Nitrokey-asetusten määrittäminen Entra ID:lle

Compatible Nitrokeys
3A/C/Mini	Passkey	HSM 2	Pro 2	FIDO2	Storage 2	Start	U2F
✓ active	✓ active	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive

The Nitrokey 3 and Nitrokey Passkey support provisioning credentials for Microsoft Entra for seamless employee on-boarding in enterprise scenarios.

Setup

Käyttäjätunnusten ohjelmoitu rekisteröinti edellyttää Microsoft Entra -sovellusta. Tässä oppaassa annetaan ohjeet sovelluksen määrittämiseen, edellyttäen että sinulla on siihen tarvittavat käyttöoikeudet.

1. Login to Entra Admin portal. Take a note of the primary domain which you will need later. Go to App Registrations on the left blade.

   

2. Valitse ”Uusi rekisteröinti”.

   

3. Luo uusi sovellus ja anna sille nimi. Napsauta ”Rekisteröi”.

   

4. Kirjoita tähän muistiin asiakastunnus (Client ID) ja vuokralais-ID (Tenant ID). Tarvitset niitä myöhemmin. Siirry sovelluksen välilehdellä kohtaan ”API-käyttöoikeudet”.

   

5. Click on Add a permission.

   

6. Select Microsoft Graph.

   

7. Valitse Sovelluksen käyttöoikeudet.

   

8. Search for UserAuthenticationMethod.ReadWrite.All and select it.

   

9. Search for User.ReadWrite.All and select it (Only if you want to be able to create users from pynitrokey). Click on the Add Permissions button.

   

10. Tarkista myönnetyt käyttöoikeudet.

    

11. Napsauta kohtaa ”Myönnä järjestelmänvalvojan suostumus” ja hyväksy se.

    

12. Palaa sovelluksen aloitussivulle ja valitse vasemmanpuoleisesta valikosta ”Sertifikaatit ja salaisuudet”

    

13. Napsauta ”Uusi asiakassalaisuus”

    

14. Syötä nimi ja voimassaoloaika ja napsauta sitten Lisää-painiketta

    

15. Kirjoita asiakassalaisuus muistiin (et voi tarkastella sitä myöhemmin).

    

16. Napsauta vasemmalla olevasta valikosta kohtaa ”Todentamismenetelmät”.

    

17. Select Passkey (FIDO2).

    

18. Click on the Configure tab.

    

19. Click on Default Passkey profile

    

20. Poista valinta kohdasta ”Enforce Attestation” (vain jos käytät Nitrokey-avainta, jolla ei ole FIDO Alliance -sertifiointia. Tämän ohjeen kirjoittamishetkellä vain Nitrokey 3A Mini -mallilla on kyseinen sertifiointi.)

    

21. Click Save.

    

22. You have taken note of the Tenant ID, Client ID, Client Secret and Primary Domain as a part of the process. Make a config.json file with the information. An example is shown below.

    {
        "tenant": "49d2c4c8-9144-49ea-b5f3-fc11b848cd72",
        "client": "e9f25c9c-3870-4aa8-9659-a40f09de093e",
        "secret": "************************************",
        "domain": "Cryptane.onmicrosoft.com"
    }
    

Käyttö

You may use the pynitrokey utility to provision a Nitrokey for an user in your tenant.

nitropy fido2 provision-credential entra -c config.json <username> --create-user

Here the <username> could be the Email ID of the user (User principal in terms of Microsoft) or a part of it till before the @ sign. The --create-user flag directs the tool to create the user if it does not exist in the Entra Tenant.

$ nitropy fido2 provision-credential entra -c config.json aditya --create-user
Command line tool to interact with Nitrokey devices 0.12.3
Warning: It is recommended to execute nitropy with admin privileges to be able to access Nitrokey 3 and Nitrokey FIDO 2 devices.
Waiting 5 secs for Graph API to update
User aditya created on Entra
Enter PIN:
Touch your authenticator device now...
Entra credential for aditya pre-registered on NK3 A56F0 with Credential ID owBYLNXsrDZ104I2MyCtuxmXKAd0Um56t3Byx5VfMz-Vs1Azy1re4Rdf-foMsc7vAUw7lJgCoG1VSdl2mBoCUHWGpTH-YkjEJ4UC4YlIEdk1.

Verification

Käyttäjä voi kirjautua Microsoft-tiliinsä äskettäin käyttöönotetulla Nitrokey-avaimella. Seuraa ohjeita osoitteessa . Katso esimerkki Microsoft-kirjautumisesta Nitrokey-avaimella osoitteessa, jossa kerrotaan, miten kirjaudutaan sisään tällä äskettäin käyttöönotetulla Nitrokey-avaimella.

Voit tarkistaa varatut tunnistetiedot Entra-hallintaportaalista seuraamalla näitä ohjeita.

1. Siirry Entra-hallintakeskuksen vasemmalla olevasta palkista Käyttäjät-kohtaan.

   

2. If the user was created with the --create-user flag you may be able to find the entry on the list. If it is a pre-existing user, it would also be there. Click on the user to which the credential was enrolled.

   

3. Click on Authentication methods on the user blade.

   

4. Näkyvissä on rekisteröity tunnistetieto, jonka alussa on Nitrokey-UUID:n viisi ensimmäistä merkkiä. Voit napsauttaa kolmea pistettä ja valita sitten ”Näytä tiedot”, jolloin saat näkyviin rekisteröidyn tunnistetiedon yksityiskohtaiset tiedot.

   

5. Tunnuksesta näkyisi lisätietoja. Voit tarkistaa ne.