Anslutningsvägledning Nationell patientöversikt 2.0
Innehåll Introduktion... 3 Anslutningsblanketter... 4 Anslutning för produktion... 5 Anslutning för test... 6 Anslutning för test med egen klient... 7 Sammanställning blanketter... 8 Certifikatshantering... 9 Brandväggsregler... 10 Sid 2/11
Introduktion Nya NPÖ använder sig av den nya arkitekturen för vårdintegration där ett antal Tjänstekontrakt via den Nationella Tjänsteplattformen används för integration mellan parter. Information utbyts mellan en konsument och en producent av informationen enligt de kontrakt som används. Informationen skickas genom den Nationella Tjänsteplattformen som fungerar som en växel vilket möjliggör lösa kopplingar samt aggregering av information från flera parter. För att ansluta till den Nationella Tjänsteplattformen används ett antal anslutningsblanketter, populärt benämnda A-, B-, C- och D-blanketterna som finns att ladda ned på Ineras hemsida. Det är ganska svårt att överblicka vilka blanketter som skall användas samt vilken information som skall fyllas i blanketterna för att anslutningarna skall bli korrekta eftersom en djup teknisk förståelse av Tjänsteplattformens arkitektur behövs. Detta dokument syftar till att förklara och underlätta ifyllandet av anslutningsblanketterna för anslutande producenter till Nya NPÖ. Sid 3/11
Anslutningsblanketter En anslutning till den Nationella Tjänsteplattformen eller någon av de testmiljöer som finns består av ett antal kopplingar som skall göras i Tjänsteplattformen, och motsvarande beställningsblanketter används för att beställa utförande av dessa kopplingar. De beställningsblanketter som är av intresse för anslutande producenter till nya NPÖ är: Anslutning av konsument Beställning B Anslutning av producent Beställning C Etablera samverkan Beställning D Viktig information för anslutande parter som behövs för ifyllande av blanketterna är: HSA-id för anslutande system (Detta är kopplat till ett Funktionscertifikat som beställs från Inera) Logisk adress, ofta ett HSA-id kopplat till källsystemet som ansluts URL:er som svarar på tjänstekontrakten enligt motsvarande tjänstekontraktsbeskrivning och rivta 2.1 URL:er till PingForConfiguration kontraktet enligt rivta 2.1 HSA-id och logisk adress för den tjänsteplattform som ansluts till HSA-id till anslutande klienter: Nya NPÖ samt eventuella testklienter Innan fyllande av anslutningsblanketterna påbörjas är det bra att säkerställa att all informationen ovan finns tillgänglig. För att underlätta detta finns checklistor som man kan använda sig av som ett kompletterande dokument. För att tydliggöra vilka anslutningsblanketter som behövs, beskrivs ett antal scenarier nedan, där vi börjar med det enklaste vilket är anslutningen till produktionsmiljön, där inga testklienter ingår i anslutningen utan endast den nya NPÖ klienten. Sid 4/11
Anslutning för produktion Anslutningen som producent till nya NPÖ består av ett antal blanketter som behöver skickas till Inera. Den mest uppenbara är C-blanketten för Producentanslutning till de Journal och Läkemedels kontrakt som information produceras mot. Då en blankett per domän behöver skickas in och det finns kontrakt från olika domäner innebär detta att ett flertal C-blanketter kommer behöva skickas in för producentanslutningen av journalsystemet. Sedan behöver en D-blankett för anropsbehörigheten för nya NPÖ klienten skickas in. Denna blankett möjliggör anrop för NPÖ klienten till det anslutande journalsystemet. I denna blankett skall de logiska adresserna till anslutande vårdgivare eller vårdenheter också anges alternativt om källsystemsbaserad adressering används, den logiska adressen till källsystemet. Inte lika uppenbart är B och D blanketterna för kopplingen till Engagemangsindexet. Här agerar journalsystemet konsument till Update kontraktet för Engagemangsindex, och anropsbehörighet till Engagemangsindex behöver också upprättas. Sid 5/11
Anslutning för test Innan anslutning mot produktion sker behöver testning av anslutningen göras. Inera har en testklient som behöver få tillgång till att göra anrop mot producentsystemet för att kunna utföra testanrop genom tjänsteplattformen. Här tillkommer en D-blankett för att etablera samverkan med Ineras testklient, utöver de beställningar som behöver göras på samma sätt som ovan vid anslutning för produktion. Sid 6/11
Anslutning för test med egen klient Vidare finns ett scenario där man vill kunna göra egna testanrop från en egen testklient. Detta scenario är inte applicerbart för alla anslutande parter utan endast för de som själva vill kunna göra SOAP-anrop genom tjänsteplattformen för att testa sin egen anslutning mot tjänsteplattformen. För att testa sin implementation av tjänstekontrakten behöver inte anropen gå via en tjänsteplattform, utan dessa tester kan utföras direkt mot systemen. I detta fall behöver den testklient man sätter upp vara konsument av de Journal och Läkemedelskontrakt man vill kunna anropa samt ha en etablerad samverkan med journalsystemet så att anrop får göras mot det systemet. Vidare vill man kanske testa aggregerade anrop, vilket är det normala fallet för klienter och ett sätt att testa att Engagemangsindex integrationen fungerat. Då behöver beställning D med koppling mot tjänsteplattformen så anrop mot de aggregerande tjänsterna får göras. Sid 7/11
