Entra Verified ID Entra Verified ID

Dezentrale Identität, überprüfbare Nachweise (Verifiable Credentials), DIDs, Aussteller, Prüfer, Vertrauenssystem und API-Integration. Decentralized identity, verifiable credentials, DIDs, issuers, verifiers, trust system, and API integration.

Überblick – Dezentrale IdentitätOverview – Decentralized identity

Microsoft Entra Verified ID implementiert den W3C-Standard für Verifiable Credentials (VC). Er ergänzt das klassische föderierte Identitätsmodell durch ein nutzerzentriertes Modell, bei dem der Inhaber seine Nachweise in einer digitalen Wallet speichert und sie selektiv vorzeigen kann, ohne dass der Aussteller direkt involviert ist. Microsoft Entra Verified ID implements the W3C standard for Verifiable Credentials (VC). It complements the classical federated identity model with a user-centric model where the holder stores their credentials in a digital wallet and can selectively present them without the issuer being directly involved.

GrundkonzepteCore concepts

DID-MethodenDID methods

Microsoft Entra Verified ID unterstützt primär did:web und did:ion (Azure ION auf Bitcoin Blockchain). Die empfohlene Methode für neue Deployments ist did:web, da sie einfacher zu verwalten ist. Microsoft Entra Verified ID primarily supports did:web and did:ion (Azure ION on Bitcoin blockchain). The recommended method for new deployments is did:web because it is easier to manage.

Rollen und FlussRoles and flow

AusstellungsflussIssuance flow

PräsentationsflussPresentation flow

Einrichtung im Admin CenterSetup in admin center

Credentials erstellenCreating credentials

Verifiable Credentials werden auf Basis von Credential-Definitionen (Rules & Display) erstellt. Die Definition legt fest, welche Claims das Credential enthält und wie es visuell dargestellt wird. Verifiable credentials are created based on credential definitions (Rules & Display). The definition specifies which claims the credential contains and how it is visually displayed.

Credentials ausstellenIssuing credentials

Das Ausstellen (Issuance) eines Verifiable Credential erfolgt über die Request Service API. Die Anwendung erstellt einen Issuance Request, der einen Deep-Link oder QR-Code für die Wallet-App generiert. Issuing a Verifiable Credential is done via the Request Service API. The application creates an issuance request that generates a deep link or QR code for the wallet app.

POST https://verifiedid.did.msidentity.com/v1.0/verifiableCredentials/createIssuanceRequest
Authorization: Bearer {access_token}
Content-Type: application/json

{
  "includeQRCode": true,
  "callback": {
    "url": "https://your-app.example.com/callback",
    "state": "session-state-value",
    "headers": { "api-key": "your-secret" }
  },
  "authority": "did:web:your-tenant.verifiedid.microsoft.com",
  "registration": { "clientName": "Your App" },
  "type": "VerifiedEmployee",
  "manifest": "https://verifiedid.did.msidentity.com/v1.0/{tenantId}/verifiableCredential/contracts/VerifiedEmployee/manifest",
  "claims": {
    "given_name": "Max",
    "family_name": "Mustermann"
  }
}

Credentials verifizierenVerifying credentials

Die Verifikation prüft, ob ein vorgelegtes Credential vom erwarteten Aussteller signiert wurde und noch gültig ist. Der Verifier erstellt einen Presentation Request; die Wallet-App des Benutzers präsentiert das Credential. Verification checks whether a presented credential was signed by the expected issuer and is still valid. The verifier creates a presentation request; the user's wallet app presents the credential.

POST https://verifiedid.did.msidentity.com/v1.0/verifiableCredentials/createPresentationRequest
Authorization: Bearer {access_token}
Content-Type: application/json

{
  "includeQRCode": true,
  "callback": {
    "url": "https://your-app.example.com/presentation-callback",
    "state": "session-state-value"
  },
  "authority": "did:web:your-tenant.verifiedid.microsoft.com",
  "registration": { "clientName": "Your App" },
  "requestedCredentials": [
    {
      "type": "VerifiedEmployee",
      "acceptedIssuers": ["did:web:issuer.example.com"],
      "configuration": {
        "validation": { "allowRevoked": false, "validateLinkedDomain": true }
      }
    }
  ]
}

Request Service APIRequest Service API

Die Request Service API ist die zentrale Programmierschnittstelle für Aussteller und Prüfer. Sie wird von der eigenen Backend-Applikation aufgerufen und gibt Ausstellungs- bzw. Präsentationsanforderungen als QR-Codes oder Deep-Links zurück. The Request Service API is the central programming interface for issuers and verifiers. It is called by the own backend application and returns issuance or presentation requests as QR codes or deep links.

