Agentin henkilöllisyydet ja todennus Copilot Studio:lle

Tässä artikkelissa kerrotaan sovelluksen rekisteröinnistä, agentin käyttäjätiteeteistä ja Copilot Studio agenttien todentamisessa.

Ymmärrä agenttiidentiteettien

Tässä osiossa selitetään, miten Copilot Studio tunnistaa agentit ja hallinnoi heidän henkilöllisyyttään todennustarkoituksiin.

Miten Copilot Studio tunnistaa todennusagentit?

Copilot Studio antaa jokaiselle agentille yksilöllisen tunnisteen, jotta se voi kommunikoida kanavien (Teams, Omnichannel ja muut) sekä palveluiden kanssa. Copilot Studio luo ja hallitsee näitä käyttäjätietoja automaattisesti.

Agentin käyttäjätietoja on kahdenlaisia:

• Entra Agent IDs: Microsoft Entra -palvelun päänimiä, joiden alatyyppi on Agentti. Copilot Studio varaa automaattisesti Entra Agent ID:t uusille agenteille. Entra-agenttitunnus:n valmistelun ajoitus riippuu järjestelmästä, jossa agenttia käytetään.

• App registrations (legacy): Olemassa olevat agentit, jotka loit ennen Entra-agenttitunnus:n käyttöönottoa toukokuussa 2026, käyttävät edelleen perinteisiä app registrations.

Tärkeää: Agenttitunnukset ovat palvelun päänimiä, joiden alatyyppi on "Agentti". Taustalla oleva OAuth-pohjainen todentamistyönkulku pysyy samana. Agenttitunnukset tarjoavat entistä paremman näkyvyyden ja hallintaominaisuudet perinteisiin sovellusrekisteröinteihin verrattuna.

Milloin Entra-agenttitunnus valmistellaan?

Entra-agenttitunnus:n valmistelu riippuu agentin järjestelmästä.

• Vakiojärjestelmä: Copilot Studio luo Entra-agenttitunnus:n, kun luot agentin.
• GitHub Copilot harness: Copilot Studio ei provisioi Entra-agenttitunnus:tä, kun tallennat agentin luonnoksena. Copilot Studio luo Entra-agenttitunnus:n, kun julkaiset agentin ensimmäisen kerran, vaikka kanavia ei määritettäisi.

Lue lisää Harnesses in Copilot Studio.

Miksi agentillani on henkilöllisyys Microsoft Entra ID?

Agentin käyttäjätietojen avulla agenttisi voi todentaa turvallisesti kommunikoidessaan kanavien (Teams, monikanavan jne.) ja palveluiden kanssa. Copilot Studio luo ja hallitsee näitä käyttäjätietoja automaattisesti suojausperiaatteiden Zero Trust -suojausmalli mukaisesti.

Mitä eroa on Copilot Studio agenteilla ja Agent Builder -agenteilla?

• Copilot Studio agentit: Vastaanota Entra-agentin tunnukset (tai sovellusten rekisteröinnit vanhoille agenteille) kanavien ja palveluiden todentamista varten.

• Agent Builder -agentit: Tällä hetkellä eivät käytä tai edellytä sovelluksen rekisteröintitunnuksia tai agenttitunnuksia. Lisätietoja on Microsoft Copilot Agent Builder -työkalussa.

Työskentely agenttiidentiteettien parissa

Tässä osiossa annetaan ohjeita siitä, miten työskennellä agenttien identiteettien kanssa Copilot Studio:ssa.

Pitääkö minun luoda tai määrittää agentin käyttäjätiedot manuaalisesti?

Nro Copilot Studio hallitsee automaattisesti agentin käyttäjätietoja:

• Uudet agentit: Saat automaattisesti Microsoft Entra Agent ID:t.
• Nykyiset agentit: Jatka sovellusrekisteröintien käyttöä, ja ne siirretään käyttämään Agent ID:itä tulevaisuudessa.

Microsoft suojaus- ja yhteensopivuusstandardit ohjaavat kaikkien tunnistetietojen automaattista hallintaa. Näet ja hallitset täysin Microsoft Entra -hallintakeskus, jossa voit valvoa todentamistoimintoja ja hallita agentin käyttäjätietojen elinkaarta.

Miten voin selvittää, mikä sovelluksen rekisteröinti tai agentin tunnus kuuluu agentilleni?

1. Siirry Copilot Studio -kohtaan Asetukset>Lisäasetukset>Metadata.
2. Tarkastele Entra-agenttitunnus (GUID) agenteille, joilla on Entra-käyttäjätiedot.
3. Vanhoissa agenteissa, joissa on sovellusrekisteröinteja, sovellustunnus näytetään samassa osassa.
4. Tämän GUID-tunnuksen avulla voit paikantaa käyttäjätiedot Microsoft Entra -hallintakeskus.

Voinko tuoda oman agenttitunnukseni tai sovellukseni rekisteröinnin?

Nro Kanavien ja palveluiden suojauksen, yhteensopivuuden ja integroinnin varmistamiseksi Copilot Studio edellyttää automaattista hallintaa.

Miksi Copilot Studio lisätä agentin omistajan agentin käyttäjätietoihin?

Copilot Studio lisää agentin omistajan tarjoamaan:

• Kunkin agentin hallinnon jäljitettävyys
• Vastuu agentin elinkaaresta
• Tasaus organisaation omistajuuskäytäntöjen kanssa

Entra-agenttitunnuksille: Agentin omistaja lisätään sponsoriksi rajoitetuin käyttöoikeuksin verrattuna täysiin omistajiin, mikä vähentää käyttöoikeuksien muutoksiin liittyviä suojausongelmia. Joillakin agenteilla ei ehkä ole vielä sponsoreita.

