Configuration de la Nitrokey pour Entra ID

Compatible Nitrokeys
3A/C/Mini	Passkey	HSM 2	Pro 2	FIDO2	Storage 2	Start	U2F
✓ active	✓ active	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive

La Nitrokey 3 et la Nitrokey Passkey prennent en charge la configuration des identifiants pour Microsoft Entra, afin de faciliter l’intégration des collaborateurs dans les environnements d’entreprise.

Mise en place

Une application Microsoft Entra est nécessaire pour permettre l’enregistrement programmatique des identifiants des utilisateurs. Nous vous proposons ici le guide de configuration de cette application, à condition que vous disposiez des droits d’accès requis.

1. Login to Entra Admin portal. Take a note of the primary domain which you will need later. Go to App Registrations on the left blade.

   

2. Sélectionnez « Nouvelle inscription ».

   

3. Créez une nouvelle application et donnez-lui un nom. Cliquez sur « S’inscrire ».

   

4. Notez ici l’ID client et l’ID locataire. Vous en aurez besoin plus tard. Accédez à la section « Autorisations API » dans le volet de l’application.

   

5. Click on Add a permission.

   

6. Select Microsoft Graph.

   

7. Sélectionnez « Autorisations de l’application ».

   

8. Recherchez « UserAuthenticationMethod.ReadWrite.All » et sélectionnez-le.

   

9. Recherchez « User.ReadWrite.All » et sélectionnez-le (uniquement si vous souhaitez pouvoir créer des utilisateurs à partir de « pynitrokey »). Cliquez sur le bouton « Ajouter des autorisations ».

   

10. Vérifiez les autorisations accordées.

    

11. Cliquez sur « Accorder le consentement de l’administrateur » et validez.

    

12. Revenez à la page d’accueil de l’application et sélectionnez « Certificats et secrets » dans le volet de gauche.

    

13. Cliquez sur « Nouveau secret client »

    

14. Saisissez un nom et une date d’expiration, puis cliquez sur « Ajouter ».

    

15. Notez bien la clé secrète du client (vous ne pourrez plus la consulter par la suite).

    

16. Cliquez sur « Méthodes d’authentification » dans le volet de gauche.

    

17. Select Passkey (FIDO2).

    

18. Click on the Configure tab.

    

19. Click on Default Passkey profile

    

20. Décochez la case « Exiger l’attestation » (uniquement si vous utilisez une Nitrokey qui ne dispose pas de la certification FIDO Alliance. À la date de rédaction du présent document, seule la Nitrokey 3A Mini dispose de cette certification.)

    

21. Click Save.

    

22. Vous avez noté l’identifiant du locataire (Tenant ID), l’identifiant du client (Client ID), la clé secrète du client (Client Secret) et le domaine principal (Primary Domain) au cours de la procédure. Créez un fichier config.json contenant ces informations. Vous trouverez un exemple ci-dessous.

    {
        "tenant": "49d2c4c8-9144-49ea-b5f3-fc11b848cd72",
        "client": "e9f25c9c-3870-4aa8-9659-a40f09de093e",
        "secret": "************************************",
        "domain": "Cryptane.onmicrosoft.com"
    }
    

    

Utilisation

Vous pouvez utiliser l’utilitaire pynitrokey pour configurer une Nitrokey pour un utilisateur de votre tenant.

nitropy fido2 provision-credential entra -c config.json <username> --create-user

Ici, <username> peut correspondre à l’adresse e-mail de l’utilisateur (ou « entité principale de l’utilisateur » selon la terminologie Microsoft) ou à une partie de celle-ci jusqu’au signe @. L’option –create-user indique à l’outil de créer l’utilisateur s’il n’existe pas dans le tenant Entra.

Verification

L’utilisateur peut utiliser la Nitrokey qui vient d’être configurée pour se connecter à son compte Microsoft. Suivez le lien Exemple de connexion à Microsoft avec la Nitrokey pour vous connecter à l’aide de cette Nitrokey qui vient d’être configurée.

Vous pouvez vérifier les identifiants fournis depuis le portail d’administration Entra en suivant les étapes indiquées.

1. Accédez à l’option « Utilisateurs » dans le volet de gauche du centre d’administration Entra.

   

2. Si l’utilisateur a été créé à l’aide de l’option –create-user, vous devriez pouvoir trouver l’entrée correspondante dans la liste. S’il s’agit d’un utilisateur préexistant, il devrait également y figurer. Cliquez sur l’utilisateur auquel l’identifiant a été attribué.

   

3. Click on Authentication methods on the user blade.

   

4. Les identifiants enregistrés, dont les 5 premiers caractères correspondent à l’UUID de la Nitrokey, s’affichent. Vous pouvez cliquer sur les trois points, puis sur « Afficher les détails » pour consulter les informations détaillées concernant ces identifiants.

   

5. Des informations supplémentaires concernant ces identifiants s’afficheraient. Vous pourriez alors les vérifier.