Nitrokey-konfiguration för Entra ID

Compatible Nitrokeys
3A/C/Mini	Passkey	HSM 2	Pro 2	FIDO2	Storage 2	Start	U2F
✓ active	✓ active	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive	⨯ inactive

The Nitrokey 3 and Nitrokey Passkey support provisioning credentials for Microsoft Entra for seamless employee on-boarding in enterprise scenarios.

Inställning

En Microsoft Entra-applikation krävs för att möjliggöra programmatisk registrering av användaruppgifter. Här erbjuder vi en guide för hur du konfigurerar detta, förutsatt att du har nödvändiga behörigheter för detta.

1. Login to Entra Admin portal. Take a note of the primary domain which you will need later. Go to App Registrations on the left blade.

   

2. Välj ”Ny registrering”.

   

3. Skapa en ny app och ange ett namn. Klicka på ”Registrera”.

   

4. Anteckna klient-ID och tenant-ID här. Du kommer att behöva dem senare. Gå till ”API-behörigheter” på app-fliken.

   

5. Click on Add a permission.

   

6. Select Microsoft Graph.

   

7. Välj ”Applikationsbehörigheter”.

   

8. Search for UserAuthenticationMethod.ReadWrite.All and select it.

   

9. Search for User.ReadWrite.All and select it (Only if you want to be able to create users from pynitrokey). Click on the Add Permissions button.

   

10. Kontrollera vilka behörigheter som har beviljats.

    

11. Klicka på ”Ge administratörsgodkännande” och godkänn det.

    

12. Gå tillbaka till appens startsida och välj ”Certifikat och hemligheter” i vänsterpanelen

    

13. Klicka på ”Ny klienthemlighet”

    

14. Ange ett namn och ett utgångsdatum och klicka sedan på ”Lägg till”

    

15. Skriv ner klienthemligheten (du kommer inte att kunna se den senare).

    

16. Klicka på ”Autentiseringsmetoder” i vänsterpanelen.

    

17. Select Passkey (FIDO2).

    

18. Click on the Configure tab.

    

19. Click on Default Passkey profile

    

20. Avmarkera rutan ”Enforce Attestation” (Endast om du använder en Nitrokey som inte har en FIDO Alliance-certifiering. Vid tidpunkten för detta dokuments författande är det endast Nitrokey 3A Mini som har denna certifiering.)

    

21. Click Save.

    

22. You have taken note of the Tenant ID, Client ID, Client Secret and Primary Domain as a part of the process. Make a config.json file with the information. An example is shown below.

    {
        "tenant": "49d2c4c8-9144-49ea-b5f3-fc11b848cd72",
        "client": "e9f25c9c-3870-4aa8-9659-a40f09de093e",
        "secret": "************************************",
        "domain": "Cryptane.onmicrosoft.com"
    }
    

Användning

You may use the pynitrokey utility to provision a Nitrokey for an user in your tenant.

nitropy fido2 provision-credential entra -c config.json <username> --create-user

Here the <username> could be the Email ID of the user (User principal in terms of Microsoft) or a part of it till before the @ sign. The --create-user flag directs the tool to create the user if it does not exist in the Entra Tenant.

$ nitropy fido2 provision-credential entra -c config.json aditya --create-user
Command line tool to interact with Nitrokey devices 0.12.3
Warning: It is recommended to execute nitropy with admin privileges to be able to access Nitrokey 3 and Nitrokey FIDO 2 devices.
Waiting 5 secs for Graph API to update
User aditya created on Entra
Enter PIN:
Touch your authenticator device now...
Entra credential for aditya pre-registered on NK3 A56F0 with Credential ID owBYLNXsrDZ104I2MyCtuxmXKAd0Um56t3Byx5VfMz-Vs1Azy1re4Rdf-foMsc7vAUw7lJgCoG1VSdl2mBoCUHWGpTH-YkjEJ4UC4YlIEdk1.

Verification

Användaren kan använda den nyligen aktiverade Nitrokey-enheten för att logga in på sitt Microsoft-konto. Följ Exempel på inloggning på Microsoft med Nitrokey för att logga in med denna nyligen aktiverade Nitrokey-enhet.

Du kan verifiera de tilldelade inloggningsuppgifterna via Entra-administratörsportalen genom att följa stegen nedan.

1. Gå till alternativet ”Användare” i vänstermenyn i Entra Admin Center.

   

2. If the user was created with the --create-user flag you may be able to find the entry on the list. If it is a pre-existing user, it would also be there. Click on the user to which the credential was enrolled.

   

3. Click on Authentication methods on the user blade.

   

4. Den registrerade inloggningsuppgiften, med de fem första tecknen i Nitrokeys UUID, visas. Du kan klicka på de tre punkterna och sedan på ”Visa detaljer” för att se detaljerad information om den registrerade inloggningsuppgiften.

   

5. Ytterligare information om behörigheten skulle visas. Du kan kontrollera att uppgifterna stämmer.