Agentin henkilöllisyydet ja todennus Copilot Studio:lle

Tässä artikkelissa kerrotaan sovelluksen rekisteröinnistä, agentin käyttäjätiteeteistä ja Copilot Studio agenttien todentamisessa.

Ymmärrä agenttiidentiteettien

Tässä osiossa selitetään, miten Copilot Studio tunnistaa agentit ja hallinnoi heidän henkilöllisyyttään todennustarkoituksiin.

Miten Copilot Studio tunnistaa todennusagentit?

Copilot Studio antaa jokaiselle agentille yksilöllisen tunnisteen, jotta se voi kommunikoida kanavien (Teams, Omnichannel ja muut) sekä palveluiden kanssa. Copilot Studio luo ja hallitsee näitä käyttäjätietoja automaattisesti.

Agentin käyttäjätietoja on kahdenlaisia:

• Entra Agent ID:t: Microsoft Entra -palvelunimet, joilla on Agent-alatyyppi. Copilot Studio varaa automaattisesti Entra Agent ID:t uusille agenteille. Entra-agenttitunnus:n provisionoinnin ajoitus riippuu agentin toimintaa ohjaavasta ajoympäristöstä.

• App registrations (legacy): Olemassa olevat agentit, jotka loit ennen Entra-agenttitunnus:n käyttöönottoa toukokuussa 2026, käyttävät edelleen perinteisiä app registrations.

Tärkeää: Agentin tunnukset ovat palvelutunnuksia, joilla on Agent-alatyyppi. Taustalla oleva OAuth-pohjainen todentamistyönkulku pysyy samana. Agenttitunnukset tarjoavat entistä paremman näkyvyyden ja hallintaominaisuudet perinteisiin sovellusrekisteröinteihin verrattuna.

Milloin Entra-agenttitunnus on luotu?

Entra-agenttitunnus:n käyttöönotto riippuu agentin valjaista.

• Standard harness: Copilot Studio määrittää Entra-agenttitunnus:n, kun luot agentin.
• Microsoft Copilot -kehys: Copilot Studio ei luo Entra-agenttitunnus:tä, kun tallennat agentin luonnoksena. Copilot Studio tarjoaa Entra-agenttitunnus:n, kun julkaiset agentin ensimmäistä kertaa, vaikka et konfiguroisi kanavia.

Lue lisää Harnesses in Copilot Studio.

Miksi agentillani on henkilöllisyys Microsoft Entra ID?

Agentin käyttäjätietojen avulla agenttisi voi todentaa turvallisesti kommunikoidessaan kanavien (Teams, monikanavan jne.) ja palveluiden kanssa. Copilot Studio luo ja hallitsee näitä käyttäjätietoja automaattisesti suojausperiaatteiden Zero Trust -suojausmalli mukaisesti.

Mitä eroa on Copilot Studio agenteilla ja Agent Builder -agenteilla?

• Copilot Studio -agentit: Vastaanottavat Entra Agent ID:t (tai sovellusrekisteröinnit vanhoille agenteille) kanavien ja palveluiden todennusta varten.

• Agent Builder -agentit: eivät tällä hetkellä käytä tai vaadi sovelluksen rekisteröintitunnuksia tai Agent ID:tä. Lisätietoja on Microsoft Copilot Agent Builder -työkalussa.

Työskentely agenttiidentiteettien parissa

Tässä osiossa annetaan ohjeita siitä, miten työskennellä agenttien identiteettien kanssa Copilot Studio:ssa.

Pitääkö minun luoda tai määrittää agentin käyttäjätiedot manuaalisesti?

Nro Copilot Studio hallitsee automaattisesti agentin käyttäjätietoja:

• Uudet agentit: saavat automaattisesti Microsoft Entra Agent ID:t.
• Nykyiset agentit: käyttävät edelleen App registrations -rekisteröintejä, ja ne siirretään tulevaisuudessa käyttämään Agent ID:itä.

Microsoft suojaus- ja yhteensopivuusstandardit ohjaavat kaikkien tunnistetietojen automaattista hallintaa. Näet ja hallitset täysin Microsoft Entra -hallintakeskus, jossa voit valvoa todentamistoimintoja ja hallita agentin käyttäjätietojen elinkaarta.

Miten voin selvittää, mikä sovelluksen rekisteröinti tai agentin tunnus kuuluu agentilleni?

1. Siirry Copilot Studio -kohtaan Asetukset>Lisäasetukset>Metadata.
2. Tarkastele Entra-agenttitunnus (GUID) agenteille, joilla on Entra-käyttäjätiedot.
3. Vanhoissa agenteissa, joissa on sovellusrekisteröinteja, sovellustunnus näytetään samassa osassa.
4. Tämän GUID-tunnuksen avulla voit paikantaa käyttäjätiedot Microsoft Entra -hallintakeskus.

