Dela via

Verifiera domänägarskapet till din decentraliserade identifierare

  • Artikel

I den här artikeln granskar vi de steg som krävs för att verifiera ditt ägarskap för det domännamn som du använder för din decentraliserade identifierare (DID).

Förutsättningar

Om du vill verifiera domänägarskapet till DID måste du:

Verifiera domänägarskapet och distribuera did-configuration.json-filen

Domänen som du verifierar ägarskap för till din DID definieras i översiktsavsnittet. Domänen måste vara en domän under din kontroll och den ska vara i formatet https://www.example.com/.

  1. Från Azure-portalen går du till sidan Verifierat ID .

  2. Välj Konfigurera>Verifiera domänägarskap och välj Verifiera för domänen.

  3. Kopiera eller ladda ned did-configuration.json filen.

    Skärmbild som visar nedladdning av den välkända konfigurationen.

  4. Värd för did-configuration.json filen på den angivna platsen. Om du till exempel har angett en domän https://www.example.commåste filen finnas på https://www.example.com/.well-known/did-configuration.json. Det kan inte finnas någon annan sökväg i URL:en förutom .well-known path namnet.

  5. När did-configuration.json är offentligt tillgängligt på .well-known/did-configuration.json URL:en kontrollerar du det genom att välja Uppdatera verifieringsstatus.

    Skärmbild som visar den verifierade välkända konfigurationen.

  6. Testa utfärdande eller presentation med Microsoft Authenticator för att verifiera. Kontrollera att inställningen Varna för osäkra appar i Authenticator är aktiverad. Inställningen är aktiverad som standard.

Hur kan jag kontrollera att verifieringen fungerar?

Portalen verifierar att did-configuration.json den kan nås via Internet och är giltig när du väljer Uppdatera verifieringsstatus. Authenticator respekterar inte HTTP-omdirigeringar. Du bör också överväga att kontrollera att du kan begära den url:en i en webbläsare för att undvika fel som att inte använda HTTPS, ett felaktigt SSL-certifikat eller att URL:en inte är offentlig. did-configuration.json Om filen inte kan begäras anonymt i en webbläsare eller via verktyg som curl, utan varningar eller fel, kan portalen inte heller slutföra steget Uppdatera verifieringsstatus.

Kommentar

Om du har problem med att uppdatera verifieringsstatusen kan du felsöka den genom att köra curl -Iv https://yourdomain.com/.well-known/did-configuration.json den på en dator med Ubuntu OS. Windows-undersystem för Linux med Ubuntu fungerar också. Om curl misslyckas fungerar inte verifieringsstatusen.

Varför måste jag verifiera domänägarskapet för vår DID?

En DID börjar som en identifierare som inte är förankrad i befintliga system. En DID är användbar eftersom en användare eller organisation kan äga den och kontrollera den. Om en entitet som interagerar med organisationen inte vet "vem" did tillhör är DID inte lika användbar.

Att länka en DID till en domän löser det första förtroendeproblemet genom att tillåta en entitet att kryptografiskt verifiera relationen mellan en DID och en domän.

Verifierat ID följer den välkända DID-konfigurationsspecifikationen för att skapa länken. Tjänsten för verifierbara autentiseringsuppgifter länkar din DID och domän. Tjänsten innehåller den domäninformation som du angav i DID och genererar den välkända konfigurationsfilen:

  1. Verifierat ID använder den domäninformation som du anger under organisationskonfigurationen för att skriva en tjänstslutpunkt i DID-dokumentet. Alla parter som interagerar med din DID kan se domänen som din DID proklamerar vara associerad med.

    "service": [
  {
    "id": "#linkeddomains",
    "type": "LinkedDomains",
    "serviceEndpoint": {
      "origins": [
        "https://verifiedid.contoso.com/"
      ]
    }
  }
]

  2. Den verifierbara tjänsten för autentiseringsuppgifter i Verifierat ID genererar en kompatibel välkänd konfigurationsresurs som du måste vara värd för på din domän. Konfigurationsfilen innehåller en själv utfärdad verifierbar autentiseringsuppgift av autentiseringstypen DomainLinkageCredential, signerad med din DID, som har ett ursprung för din domän. Här är ett exempel på konfigurationsfilen som lagras på rotdomänens URL.

