Nitrokey-konfiguration til Entra ID

Compatible Nitrokeys
3A/C/Mini	Passkey	HSM 2	Pro 2	FIDO2	Storage 2	Start	U2F
✓ active	✓ active	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive

The Nitrokey 3 and Nitrokey Passkey support provisioning credentials for Microsoft Entra for seamless employee on-boarding in enterprise scenarios.

Opsætning

Der kræves en Microsoft Entra-applikation for at muliggøre programmatisk registrering af brugeroplysninger. Her finder du en vejledning til opsætning af denne, forudsat at du har de nødvendige rettigheder hertil.

1. Login to Entra Admin portal. Take a note of the primary domain which you will need later. Go to App Registrations on the left blade.

   

2. Vælg »Ny registrering«.

   

3. Opret en ny app, og angiv et navn. Klik på »Registrer«.

   

4. Notér klient-ID’et og lejer-ID’et her. Du får brug for dem senere. Gå til »API-tilladelser« på app-fanen.

   

5. Click on Add a permission.

   

6. Select Microsoft Graph.

   

7. Vælg »App-tilladelser«.

   

8. Search for UserAuthenticationMethod.ReadWrite.All and select it.

   

9. Search for User.ReadWrite.All and select it (Only if you want to be able to create users from pynitrokey). Click on the Add Permissions button.

   

10. Kontroller de tildelte tilladelser.

    

11. Klik på »Giv administratorrettigheder« og godkend det.

    

12. Gå tilbage til appens startside, og vælg »Certifikater og hemmeligheder« i venstre panel

    

13. Klik på »Ny klientnøgle«

    

14. Indtast et navn og en udløbsdato, og klik derefter på »Tilføj«

    

15. Skriv klientnøglen ned (du vil ikke kunne se den senere).

    

16. Klik på »Godkendelsesmetoder« i venstre panel.

    

17. Select Passkey (FIDO2).

    

18. Click on the Configure tab.

    

19. Click on Default Passkey profile

    

20. Fjern markeringen ved »Håndhæv attestering« (Kun hvis du bruger en Nitrokey, der ikke er FIDO Alliance-certificeret. På tidspunktet for udarbejdelsen af dette dokument er det kun Nitrokey 3A Mini, der har denne certificering.)

    

21. Click Save.

    

22. You have taken note of the Tenant ID, Client ID, Client Secret and Primary Domain as a part of the process. Make a config.json file with the information. An example is shown below.

    {
        "tenant": "49d2c4c8-9144-49ea-b5f3-fc11b848cd72",
        "client": "e9f25c9c-3870-4aa8-9659-a40f09de093e",
        "secret": "************************************",
        "domain": "Cryptane.onmicrosoft.com"
    }
    

Anvendelse

You may use the pynitrokey utility to provision a Nitrokey for an user in your tenant.

nitropy fido2 provision-credential entra -c config.json <username> --create-user

Here the <username> could be the Email ID of the user (User principal in terms of Microsoft) or a part of it till before the @ sign. The --create-user flag directs the tool to create the user if it does not exist in the Entra Tenant.

$ nitropy fido2 provision-credential entra -c config.json aditya --create-user
Command line tool to interact with Nitrokey devices 0.12.3
Warning: It is recommended to execute nitropy with admin privileges to be able to access Nitrokey 3 and Nitrokey FIDO 2 devices.
Waiting 5 secs for Graph API to update
User aditya created on Entra
Enter PIN:
Touch your authenticator device now...
Entra credential for aditya pre-registered on NK3 A56F0 with Credential ID owBYLNXsrDZ104I2MyCtuxmXKAd0Um56t3Byx5VfMz-Vs1Azy1re4Rdf-foMsc7vAUw7lJgCoG1VSdl2mBoCUHWGpTH-YkjEJ4UC4YlIEdk1.

Verification

Brugeren kan bruge den nyoprettede Nitrokey til at logge ind på sin Microsoft-konto. Følg Eksempel på login til Microsoft med Nitrokey for at logge ind med denne nyoprettede Nitrokey.

Du kan bekræfte de tildelte adgangsoplysninger via Entra-administratorportalen ved at følge nedenstående trin.

1. Gå til indstillingen »Brugere« i venstre panel i Entra-administrationscentret.

   

2. If the user was created with the --create-user flag you may be able to find the entry on the list. If it is a pre-existing user, it would also be there. Click on the user to which the credential was enrolled.

   

3. Click on Authentication methods on the user blade.

   

4. Den registrerede adgangskode med de første 5 tegn i Nitrokeys UUID vil være synlig. Du kan klikke på de tre prikker og derefter på »Vis detaljer« for at se detaljerede oplysninger om den registrerede adgangskode.

   

5. Der vil blive vist yderligere oplysninger om legitimationsoplysningerne. Du kan kontrollere, om de er korrekte.