Nitrokey-configuratie voor Entra ID¶
Compatible Nitrokeys |
|||||||
|---|---|---|---|---|---|---|---|
✓ active |
✓ active |
⨯ inactive |
⨯ inactive |
⨯ inactive |
⨯ inactive |
⨯ inactive |
⨯ inactive |
De Nitrokey 3 en Nitrokey Passkey ondersteunen het toewijzen van inloggegevens voor Microsoft Entra, waardoor medewerkers in bedrijfsomgevingen naadloos kunnen worden ingewerkt.
Setup¶
Er is een Microsoft Entra-applicatie nodig om de programmatische registratie van gebruikersgegevens mogelijk te maken. Hier vindt u de handleiding om dit in te stellen, mits u over de benodigde rechten beschikt.
Login to Entra Admin portal. Take a note of the primary domain which you will need later. Go to App Registrations on the left blade.
Kies ‘Nieuwe registratie’.
Maak een nieuwe app aan en geef deze een naam. Klik op ‘Registreren’.
Noteer hier het Client-ID en het Tenant-ID. Je hebt deze later nodig. Ga naar ‘API-machtigingen’ op het app-scherm.
Click on Add a permission.
Select Microsoft Graph.
Selecteer ‘Toepassingsrechten’.
Zoek naar UserAuthenticationMethod.ReadWrite.All en selecteer dit.
Zoek naar User.ReadWrite.All en selecteer deze (alleen als je gebruikers wilt kunnen aanmaken vanuit pynitrokey). Klik op de knop ‘Rechten toevoegen’.
Controleer de toegekende machtigingen.
Klik op ‘Toestemming van de beheerder verlenen’ en keur dit goed.
Ga terug naar het startscherm van de app en selecteer ‘Certificaten en geheimen’ in het linkerpaneel
Klik op ‘Nieuw clientgeheim’
Voer een naam en een vervaldatum in en klik vervolgens op ‘Toevoegen’
Noteer het Client Secret (je kunt het later niet meer bekijken.)
Klik in het linkerpaneel op ‘Verificatiemethoden’.
Select Passkey (FIDO2).
Click on the Configure tab.
Click on Default Passkey profile
Schakel het selectievakje ‘Enforce Attestation’ uit (alleen als je een Nitrokey gebruikt die niet door de FIDO Alliance is gecertificeerd. Op het moment van schrijven beschikt alleen de Nitrokey 3A Mini over deze certificering.)
Click Save.
Je hebt in het kader van dit proces de Tenant ID, Client ID, Client Secret en het primaire domein genoteerd. Maak een config.json-bestand aan met deze gegevens. Hieronder vind je een voorbeeld.
{ "tenant": "49d2c4c8-9144-49ea-b5f3-fc11b848cd72", "client": "e9f25c9c-3870-4aa8-9659-a40f09de093e", "secret": "************************************", "domain": "Cryptane.onmicrosoft.com" }
Gebruik¶
U kunt het hulpprogramma pynitrokey gebruiken om een Nitrokey in te stellen voor een gebruiker in uw tenant.
nitropy fido2 provision-credential entra -c config.json <username> --create-user
Hier kan <username> het e-mailadres van de gebruiker zijn (in Microsoft-termen: ‘User principal’) of een deel daarvan tot aan het @-teken. De optie –create-user zorgt ervoor dat de tool de gebruiker aanmaakt als deze nog niet in de Entra-tenant bestaat.
Verification¶
De gebruiker kan de zojuist aangemaakte Nitrokey gebruiken om in te loggen op zijn Microsoft-account. Volg Voorbeeld van inloggen bij Microsoft met Nitrokey om in te loggen met deze zojuist aangemaakte Nitrokey.
U kunt de toegewezen inloggegevens controleren via het Entra-beheerportaal door de onderstaande stappen te volgen.
Ga naar de optie ‘Gebruikers’ in het linkermenu van het Entra-beheercentrum.
Als de gebruiker is aangemaakt met de optie –create-user, kunt u de vermelding wellicht in de lijst vinden. Als het een reeds bestaande gebruiker betreft, staat deze daar ook vermeld. Klik op de gebruiker waaraan de inloggegevens zijn gekoppeld.
Click on Authentication methods on the user blade.
De geregistreerde inloggegevens, met de eerste 5 tekens van de Nitrokey-UUID, worden weergegeven. U kunt op de drie puntjes klikken en vervolgens op ‘Details weergeven’ om gedetailleerde informatie over de geregistreerde inloggegevens te bekijken.
Er zou aanvullende informatie over de referentie te zien zijn. U kunt deze controleren.
