Configuración de Nitrokey para Entra ID

Compatible Nitrokeys
3A/C/Mini	Passkey	HSM 2	Pro 2	FIDO2	Storage 2	Start	U2F
✓ active	✓ active	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive

The Nitrokey 3 and Nitrokey Passkey support provisioning credentials for Microsoft Entra for seamless employee on-boarding in enterprise scenarios.

Configurar

Se requiere una aplicación de Microsoft Entra para permitir el registro programático de las credenciales de los usuarios. A continuación te ofrecemos la guía para configurarla, siempre que dispongas de los privilegios adecuados para ello.

1. Login to Entra Admin portal. Take a note of the primary domain which you will need later. Go to App Registrations on the left blade.

   

2. Selecciona «Nuevo registro».

   

3. Crea una nueva aplicación y asígnale un nombre. Haz clic en «Registrar».

   

4. Anota aquí el ID de cliente y el ID de inquilino. Los necesitarás más adelante. Ve a «Permisos de API» en la pestaña de la aplicación.

   

5. Click on Add a permission.

   

6. Select Microsoft Graph.

   

7. Selecciona «Permisos de la aplicación».

   

8. Search for UserAuthenticationMethod.ReadWrite.All and select it.

   

9. Search for User.ReadWrite.All and select it (Only if you want to be able to create users from pynitrokey). Click on the Add Permissions button.

   

10. Comprueba los permisos concedidos.

    

11. Haz clic en «Conceder consentimiento de administrador» y apruébalo.

    

12. Vuelve a la página de inicio de la aplicación y selecciona «Certificados y secretos» en el panel de la izquierda.

    

13. Haz clic en «Nuevo secreto de cliente»

    

14. Introduce un nombre y una fecha de caducidad, y a continuación haz clic en «Añadir».

    

15. Anota el «Client Secret» (no podrás verlo más adelante).

    

16. Haz clic en «Métodos de autenticación» en el panel de la izquierda.

    

17. Select Passkey (FIDO2).

    

18. Click on the Configure tab.

    

19. Click on Default Passkey profile

    

20. Desmarca la casilla «Exigir certificación» (solo si utilizas un Nitrokey que no cuente con la certificación de la Alianza FIDO. En el momento de redactar este documento, solo el Nitrokey 3A Mini cuenta con dicha certificación).

    

21. Click Save.

    

22. You have taken note of the Tenant ID, Client ID, Client Secret and Primary Domain as a part of the process. Make a config.json file with the information. An example is shown below.

    {
        "tenant": "49d2c4c8-9144-49ea-b5f3-fc11b848cd72",
        "client": "e9f25c9c-3870-4aa8-9659-a40f09de093e",
        "secret": "************************************",
        "domain": "Cryptane.onmicrosoft.com"
    }
    

Uso

You may use the pynitrokey utility to provision a Nitrokey for an user in your tenant.

nitropy fido2 provision-credential entra -c config.json <username> --create-user

Here the <username> could be the Email ID of the user (User principal in terms of Microsoft) or a part of it till before the @ sign. The --create-user flag directs the tool to create the user if it does not exist in the Entra Tenant.

$ nitropy fido2 provision-credential entra -c config.json aditya --create-user
Command line tool to interact with Nitrokey devices 0.12.3
Warning: It is recommended to execute nitropy with admin privileges to be able to access Nitrokey 3 and Nitrokey FIDO 2 devices.
Waiting 5 secs for Graph API to update
User aditya created on Entra
Enter PIN:
Touch your authenticator device now...
Entra credential for aditya pre-registered on NK3 A56F0 with Credential ID owBYLNXsrDZ104I2MyCtuxmXKAd0Um56t3Byx5VfMz-Vs1Azy1re4Rdf-foMsc7vAUw7lJgCoG1VSdl2mBoCUHWGpTH-YkjEJ4UC4YlIEdk1.

Verification

El usuario puede utilizar el Nitrokey recién configurado para iniciar sesión en su cuenta de Microsoft. Sigue el enlace . Ejemplo de inicio de sesión en Microsoft con Nitrokey para iniciar sesión con este Nitrokey recién configurado.

Puede verificar la credencial asignada desde el portal de administración de Entra siguiendo estos pasos.

1. Ve a la opción «Usuarios» en el panel de la izquierda del centro de administración de Entra.

   

2. If the user was created with the --create-user flag you may be able to find the entry on the list. If it is a pre-existing user, it would also be there. Click on the user to which the credential was enrolled.

   

3. Click on Authentication methods on the user blade.

   

4. Se mostrará la credencial registrada con los 5 primeros caracteres del UUID de Nitrokey. Puedes hacer clic en los tres puntos y, a continuación, en «Ver detalles» para consultar la información detallada sobre la credencial registrada.

   

5. Se mostraría información adicional sobre la credencial. Puede verificarla.