Начало работы с проверкой подлинности на основе сертификатов в идентификаторе Microsoft Entra с федерацией

Проверка подлинности на основе сертификатов (CBA) с федерацией позволяет пройти проверку подлинности с помощью идентификатора Microsoft Entra с помощью сертификата клиента на устройстве Windows, Android или iOS при подключении учетной записи Exchange Online к:

• мобильным приложениям Microsoft, таким как Microsoft Outlook и Microsoft Word;
• клиентам Exchange ActiveSync (EAS).

Настройка данной функции избавляет от необходимости ввода имени пользователя и пароля в определенных почтовых клиентах и приложениях Microsoft Office на мобильных устройствах.

В этой статье:

• Показано, как настроить и использовать проверку подлинности на основе сертификатов для пользователей арендаторов в тарифных планах Office 365 корпоративный, бизнес, для образования и для государственных организаций США.
• Предполагается, что у вас уже настроены инфраструктура открытых ключей (PKI) и AD FS.

Требования

Для настройки проверки подлинности на основе сертификатов должны выполняться следующие условия:

• Проверка подлинности на основе сертификатов с использованием федерации поддерживается только для браузерных приложений и собственных клиентов в федеративных средах, использующих библиотеки современной проверки подлинности или MSAL. Единственным исключением является решение Exchange Active (EAS) для Exchange Online (EXO), которое можно использовать для федеративных и управляемых учетных записей. Чтобы настроить Microsoft Entra CBA без необходимости федерации, см. инструкции по настройке проверки подлинности на основе сертификата Microsoft Entra.
• Корневой центр сертификации и все промежуточные центры сертификации должны быть настроены в идентификаторе Microsoft Entra.
• У каждого центра сертификации должен быть список отзыва сертификатов (CRL), на который можно сослаться с помощью URL-адреса для Интернета.
• Необходимо иметь по крайней мере один центр сертификации, настроенный в идентификаторе Microsoft Entra. Соответствующие действия описаны в разделе Настройка центров сертификации.
• Для клиентов Exchange ActiveSync: в сертификате клиента, в поле "Альтернативное имя субъекта", в качестве значения имени субъекта или имени RFC822 должен быть указан маршрутизируемый адрес электронной почты пользователя в Exchange Online. Идентификатор Microsoft Entra сопоставляет значение RFC822 с атрибутом прокси-адреса в каталоге.
• Устройство клиента должно иметь доступ хотя бы к одному центру сертификации, выдающему сертификаты клиента.
• Для аутентификации вашего клиента должен быть выдан сертификат клиента.

Шаг 1. Выбор платформы устройства

При выборе платформы устройства для начала необходимо ознакомиться со следующими сведениями:

• Поддержка мобильных приложений Office
• Особые требования к реализации

Эта информация доступна для следующих платформ устройств:

• Android
• iOS

Шаг 2. Настройка центров сертификации

Чтобы настроить центры сертификации в идентификаторе Microsoft Entra, для каждого центра сертификации отправьте следующее:

• открытую часть сертификата в формате CER ;
• URL-адреса для Интернета, по которым находятся списки отзыва сертификатов (CRL).

Схема для центра сертификации выглядит следующим образом:

    class TrustedCAsForPasswordlessAuth
    {
       CertificateAuthorityInformation[] certificateAuthorities;
    }

    class CertificateAuthorityInformation

    {
        CertAuthorityType authorityType;
        X509Certificate trustedCertificate;
        string crlDistributionPoint;
        string deltaCrlDistributionPoint;
        string trustedIssuer;
        string trustedIssuerSKI;
    }

    enum CertAuthorityType
    {
        RootAuthority = 0,
        IntermediateAuthority = 1
    }

Для настройки можно использовать Microsoft Graph PowerShell:

1. Запустите Windows PowerShell с правами администратора.

2. Установите Microsoft Graph PowerShell:

       Install-Module Microsoft.Graph
   

В качестве первого шага настройки необходимо установить подключение к клиенту. Когда будет установлено подключение к клиенту, вы сможете просмотреть, добавить, удалить или изменить доверенные центры сертификации, определенные в каталоге.

Связь

Чтобы установить подключение к клиенту, используйте Подключение-MgGraph:

    Connect-MgGraph

Retrieve

Чтобы получить доверенные центры сертификации, определенные в каталоге, используйте Get-MgOrganizationCertificateBasedAuthConfiguration.

    Get-MgOrganizationCertificateBasedAuthConfiguration

Чтобы добавить, изменить или удалить ЦС, используйте Центр администрирования Microsoft Entra:

1. Войдите в Центр администрирования Microsoft Entra в качестве глобального Администратор istrator.

