Nastavenie Nitrokey pre Entra ID

Compatible Nitrokeys
3A/C/Mini	Passkey	HSM 2	Pro 2	FIDO2	Storage 2	Start	U2F
✓ active	✓ active	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive

The Nitrokey 3 and Nitrokey Passkey support provisioning credentials for Microsoft Entra for seamless employee on-boarding in enterprise scenarios.

Nastavenie

Na programovú registráciu prihlasovacích údajov používateľov je potrebná aplikácia Microsoft Entra. Tu vám ponúkame návod na jej nastavenie za predpokladu, že máte na to príslušné oprávnenia.

1. Login to Entra Admin portal. Take a note of the primary domain which you will need later. Go to App Registrations on the left blade.

   

2. Vyberte možnosť „Nová registrácia“.

   

3. Vytvorte novú aplikáciu a zadajte jej názov. Kliknite na „Registrácia“.

   

4. Zapíšte si si tu ID klienta a ID nájomcu. Budete ich neskôr potrebovať. Prejdite do časti „Oprávnenia API“ na paneli aplikácie.

   

5. Click on Add a permission.

   

6. Select Microsoft Graph.

   

7. Vyberte položku „Oprávnenia aplikácie“.

   

8. Search for UserAuthenticationMethod.ReadWrite.All and select it.

   

9. Search for User.ReadWrite.All and select it (Only if you want to be able to create users from pynitrokey). Click on the Add Permissions button.

   

10. Skontrolujte udelené oprávnenia.

    

11. Kliknite na možnosť „Udelenie súhlasu správcovi“ a potvrďte ju.

    

12. Vráťte sa na hlavnú stránku aplikácie a v ľavom paneli vyberte položku „Certifikáty a tajné kľúče“

    

13. Kliknite na „Nové tajné kľúče klienta“

    

14. Zadajte názov a dátum ukončenia platnosti a potom kliknite na tlačidlo Pridať

    

15. Zapíšte si tajný kľúč klienta (neskôr si ho už nebudete môcť zobraziť).

    

16. Kliknite na položku „Metódy overovania“ v ľavom paneli.

    

17. Select Passkey (FIDO2).

    

18. Click on the Configure tab.

    

19. Click on Default Passkey profile

    

20. Zrušte zaškrtnutie políčka „Vynútiť overenie“ (Iba ak používate Nitrokey, ktorý nemá certifikáciu FIDO Alliance. V čase vypracovania tohto dokumentu má túto certifikáciu iba Nitrokey 3A Mini.)

    

21. Click Save.

    

22. You have taken note of the Tenant ID, Client ID, Client Secret and Primary Domain as a part of the process. Make a config.json file with the information. An example is shown below.

    {
        "tenant": "49d2c4c8-9144-49ea-b5f3-fc11b848cd72",
        "client": "e9f25c9c-3870-4aa8-9659-a40f09de093e",
        "secret": "************************************",
        "domain": "Cryptane.onmicrosoft.com"
    }
    

Používanie

You may use the pynitrokey utility to provision a Nitrokey for an user in your tenant.

nitropy fido2 provision-credential entra -c config.json <username> --create-user

Here the <username> could be the Email ID of the user (User principal in terms of Microsoft) or a part of it till before the @ sign. The --create-user flag directs the tool to create the user if it does not exist in the Entra Tenant.

$ nitropy fido2 provision-credential entra -c config.json aditya --create-user
Command line tool to interact with Nitrokey devices 0.12.3
Warning: It is recommended to execute nitropy with admin privileges to be able to access Nitrokey 3 and Nitrokey FIDO 2 devices.
Waiting 5 secs for Graph API to update
User aditya created on Entra
Enter PIN:
Touch your authenticator device now...
Entra credential for aditya pre-registered on NK3 A56F0 with Credential ID owBYLNXsrDZ104I2MyCtuxmXKAd0Um56t3Byx5VfMz-Vs1Azy1re4Rdf-foMsc7vAUw7lJgCoG1VSdl2mBoCUHWGpTH-YkjEJ4UC4YlIEdk1.

Verification

Používateľ sa môže pomocou novo aktivovaného Nitrokey prihlásiť do svojho účtu Microsoft. Postupujte podľa návodu na stránke . Ukážka prihlásenia do účtu Microsoft pomocou Nitrokey pre prihlásenie sa pomocou tohto novo aktivovaného Nitrokey.

Pridelené prihlasovacie údaje si môžete overiť na administrátorskom portáli Entra podľa nasledujúcich krokov.

1. V administračnom centre Entra prejdite v ľavom paneli na položku „Používatelia“.

   

2. If the user was created with the --create-user flag you may be able to find the entry on the list. If it is a pre-existing user, it would also be there. Click on the user to which the credential was enrolled.

   

3. Click on Authentication methods on the user blade.

   

4. Zobrazí sa zaregistrované prihlasovacie údaje s prvými 5 znakmi UUID zariadenia Nitrokey. Ak chcete zobraziť podrobné informácie o zaregistrovaných prihlasovacích údajoch, kliknite na tri bodky a potom na položku Zobraziť podrobnosti.

   

5. Zobrazili by sa ďalšie informácie o poverení. Môžete ich overiť.