Provisionamento do Nitrokey para o Entra ID

Compatible Nitrokeys
3A/C/Mini	Passkey	HSM 2	Pro 2	FIDO2	Storage 2	Start	U2F
✓ active	✓ active	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive

The Nitrokey 3 and Nitrokey Passkey support provisioning credentials for Microsoft Entra for seamless employee on-boarding in enterprise scenarios.

Setup

É necessária uma aplicação Microsoft Entra para permitir o registo programático das credenciais do utilizador. Apresentamos-lhe aqui o guia para configurar essa aplicação, desde que disponha dos privilégios adequados para o efeito.

1. Login to Entra Admin portal. Take a note of the primary domain which you will need later. Go to App Registrations on the left blade.

   

2. Selecione «Novo registo».

   

3. Crie uma nova aplicação e defina um nome. Clique em «Registar».

   

4. Anote aqui o ID do cliente e o ID do inquilino. Vai precisar deles mais tarde. Aceda à secção «Permissões da API» no painel da aplicação.

   

5. Click on Add a permission.

   

6. Select Microsoft Graph.

   

7. Selecione «Permissões da aplicação».

   

8. Search for UserAuthenticationMethod.ReadWrite.All and select it.

   

9. Search for User.ReadWrite.All and select it (Only if you want to be able to create users from pynitrokey). Click on the Add Permissions button.

   

10. Verifique as permissões concedidas.

    

11. Clique em «Conceder consentimento de administrador» e aprove a ação.

    

12. Volta à página inicial da aplicação e seleciona «Certificados e segredos» no painel da esquerda

    

13. Clique em «Novo segredo de cliente»

    

14. Introduza um nome e uma data de validade e, em seguida, clique em «Adicionar»

    

15. Anote o «Client Secret» (não poderá visualizá-lo mais tarde).

    

16. Clique em «Métodos de autenticação» no painel da esquerda.

    

17. Select Passkey (FIDO2).

    

18. Click on the Configure tab.

    

19. Click on Default Passkey profile

    

20. Desmarque a opção «Exigir atestado» (Apenas se estiver a utilizar uma Nitrokey que não possua certificação da FIDO Alliance. À data da redação deste documento, apenas a Nitrokey 3A Mini possui essa certificação.)

    

21. Click Save.

    

22. You have taken note of the Tenant ID, Client ID, Client Secret and Primary Domain as a part of the process. Make a config.json file with the information. An example is shown below.

    {
        "tenant": "49d2c4c8-9144-49ea-b5f3-fc11b848cd72",
        "client": "e9f25c9c-3870-4aa8-9659-a40f09de093e",
        "secret": "************************************",
        "domain": "Cryptane.onmicrosoft.com"
    }
    

Utilização

You may use the pynitrokey utility to provision a Nitrokey for an user in your tenant.

nitropy fido2 provision-credential entra -c config.json <username> --create-user

Here the <username> could be the Email ID of the user (User principal in terms of Microsoft) or a part of it till before the @ sign. The --create-user flag directs the tool to create the user if it does not exist in the Entra Tenant.

$ nitropy fido2 provision-credential entra -c config.json aditya --create-user
Command line tool to interact with Nitrokey devices 0.12.3
Warning: It is recommended to execute nitropy with admin privileges to be able to access Nitrokey 3 and Nitrokey FIDO 2 devices.
Waiting 5 secs for Graph API to update
User aditya created on Entra
Enter PIN:
Touch your authenticator device now...
Entra credential for aditya pre-registered on NK3 A56F0 with Credential ID owBYLNXsrDZ104I2MyCtuxmXKAd0Um56t3Byx5VfMz-Vs1Azy1re4Rdf-foMsc7vAUw7lJgCoG1VSdl2mBoCUHWGpTH-YkjEJ4UC4YlIEdk1.

Verification

O utilizador pode utilizar o Nitrokey recém-configurado para iniciar sessão na sua conta Microsoft. Siga Exemplo de início de sessão na Microsoft com o Nitrokey para iniciar sessão com este Nitrokey recém-configurado.

Pode verificar as credenciais atribuídas no portal de administração do Entra, seguindo os passos indicados.

1. Aceda à opção «Utilizadores» no painel da esquerda do centro de administração do Entra.

   

2. If the user was created with the --create-user flag you may be able to find the entry on the list. If it is a pre-existing user, it would also be there. Click on the user to which the credential was enrolled.

   

3. Click on Authentication methods on the user blade.

   

4. A credencial registada, cujos primeiros 5 caracteres correspondem ao UUID da Nitrokey, ficará visível. Pode clicar nos três pontos e, em seguida, em «Ver detalhes» para ver informações detalhadas sobre a credencial registada.

   

5. Serão apresentadas informações adicionais sobre a credencial. Pode verificá-las.