Nastavení Nitrokey pro Entra ID

Compatible Nitrokeys
3A/C/Mini	Passkey	HSM 2	Pro 2	FIDO2	Storage 2	Start	U2F
✓ active	✓ active	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive

The Nitrokey 3 and Nitrokey Passkey support provisioning credentials for Microsoft Entra for seamless employee on-boarding in enterprise scenarios.

Nastavení

K programové registraci přihlašovacích údajů uživatelů je zapotřebí aplikace Microsoft Entra. Zde vám nabízíme návod na její nastavení, pokud k tomu máte příslušná oprávnění.

1. Login to Entra Admin portal. Take a note of the primary domain which you will need later. Go to App Registrations on the left blade.

   

2. Vyberte možnost „Nová registrace“.

   

3. Vytvořte novou aplikaci a zadejte její název. Klikněte na „Zaregistrovat“.

   

4. Zde si poznamenejte ID klienta a ID nájemce. Budete je potřebovat později. Na panelu aplikace přejděte do části „Oprávnění API“.

   

5. Click on Add a permission.

   

6. Select Microsoft Graph.

   

7. Vyberte možnost „Oprávnění aplikace“.

   

8. Search for UserAuthenticationMethod.ReadWrite.All and select it.

   

9. Search for User.ReadWrite.All and select it (Only if you want to be able to create users from pynitrokey). Click on the Add Permissions button.

   

10. Ověřte udělená oprávnění.

    

11. Klikněte na možnost „Udělit souhlas správce“ a potvrďte ji.

    

12. Vraťte se na úvodní obrazovku aplikace a v levém panelu vyberte položku „Certifikáty a tajné klíče“

    

13. Klikněte na „Nové tajné heslo klienta“

    

14. Zadejte název a datum vypršení platnosti a poté klikněte na tlačítko „Přidat“

    

15. Poznamenejte si tajný klíč klienta (později už ho nebudete moci zobrazit).

    

16. V levém panelu klikněte na položku „Metody ověřování“.

    

17. Select Passkey (FIDO2).

    

18. Click on the Configure tab.

    

19. Click on Default Passkey profile

    

20. Zrušte zaškrtnutí políčka „Enforce Attestation“ (Pouze pokud používáte Nitrokey, který nemá certifikaci FIDO Alliance. V době sepsání tohoto dokumentu má tuto certifikaci pouze Nitrokey 3A Mini.)

    

21. Click Save.

    

22. You have taken note of the Tenant ID, Client ID, Client Secret and Primary Domain as a part of the process. Make a config.json file with the information. An example is shown below.

    {
        "tenant": "49d2c4c8-9144-49ea-b5f3-fc11b848cd72",
        "client": "e9f25c9c-3870-4aa8-9659-a40f09de093e",
        "secret": "************************************",
        "domain": "Cryptane.onmicrosoft.com"
    }
    

Použití

You may use the pynitrokey utility to provision a Nitrokey for an user in your tenant.

nitropy fido2 provision-credential entra -c config.json <username> --create-user

Here the <username> could be the Email ID of the user (User principal in terms of Microsoft) or a part of it till before the @ sign. The --create-user flag directs the tool to create the user if it does not exist in the Entra Tenant.

$ nitropy fido2 provision-credential entra -c config.json aditya --create-user
Command line tool to interact with Nitrokey devices 0.12.3
Warning: It is recommended to execute nitropy with admin privileges to be able to access Nitrokey 3 and Nitrokey FIDO 2 devices.
Waiting 5 secs for Graph API to update
User aditya created on Entra
Enter PIN:
Touch your authenticator device now...
Entra credential for aditya pre-registered on NK3 A56F0 with Credential ID owBYLNXsrDZ104I2MyCtuxmXKAd0Um56t3Byx5VfMz-Vs1Azy1re4Rdf-foMsc7vAUw7lJgCoG1VSdl2mBoCUHWGpTH-YkjEJ4UC4YlIEdk1.

Verification

Uživatel může pomocí nově zprovozněného Nitrokeyu přihlásit se ke svému účtu Microsoft. Postupujte podle pokynů na stránce a podívejte se na ukázku přihlášení k účtu Microsoft pomocí Nitrokeyu na adrese, abyste se mohli přihlásit pomocí tohoto nově zprovozněného Nitrokeyu.

Přihlašovací údaje, které vám byly přiděleny, můžete ověřit na správcovském portálu Entra podle následujících pokynů.

1. V administračním centru Entra přejděte v levém panelu na položku „Uživatelé“.

   

2. If the user was created with the --create-user flag you may be able to find the entry on the list. If it is a pre-existing user, it would also be there. Click on the user to which the credential was enrolled.

   

3. Click on Authentication methods on the user blade.

   

4. Zobrazí se zaregistrované přihlašovací údaje s prvních 5 znaky UUID klíče Nitrokey. Kliknutím na tři tečky a následně na možnost „Zobrazit podrobnosti“ si můžete prohlédnout podrobné informace o zaregistrovaných přihlašovacích údajích.

   

5. Zobrazí se další informace o tomto osvědčení. Můžete si je ověřit.