Nach aktuellem Stand vom 19.06.2024 befindet sich die folgende beschriebene Anwendung immer noch in der Pilotphase. Ursprünglich wurde der Aufbau in diesem Artikel mit der DID:ION-Methose realisiert, diese wird nicht mehr unterstützt, deshalb wird folgend die DID:WEB-Methode vorgestellt.
Nachdem im Oktober 2021 mein Kollege Michael Wildgruber Verifiable Credentials vorgestellt hat Entra ID Verifiable Credentials | Blockchain-ID-aaS | Blog (provectus.de) ist es soweit und wir hatten erneut einen Anwendungsfall.
Info: Azure Active Directory Verifiable Credentials heißt jetzt Microsoft Entra Verified ID.
LinkedIn bietet mithilfe von Verifiable Credentials (VC) jedem Mitarbeitenden die Möglichkeit nachzuweisen, dass er tatsächlich bei seinem Arbeitgeber beschäftigt ist. Hierbei werden die zentralen User-Identitäten im Entra ID genutzt, um dezentrale VCs zu erstellen.
VC’s können hier als digitale Arbeitsnachweise angesehen werden
Dies hat nach der Einrichtung folgende Vorteile:
Inhalt dieses Blogs ist die Erklärung der Azure-seitigen „Microsoft Entra Verified ID“ Konfiguration mit dem Ziel, dass im Unternehmen grundlegend VCs ausgestellt werden können. Diese wiederum können bei Verifiern genutzt werden, um einen Arbeitsnachweis zu liefern.
Im letzten Teil wird diese Infrastruktur genutzt, um anhand der LinkedIn-Arbeitsplatzverifikation meine VC auszustellen, welche nachweist, dass ich tatsächlich bei der Provectus Technologies GmbH beschäftigt bin.
DISCLAIMER: Aktuell wurde der Rollout der Arbeitsplatzbestätigung via VCs bei LinkedIn in Europa gestoppt. Nichtsdestotrotz finden die Leser*innen hier eine Vorstellung der funktionierenden Konfiguration, um im Falle einer Wiederaufnahme technisch bereit zu sein.
Dezentralisierte Identitäten, kurz DID, sind eindeutige IDs, welche einerseits die Methode der Abfrage festlegen und andererseits eine global eindeutige Zeichenreihenfolge darstellen (siehe auch Entra ID Verifiable Credentials | Blockchain-ID-aaS | Blog (provectus.de)). DIDs werden sowohl für Unternehmen als auch für die User vergeben. Somit ist jeder User und jedes Unternehmen eindeutig über seine DID identifizierbar, ohne persönliche Daten teilen zu müssen.
Um VCs auszustellen und zu verifizieren, benötigt man ein öffentliches zugängliches Trust System. Hier wird ein Dokument gehostet, welches auf den öffentlichen DID-Schlüssel eines Unternehmens verweist.
Wir verwenden hier die did:web-Methode, wo auf einer öffentlichen zugänglichen Seite ein did.json Dokument gehostet wird. Dies stellt ein zentralisiertes Trust System dar. Es wird benötigt, um die Unternehmens-did zu registrieren und enthält den öffentlichen Schlüssel, um Signaturen zu überprüfen.
Beispielsweise das Provectus did:
Im Prinzip handelt es sich hier um einen zentralen Identityprovider in unserem Falle die Entra ID. Berechtigte Entra ID User können sich nach erfolgter Authentifizierung (Stichwort OpenID Connect) über eine Rest API ihr Verifiable Credential ausstellen lassen. Bei einer VC-Ausstellung wird die Issuer und die User DID innerhalb der VC eingetragen.
Die VC muss in einer digitalen Wallet dezentral gespeichert werden. Der Microsoft Authenticator wäre beispielsweise ein Wallet. Der Enduser benötigt nur die Mittel sich gegenüber der sich zu authentifizieren, also z. B. sein Username, Password und evtl. 2 Faktor (bei MFA).
Ein Verifier überprüft VCs. In unserem Fall ist das LinkedIn.
Der Scope dieses Blogs liegt darin das Grundsetup von Microsoft Entra Verified ID zu erklären. Es ist aber auch möglich VCs mithilfe von Microsoft Entra Verified ID zu überprüfen, diesen Vorgang nennt man Präsentation.
Der große Vorteil ist, dass die VC’s beim User, also dezentral liegen, eben genau wie ein analoger Ausweis. Dieser kann bei jedem geeigneten Verifier vorgezeigt werden, wie bei einem Personalausweis. Hier ist sowohl die Benutzerfreundlichkeit als auch das potenzielle Anwendungsfeld mannigfaltig.
Es muss nach Ausstellung (Issuing) der VC nicht noch ein externer zentraler Identityprovider zwischengeschaltet werden, um die Arbeitnehmerschaft zu bestätigen.
Eine genaue Konfiguration für die Ausstellung von VCs innerhalb eines Azure Tenants folgt im nächsten Teil.
