Расширенная настройка Проверенные учетные данные Microsoft Entra

Статья
02/21/2024

Настройка расширенного проверенного идентификатора — это классический способ настройки проверенного идентификатора, в котором администратор должен настроить Azure KeyVault, зарегистрировать децентрализованный идентификатор и проверить домен.

В этом руководстве описано, как использовать расширенную настройку для настройки клиента Microsoft Entra для использования проверяемой службы учетных данных.

В частности, вы узнаете, как выполнять следующие задачи:

Создание экземпляра Azure Key Vault.
Настройте службу проверенных идентификаторов с помощью расширенной настройки.
Зарегистрируйте приложение в Microsoft Entra ID.

На следующей диаграмме показана архитектура проверяемых удостоверений и настраиваемый компонент.

Diagram that illustrates the Microsoft Entra Verified ID architecture.

Необходимые компоненты

Вам потребуется клиент Azure с активной подпиской. Если у вас еще нет подписки Azure, создайте бесплатную учетную запись Azure.
Убедитесь, что у вас есть разрешение глобального администратора или администратора политики проверки подлинности для каталога, который вы хотите настроить. Если вы не глобальный администратор, вам потребуется разрешение администратора приложения для завершения регистрации приложения, включая предоставление согласия администратора.
Убедитесь, что у вас есть участник роль для подписки Azure или группы ресурсов, в которой выполняется развертывание Azure Key Vault.
Убедитесь, что вы предоставляете разрешения доступа для Key Vault. Дополнительные сведения см. в статье Предоставление доступа к ключам, сертификатам и секретам Key Vault с помощью управления доступом на основе ролей Azure.

Создание хранилища ключей

Azure Key Vault — это облачная служба, которая обеспечивает безопасное хранилище и управление доступом секретов и ключей. Служба проверяемых удостоверений хранит открытые и закрытые ключи в Azure Key Vault. Эти ключи используются для подписания и проверки удостоверений.

Если у вас нет экземпляра Azure Key Vault, выполните приведенные ниже действия, чтобы создать хранилище ключей на портале Azure.

Примечание.

По умолчанию доступ имеет только учетная запись, которая создает хранилище. Для службы проверяемых удостоверений требуется доступ к хранилищу ключей. Необходимо пройти проверку подлинности хранилища ключей, позволяя учетной записи, используемой во время настройки, создавать и удалять ключи. Учетной записи, использованной при настройке, также требуется разрешение на подпись, чтобы создать привязку к домену для службы проверяемых удостоверений. Если вы используете одну и ту же учетную запись во время тестирования, измените политику по умолчанию, чтобы предоставить учетной записи разрешение на подпись в дополнение к разрешениям по умолчанию, предоставляемым создателям хранилища.

Управление доступом к хранилищу ключей

Прежде чем настроить проверенный идентификатор, необходимо предоставить доступ к Key Vault. Это определяет, может ли указанный администратор выполнять операции с секретами и ключами Key Vault. Предоставьте разрешения на доступ к хранилищу ключей как для учетной записи администратора проверенного идентификатора, так и для созданного субъекта API службы запросов.

Когда вы создадите хранилище ключей, служба "Проверяемые удостоверения" создаст набор ключей, используемых для обеспечения безопасности сообщений. Эти ключи хранятся в Key Vault. Этот набор ключей используется для подписывания, обновления и восстановления проверяемых удостоверений.

Настройка проверяемого удостоверения

Screenshot that shows how to set up Verifiable Credentials.

Чтобы настроить проверяемое удостоверение, выполните следующие действия.

Войдите в Центр администрирования Microsoft Entra как минимум глобальный Администратор istrator.
Выберите проверенный идентификатор.
В меню слева выберите "Настройка".
В среднем меню выберите "Настройка параметров организации".
Настройте организацию, предоставив следующие сведения.
1. Название организации: введите имя для ссылки на бизнес в проверенных идентификаторах. Ваши клиенты не видят это имя.
2. Доверенный домен: введите домен, добавленный в конечную точку службы в документе децентрализованного удостоверения (DID). Домен является привязкой вашего пользователя к какому-то важному факту о вашей компании, о котором пользователь может знать. Microsoft Authenticator и другие цифровые кошельки используют эти сведения, чтобы проверить, связан ли ваш DID с вашим доменом. Если кошелек может проверить DID, он отображает символ "проверено". Если кошельку не может проверить DID, он информирует пользователя о том, что учетные данные выданы организацией, которую ему не удалось проверить.
  
  Внимание
  
  Домен не может являться перенаправлением. В противном случае DID нельзя привязать к домену. Убедитесь, что для домена используется протокол HTTPS. Например: https://did.woodgrove.com.
3. Хранилище ключей: выберите хранилище ключей, которое создали ранее.
Выберите Сохранить.

Регистрация приложения в идентификаторе Microsoft Entra

Приложению необходимо получить маркеры доступа, когда требуется вызвать проверяемый идентификатор Microsoft Entra, чтобы оно могло выдать или проверить учетные данные. Чтобы получить маркеры доступа, вам нужно зарегистрировать приложение и предоставить разрешение на использование API службы запросов проверяемых идентификаторов. Например, для веб-приложения выполните следующие действия:

Войдите в Центр администрирования Microsoft Entra как минимум глобальный Администратор istrator.
Выберите Microsoft Entra ID.
В разделе "Приложения" выберите регистрацию Регистрация приложений> New.
Введите отображаемое имя приложения. Например, verifiable-credentials-app.
Для параметра Поддерживаемые типы учетных записей выберите Учетные записи только в этом каталоге организации (только каталог по умолчанию — один клиент)
Выберите Зарегистрировать, чтобы создать приложение.

Предоставление разрешений на получение маркеров доступа

На этом шаге вы предоставите разрешения субъекту-службе запросов службе проверяемых удостоверений.

Чтобы добавить требуемые разрешения:

Оставайтесь на странице сведений о приложении verifiable-credentials-app. Выберите Разрешения API>Добавить разрешение.
Выберите API-интерфейсы, которые использует моя организация.
Найдите субъект-службу запроса проверяемых учетных данных и выберите его.
Выберите Разрешение приложения и разверните узел VerifiableCredential.Create.All.
Выберите Добавить разрешения.
Выберите Предоставить согласие администратора для <имя арендатора>.

Вы можете предоставить разрешения на выдачу и презентацию отдельно, если вы предпочитаете разделить область на разные приложения.

Screenshot that shows how to select granular permissions for issuance or presentation.

Регистрация децентрализованного идентификатора и проверка владения доменом

После настройки Azure Key Vault и службы есть ключ подписывания, необходимо выполнить шаг 2 и 3 в настройке.

Screenshot that shows how to set up Verifiable Credentials step 2 and 3.

Войдите в Центр администрирования Microsoft Entra как минимум глобальный Администратор istrator.
Выберите проверяемые учетные данные.
В меню слева выберите "Настройка".
В среднем меню выберите "Зарегистрировать децентрализованный идентификатор", чтобы зарегистрировать документ DID, как описано в статье "Как зарегистрировать децентрализованный идентификатор для did:web". Прежде чем продолжить проверку домена, необходимо выполнить этот шаг. Если вы выбрали :ion в качестве системы доверия, этот шаг следует пропустить.
В среднем меню выберите "Проверить владение доменом" , чтобы проверить ваш домен, как по инструкциям в статье "Проверка владения доменом" для децентрализованного идентификатора (DID)

После успешного выполнения шагов проверки и получения зеленых проверка меток на всех трех шагах вы будете готовы продолжить работу со следующим руководством.