se dokumentet: Beskrivning av Integration mellan Flex Lön och Flex HRM 3.2 Kontokort I dagsläget stödjer HRM importer av transaktioner från Eurocard samt First Card. För att denna funktion krävs att kunden beställer tjänsten hos respektive leverantör. 3.3 Eurocard Eurocard använder en SFTP-lösning för hämtning av transaktionsfilerna. Denna kommunikation sker över port 22. Man behöver ha en fast extern IP-adress som anmäls till Eurocard för att de skall tillåta anslutning till deras SFTP-server. Vi föreslår att man använder WinSCP 4 för att hämta transaktionsfilerna till den lokala servern. Detta jobb kan scriptas och sedan schemaläggas med hjälp av schemaläggaren i Windows. Transaktionsfilerna läggs sedan lokalt på HRM servern eller i en mapp HRM-servern kan nå. För att HRM sedan skall kunna läsa in filerna behöver den lokala gruppen hrmserver\iis_iusrs ha modify-rättigheter till denna mapp. 4 https://winscp.net/eng/docs/introduction

3.4 First Card First Card använder en webbtjänst för leverans av filer. Webbtjänsten kallas webbfile 2.0 och kan nås på adressen https://www.firstcard.se/travelbox/fileget.jsp Transaktionsfilerna läggs sedan lokalt på HRM servern eller i en mapp HRM-servern kan nå. För att HRM sedan skall kunna läsa in filerna behöver den lokala gruppen hrmserver\iis_iusrs ha modify-rättigheter till denna mapp. 3.5 Filer och filtyper Flex HRM stödjer en rad olika filtyper för olika ändamål. Nedan listas de filer som stödjs av Flex HRM Import projekt:.txt.csv Bilagor:.docx Anställdaregistret, fliken Dokument & Bilagor i Res:.3g2.3gp.3gpp.avi.bmp.chm.doc.docm.docx.dot.flv.gif.jpeg.jpg.m4a.m4v.m4v.mid.midi.mov.mp3.mp4.mpeg.mpg.pjpeg.png.tif.tiff.wav.wma x-png Teknisk spec HRM 171 april 2017 11

4 Single Sign On-lösningar 4.1 Mixed Mode Authentication Flex HRM Mixed Mode avser både formulärbaserad inloggning med användarens uppgifter i HRM och Windows Autentisering med användarens inloggningsuppgifter i domänen påslaget samtidigt. Lösningen kan endast användas då Flex HRM är installerad på en server som är ansluten till samma domän som användarna. Då användaren är inloggad i domänen kommer denne direkt in i Flex HRM utan att behöva ange några inloggningsuppgifter. När användaren navigerar till Flex HRM från en dator som inte är domänansluten kommer webbservern att fråga efter inloggningsuppgifter för domänen och sedan automatiskt logga in i Flex HRM. I HRM finns det en användarspecifik inställning som styr om användaren endast får logga in med domänuppgifter, Kräv Single Sign On. HRM stödjer i detta läge autentiseringsprotokollen Kerberos och NTLM. På följande sida visas en grafisk sammanfattning av Mixed Mode Authentication för Flex HRM

4.2 Mixed Mode Authentication Flex HRM Mobile Mixed Mode Authentication i Flex HRM Mobile fungerar i stort sett på samma sätt som i Flex HRM Webb. Den enda skillnaden är att mobilapplikationen kontrollerar att den domäninloggade användaren existerar i Flex HRM med hjälp av Flex HRM Web API på grund av att mobilapplikationen inte har någon direkt anslutning till databasen. För att Mixed Mode Authentication ska fungera i Flex HRM Mobile så måste Windows Authentication aktiveras i Flex HRM Web API. När en användare i HRM Mobile skickar anrop som kräver att databasen används så involveras Flex HRM Web API. För att autentisera domäninloggade användare så autentiserar sig HRM Mobile med Windows Autentisering genom att signera anropen med applikationspoolens identitet och skicka med den inloggade användarens användarnamn i en cookie. HRM Web API kontrollerar så att anropet är autentiserat och just den användaren som konfigurerats att godkänna är den som skickat anropet, i detta fall mobilapplikationens applikationspoolsidentitet. När HRM Web API vet vem som skickat anropet så skapas ett Principalobjekt med hjälp av användarens domänanvändarnamn som skickats med i en cookie, om användaren existerar så slutförs anropet. Om användaren inte existerar kommer den inloggningen misslyckas. 4.3 Claims-Based Authentication Flex HRM & Flex HRM Mobile Claims-Based authentication möjliggör för Flex HRM att delegera autentiseringen av användare i Flex HRM till en extern part. På detta vis kan man integrera Flex HRM i ett annat webbaserat system genom att endast ange en länk och utan att behöva ange sina inloggningsuppgifter på nytt. Flex HRM stödjer WS-Federation protokollet, vilket kort innebär att Flex HRM kan överlåta autentiseringen av en användare till en ADFS server. ADFS servern tar hand om autentiseringen av användaren via ADDS och skickar sedan tillbaks ett security token (SAML token) till Flex HRM som bekräftar att användaren är behörig att logga in i Flex HRM. På ett liknande sätt kan man använda Flex HRM Mobile tillsammans med en ADFS lösning. Där den enda tekniska skillnaden är att Flex HRM Mobile behöver vidarebefordra den utfärdade SAML token till HRM WebAPI för autentisering. På följande sida finns en bild som visualiserar autentisering med hjälp av en ADFS server. För en djupare beskrivning av Flex HRM tillsammans med Claims-Based Authentication hänvisas till dokumentet: Claims-Based Authentication in Flex HRM av Simon Karlsson. Teknisk spec HRM 171 april 2017 13