Начало работы с проверкой подлинности на основе сертификатов в идентификаторе Microsoft Entra с федерацией

Статья
04/06/2024

Проверка подлинности на основе сертификатов (CBA) с федерацией позволяет пройти проверку подлинности с помощью идентификатора Microsoft Entra с помощью сертификата клиента на устройстве Windows, Android или iOS при подключении учетной записи Exchange Online к:

мобильным приложениям Microsoft, таким как Microsoft Outlook и Microsoft Word;
клиентам Exchange ActiveSync (EAS).

Настройка данной функции избавляет от необходимости ввода имени пользователя и пароля в определенных почтовых клиентах и приложениях Microsoft Office на мобильных устройствах.

Примечание.

В качестве альтернативы организации могут развертывать Microsoft Entra CBA без необходимости федерации. Дополнительные сведения см. в разделе "Обзор проверки подлинности на основе сертификата Microsoft Entra" с идентификатором Microsoft Entra.

В этой статье:

Показано, как настроить и использовать проверку подлинности на основе сертификатов для пользователей арендаторов в тарифных планах Office 365 корпоративный, бизнес, для образования и для государственных организаций США.
Предполагается, что у вас уже настроены инфраструктура открытых ключей (PKI) и AD FS.

Требования

Для настройки проверки подлинности на основе сертификатов должны выполняться следующие условия:

Проверка подлинности на основе сертификатов с использованием федерации поддерживается только для браузерных приложений и собственных клиентов в федеративных средах, использующих библиотеки современной проверки подлинности или MSAL. Единственным исключением является решение Exchange Active (EAS) для Exchange Online (EXO), которое можно использовать для федеративных и управляемых учетных записей. Чтобы настроить Microsoft Entra CBA без необходимости федерации, см. инструкции по настройке проверки подлинности на основе сертификата Microsoft Entra.
Корневой центр сертификации и все промежуточные центры сертификации должны быть настроены в идентификаторе Microsoft Entra.
У каждого центра сертификации должен быть список отзыва сертификатов (CRL), на который можно сослаться с помощью URL-адреса для Интернета.
Необходимо иметь по крайней мере один центр сертификации, настроенный в идентификаторе Microsoft Entra. Соответствующие действия описаны в разделе Настройка центров сертификации.
Для клиентов Exchange ActiveSync: в сертификате клиента, в поле "Альтернативное имя субъекта", в качестве значения имени субъекта или имени RFC822 должен быть указан маршрутизируемый адрес электронной почты пользователя в Exchange Online. Идентификатор Microsoft Entra сопоставляет значение RFC822 с атрибутом прокси-адреса в каталоге.
Устройство клиента должно иметь доступ хотя бы к одному центру сертификации, выдающему сертификаты клиента.
Для аутентификации вашего клиента должен быть выдан сертификат клиента.

Внимание

Максимальный размер списка отзыва сертификатов для идентификатора Microsoft Entra для успешного скачивания и кэша составляет 20 МБ, а время, необходимое для скачивания списка отзыва сертификатов, не должно превышать 10 секунд. Если идентификатор Microsoft Entra не может скачать список отзыва сертификатов, проверка подлинности на основе сертификатов с использованием сертификатов, выданных соответствующим ЦС, завершится сбоем. Рекомендуется убедиться, что файлы списка отзыва сертификатов не превышают разрешенный размер, а также проверить срок действия сертификатов и удалить истекшие.

Шаг 1. Выбор платформы устройства

При выборе платформы устройства для начала необходимо ознакомиться со следующими сведениями:

Поддержка мобильных приложений Office
Особые требования к реализации

Эта информация доступна для следующих платформ устройств:

Android
iOS

Шаг 2. Настройка центров сертификации

Чтобы настроить центры сертификации в идентификаторе Microsoft Entra, для каждого центра сертификации отправьте следующее:

открытую часть сертификата в формате CER ;
URL-адреса для Интернета, по которым находятся списки отзыва сертификатов (CRL).

Схема для центра сертификации выглядит следующим образом:

    class TrustedCAsForPasswordlessAuth
    {
       CertificateAuthorityInformation[] certificateAuthorities;
    }

    class CertificateAuthorityInformation

    {
        CertAuthorityType authorityType;
        X509Certificate trustedCertificate;
        string crlDistributionPoint;
        string deltaCrlDistributionPoint;
        string trustedIssuer;
        string trustedIssuerSKI;
    }

    enum CertAuthorityType
    {
        RootAuthority = 0,
        IntermediateAuthority = 1
    }

Для настройки можно использовать Microsoft Graph PowerShell:

Запустите Windows PowerShell с правами администратора.
Установите Microsoft Graph PowerShell:
```
    Install-Module Microsoft.Graph
```

В качестве первого шага настройки необходимо установить подключение к клиенту. Когда будет установлено подключение к клиенту, вы сможете просмотреть, добавить, удалить или изменить доверенные центры сертификации, определенные в каталоге.

Связь

Чтобы установить подключение к клиенту, используйте Подключение-MgGraph:

    Connect-MgGraph

Retrieve

Чтобы получить доверенные центры сертификации, определенные в каталоге, используйте Get-MgOrganizationCertificateBasedAuthConfiguration.

