用途：Microsoft Entra Verified ID 是微软基于开放标准（W3C Verifiable Credentials 数据模型、去中心化标识符 DID、OpenID4VC）构建的可验证凭证平台。组织可向员工、承包商、客户签发签名数字凭证，并验证由微软、政府、合作伙伴或自有租户签发的凭证，且无需通过后通道共享用户身份数据。适用场景包括高可信远程入职身份核验、免帮助台账户恢复、跨组织访问（持雇主凭证的承包商）、特权访问前的供应商身份核验，以及需要可携带、用户可控凭证的客户场景。不用于 B2C 消费者认证（entra-external-id）、标准员工身份（entra-id）或 X.509 PKI（pki-design）。
主要能力：为租户分配 DID，由 Key Vault 中的签名密钥按模式（claims）、规则文件（签发时如何收集声明）和显示文件生成可验证凭证；用户可在 Microsoft Authenticator（默认钱包）中持有凭证；验证者通过二维码或深链接请求，钱包出示后验证者依据签发者 DID 校验签名；可选 Face Check 让钱包将实时自拍与凭证中的照片声明比对。
使用方式：先配置签发租户，验证域所有权（将链接域证明附加到 DID），准备 Key Vault 与签名密钥并授予服务权限；选择 DID 方法 did:web（推荐企业）或 did:ion；从一两个凭证开始设计模式（如 Verified Employee、Verified Trade Skill/Certification），避免过度声明。签发证明流程可选 ID Token（Entra，从 Entra ID 取声明）、ID Token Hint（自有应用提供）、Self-attested（用户自填，保证最低）、Verifiable Credential（从另一凭证再签发）或身份验证合作伙伴（如 LexisNexis、Onfido、IDEMIA）。签发前定义吊销策略，批量吊销使用 status list 2021。搭建验证者应用（SDK 支持 .NET、Node.js、Java、Python），并可结合条件访问的 Authentication context 与 Authentication strength。典型用例：远程入职、免帮助台 MFA 重置、特权访问 Face Check。
限制：签发签名密钥须视同 CA 密钥，使用 Key Vault 且 HSM 支持、独立访问策略并告警；凭据中不得放入无法说明正当性的 PII（受 GDPR 数据最小化约束）；吊销需在签发前规划，状态列表端点须长期可达；DID 文档公开，不应含敏感端点或元数据；钱包当前仅 Microsoft Authenticator，第三方 OpenID4VC 钱包兼容性尚不普遍；不要每次声明变更即重签；Face Check 需凭证内有照片声明且来源可靠。
官方参考： https://learn.microsoft.com/entra/verified-id/decentralized-identifier-overview https://learn.microsoft.com/entra/verified-id/verifiable-credentials-configure-tenant https://learn.microsoft.com/entra/verified-id/issuance-request-api https://learn.microsoft.com/entra/verified-id/presentation-request-api https://learn.microsoft.com/entra/verified-id/verifiable-credentials-faq