Nitrokey-Provisionierung für Entra ID

Compatible Nitrokeys
3A/C/Mini	Passkey	HSM 2	Pro 2	FIDO2	Storage 2	Start	U2F
✓ active	✓ active	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive

The Nitrokey 3 and Nitrokey Passkey support provisioning credentials for Microsoft Entra for seamless employee on-boarding in enterprise scenarios.

Einrichtung

Für die programmgesteuerte Registrierung von Benutzeranmeldedaten ist eine Microsoft Entra-Anwendung erforderlich. Hier finden Sie eine Anleitung zur Einrichtung dieser Anwendung, sofern Sie über die entsprechenden Berechtigungen verfügen.

1. Login to Entra Admin portal. Take a note of the primary domain which you will need later. Go to App Registrations on the left blade.

   

2. Wählen Sie „Neue Registrierung“ aus.

   

3. Erstellen Sie eine neue App und geben Sie einen Namen ein. Klicken Sie auf „Registrieren“.

   

4. Notieren Sie sich hier die Client-ID und die Mandanten-ID. Sie werden sie später benötigen. Wechseln Sie im App-Blade zu „API-Berechtigungen“.

   

5. Click on Add a permission.

   

6. Select Microsoft Graph.

   

7. Wählen Sie „Anwendungsberechtigungen“ aus.

   

8. Search for UserAuthenticationMethod.ReadWrite.All and select it.

   

9. Search for User.ReadWrite.All and select it (Only if you want to be able to create users from pynitrokey). Click on the Add Permissions button.

   

10. Überprüfen Sie die erteilten Berechtigungen.

    

11. Klicken Sie auf „Zustimmung der Verwaltung erteilen“ und bestätigen Sie dies.

    

12. Kehren Sie zur Startseite der App zurück und wählen Sie im linken Bereich „Zertifikate und Geheimnisse“ aus.

    

13. Klicken Sie auf „Neues Client-Secret“

    

14. Geben Sie einen Namen und ein Ablaufdatum ein und klicken Sie anschließend auf „Hinzufügen“

    

15. Notieren Sie sich den Client-Secret (Sie können ihn später nicht mehr einsehen.)

    

16. Klicken Sie im linken Bereich auf „Authentifizierungsmethoden“.

    

17. Select Passkey (FIDO2).

    

18. Click on the Configure tab.

    

19. Click on Default Passkey profile

    

20. Deaktivieren Sie das Kontrollkästchen „Attestation erzwingen“ (nur, wenn Sie einen Nitrokey verwenden, der nicht über eine Zertifizierung der FIDO Alliance verfügt. Zum Zeitpunkt der Erstellung dieses Dokuments verfügt nur der Nitrokey 3A Mini über diese Zertifizierung.)

    

21. Click Save.

    

22. You have taken note of the Tenant ID, Client ID, Client Secret and Primary Domain as a part of the process. Make a config.json file with the information. An example is shown below.

    {
        "tenant": "49d2c4c8-9144-49ea-b5f3-fc11b848cd72",
        "client": "e9f25c9c-3870-4aa8-9659-a40f09de093e",
        "secret": "************************************",
        "domain": "Cryptane.onmicrosoft.com"
    }
    

Verwendung

You may use the pynitrokey utility to provision a Nitrokey for an user in your tenant.

nitropy fido2 provision-credential entra -c config.json <username> --create-user

Here the <username> could be the Email ID of the user (User principal in terms of Microsoft) or a part of it till before the @ sign. The --create-user flag directs the tool to create the user if it does not exist in the Entra Tenant.

$ nitropy fido2 provision-credential entra -c config.json aditya --create-user
Command line tool to interact with Nitrokey devices 0.12.3
Warning: It is recommended to execute nitropy with admin privileges to be able to access Nitrokey 3 and Nitrokey FIDO 2 devices.
Waiting 5 secs for Graph API to update
User aditya created on Entra
Enter PIN:
Touch your authenticator device now...
Entra credential for aditya pre-registered on NK3 A56F0 with Credential ID owBYLNXsrDZ104I2MyCtuxmXKAd0Um56t3Byx5VfMz-Vs1Azy1re4Rdf-foMsc7vAUw7lJgCoG1VSdl2mBoCUHWGpTH-YkjEJ4UC4YlIEdk1.

Verification

Der Benutzer kann sich mit dem neu bereitgestellten Nitrokey bei seinem Microsoft-Konto anmelden. Folgen Sie dem Link . Beispiel für die Anmeldung bei Microsoft mit dem Nitrokey: zur Anmeldung mit diesem neu bereitgestellten Nitrokey.

Sie können die bereitgestellten Anmeldedaten im Entra-Admin-Portal anhand der folgenden Schritte überprüfen.

1. Rufen Sie im Entra-Admin-Center über den linken Bereich die Option „Benutzer“ auf.

   

2. If the user was created with the --create-user flag you may be able to find the entry on the list. If it is a pre-existing user, it would also be there. Click on the user to which the credential was enrolled.

   

3. Click on Authentication methods on the user blade.

   

4. Die registrierten Anmeldedaten mit den ersten 5 Zeichen der Nitrokey-UUID werden angezeigt. Sie können auf die drei Punkte und anschließend auf „Details anzeigen“ klicken, um detaillierte Informationen zu den registrierten Anmeldedaten anzuzeigen.

   

5. Es würden weitere Informationen zu den Zugangsdaten angezeigt. Sie können diese überprüfen.