Voinko tuoda oman agenttitunnukseni tai sovellukseni rekisteröinnin?

Nro Kanavien ja palveluiden suojauksen, yhteensopivuuden ja integroinnin varmistamiseksi Copilot Studio edellyttää automaattista hallintaa.

Miksi Copilot Studio lisätä agentin omistajan agentin käyttäjätietoihin?

Copilot Studio lisää agentin omistajan tarjoamaan:

• Kunkin agentin hallinnon jäljitettävyys
• Vastuu agentin elinkaaresta
• Tasaus organisaation omistajuuskäytäntöjen kanssa

Entra Agent ID:ille: Agentin omistaja lisätään sponsoriksi , jolla on rajoitetut oikeudet verrattuna täysiin omistajiin, mikä vähentää turvallisuushuolia käyttöoikeuksien muutoksista. Joillakin agenteilla ei ehkä ole vielä sponsoreita.

Vanhoille App registrations: Agentin omistaja lisätään app registrationin omistajaksi. Jos haluat estää agentin omistajan lisäämisen, ota yhteyttä tukeen.

Suojaus ja oikeudet

Tämä osio selittää Copilot Studio:n agenttihenkilöllisyysoikeuksiin liittyvät tietoturvat ja oikeudet.

Kuka voi luoda tunnuksia käyttämällä agentin käyttäjätietoja?

Entra-agenttitunnuksille

Microsoft omistama blueprint-päänimi luo ja hallitsee agentin käyttäjätietoja käyttämällä liitettyjä tunnistetietoja. Kukaan vuokraajassasi , mukaan lukien vuokraajan järjestelmänvalvojat, ei voi luoda tunnuksia agentin käyttäjätietojen avulla. Microsoft hallita täysin Blueprint-suunnitelmaa ja todentamismekanismia.

Azure Bot Service taitojen validointia varten

Validoidessaan tai kutsuttaessa Azure Bot Service -taitoa Microsoft Copilot Studio saattaa hankkia tokenin, joka liittyy agentin hallittuun identiteettiin, ja esittää sen konfiguroidun taidon päätepisteelle. Tämä käyttäytyminen on tarkoituksellista ja noudattaa samaa luottamusmallia, jota käytetään normaalissa taitosuorituksessa.

Agentin henkilöllisyys on vuokralaisen omistama ja se liittyy vain tekijän luomaan agenttiin. Agentin identiteetille myönnetyt tokenit eivät anna etuoikeuksia enempää kuin ne, jotka ovat jo agentin omistajan käytettävissä, eivätkä anna pääsyä tietoihin tai resursseihin, joita tekijä ei muuten saisi käyttää. Tästä syystä agentin identiteettitunnuksen vastaanottaminen taitojen validoinnin tai ajonaikaisen suorituksen yhteydessä ei merkitse oikeuksien korottamista eikä tekijän tosiasiallisten käyttöoikeuksien laajentamista.

Tekijät vastaavat taidon päätepisteiden konfiguroinnista ja luotettavuudesta, sillä nämä päätepisteet voivat saada agentilta todennoitettuja pyyntöjä sekä validoinnin että normaalien ajonaikaisten toimintojen aikana.

Vanhojen sovellusten rekisteröinnit

Käyttäjät, joilla on yleisen järjestelmänvalvojan, sovelluksen järjestelmänvalvojan tai pilvipalvelusovelluksen järjestelmänvalvojan roolit, voivat luoda asiakassalaisuuksia tai varmenteita minkä tahansa vuokraajan sovelluksen rekisteröimistä varten ilman omistajuutta. Käyttäjille, joilla ei ole näitä rooleja, on myönnettävä sovelluksen rekisteröinti, jotta he voivat luoda tunnuksen luonnin edellyttämät tunnistetiedot. Copilot Studio ei lisää ohjelmointirajapinnan vaikutusalueita tai käyttöoikeuksia näihin sovellusten rekisteröinteihin, joten näistä käyttäjätiedoilla luoduilla tunnuksilla ei ole pääsyä asiakkaan tietoihin tai resursseihin.

Mitä käyttöoikeusalueita on liitetty agentin Microsoft Entra -agenttitunnus:hen?

Kun julkaiset agentin, Copilot Studio liittää API-oikeudet agentin Microsoft Entra -agenttitunnus:hen, jotka edustavat Power Platform -liittimiä, joita agentti on konfiguroitu käyttämään. Nämä kaukoputket kuvaavat vain liittimen käyttöä. Ne eivät ole raakaa resurssioikeuksia, kuten Mail.Read tai Files.Read.All.