Sammanställning blanketter Nedanstående blanketter behöver sammanställas och skickas in till Inera vid anslutning. Detta behöver upprepas för varje miljö man ansluter till: T.ex. först testmiljön och sedan produktionsmiljön. Anslutningsblanketter Producent - JoL kontrakt Beställning C Engagemangsindex Konsument Beställning B Engagemangsindex Samverkan Beställning D Samverkan med NPÖ klienten Beställning D Samverkan med Ineras testklient Beställning D Kommentar Information om de tjänstekontrakt som skall anslutas till finns på Ineras webb: Tjänstekontrakt inom JoL. En blankett per tjänstedomän som ansluts till. Flera tjänstekontrakt kan ingå i samma tjänstedomän. Integrationen med Engagemangsindex är en konsumentanslutning Anropsbehörighet för anslutet system mot EI på den nationella tjänsteplattformen Anropsbehörighet för nya NPÖ klienten mot det anslutande systemet. En beställning per domän som ansluts till med C- blanketter Anropsbehörighet för Ineras testklient mot det anslutande systemet. En beställning per domän som ansluts till med C- blanketter OBS: Denna beställning behövs bara i testmiljön För anslutning av egen testklient tillkommer följande blanketter: Anslutningsblanketter Kommentar Konsument - JoL kontrakt En blankett per tjänstedomän som ansluts till. Beställning B Flera tjänstekontrakt kan ingå i samma tjänstedomän. Information om de tjänstekontrakt som skall anslutas till finns på ineras webb: Etablera samverkan med aggregerande tjänster Beställning D Etablera Samverkan med Producent Beställning D Tjänstekontrakt inom JoL Anropsbehörighet för testklienten att få anropa de aggregerande tjänsterna på tjänsteplattformen Anropsbehörighet för testklienten att få anropa anslutande producentsystem på JoL kontrakten. Sid 8/11
Certifikatshantering Enligt RIV-TA skall kommunikation med nationella tjänsteplattformen ske på ett säkert sätt enligt bl.a: Tänstekomponenter skall skicka och ta emot anrop över HTTPS, om inte annat anges i regelverk för specifika tjänstekomponenter. HTTPS-sessioner skall autentiseras med hjälp av HTTPS Mutual Authentication. Det innebär att båda parter autentiserar varandra med hjälp av certifikat. Anslutna system behöver därför använda sig av SITHS-funktionscertifikat för att kunna kommunicera med tjänsteplattformen. Tjänsteplattformen använder funktionscertifikat utgivna av SITHS Root CA v1 för både inkommande och utgående anrop. Se Teknisk beskrivning SITHS Root CA för information om anslutning och konfiguration av certifikat. Det är viktigt att den som sätter upp systemet som skall anslutas till den nationella tjänsteplattformen har god förståelse för detta dokument. Se också Installationsmanual Certifikat på SKLTP wikin. För beställning av funktionscertifikat se: SITHS beställnings-sida. HTTPS Kommunikationen sker sedan med TLS (Transport Layer Security), där följande versioner stödjs: TLSv1, TLSv1.1, TLSv1.2. Notera: SSLv3 är avstängt pga. sårbarheter som t ex POODLE. I ett tidigt skede bör konnektiviteten med tjänsteplattformen testas då detta kan vara ett område som är svårt att få rätt från början. Med openssl kan man enkelt testa om konfigurationen är korrekt: Testa konnektivitet. Se: Felsöknings-sidan samt Felkodslistan vid problem och kontakta Ineras nationella kundservice om felsökningen inte lyckas. Sid 9/11
Brandväggsregler Anslutna system skall vara säkra för att säkerställa den nationella arkitekturen, och en brandväggskonfiguration är en naturlig del av detta. För att kommunikationen med nationella tjänsteplattformen och dess olika miljöer skall fungera behöver kommunikationen tillåtas genom att brandväggen öppnar upp för kommunikation till och från Tjänsteplattformen. Information om de Hostnamn, IP-adresser och portar som tjänsteplattformsmiljöerna använder sig av finns på FAQ Teknik sidan. Brandväggsöppning behöver göras för tjänsteplattformens IP-adress enligt ovan. Vid NPÖ-anslutningen skall anslutande system anslutas till SIT miljön först för producentcertifiering av Ineras testpartner NMT. Sedan kommer en anslutning till QA miljön behövas och slutgiltligen kommer anslutning till Produktion. Beroende på vilka system som används i olika skeden av anslutningen (t.ex. test-system och produktions-system) behöver brandväggsöppningarna analyseras av anslutande part för att säkerställa att de beställs mellan rätt system och i tid inför anslutningar. Se nedan för de miljöer som skall anslutas till. Sid 10/11
Producenter till NPÖ behöver ansluta till följande miljöer under anslutningsskedet och utföra motsvarande brandväggsöppningar för sitt/sina anslutande system: Producent-certifiering (SIT miljön) Nät Hostnamn IP-adress Port för inkommande anrop Sjunet test.esb.ntjp.sjunet.org 81.89.154.6 443 Internet test.esb.ntjp.se 164.40.177.102 443 End-to-end (QA miljön) Nät Hostnamn IP-adress Port för inkommande anrop Sjunet qa.esb.ntjp.sjunet.org 81.89.154.20 443 Internet qa.esb.ntjp.se 80.76.159.181 443 Produktion Nät Hostnamn IP-adress Port för inkommande anrop Sjunet esb.ntjp.sjunet.org 82.136.149.61 443 Internet esb.ntjp.se 80.76.159.180 443 Se FAQ Teknik sidan för mer information. Sid 11/11