Если компании нужно добавить вход через Госуслуги на сайт, в личный кабинет или другую информационную систему (ИС), потребуется подключить её к Единой системе идентификации и аутентификации (ЕСИА) и пройти организационную и техническую часть процедуры. Сначала проверяют основания для подключения и готовят организацию, затем регистрируют ИС, получают тестовый доступ и настраивают интеграцию.
Кто может подключить информационную систему к ЕСИА
Подключить информационную систему к ЕСИА может организация, у которой есть основание использовать ЕСИА в конкретном сценарии. До начала подключения нужно определить задачу, для которой используется ЕСИА, и сведения, необходимые информационной системе.
Например, подключение может потребоваться:
- Государственным и муниципальным органам и учреждениям — для идентификации и авторизации граждан в государственных и муниципальных информационных системах.
- Банкам и другим финансовым организациям — в процессах, где законодательство предусматривает идентификацию клиента с использованием ЕСИА.
- Микрофинансовым организациям — в предусмотренных нормативными требованиями сценариях дистанционного взаимодействия с клиентами.
- Страховым компаниям — если использование ЕСИА предусмотрено для конкретной услуги или способа дистанционного обслуживания.
- Операторам связи — в установленных законодательством случаях подтверждения сведений об абоненте.
- Медицинским организациям и цифровым медицинским сервисам — когда использование ЕСИА предусмотрено для конкретной информационной системы или услуги.
- Другим организациям — если нормативные требования или правила государственной информационной системы дают им основание использовать ЕСИА в нужном сценарии.
Принадлежность к определённой отрасли сама по себе не даёт автоматического права на подключение и получение любых данных. Для каждой информационной системы отдельно определяют цель подключения и разрешённые области доступа — перечень сведений, которые она сможет запрашивать.
Поэтому ещё до разработки проверяют основание для подключения, пользовательский сценарий и необходимый состав данных.
Что проверить до начала подключения
До регистрации ИС проверьте организационную и техническую готовность проекта. Неоформленные полномочия, отсутствие электронной подписи или неопределённый состав данных могут остановить работу уже при регистрации системы или получении тестового доступа.
- Основание для подключения. На каком основании организация будет использовать ЕСИА и получать необходимые сведения.
- Сценарий работы пользователя. Нужен только вход через ЕСИА или системе также потребуется получать сведения о пользователе.
- Необходимые сведения. Состав данных определяет области доступа, которые понадобятся информационной системе.
- Необходимость Системы межведомственного электронного взаимодействия (СМЭВ). Если кроме авторизации нужен обмен с государственными информационными системами, эту часть проекта рассматривают отдельно.
- Личный кабинет и полномочия. Проверьте регистрацию организации в ЕСИА и права сотрудника, который будет заниматься подключением.
- Усиленная квалифицированная электронная подпись (УКЭП) и сертификаты. Заранее определите, какие из них потребуются для выбранного сценария.
- Требования к защите информации. Их учитывают до проектирования системы, поскольку они могут влиять на архитектуру и инфраструктуру.
- Исполнитель технической части. До начала интеграции разделите работы между внутренней командой и внешним разработчиком.
Технологический портал ЕСИА — служебный портал, через который организация регистрирует информационную систему и выполняет действия, связанные с её подключением.
К началу проекта желательно подготовить:
| Что подготовить | Для чего понадобится |
|---|---|
| Данные организации и ответственного сотрудника | Для действий от имени организации и работы с Технологическим порталом |
| УКЭП | Для действий и документов, которые должны быть подписаны электронной подписью |
| Сведения об информационной системе | Для регистрации ИС |
| Мнемоника ИС — уникальное обозначение информационной системы, если оно уже присвоено | Для идентификации зарегистрированной ИС при взаимодействии с ЕСИА |
| Сертификат информационной системы | Для выполнения требований защищённого взаимодействия |
| Перечень необходимых областей доступа | Чтобы определить сведения, которые должна получать система |
| Данные для тестового подключения | Для получения доступа к тестовой среде |
| Данные для промышленного подключения | Для перехода к работе с реальными пользователями после тестирования |
Формы заявок и состав документов проверяйте по действующим материалам ЕСИА перед подачей.