Miten kaukoputket näkyvät Microsoft Entra ID:ssä?

Kullakin liittimellä on oma palvelun päänimi vuokraajassaan, esimerkiksi Work IQ Calendar MCP Connector. Sen mukaan, miten tekijä määrittää agentin, liittimen palvelun päänimi myöntää yhden tai useamman seuraavista käyttöoikeuksista agentin Entra-agenttitunnus:

• Operations.Execute.All myönnetään, kun agentti on konfiguroitu käyttämään liitintä agentin (työkalun) tasolla. Agentti voi käynnistää minkä tahansa toiminnon, jonka liitin paljastaa.
• Yksittäiset toimintojen käyttöoikeusalueet myönnetään, kun tekijä on lisännyt tietyt yhdistimen toiminnot koko yhdistimen sijaan. Vain operaatiot, joita agentti tosiasiassa käyttää, ovat sallittuja.
• Azure API Connections Runtime.All käytetään yleisenä varavaihtoehtona liittimille, jotka eivät määrittele granulaarisia käyttöoikeusalueita.

Voit tarkistaa nämä oikeudet agentin identiteetin palvelun päänimestä kohdasta Microsoft Entra -hallintakeskus kohdasta API-käyttöoikeudet.

Tämä malli antaa Microsoft Entra ID ja Microsoft 365 järjestelmänvalvojille näkyvyyden siihen, mitä agentti voi tehdä. Järjestelmänvalvojien ei tarvitse avata Power Platform -hallintakeskusta, ja tekijän johtama käytännöllä hallittu liitinmalli pysyy paikoillaan:

• Valmistajat jatkavat yhteyksien lisäämistä liittimillä, jotka on ennalta hyväksytty vuokralaisen edistyneissä liitin- jadatakäytännöissä.
• Power Platform -liittimen suorituspalvelu vain noudattaa näitä vaikutusalueita. Ajonaikaisesti liitinalusta vahvistaa uudelleen, että agentti voi kutsua liittimen vuokralaisen kehittyneiden liitin- ja datakäytäntöjen mukaisesti. Jos hyökkääjä saa agentin henkilöllisyyden, hän ei voi käyttää näitä vaikutusalueita kutsuakseen Microsoft Graph, Outlook tai mitään muuta ohjelmointirajapintaa suoraan, koska liitinympäristö järjestää kaikki kutsut ja ottaa hallintokäytäntösi käyttöön.
• Koska vaikutusalueet ovat agentin Entra-agenttitunnus ensimmäisen luokan ohjelmointirajapinnan käyttöoikeuksia, järjestelmänvalvojat voivat kohdentaa niihin Ehdollinen Microsoft Entra -käyttöoikeus-käytännöillä. Voit esimerkiksi edellyttää tiettyjä verkkosijainteja, laitteiden yhteensopivuustilaa tai riskitasoja, ennen kuin tietylle liitinresurssille voidaan myöntää tunnuksia agentin käyttäjätiedoilla. Ehdollinen käyttöoikeus pakotetaan tällä hetkellä vain, kun agentti suoritetaan Microsoft Teams (katso tämän osion alussa oleva huomautus).

Lyhyesti sanottuna scopet kuvaavat, mihin agentti on konfiguroitu , kun taas kehittyneet liitinpolitiikat ja datapolitiikat päättävät, mitä agentti saa tehdä suoritushetkellä.

Milloin tähtäimet lisätään tai poistetaan?

Vaikutusalueet arvioidaan ja otetaan käyttöön, kun agentti julkaistaan. Liittimen (tai tietyn liitintoiminnon) lisääminen tai poistaminen agentissa ja agentin uudelleenjulkaiseminen päivittää vaikutusalueet vastaavasti.

Koskeeko tämä muutos vanhoja sovellusrekisteröintejä?

Nro Liitinalueet lisätään vain Entra Agent -tunnuksiin. Vanhojen sovellusten rekisteröinnillä ei edelleenkään ole liitettynä ohjelmointirajapinnan vaikutusalueita. Ohjeet annetaan artikkelissa Kuka voi luoda tunnuksia agentin käyttäjätietojen avulla. Tällä hetkellä tämä koskee ensimmäisen osapuolen ja sertifioituja Power Platform -liittimiä; agentteihin lisätyt mukautetut liittimet, MCP-palvelimet ja REST-ohjelmointirajapintatyökalut eivät lisää ohjelmointirajapinnan käyttöoikeuksia Entra-agenttitunnus.

