高级 Microsoft Entra 验证 ID 设置

项目
12/03/2024

高级验证 ID 设置是设置已验证 ID 的经典方法，管理员必须配置 Azure KeyVault、负责注册分散式 ID 和验证域。

本教程介绍如何使用高级设置将 Microsoft Entra 租户配置为使用可验证凭据服务。

具体来说，你将学习如何：

创建 Azure Key Vault 实例。
使用高级设置配置验证 ID 服务。
在 Microsoft Entra ID 中注册应用程序。

下图显示了验证 ID 体系结构以及所配置的组件。

展示 Microsoft Entra 验证 ID 体系结构的示意图。

先决条件

需要一个具有活动订阅的 Azure 租户。免费创建一个 Azure 订阅（如果没有）。
请确保对要配置的目录具有全局管理员或身份验证策略管理员权限。如果不是全局管理员，则需要具有应用程序管理员权限才能完成应用注册，包括授予管理员同意。
对于您在其中部署 Azure Key Vault 的 Azure 订阅或资源组，请确保你具有参与者角色。
确保提供密钥保管库的访问权限。有关详细信息，请参阅使用 Azure 基于角色的访问控制提供对密钥保管库密钥、证书和机密的访问权限。

创建 Key Vault

注意

用于设置已验证 ID 服务的 Azure 密钥保管库必须对其权限模型具有密钥保管库访问策略。如果密钥保管库具有 Azure 基于角色的访问控制，则当前存在限制

Azure Key Vault 是一种云服务，可实现对机密和密钥的安全存储和访问管理。验证 ID 服务将公钥和私钥存储在 Azure Key Vault 中。这些密钥用来对凭据进行签名和验证。

如果没有可用的 Azure 密钥保管库实例，请按照以下步骤使用 Azure 门户创建密钥保管库。用于设置已验证 ID 服务的 Azure 密钥保管库必须对其权限模型具有密钥保管库访问策略，而不是创建 Azure 密钥保管库时当前默认的 Azure 基于角色的访问控制。

注意

默认情况下，仅创建保管库的帐户具有访问权限。验证 ID 服务需要密钥保管库的访问权限。必须对密钥保管库进行身份验证，允许配置期间使用的帐户创建和删除密钥。配置期间使用的帐户还需要具有签名权限，以便它可以创建验证 ID 的域绑定。如果在测试时使用的是同一帐户，请将默认策略修改为除了授予保管库创建者默认访问权限以外，授予帐户登录权限。

管理对密钥保管库的访问权限

在设置验证 ID 之前，需要提供密钥保管库访问权限。它定义了指定的管理员是否可对密钥保管库机密和密钥执行操作。为验证 ID 管理员帐户以及你创建的请求服务 API 主体提供对密钥保管库的访问权限。

创建密钥保管库后，可验证凭据可生成一组用于提供消息安全性的密钥。这些密钥存储在密钥保管库中。使用密钥集对可验证凭据进行签名。

设置验证 ID

屏幕截图显示如何设置可验证凭据。

若要设置验证 ID，请执行以下步骤：

以全局管理员身份登录到 Microsoft Entra 管理中心。
在左侧菜单中，选择“验证 ID”下的“概述”。
在中间菜单中选择“设置”选项卡，然后选择“高级设置”。
选择“配置组织设置”
提供以下信息来设置组织：
1. 组织名称：输入名称，以便在验证 ID 中引用你的企业。你的客户看不到此名称。
2. 受信任的域：输入的域将添加到分散式身份识别 (DID) 文档中的服务终结点。域将你的 DID 绑定到用户可能了解的你业务中的内容。 Microsoft Authenticator 和其他数字钱包使用该信息来验证你的 DID 是否与你的域相关联。如果钱包可以验证 DID，则会显示已验证的符号。如果钱包无法验证 DID，则会通知用户凭据是由它无法验证的组织颁发的。
  
  重要
  
  域不能重定向。否则，“DID”和“域”将无法链接。请确保对域使用 HTTPS。例如：https://did.woodgrove.com。另请确保 Key Vault 的“权限模型”设置为“Vault 访问策略”。
3. 密钥保管库：选择之前创建的密钥保管库。
选择“保存”。