Hallo zusammen,

mich hat auf der Medizin Messe in Stuttgart am vergangenen Wochenende ein Mitarbeiter der Firma cardassist.eu angesprochen. Diese Firma bietet unter anderem die Möglichkeit sämtliche Konnektoren, KTs und gSMC-KTs der gängigen Hersteller, sowie eHBA und SMC-B dort zu beziehen. Was aber viel Interessanter ist, die Firma bietet ein Monitoring Tool, mit dem man alle bei seinen Kunden verbauten Konnektoren Remote überwachen kann. Zudem soll es möglich sein über das Tool FW Updates durchzuführen, die SMC-B zu verifizieren, den PIN ändern und zu entsperren, alles ohne zutun einer MFA vor Ort. Sollte dieses Tool so funktionieren wie es angepriesen wird, dann wäre es eine erhebliche Zeitersparnis.

Hat jemand hier schon Erfahrungen mit dieser Firma, bzw. dem Tool?

Kenne die Firma jetzt nicht und hab mit deren Softwarelsg. noch keine Erfahrung. Nach kurzem Blick auf deren Webpräsenz ähnelt das augenscheinlich aber dem KMS vom Hersteller ehex: https://ehex.de/produkte/konnektor-manager/ Mit diesem hätte ich Erfahrung.

Die Zielgruppe sind hier mMn vor allem RZ- bzw. TI-As-A-Service Dienstleister. Mit min. dreistelliger Anzahl an Konnektoren.

Die aktuell ein Dutzend Konnektoren unseres Krankenhaus- und MVZ-Verbundes lassen sich aktuell auch ohne separates Managementsystem verwalten.
Für uns als IT-Abteilung, für die TI nur ein Nebengeschäft unter vielen ist, ist es für mich persönlich essentieller, dass das in unser zentrales Monitoring integriert ist (checkmk), statt an einer weiteren zusätzlich zu unterhaltenden Stelle.

Also ich bin Fan vom Monitoring und nutze selbst CheckMK - mich würde wie weit die Integration geht. Vielleicht magst Du mir @backtotopic da mehr Imput geben? Würde mich freuen das bei mir auszubauen.

Die CGM vertreibt für Krankenhäuser den 'Sentinel', mit dem geht Konnektor Management für Clinical.


Aus meiner Sicht gibt es zwei Anwendungsfälle für Automatisierung und Tools:
Das eine ist eine SOAP Abfrage an die :443 Schnittstelle z.B. für Check MK
Wichtig ist: Wenn TLS erzwungen wird, benötigst du für die Anmeldung an der SOAP Schnittstelle ein Zertifikat, und das sollte bei allen Konnektoren idealerweise identisch sein, sonst musst du für jeden abgefragten Konnektor ein anderes Zertifikat einlesen und verwalten.

Das andere ist ein Management-Tool für :9443
Passwortwechsel, Registrierung in der TI, Infomodell anlegen oder ändern, Firmwareupdate durchführen, Kartenterminal hinzufügen/löschen, Pin ändern, Admin-Pin hinterlegen. Wir haben am Ende nachprogrammiert, was die Oberfläche via Webbrowser zum Konnektor schickt. Das kann man ja in der Browserkonsole nachsehen.

Das Tool konnektor-backup.de macht ähnliches, kann aber deutlich weniger. Aber die Grundfunktionen sind ja dort schon drin, insbesondere die Anmeldung auf :9443 kann man ja gut wiederverwenden und sich den restlichen Kram reinprogrammieren, den man im Alltag benötigt. Was das Konnektorbackup kann ist z.B. ein Zertifikat von einem Konnektor zu exportieren und auf einen anderen Konnektor hochzuladen, um SOAP Authentifizierung bei erzwungendem TLS mit identischem Zertifikat zu ermöglichen.