    Get-MgOrganizationCertificateBasedAuthConfiguration

Чтобы добавить, изменить или удалить ЦС, используйте Центр администрирования Microsoft Entra:

Войдите в Центр администрирования Microsoft Entra в качестве глобального Администратор istrator.
Перейдите к >>центрам сертификации центра безопасности (или оценки безопасности удостоверений). >
Чтобы отправить ЦС, нажмите кнопку "Отправить":
1. Выберите файл ЦС.
2. Выберите Да, если ЦС является корневым сертификатом, в противном случае выберите Нет.
3. Для URL-адреса списка отзыва сертификатов задайте URL-адрес, доступный в Интернете, для базового списка отзыва сертификатов ЦС, который содержит все отозванные сертификаты. Если URL-адрес не задан, проверка подлинности с отозванными сертификатами не завершится ошибкой.
4. Для URL-адреса списка отзыва разностных сертификатов задайте URL-адрес для списка отзыва сертификатов в Интернете, содержащий все отозванные сертификаты с момента публикации последнего базового списка отзыва сертификатов.
5. Выберите Добавить.
Чтобы удалить сертификат ЦС, выберите сертификат и нажмите кнопку "Удалить".
Выберите столбцы для добавления или удаления столбцов.

Шаг 3. Настройка отзыва

Чтобы отозвать сертификат клиента, идентификатор Microsoft Entra извлекает список отзыва сертификатов (CRL) из URL-адресов, отправленных в рамках сведений центра сертификации и кэширует его. Метка времени последней публикации (свойствоДата вступления в силу ) в списке отзыва сертификатов обеспечивает допустимость этого списка. Список отзыва сертификатов периодически опрашивается для отзыва доступа к сертификатам, которые числятся в этом списке.

Если требуется более быстрый отзыв (например, если пользователь потерял устройство), то маркер авторизации пользователя можно сделать недействительным. Чтобы сделать маркер авторизации недействительным, с помощью Windows PowerShell определите поле StsRefreshTokenValidFrom для этого пользователя. Поле StsRefreshTokenValidFrom необходимо обновить для каждого пользователя, доступ для которого будет отозван.

Чтобы отзыв оставался в силе, для свойства Дата вступления в силу списка отзыва сертификатов необходимо указать дату, которая наступит после даты, заданной в поле StsRefreshTokenValidFrom, а также убедиться, что этот сертификат есть в списке отзыва сертификатов.

Примечание.

Модули Azure AD и MSOnline PowerShell устарели с 30 марта 2024 г. Дополнительные сведения см. в обновлении об отмене. После этой даты поддержка этих модулей ограничена поддержкой миграции в пакет SDK Для Microsoft Graph PowerShell и исправления безопасности. Устаревшие модули будут продолжать функционировать до 30 марта 2025 года.

Рекомендуется перенести в Microsoft Graph PowerShell для взаимодействия с идентификатором Microsoft Entra (ранее — Azure AD). Часто задаваемые вопросы о миграции см. в разделе "Вопросы и ответы о миграции". Примечание. Версии 1.0.x MSOnline могут возникнуть сбоем после 30 июня 2024 г.

Ниже описан процесс обновления и аннулирования маркера авторизации с помощью поля StsRefreshTokenValidFrom .

Подключение в PowerShell:
```
Connect-MgGraph
```

Получите текущее значение StsRefreshTokensValidFrom для пользователя:

        $user = Get-MsolUser -UserPrincipalName test@yourdomain.com`
        $user.StsRefreshTokensValidFrom

Настройте новое значение StsRefreshTokensValidFrom для пользователя, равное текущей метке времени:
```
        Set-MsolUser -UserPrincipalName test@yourdomain.com -StsRefreshTokensValidFrom ("03/05/2021")
```

Задаваемая дата должна быть в будущем. Если дата не в будущем, свойство StsRefreshTokensValidFrom не будет задано. Если дата в будущем, для StsRefreshTokensValidFrom задается актуальное время (не дата, указанная командой Set-MsolUser).

Шаг 4. Тестирование конфигурации

Тестирование сертификата

В качестве первой проверки конфигурации попытайтесь войти в Outlook Web Access или SharePoint Online, используя браузер на устройстве.

Успешный вход подтверждает, что:

для тестируемого устройства подготовлен сертификат пользователя;
службы AD FS настроены правильно.

Тестирование мобильных приложений Office

На тестируемом устройстве установите мобильное приложение Office (например, OneDrive).
Запустите приложение .
Введите свое имя пользователя, а затем выберите сертификат пользователя, который хотите использовать.

Вы должны без проблем войти в систему.

Тестирование клиентских приложений Exchange ActiveSync

Для доступа к Exchange ActiveSync (EAS) с использованием аутентификации на основе сертификата приложению должен быть доступен профиль EAS, содержащий сертификат клиента.

В профиле EAS должны содержаться следующие сведения:

сертификат пользователя, который будет использоваться для аутентификации;
конечная точка EAS (например, outlook.office365.com).

Профиль EAS можно настроить и разместить на устройстве с помощью использования управления мобильными устройствами (MDM), например Microsoft Intune или вручную поместив сертификат в профиль EAS на устройстве.

Тестирование клиентских приложений EAS на Android

Настройте профиль EAS в приложении, удовлетворяющем требованиям, изложенным в предыдущем разделе.
Откройте приложение и убедитесь, что почта синхронизируется.

Следующие шаги

Дополнительные сведения о проверке подлинности на основе сертификата на устройствах Android.

Дополнительные сведения о проверке подлинности на основе сертификата на устройствах iOS.