Entra-agenttitunnus migraatio

Tässä osiossa selitetään, miten siirrytään vanhoista sovellusrekisteröinneistä Entra Agent ID:ihin olemassa oleville agenteille.

Mitä tapahtuu olemassa oleville agenteille, jotka loin ennen kuin Entra-agenttitunnus oli saatavilla?

Olemassa olevat agentit, jotka loit ennen kuin Entra-agenttitunnus tuli saataville toukokuussa 2026, käyttävät edelleen sovellusrekisteröintiä. Ne siirtyvät tulevaisuudessa Agentti-ID:ihin.

Migraation ominaisuudet:

• GUID-säilytys: Agentin tunnisteet pysyvät identtisinä (ei rikkoutuvia muutoksia).
• Nolla käyttökatkoa: Agentit jatkavat toimintaansa siirron aikana.
• Automaatti: Manuaalista toimintaa ei tarvita.
• Kanavayhteensopivuus säilytetty: Teams, Omnichannel ja taidot jatkavat toimintaansa.

Muuttaako agentin tunnuksen käyttöönotto tapaa, jonka agenttini todentaa?

Nro Agenttitunnukset ovat palvelun päänimiä, joiden alatyyppi on Agentti. Ne käyttävät samaa OAuth-pohjaista todentamistyönkulkua kuin perinteiset sovellusrekisteröinnit. Parannus on hallinnon näkyvyys – agenttitunnukset näkyvät Microsoft Entra -hallintakeskus jossa on enemmän elinkaaren hallinta- ja valvontaominaisuuksia.

Mitä blueprint-rehtorit ovat?

Kun ensimmäinen agentin käyttäjätieto luodaan ympäristössä, Copilot Studio lisää vuokraajaasi Microsoft Copilot Studio agentin henkilöllisyyssuunnitelman. Tällä blueprint-pääkäyttäjällä on oikeudet luoda agenttitunnuksia ja agentin käyttäjiä vuokralaisessa.

Tarkempia tietoja, kuten Blueprint-tunnukset (tuotanto ja testi), on artikkelissa Understanding Blueprint Principals. Lisätietoja on kohdassa Miten agentin käyttäjätiedot luodaan?.

Miksi agenttiani ei luotu Microsoft Entra -kiintiön tai rajoituksen takia?

Jokainen Copilot Studio:n luoma Microsoft Entra -agenttitunnus on hakemistoobjekti vuokralaisessa ja lasketaan vuokralaisen resurssikiintiöön Microsoft Entra ID:ssä. Agentin käyttäjätiedot valmistellaan, kun agentti on luotu Copilot Studio. Jos vuokralainen saavuttaa kiintiönsä tuolloin, Copilot Studio ei voi luoda Microsoft Entra -agenttitunnus:tä, eikä agenttia voida luoda.

Yleisimmät huomioitavat rajoitukset ovat seuraavat:

• Vuokraajan resurssikiintiö: oletuksena 50 000 hakemistoobjektia tai 300 000, jos vuokraajalla on vahvistettu verkkotunnus. Omatoimisen rekisteröitymisen kautta luodut vuokraajat pysyvät 50 000:ssa, vaikka toimialue on vahvistettu. Agentin identiteetit (kuten kaikki muut Microsoft Entra resurssit) voivat käyttää enintään 95% tästä kiintiöstä.
• Uuden tenantin rajoitus: Ensimmäisten kahden päivän ajan tenantin luomisen jälkeen kiintiö rajoitetaan väliaikaisesti 600 hakemistoobjektiin.

250 agenttitunnuksen mallikohtainen enimmäismäärä ei koske Copilot Studiota, koska Copilot Studion malli on Microsoftin omistama.

Katso luettelo kaikista rajoituksista ja siitä, miten kiintiö lasketaan, artikkelista Microsoft Entra palvelun rajoitukset ja rajoitukset. Jos haluat nostaa vuokraajasi resurssikiintiötä, noudata artikkelin ohjeita.

Edustajan elinkaari

Tässä osiossa kuvataan agenttien identiteettien elinkaari Copilot Studio:ssa.

Mitä agentin käyttäjätietoihin tapahtuu, kun poistat agentin?

Kun poistat agentin Copilot Studio, prosessi poistaa liittyvän agenttitunnuksen (tai sovelluksen rekisteröinnin) Microsoft Entra ID.

Saat lisätietoja ohjeartikkelista Agenttien poistaminen.

Liittyvät artikkelit

• Määritä käyttäjän todennus Microsoft Entra ID:llä
• Katso ja hallinnoi Microsoft Entra Agent -tunnuksia Copilot Studio -agenttien osalta
• Poista agentit
• Verkon eristys ja palomuurin konfigurointi