Client-Zertifikat-Authentifizierung

Authentifizieren Sie OpenID Connect-Clients in PowerShell Universal mit einem RSA-Zertifikat unter Verwendung einer private_key_jwt-Assertion anstelle eines Client-Secrets.

OpenID Connect (OIDC)-Clients können sich bei einem Anbieter mit einem RSA-Zertifikat anstelle eines Client-Secrets authentifizieren. PowerShell Universal erstellt eine kurzlebige private_key_jwt-Assertion mit PS256, wenn der Autorisierungscode eingelöst wird.

Anforderungen

• Der Identitätsanbieter muss die private_key_jwt-Client-Authentifizierung unterstützen.
• Die Zertifikatsdatei muss eine PFX-Datei sein, die einen privaten RSA-Schlüssel enthält.
• Die Client-Registrierung beim Identitätsanbieter muss für das von PowerShell Universal verwendete Zertifikat konfiguriert sein.

OIDC konfigurieren

Geben Sie im OIDC-Authentifizierungseditor unter Secure > Authentication den Zertifikatspfad an. Optional können Sie dessen Passwort angeben. Wenn der Passwortwert der Name einer PSU-Secret-Variablen ist, löst PowerShell Universal dieses Secret zur Laufzeit auf.

Der bestehende OIDC-Client-Secret-Ablauf bleibt unverändert. Konfigurieren Sie entweder ein Client-Secret oder ein Client-Zertifikat für die von Ihrem Anbieter geforderte Client-Authentifizierungsmethode.

Verwenden Sie Set-PSUAuthenticationMethod, um dieselben Einstellungen über PowerShell zu konfigurieren:

Set-PSUAuthenticationMethod -Type OIDC `
    -CallbackPath '/auth/signin-oidc' `
    -ClientId '00000000-0000-0000-0000-000000000000' `
    -Authority 'https://login.microsoftonline.com/contoso.onmicrosoft.com/v2.0' `
    -ClientCertificate 'C:\certificates\psu-oidc.pfx' `
    -ClientCertificatePassword 'PsuOidcCertificatePassword'

Achten Sie darauf, dass die Zertifikatsdatei für das Konto lesbar ist, unter dem PowerShell Universal ausgeführt wird. Speichern Sie ein Zertifikatspasswort nicht im Klartext, wenn eine PSU-Secret-Variable verfügbar ist.