Autenticación con certificado de cliente

Autentique clientes de OpenID Connect en PowerShell Universal con un certificado RSA mediante una aserción private_key_jwt en lugar de un secreto de cliente.

Los clientes de OpenID Connect (OIDC) pueden autenticarse ante un proveedor con un certificado RSA en lugar de un secreto de cliente. PowerShell Universal crea una aserción private_key_jwt de corta duración utilizando PS256 cuando canjea el código de autorización.

Requisitos

• El proveedor de identidad debe admitir la autenticación de cliente private_key_jwt.
• El fichero de certificado debe ser un PFX que incluya una clave privada RSA.
• El registro del cliente en el proveedor de identidad debe estar configurado para el certificado utilizado por PowerShell Universal.

Configurar OIDC

En el editor de autenticación OIDC, en Secure > Authentication, indique la ruta del certificado. Opcionalmente, indique su contraseña. Si el valor de la contraseña es el nombre de una variable secreta de PSU, PowerShell Universal resuelve ese secreto en tiempo de ejecución.

El flujo existente de secreto de cliente de OIDC no cambia. Configure un secreto de cliente o un certificado de cliente según el método de autenticación de cliente que requiera su proveedor.

Utilice Set-PSUAuthenticationMethod para configurar los mismos ajustes desde PowerShell:

Set-PSUAuthenticationMethod -Type OIDC `
    -CallbackPath '/auth/signin-oidc' `
    -ClientId '00000000-0000-0000-0000-000000000000' `
    -Authority 'https://login.microsoftonline.com/contoso.onmicrosoft.com/v2.0' `
    -ClientCertificate 'C:\certificates\psu-oidc.pfx' `
    -ClientCertificatePassword 'PsuOidcCertificatePassword'

Mantenga el fichero de certificado accesible para la lectura por parte de la cuenta que ejecuta PowerShell Universal. No almacene una contraseña de certificado en texto sin formato cuando esté disponible una variable secreta de PSU.