Hier mal ein Proof of Concept für CheckMK SOAP Abfrage:

#!/usr/bin/env python3
import requests, xml.dom.minidom, ssl, sys, re, argparse, urllib3, subprocess, os
from base64 import b64encode
from socket import timeout
urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)
 
soapBody = """
 <soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:v7="http://ws.gematik.de/conn/EventService/v7.2" xmlns:v2="http://ws.gematik.de/conn/ConnectorContext/v2.0" xmlns:v5="http://ws.gematik.de/conn/ConnectorCommon/v5.0" xmlns:v21="http://ws.gematik.de/conn/CardServiceCommon/v2.0">
 <soapenv:Header/>
   <soapenv:Body>
     <v7:GetResourceInformation>
     <v2:Context>
         <v5:MandantId>%s</v5:MandantId>
         <v5:ClientSystemId>%s</v5:ClientSystemId>
         <v5:WorkplaceId>%s</v5:WorkplaceId>
     </v2:Context>
     </v7:GetResourceInformation>
 </soapenv:Body>
 </soapenv:Envelope>
"""
 
class Koco:
   def __init__(self, host, Mandant, ClientSystem, Arbeitsplatz, authMethod):
      self.host = host
      self.Mandant = Mandant
      self.ClientSystem = ClientSystem
      self.Arbeitsplatz = Arbeitsplatz
      self.headers = {}
      self.Message = ''
      self.Sds = ''
      self.Soap = ''
      self.session = requests.session()
      self.session.trust_env = False
      # Set Auth Parameter
      self.URL = f'https://{host}:443'
      self.cert = None
      self.Auth = None
      if authMethod[0] == 'http':
         self.URL = f'http://{host}:80'
      elif authMethod[0] == "cert":
         self.cert = authMethod[1]
      elif authMethod[0] == "auth":
         self.Auth = f'{authMethod[1]}:{authMethod[2]}'
         self.Auth = "'Basic ' + str(b64encode(self.Auth.encode()))"
 
   def kocoTalk(self, Service, data=None):
      try:
         if self.Auth: self.headers.update({"Authorization": self.Auth})
         self.response =\
            self.session.post(f'{self.URL}{Service}', timeout=6, headers=self.headers, verify=False, cert=self.cert, data=data) if data else\
            self.session.get(f'{self.URL}{Service}', timeout=6, headers=self.headers, verify=False, cert=self.cert)
         assert self.response.status_code == 200
         return True
      except requests.exceptions.Timeout:
         self.Message += "Konnektor Timeout"
      except:
         self.Message += "Ein Fehler ist aufgetreten."
      return False
 
   def ping(self, host):
      p = subprocess.Popen(['ping', host,'-4', '-c','1',"-W","2"],stdout=subprocess.DEVNULL)
      p.wait()
      return not p.poll()
 
   def sdsCheck(self):
      if not self.kocoTalk('/connector.sds'):
         return False
      mo = re.search('<FWVersion>(.*)</FWVersion>', str(self.response.text))
      self.Sds = f'Firmware: {mo.group(1)}'
      return True
 
   def soapCheck(self):
      data = soapBody% (self.Mandant, self.ClientSystem, self.Arbeitsplatz)
      self.headers = {
         "Content-Type": "text/xml; charset=""utf-8""",
         "Content-Length": str(len(data)),
         "SOAPAction": "http://ws.gematik.de/conn/EventService/v7.2#GetResourceInformation"
         }
      if not self.kocoTalk('/service/systeminformationservice', data):
         return False
      node = xml.dom.minidom.parseString(self.response.text).childNodes[0].childNodes[0].childNodes[0].childNodes[1].childNodes[2]
      self.Soap = ''
      for e in node.childNodes:
         for n in e.childNodes:
            prefix, tag = xml.dom.minidom._nssplit(n.nodeName)
            if tag == 'Value':
               val = n.firstChild.data
            elif tag == 'ErrorCondition':
               ec = n.firstChild.data
            elif tag == 'Severity':
               sev = n.firstChild.data
            elif tag == "Type":
               type = n.firstChild.data
            elif tag == "ValidFrom":
               start = n.firstChild.data.split('.')[0]
         if val == 'true':
            self.Soap += (f' {ec}')
      return True
 
