Nitrokey beállítása az Entra ID számára

Compatible Nitrokeys
3A/C/Mini	Passkey	HSM 2	Pro 2	FIDO2	Storage 2	Start	U2F
✓ active	✓ active	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive

The Nitrokey 3 and Nitrokey Passkey support provisioning credentials for Microsoft Entra for seamless employee on-boarding in enterprise scenarios.

Beállítás

A felhasználói hitelesítő adatok programozott regisztrációjához egy Microsoft Entra-alkalmazásra van szükség. Itt bemutatjuk a beállításhoz szükséges útmutatót, feltéve, hogy rendelkezik a szükséges jogosultságokkal.

1. Login to Entra Admin portal. Take a note of the primary domain which you will need later. Go to App Registrations on the left blade.

   

2. Válassza az „Új regisztráció” lehetőséget.

   

3. Hozzon létre egy új alkalmazást, és adjon neki nevet. Kattintson a „Regisztráció” gombra.

   

4. Írja le itt az ügyfél-azonosítót és a bérlő-azonosítót. Később szüksége lesz rájuk. Lépjen az alkalmazás lapon az „API-jogosultságok” menüpontra.

   

5. Click on Add a permission.

   

6. Select Microsoft Graph.

   

7. Válassza az „Alkalmazás engedélyei” menüpontot.

   

8. Search for UserAuthenticationMethod.ReadWrite.All and select it.

   

9. Search for User.ReadWrite.All and select it (Only if you want to be able to create users from pynitrokey). Click on the Add Permissions button.

   

10. Ellenőrizze a megadott jogosultságokat.

    

11. Kattintson az „Adminisztrátori hozzájárulás megadása” gombra, majd hagyja jóvá.

    

12. Térj vissza az alkalmazás kezdőlapjára, majd válaszd ki a bal oldali sávból a „Tanúsítványok és titkos kulcsok” menüpontot

    

13. Kattintson az „Új titkos kulcs” gombra

    

14. Írja be a nevet és a lejárati dátumot, majd kattintson a „Hozzáadás” gombra

    

15. Írja le az ügyfél-titkot (később már nem fogja tudni megtekinteni.)

    

16. Kattintson a bal oldali panelen a „Hitelesítési módszerek” elemre.

    

17. Select Passkey (FIDO2).

    

18. Click on the Configure tab.

    

19. Click on Default Passkey profile

    

20. Törölje a jelölést az „Enforce Attestation” (Tanúsítás érvényesítése) jelölőnégyzetből (csak akkor, ha olyan Nitrokey-t használ, amely nem rendelkezik a FIDO Alliance tanúsítvánnyal. E dokumentum írásának időpontjában csak a Nitrokey 3A Mini rendelkezik ezzel a tanúsítvánnyal.)

    

21. Click Save.

    

22. You have taken note of the Tenant ID, Client ID, Client Secret and Primary Domain as a part of the process. Make a config.json file with the information. An example is shown below.

    {
        "tenant": "49d2c4c8-9144-49ea-b5f3-fc11b848cd72",
        "client": "e9f25c9c-3870-4aa8-9659-a40f09de093e",
        "secret": "************************************",
        "domain": "Cryptane.onmicrosoft.com"
    }
    

Használat

You may use the pynitrokey utility to provision a Nitrokey for an user in your tenant.

nitropy fido2 provision-credential entra -c config.json <username> --create-user

Here the <username> could be the Email ID of the user (User principal in terms of Microsoft) or a part of it till before the @ sign. The --create-user flag directs the tool to create the user if it does not exist in the Entra Tenant.

$ nitropy fido2 provision-credential entra -c config.json aditya --create-user
Command line tool to interact with Nitrokey devices 0.12.3
Warning: It is recommended to execute nitropy with admin privileges to be able to access Nitrokey 3 and Nitrokey FIDO 2 devices.
Waiting 5 secs for Graph API to update
User aditya created on Entra
Enter PIN:
Touch your authenticator device now...
Entra credential for aditya pre-registered on NK3 A56F0 with Credential ID owBYLNXsrDZ104I2MyCtuxmXKAd0Um56t3Byx5VfMz-Vs1Azy1re4Rdf-foMsc7vAUw7lJgCoG1VSdl2mBoCUHWGpTH-YkjEJ4UC4YlIEdk1.

Verification

A felhasználó az újonnan beállított Nitrokey segítségével bejelentkezhet a Microsoft-fiókjába. Kövesse az oldalon található, a Nitrokey-vel történő Microsoft-bejelentkezésről szóló példát: az újonnan beállított Nitrokey-vel történő bejelentkezéshez.

Az alábbi lépéseket követve ellenőrizheti a kiadott hitelesítő adatokat az Entra adminisztrációs portálon.

1. Az Entra adminisztrációs központ bal oldali sávján válassza ki a „Felhasználók” menüpontot.

   

2. If the user was created with the --create-user flag you may be able to find the entry on the list. If it is a pre-existing user, it would also be there. Click on the user to which the credential was enrolled.

   

3. Click on Authentication methods on the user blade.

   

4. Megjelenik a regisztrált hitelesítő adat, amely a Nitrokey UUID-jének első 5 karakterét tartalmazza. A három pontra kattintva, majd a „Részletek megtekintése” gombra kattintva megtekintheti a regisztrált hitelesítő adatra vonatkozó részletes információkat.

   

5. A hitelesítő adatokkal kapcsolatos további információk láthatóvá válnának. Ezeket ellenőrizheti.