ЕСИА, Госуслуги и СМЭВ: в чём разница для проекта
ЕСИА, Госуслуги и СМЭВ решают разные задачи. До проектирования нужно определить, какая из этих систем участвует в вашем сценарии.
| Система | Для чего используется |
|---|---|
| Госуслуги | Пользовательский портал, через который граждане и организации получают государственные услуги |
| ЕСИА | Идентификация и аутентификация пользователя, а также предоставление информационной системе разрешённых сведений о нём |
| СМЭВ | Обмен данными между государственными информационными системами и другими участниками межведомственного взаимодействия |
Если личному кабинету компании требуется только вход пользователя через подтверждённую учётную запись, задача связана прежде всего с ЕСИА. Если проект предусматривает обмен сведениями с другими государственными информационными системами, отдельно проверяют необходимость подключения к СМЭВ.
На практике задача «подключить сайт к Госуслугам» может означать разные виды интеграции. Поэтому при постановке задачи нужно разделить авторизацию пользователя и межсистемный обмен данными.
Этап 1. Подготовить организацию и ответственного сотрудника
Сначала в ЕСИА регистрируют организацию и настраивают полномочия сотрудников, которые будут действовать от её имени.
Если личного кабинета организации в ЕСИА ещё нет, его регистрируют до начала работы с информационной системой. Для действий от имени организации используется учётная запись руководителя или другого сотрудника с соответствующими полномочиями. В предусмотренных процедурой случаях потребуется УКЭП.
Затем назначают сотрудника, который будет заниматься подключением ИС. У него должна быть подтверждённая учётная запись, связь с нужной организацией и права на выполнение необходимых действий.
Перед регистрацией информационной системы проверьте:
- личный кабинет организации создан и доступен;
- ответственный сотрудник добавлен к организации;
- ему выданы необходимые полномочия;
- подготовлена УКЭП там, где она требуется процедурой.
Названия ролей, групп и полномочий лучше сверять с руководством пользователя Технологического портала ЕСИА: интерфейс и состав доступов могут меняться.
Когда личный кабинет организации создан, сотрудник назначен, а его полномочия проверены, можно переходить к регистрации информационной системы.
Этап 2. Зарегистрировать информационную систему
После подготовки организации на Технологическом портале регистрируют саму информационную систему. Для неё создаётся отдельная запись в ЕСИА со своими параметрами взаимодействия.
При регистрации указывают сведения об ИС, её назначение и данные, необходимые для подключения.
При регистрации используется присвоенная ИС мнемоника. По ней информационная система идентифицируется при взаимодействии с ЕСИА. Если мнемоника уже существует, используют её; в остальных случаях действуют по актуальной процедуре регистрации.
На этом же этапе определяют разрешённые области доступа. Они задают перечень сведений, которые информационная система сможет запрашивать после авторизации пользователя. Состав данных должен соответствовать пользовательскому сценарию и основаниям подключения.
Также готовят сертификаты и другие технические данные, предусмотренные выбранным вариантом взаимодействия.
После регистрации ИС и определения её параметров можно оформлять доступ к тестовой среде ЕСИА.
Этап 3. Получить доступ к тестовой среде ЕСИА
В тестовой среде разработчики проверяют интеграцию до подключения реальных пользователей.
Для подключения организация подаёт заявку по действующей процедуре. В ней указывают сведения об ИС, параметры взаимодействия, необходимые области доступа и другие сведения и документы, предусмотренные действующей процедурой.
Перед подачей проверьте, что:
- информационная система зарегистрирована;
- подготовлен необходимый сертификат;
- определены области доступа;
- ответственному сотруднику выданы нужные полномочия;
- техническая команда готова приступить к проверке интеграции после предоставления доступа.
Актуальную форму заявки, требования к сертификатам и состав сведений проверяют по действующему Регламенту ЕСИА.
После предоставления тестового доступа разработчики могут проверять полный сценарий авторизации, получение разрешённых сведений и обработку ошибок.
Этап 4. Реализовать и проверить авторизацию через ЕСИА
После получения тестового доступа начинается техническая интеграция. Для авторизации используются OAuth 2.0 и OpenID Connect. OAuth 2.0 задаёт механизм предоставления системе ограниченного доступа, а OpenID Connect позволяет подтвердить личность вошедшего пользователя и получить предусмотренные сценарием сведения. Технические требования к взаимодействию описаны в Методических рекомендациях по использованию ЕСИА.
Авторизация проходит по следующей схеме:
- Пользователь нажимает кнопку «Войти через Госуслуги» на сайте, в личном кабинете или другом сервисе.
- Информационная система перенаправляет его в ЕСИА с параметрами запроса и адресом возврата.
- Пользователь проходит авторизацию и подтверждает доступ к предусмотренным сценарием сведениям.
- ЕСИА возвращает пользователя в информационную систему с кодом авторизации.
- Сервер информационной системы обменивает код на служебные данные доступа — токены, необходимые для дальнейшего взаимодействия с ЕСИА.