if __name__ == "__main__":
   p = argparse.ArgumentParser(description='minimalKonCheck')
   p.add_argument('-i', '--ip', metavar=("<IP>"), required=True, help='IP Address')
   p.add_argument('-m', '--mandant', required=True, metavar=("<Mandant>"))
   p.add_argument('-c', '--clientsystem', required=True, metavar=("<Clientsystem>"))
   p.add_argument('-a', '--arbeitsplatz', required=True, metavar=("<Arbeitsplatz>"))
   p.add_argument('-s', '--authmethod', default="https", nargs='+', metavar=("<Auth Mechanism> [FileName] or <Auth Mechanism [<User> <Pass>]"), help='Auth-Mechanism: http, https, auth, cert')
   a = p.parse_args()
 
   K = Koco(a.ip, a.mandant, a.clientsystem, a.arbeitsplatz, a.authmethod)
   pingMSG = '' if K.ping(a.ip) else 'nicht '
   MSG = ''
   try:
      if not K.sdsCheck() or not K.soapCheck():
         raise error
      print(f'0 Konnektor_{a.ip} - {K.Sds}, {K.Soap} {MSG}')
   except:
      MSG = f'{K.Message}, Ping {pingMSG}erfolgreich'
      print(f'2 Konnektor_{a.ip} - {MSG}')
 

 

Aufruf z.B. über Bash-Skript mit (eine Zeile je Konnektor). Wichtig: Du kannst nicht direkt die .py Datei in den local-Ordner von CHeck MK kopieren, weil du dann die Parameter nicht überrgeben kannst. Du musst die Datei woanders hinkopieren und stattdessen ein Batch-Skript mit unten stehenden Aufrufen in den local-Ordner kopieren.

./skript.py -i 10.1.1.1 -m checkmkMandant -c checkmkClient -a checkmkArbeitsplatz -s cert /path/to/clientcert.pem

Du musst dich zwingend mit Mandant, Clientsystem und Arbeitsplatz auf dem Konnektor authentifizieren. Hierfür ggf. auf jedem Konnektor ein eigenes Check-MK Infomodell anlegen.
Das Zertifikat ist verpflichten bei TLS basierter Zertifikatsanmeldung, ansonsten geht auch Benutzername + Passwort oder gar keine Anmeldung (Mandant, CS + AP benötigst du dennoch!).


Todo für dich:
- Übergabe eines Arrays mit mehreren IP-Adressen
- Implementierung von threading, um die Systeme Parallel abzufragen
- Kryptische Konnektor Fehlermeldungen 'übersetzen' (z.B. EC_OTHER_ERROR_STATE(1) = 'KRITISCHER KONNEKTOR FEHLER')
- Unwichtige Fehlermeldungen filtern (z.B. KT nicht gefunden)
- Erweiterte Fehlerbehandlung: z.B. EC_OTHER_ERROR_STATE(1) führt zu gelbem Status
- Automatischer Neustart bei Fehler, EC_OTHER_ERROR_STATE(1) über WebGUI automatisch zurücksetzen, etc.

Wer es nicht komplett selbst bauen möchte - in der checkmk-Community haben eins, zwei nette Menschen ihre Lösung geteilt :
1. https://forum.checkmk.com/t/betatester-gesucht-special-agent-fur-gematik-ti-konnektoren-beta/34099
2. https://exchange.checkmk.com/p/telematik-konnektor

Der Status TI VPN / SIS (falls genutzt) ist mir dabei für's Monitoring am wichtigsten. Der Rest ist meist eher semi-interessant. Man kann mit etwas Knowhow und Bastelarbeit bestimmt mehr oder weniger auch alles an Konnektorinformationen ins Monitoring verlagern. Mich hindert aber die Aufwand- und Nutzenbetrachtung daran, das noch weiter zu treiben. ^^