    {
  "@context": "https://identity.foundation/.well-known/contexts/did-configuration-v0.0.jsonld",
  "linked_dids": [
    "jwt..."
  ]
}

Användarupplevelse i plånboken

När en användare går igenom ett utfärdandeflöde eller presenterar en verifierbar autentiseringsuppgift bör de veta något om organisationen och dess DID. Authenticator validerar en DID-relation med domänen i DID-dokumentet och ger användarna två olika upplevelser beroende på resultatet.

Verifierad domän

Innan Authenticator visar en verifierad ikon måste några punkter vara sanna:

  • DID-signeringen av den självutfärdade BEGÄRAN om öppet ID (SIOP) måste ha en tjänstslutpunkt för en länkad domän.
  • Rotdomänen använder ingen omdirigering och använder HTTPS.
  • Domänen som anges i DID-dokumentet har en välkänd resurs som kan matchas.
  • Den välkända resursens verifierbara autentiseringsuppgifter är signerad med samma DID som användes för att signera SIOP som Authenticator använde för att starta flödet.

Om alla tidigare nämnda punkter är sanna visar Authenticator en verifierad sida och innehåller domänen som verifierades.

Skärmbild som visar en ny behörighetsbegäran.

Overifierad domän

Om någon av ovanstående punkter inte är sanna visar Authenticator en helsidesvarning som anger att domänen är overifierad. Användaren varnas för att de befinner sig mitt i en potentiell riskfylld transaktion och bör fortsätta med försiktighet. De kan ha valt att ta den här vägen eftersom:

  • DID är inte förankrad i en domän.
  • Konfigurationen har inte konfigurerats korrekt.
  • DEN DID som användaren interagerar med kan vara skadlig och kan faktiskt inte bevisa att de äger domänen som är länkad.

Det är mycket viktigt att du länkar din DID till en domän som är igenkännlig för användaren.

Skärmbild som visar den overifierade domänvarningen på skärmen Lägg till en autentiseringsuppgift.

Hur gör jag för att uppdatera den länkade domänen på min DID?

Med systemet för webbförtroende stöds inte uppdatering av den länkade domänen. Du måste avregistrera dig och registrera dig igen.

Länkad domän är enkel för utvecklare

Kommentar

DID-dokumentet måste vara offentligt tillgängligt för att DID-registreringen ska lyckas.

Det enklaste sättet för en utvecklare att få en domän att använda för en länkad domän är att använda funktionen för statisk webbplats i Azure Storage. Du kan inte styra vad domännamnet är, förutom att det innehåller ditt lagringskontonamn som en del av dess värdnamn.

Så här konfigurerar du snabbt en domän som ska användas för en länkad domän:

  1. Skapa ett lagringskonto. När du skapar väljer du StorageV2 (generell användning v2-konto) och Lokalt redundant lagring (LRS).
  2. Gå till lagringskontot och välj Statisk webbplats på menyn längst till vänster och aktivera Statisk webbplats. Om du inte kan se menyalternativet Statisk webbplats skapade du inte ett V2-lagringskonto .
  3. Kopiera det primära slutpunktsnamnet som visas när du har sparat. Det här värdet är ditt domännamn. Det ser ut ungefär som https://<your-storageaccountname>.z6.web.core.windows.net/.

När det är dags att ladda upp did-configuration.json filen:

  1. Gå till lagringskontot och välj Containrar på menyn längst till vänster. Välj sedan containern med namnet $web.
  2. Välj Ladda upp och välj mappikonen för att hitta filen.
  3. Innan du laddar upp öppnar du avsnittet Avancerat och anger .välkänd i textrutan Ladda upp till mapp .
  4. Ladda upp -filen.

Nu har du filen offentligt tillgänglig på en URL som ser ut ungefär som https://<your-storageaccountname>.z6.web.core.windows.net/.well-known/did-configuration.json.

Nästa steg