Configurarea Nitrokey pentru Entra ID

Compatible Nitrokeys
3A/C/Mini	Passkey	HSM 2	Pro 2	FIDO2	Storage 2	Start	U2F
✓ active	✓ active	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive

The Nitrokey 3 and Nitrokey Passkey support provisioning credentials for Microsoft Entra for seamless employee on-boarding in enterprise scenarios.

Configurare

Este necesară o aplicație Microsoft Entra pentru a permite înregistrarea programată a datelor de autentificare ale utilizatorilor. Vă punem la dispoziție acest ghid de configurare, cu condiția să dispuneți de drepturile corespunzătoare pentru aceasta.

1. Login to Entra Admin portal. Take a note of the primary domain which you will need later. Go to App Registrations on the left blade.

   

2. Selectați „Înregistrare nouă”.

   

3. Creați o aplicație nouă și alegeți-i un nume. Faceți clic pe „Înregistrare”.

   

4. Notează-ți aici ID-ul clientului și ID-ul tenantului. Vei avea nevoie de ele mai târziu. Accesează secțiunea „Permisiuni API” din panoul aplicației.

   

5. Click on Add a permission.

   

6. Select Microsoft Graph.

   

7. Selectați „Permisiuni aplicație”.

   

8. Search for UserAuthenticationMethod.ReadWrite.All and select it.

   

9. Search for User.ReadWrite.All and select it (Only if you want to be able to create users from pynitrokey). Click on the Add Permissions button.

   

10. Verificați permisiunile acordate.

    

11. Faceți clic pe „Acordă consimțământul administratorului” și aprobați-l.

    

12. Reveniți la pagina principală a aplicației și selectați „Certificate și secrete” din panoul din stânga

    

13. Faceți clic pe „Secret client nou”

    

14. Introduceți un nume și data de expirare, apoi faceți clic pe „Adăugare”

    

15. Notează-ți „Client Secret” (nu îl vei mai putea vizualiza ulterior).

    

16. Faceți clic pe „Metode de autentificare” din panoul din stânga.

    

17. Select Passkey (FIDO2).

    

18. Click on the Configure tab.

    

19. Click on Default Passkey profile

    

20. Debifați opțiunea „Enforce Attestation” (Doar dacă utilizați un Nitrokey care nu deține o certificare FIDO Alliance. La momentul redactării acestui document, doar Nitrokey 3A Mini deține această certificare.)

    

21. Click Save.

    

22. You have taken note of the Tenant ID, Client ID, Client Secret and Primary Domain as a part of the process. Make a config.json file with the information. An example is shown below.

    {
        "tenant": "49d2c4c8-9144-49ea-b5f3-fc11b848cd72",
        "client": "e9f25c9c-3870-4aa8-9659-a40f09de093e",
        "secret": "************************************",
        "domain": "Cryptane.onmicrosoft.com"
    }
    

Utilizare

You may use the pynitrokey utility to provision a Nitrokey for an user in your tenant.

nitropy fido2 provision-credential entra -c config.json <username> --create-user

Here the <username> could be the Email ID of the user (User principal in terms of Microsoft) or a part of it till before the @ sign. The --create-user flag directs the tool to create the user if it does not exist in the Entra Tenant.

$ nitropy fido2 provision-credential entra -c config.json aditya --create-user
Command line tool to interact with Nitrokey devices 0.12.3
Warning: It is recommended to execute nitropy with admin privileges to be able to access Nitrokey 3 and Nitrokey FIDO 2 devices.
Waiting 5 secs for Graph API to update
User aditya created on Entra
Enter PIN:
Touch your authenticator device now...
Entra credential for aditya pre-registered on NK3 A56F0 with Credential ID owBYLNXsrDZ104I2MyCtuxmXKAd0Um56t3Byx5VfMz-Vs1Azy1re4Rdf-foMsc7vAUw7lJgCoG1VSdl2mBoCUHWGpTH-YkjEJ4UC4YlIEdk1.

Verification

Utilizatorul poate folosi Nitrokey-ul nou configurat pentru a se autentifica în contul său Microsoft. Urmați Exemplu de autentificare în Microsoft cu Nitrokey pentru a vă autentifica cu acest Nitrokey nou configurat.

Puteți verifica datele de autentificare alocate din portalul de administrare Entra, urmând pașii indicați.

1. Accesați opțiunea „Utilizatori” din panoul din stânga al Centrului de administrare Entra.

   

2. If the user was created with the --create-user flag you may be able to find the entry on the list. If it is a pre-existing user, it would also be there. Click on the user to which the credential was enrolled.

   

3. Click on Authentication methods on the user blade.

   

4. Se vor afișa datele de autentificare înregistrate, împreună cu primele 5 caractere ale UUID-ului Nitrokey. Puteți face clic pe cele trei puncte și apoi pe „Vizualizați detaliile” pentru a vedea informații detaliate despre datele de autentificare înregistrate.

   

5. Vor fi afișate informații suplimentare despre acreditare. Puteți verifica aceste informații.