- Система получает разрешённые сведения и связывает их с пользователем в своей информационной системе.
В тестовой среде проверяют успешный вход и ошибочные сценарии: отказ пользователя, недоступность ЕСИА, неверные или просроченные данные авторизации, повторный вход и другие ситуации, предусмотренные проектом.
Отдельно проверяют адреса возврата и корректность запрашиваемых областей доступа.
Закрытые ключи хранят и используют в защищённой части инфраструктуры в соответствии с требованиями к конкретному подключению. Передавать их в браузер пользователя или хранить в открытом виде нельзя. Требования к криптографической защите, сертификатам, инфраструктуре и защите информации определяются действующей документацией ЕСИА и условиями проекта.
К промышленному подключению переходят после проверки входа, возврата пользователя в систему, получения разрешённых сведений и обработки ошибок.
Этап 5. Перейти в промышленную среду
Промышленное подключение оформляют после успешного тестирования интеграции и выполнения требований к рабочему контуру.
Перед подачей заявки проверяют:
- авторизация стабильно работает в тестовой среде;
- информационная система запрашивает согласованные области доступа;
- корректно настроены адреса возврата и обработка ошибок;
- подготовлены действующие сертификаты и необходимые документы;
- выполнены относящиеся к проекту требования по защите информации;
- ответственный сотрудник имеет необходимые полномочия.
Когда проверка завершена, организация оформляет промышленное подключение.
После предоставления промышленного доступа система начинает работать с реальными учётными записями пользователей ЕСИА. На рабочем контуре ещё раз проверяют весь пользовательский путь: вход, возврат в систему, получение разрешённых сведений и обработку ошибок.
Кто за что отвечает при подключении к ЕСИА
До начала работ распределите ответственность между организацией, специалистами по информационной безопасности и разработчиками.
| Участник | За что отвечает |
|---|---|
| Руководитель или администратор организации | Регистрация организации, назначение ответственного сотрудника, выдача полномочий, действия от имени организации, подписание необходимых документов |
| Ответственный сотрудник | Работа с Технологическим порталом, регистрация ИС, подготовка и подача заявок в пределах своих полномочий |
| Специалисты по информационной безопасности | Требования к защите информации, сертификатам, ключам и инфраструктуре, проверка выполнения этих требований |
| Разработчик или интегратор | Проектирование интеграции, реализация авторизации через ЕСИА, настройка взаимодействия, обработка ошибок и тестирование |
| Оператор ЕСИА | Рассмотрение заявок, проверка данных и предоставление доступа к тестовой и промышленной средам |
Разработчик может подготовить техническую часть интеграции и необходимые технические сведения. Действия от имени организации выполняют её уполномоченные сотрудники.
Что может задержать подключение
Проект может остановиться ещё до технической интеграции, если не подготовлены полномочия, сертификаты или основания для получения данных.
- Не определено основание для подключения. Из-за этого нельзя точно определить необходимые сведения и области доступа.
- Не настроены полномочия. Сотрудник назначен, но не может выполнять необходимые действия от имени организации.
- Проблемы с сертификатами. Подключение может остановиться, если сертификат не соответствует требованиям или срок его действия истёк.
- Используются устаревшие документы. Формы и требования нужно проверять по действующей документации ЕСИА.
- Поздно определены требования к защите информации. Они могут потребовать изменений в уже спроектированной архитектуре или инфраструктуре.
- Ошибки интеграции. Среди типовых проблем — неверный адрес возврата, некорректные области доступа и необработанные ошибки авторизации.
- Разработка опережает организационную подготовку. Интеграция готова к проверке, но у организации ещё нет необходимых полномочий, сертификатов или тестового доступа.
Что можно сделать самостоятельно, а что поручить разработчику
Организация подтверждает основания для подключения, назначает ответственных сотрудников, выдаёт им полномочия, оформляет электронные подписи и выполняет действия, которые должны совершаться от её имени.
Разработчик может проанализировать сценарий, спроектировать взаимодействие с ЕСИА, доработать сайт или личный кабинет, реализовать авторизацию и получение разрешённых данных, а затем провести тестирование интеграции.
Зоны ответственности лучше определить до старта разработки: организация занимается полномочиями и действиями от своего имени, техническая команда — интеграцией информационной системы.
Alto интегрирует веб-системы с внешними сервисами, разрабатывает личные кабинеты, серверную логику, авторизацию, роли и права доступа. Команде Alto можно передать техническую часть проекта: анализ сценария, проектирование интеграции, доработку информационной системы, реализацию авторизации и тестирование.