2. Перейдите к >>центрам сертификации центра безопасности (или оценки безопасности удостоверений). >

3. Чтобы отправить ЦС, нажмите кнопку "Отправить":

   1. Выберите файл ЦС.

   2. Выберите Да, если ЦС является корневым сертификатом, в противном случае выберите Нет.

   3. Для URL-адреса списка отзыва сертификатов задайте URL-адрес, доступный в Интернете, для базового списка отзыва сертификатов ЦС, который содержит все отозванные сертификаты. Если URL-адрес не задан, проверка подлинности с отозванными сертификатами не завершится ошибкой.

   4. Для URL-адреса списка отзыва разностных сертификатов задайте URL-адрес для списка отзыва сертификатов в Интернете, содержащий все отозванные сертификаты с момента публикации последнего базового списка отзыва сертификатов.

   5. Выберите Добавить.

      

4. Чтобы удалить сертификат ЦС, выберите сертификат и нажмите кнопку "Удалить".

5. Выберите столбцы для добавления или удаления столбцов.

Шаг 3. Настройка отзыва

Чтобы отозвать сертификат клиента, идентификатор Microsoft Entra извлекает список отзыва сертификатов (CRL) из URL-адресов, отправленных в рамках сведений центра сертификации и кэширует его. Метка времени последней публикации (свойствоДата вступления в силу ) в списке отзыва сертификатов обеспечивает допустимость этого списка. Список отзыва сертификатов периодически опрашивается для отзыва доступа к сертификатам, которые числятся в этом списке.

Если требуется более быстрый отзыв (например, если пользователь потерял устройство), то маркер авторизации пользователя можно сделать недействительным. Чтобы сделать маркер авторизации недействительным, с помощью Windows PowerShell определите поле StsRefreshTokenValidFrom для этого пользователя. Поле StsRefreshTokenValidFrom необходимо обновить для каждого пользователя, доступ для которого будет отозван.

Чтобы отзыв оставался в силе, для свойства Дата вступления в силу списка отзыва сертификатов необходимо указать дату, которая наступит после даты, заданной в поле StsRefreshTokenValidFrom, а также убедиться, что этот сертификат есть в списке отзыва сертификатов.

Ниже описан процесс обновления и аннулирования маркера авторизации с помощью поля StsRefreshTokenValidFrom .

1. Подключение в PowerShell:

   Connect-MgGraph
   

2. Получите текущее значение StsRefreshTokensValidFrom для пользователя:

           $user = Get-MsolUser -UserPrincipalName test@yourdomain.com`
           $user.StsRefreshTokensValidFrom
   

3. Настройте новое значение StsRefreshTokensValidFrom для пользователя, равное текущей метке времени:

           Set-MsolUser -UserPrincipalName test@yourdomain.com -StsRefreshTokensValidFrom ("03/05/2021")
   

Задаваемая дата должна быть в будущем. Если дата не в будущем, свойство StsRefreshTokensValidFrom не будет задано. Если дата в будущем, для StsRefreshTokensValidFrom задается актуальное время (не дата, указанная командой Set-MsolUser).

Шаг 4. Тестирование конфигурации

Тестирование сертификата

В качестве первой проверки конфигурации попытайтесь войти в Outlook Web Access или SharePoint Online, используя браузер на устройстве.

Успешный вход подтверждает, что:

• для тестируемого устройства подготовлен сертификат пользователя;
• службы AD FS настроены правильно.

Тестирование мобильных приложений Office

1. На тестируемом устройстве установите мобильное приложение Office (например, OneDrive).
2. Запустите приложение .
3. Введите свое имя пользователя, а затем выберите сертификат пользователя, который хотите использовать.

Вы должны без проблем войти в систему.

Тестирование клиентских приложений Exchange ActiveSync

Для доступа к Exchange ActiveSync (EAS) с использованием аутентификации на основе сертификата приложению должен быть доступен профиль EAS, содержащий сертификат клиента.

В профиле EAS должны содержаться следующие сведения:

• сертификат пользователя, который будет использоваться для аутентификации;

• конечная точка EAS (например, outlook.office365.com).

Профиль EAS можно настроить и разместить на устройстве с помощью использования управления мобильными устройствами (MDM), например Microsoft Intune или вручную поместив сертификат в профиль EAS на устройстве.

Тестирование клиентских приложений EAS на Android

1. Настройте профиль EAS в приложении, удовлетворяющем требованиям, изложенным в предыдущем разделе.
2. Откройте приложение и убедитесь, что почта синхронизируется.

Следующие шаги

Дополнительные сведения о проверке подлинности на основе сертификата на устройствах Android.

Дополнительные сведения о проверке подлинности на основе сертификата на устройствах iOS.