POST https://verifiedid.did.msidentity.com/v1.0/verifiableCredentials/createIssuanceRequest
Authorization: Bearer <token>
Content-Type: application/json

{
  "includeQRCode": true,
  "callback": {
    "url": "https://myapp.contoso.com/api/issuer/callback",
    "state": "correlationId-12345",
    "headers": { "api-key": "mySecretKey" }
  },
  "authority": "did:web:contoso.com",
  "registration": {
    "clientName": "Contoso Issuer Portal"
  },
  "type": "VerifiedEmployee",
  "manifest": "https://verifiedid.did.msidentity.com/v1.0/{tenant}/verifiableCredential/contracts/VerifiedEmployee",
  "claims": {
    "given_name": "Max",
    "family_name": "Mustermann",
    "jobTitle": "Software Engineer",
    "department": "Engineering"
  }
}

POST https://verifiedid.did.msidentity.com/v1.0/verifiableCredentials/createPresentationRequest
Authorization: Bearer <token>
Content-Type: application/json

{
  "includeQRCode": true,
  "callback": {
    "url": "https://myapp.contoso.com/api/verifier/callback",
    "state": "correlationId-67890",
    "headers": { "api-key": "mySecretKey" }
  },
  "authority": "did:web:contoso.com",
  "registration": { "clientName": "Contoso Verifier" },
  "requestedCredentials": [
    {
      "type": "VerifiedEmployee",
      "purpose": "Access to secure area",
      "acceptedIssuers": [ "did:web:contoso.com" ],
      "configuration": {
        "validation": {
          "allowRevoked": false,
          "validateLinkedDomain": true
        }
      }
    }
  ]
}

Face CheckFace Check

Face Check ist ein optionaler Hochsicherheits-Verifikationsschritt, bei dem ein biometrischer Abgleich zwischen dem Foto im VC und einem Live-Selfie des Inhabers durchgeführt wird. Dies erhöht die Sicherheit erheblich, da der Nachweis nicht einfach weitergegeben werden kann. Face Check is an optional high-assurance verification step where a biometric match is performed between the photo in the VC and a live selfie from the holder. This significantly increases security as the credential cannot simply be passed on.

Vertrauenssystem und Linked DomainTrust system and linked domain

Entra Verified ID nutzt das Linked Domain-Konzept, um den Aussteller-DID mit einer bekannten HTTPS-Domain zu verknüpfen. Prüfer können die Domain überprüfen und dem Aussteller implizit vertrauen, wenn sie die Domain kennen. Entra Verified ID uses the Linked Domain concept to link the issuer DID with a known HTTPS domain. Verifiers can check the domain and implicitly trust the issuer if they recognize the domain.

{
  "id": "did:web:contoso.com",
  "service": [
    {
      "id": "did:web:contoso.com#linkeddomains",
      "type": "LinkedDomains",
      "serviceEndpoint": {
        "origins": ["https://contoso.com"]
      }
    }
  ]
}

Typische AnwendungsfälleTypical use cases

Widerruf von CredentialsCredential revocation

Verifiable Credentials können widerrufen werden. Entra Verified ID unterstützt Revokation über den Entra-Admin-Bereich oder die Graph API. Ein widerrufener VC wird bei der nächsten Präsentation (wenn allowRevoked: false konfiguriert ist) als ungültig abgelehnt. Verifiable Credentials can be revoked. Entra Verified ID supports revocation via the Entra admin area or Graph API. A revoked VC is rejected as invalid at the next presentation (when allowRevoked: false is configured).

