Authentification par certificat client

Authentifiez les clients OpenID Connect dans PowerShell Universal avec un certificat RSA à l'aide d'une assertion private_key_jwt plutôt qu'un secret client.

Les clients OpenID Connect (OIDC) peuvent s'authentifier auprès d'un fournisseur avec un certificat RSA plutôt qu'avec un secret client. PowerShell Universal crée une assertion private_key_jwt de courte durée à l'aide de PS256 lorsqu'il échange le code d'autorisation.

Exigences

• Le fournisseur d'identité doit prendre en charge l'authentification client private_key_jwt.
• Le fichier de certificat doit être un PFX qui inclut une clé privée RSA.
• L'enregistrement du client auprès du fournisseur d'identité doit être configuré pour le certificat utilisé par PowerShell Universal.

Configurer OIDC

Dans l'éditeur d'authentification OIDC sous Secure > Authentication, fournissez le chemin du certificat. Vous pouvez aussi fournir son mot de passe. Si la valeur du mot de passe correspond au nom d'une variable secrète PSU, PowerShell Universal résout ce secret à l'exécution.

Le flux existant avec secret client OIDC demeure inchangé. Configurez soit un secret client, soit un certificat client selon la méthode d'authentification client requise par votre fournisseur.

Utilisez Set-PSUAuthenticationMethod pour configurer les mêmes paramètres à partir de PowerShell :

Set-PSUAuthenticationMethod -Type OIDC `
    -CallbackPath '/auth/signin-oidc' `
    -ClientId '00000000-0000-0000-0000-000000000000' `
    -Authority 'https://login.microsoftonline.com/contoso.onmicrosoft.com/v2.0' `
    -ClientCertificate 'C:\certificates\psu-oidc.pfx' `
    -ClientCertificatePassword 'PsuOidcCertificatePassword'

Assurez-vous que le fichier de certificat demeure lisible par le compte qui exécute PowerShell Universal. Ne stockez pas un mot de passe de certificat en texte en clair lorsqu'une variable secrète PSU est disponible.