# VC-ID aus der Ausstellungsantwort; Status updaten
POST https://verifiedid.did.msidentity.com/v1.0/verifiableCredentials/updateIssuerStatus
Authorization: Bearer <token>
Content-Type: application/json

{
  "credentialId": "urn:pic:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
  "currentStatus": "Revoked",
  "statusReason": "Employment ended"
}

Microsoft Authenticator als WalletMicrosoft Authenticator as wallet

Die primäre Wallet für Entra Verified ID ist der Microsoft Authenticator (iOS und Android). VCs werden lokal auf dem Gerät verschlüsselt gespeichert und sind mit dem privaten Schlüssel des Inhabers verknüpft. Eine Backup- und Wiederherstellungsfunktion ermöglicht den Transfer bei Gerätewechsel. The primary wallet for Entra Verified ID is Microsoft Authenticator (iOS and Android). VCs are stored locally on the device encrypted and linked to the holder's private key. A backup and restore function enables transfer when changing devices.

Trusted Issuer NetworkTrusted issuer network

Für branchenweite Szenarien unterstützt Entra Verified ID die Integration in übergeordnete Trust Registries. Prüfer können dabei nicht nur dem eigenen Tenant vertrauen, sondern einer Liste von verifizierten Ausstellern in einem gemeinsamen Trust Framework. For industry-wide scenarios, Entra Verified ID supports integration into higher-level trust registries. Verifiers can then trust not only their own tenant but a list of verified issuers in a shared trust framework.

SDK und EntwicklerintegrationSDK and developer integration

Für die Implementierung von Verified ID in eigene Anwendungen stellt Microsoft SDKs und eine Request Service API bereit. Die Integration ist unabhängig von der Programmiersprache möglich, da die API HTTP-basiert ist. For implementing Verified ID into own applications, Microsoft provides SDKs and a Request Service API. Integration is possible regardless of programming language since the API is HTTP-based.

Praxisbeispiel: Partner Self-OnboardingReal-world example: partner self-onboarding

Ein Unternehmen stellt Partnerunternehmen einen VerifiedEmployee-Credential aus. Partner-Mitarbeiter können diesen Credential nutzen, um sich selbst im Partner-Portal des Unternehmens zu registrieren – ohne manuelle Einladung und ohne ein Entra-ID-Gastobjekt im Workforce-Tenant zu erfordern. A company issues partner companies a VerifiedEmployee credential. Partner employees can use this credential to self-register in the company's partner portal – without a manual invitation and without requiring an Entra ID guest object in the workforce tenant.

Anwendungsszenarien für Verified IDVerified ID Use Case Scenarios

Microsoft Entra Verified ID deckt eine Vielzahl realer Identitätsprüfungsszenarien ab.Microsoft Entra Verified ID covers a wide range of real-world identity verification scenarios.

Request Service API – Erweiterte ParameterRequest Service API – Advanced Parameters

{
  "includeQRCode": true,
  "callback": {
    "url": "https://contoso.com/api/vc/callback",
    "state": "correlationId-abc123",
    "headers": { "Authorization": "Bearer <token>" }
  },
  "authority": "did:web:contoso.com",
  "registration": {
    "clientName": "Contoso HR Portal",
    "logoUrl": "https://contoso.com/logo.png",
    "tosUrl": "https://contoso.com/tos",
    "privacyUrl": "https://contoso.com/privacy"
  },
  "presentation": {
    "includeReceipt": true,
    "requestedCredentials": [{
      "type": "VerifiedEmployee",
      "purpose": "Access to partner resources",
      "acceptedIssuers": ["did:web:partner.com"],
      "configuration": {
        "validation": {
          "allowRevoked": false,
          "validateLinkedDomain": true
        },
        "faceCheck": {
          "sourcePhotoClaimName": "photo",
          "matchConfidenceThreshold": 70
        }
      }
    }]
  }
}

Datenschutz & CompliancePrivacy & Compliance

Verifiable Credentials sind so konzipiert, dass minimale Daten geteilt werden und der Benutzer stets die Kontrolle behält.Verifiable Credentials are designed to share minimal data while the user retains full control at all times.

Verwandte SeitenRelated pages

• App-RegistrierungenApp Registrations
• External IDExternal ID
• AuthentifizierungsprotokolleAuthentication Protocols
• Graph APIGraph API