Vanhojen sovellusten rekisteröinnit: Agentin omistaja lisätään sovelluksen rekisteröinnin omistajaksi. Jos haluat estää agentin omistajan lisäämisen, ota yhteyttä tukeen.

Suojaus ja oikeudet

Tämä osio selittää Copilot Studio:n agenttihenkilöllisyysoikeuksiin liittyvät tietoturvat ja oikeudet.

Kuka voi luoda tunnuksia käyttämällä agentin käyttäjätietoja?

Entra-agenttitunnuksille

Microsoft omistama blueprint-päänimi luo ja hallitsee agentin käyttäjätietoja käyttämällä liitettyjä tunnistetietoja. Kukaan vuokraajassasi , mukaan lukien vuokraajan järjestelmänvalvojat, ei voi luoda tunnuksia agentin käyttäjätietojen avulla. Microsoft hallita täysin Blueprint-suunnitelmaa ja todentamismekanismia.

Azure Bot Service -taidon vahvistus

Validoidessaan tai kutsuttaessa Azure Bot Service -taitoa Microsoft Copilot Studio saattaa hankkia tokenin, joka liittyy agentin hallittuun identiteettiin, ja esittää sen konfiguroidun taidon päätepisteelle. Tämä käyttäytyminen on tarkoituksellista ja noudattaa samaa luottamusmallia, jota käytetään normaalissa taitosuorituksessa.

Agentin henkilöllisyys on vuokralaisen omistama ja se liittyy vain tekijän luomaan agenttiin. Agentin identiteetille myönnetyt tokenit eivät anna etuoikeuksia enempää kuin ne, jotka ovat jo agentin omistajan käytettävissä, eivätkä anna pääsyä tietoihin tai resursseihin, joita tekijä ei muuten saisi käyttää. Tästä syystä agentin identiteettitunnuksen vastaanottaminen taitojen validoinnin tai ajonaikaisen suorituksen yhteydessä ei merkitse oikeuksien korottamista eikä tekijän tosiasiallisten käyttöoikeuksien laajentamista.

Tekijät vastaavat taidon päätepisteiden konfiguroinnista ja luotettavuudesta, sillä nämä päätepisteet voivat saada agentilta todennoitettuja pyyntöjä sekä validoinnin että normaalien ajonaikaisten toimintojen aikana.

Vanhojen sovellusten rekisteröinnit

Käyttäjät, joilla on yleisen järjestelmänvalvojan, sovelluksen järjestelmänvalvojan tai pilvipalvelusovelluksen järjestelmänvalvojan roolit, voivat luoda asiakassalaisuuksia tai varmenteita minkä tahansa vuokraajan sovelluksen rekisteröimistä varten ilman omistajuutta. Käyttäjille, joilla ei ole näitä rooleja, on myönnettävä sovelluksen rekisteröinti, jotta he voivat luoda tunnuksen luonnin edellyttämät tunnistetiedot. Copilot Studio ei lisää ohjelmointirajapinnan vaikutusalueita tai käyttöoikeuksia näihin sovellusten rekisteröinteihin, joten näistä käyttäjätiedoilla luoduilla tunnuksilla ei ole pääsyä asiakkaan tietoihin tai resursseihin.

Mitä käyttöoikeusalueita on liitetty agentin Microsoft Entra -agenttitunnus:hen?

Kun julkaiset agentin, Copilot Studio liittää API-oikeudet agentin Microsoft Entra -agenttitunnus:hen, jotka edustavat Power Platform -liittimiä, joita agentti on konfiguroitu käyttämään. Nämä kaukoputket kuvaavat vain liittimen käyttöä. Ne eivät ole raakaa resurssioikeuksia, kuten Mail.Read tai Files.Read.All.

Miten kaukoputket näkyvät Microsoft Entra ID:ssä?

Kullakin liittimellä on oma palvelun päänimi vuokraajassaan, esimerkiksi Work IQ Calendar MCP Connector. Sen mukaan, miten tekijä määrittää agentin, liittimen palvelun päänimi myöntää yhden tai useamman seuraavista käyttöoikeuksista agentin Entra-agenttitunnus:

• Operations.Execute.All -arvo annetaan, kun agentti on määritetty käyttämään liitintä agentti (työkalu) tasolla. Agentti voi käynnistää minkä tahansa toiminnon, jonka liitin paljastaa.
• Yksittäiset toiminnon vaikutusalueet myönnetään, kun tekijä on lisännyt tiettyjä liittimen toimintoja koko liittimen sijaan. Vain operaatiot, joita agentti tosiasiassa käyttää, ovat sallittuja.
• Azure API Connections Runtime.All käytetään yleisenä varatoiminnona liittimille, jotka eivät määritä eriytettyjä vaikutusalueita.

Voit tarkistaa nämä oikeudet agentin identiteetin palvelun päänimestä kohdasta Microsoft Entra -hallintakeskus kohdasta API-käyttöoikeudet.

Tämä malli antaa Microsoft Entra ID ja Microsoft 365 järjestelmänvalvojille näkyvyyden siihen, mitä agentti voi tehdä. Järjestelmänvalvojien ei tarvitse avata Power Platform -hallintakeskusta, ja tekijän johtama käytännöllä hallittu liitinmalli pysyy paikoillaan:

• Valmistajat jatkavat yhteyksien lisäämistä liittimillä, jotka on ennalta hyväksytty vuokralaisen edistyneissä liitin- jadatakäytännöissä.
• Power Platform -liittimen suorituspalvelu vain noudattaa näitä vaikutusalueita. Ajonaikaisesti liitinalusta vahvistaa uudelleen, että agentti voi kutsua liittimen vuokralaisen kehittyneiden liitin- ja datakäytäntöjen mukaisesti. Jos hyökkääjä saa agentin henkilöllisyyden, hän ei voi käyttää näitä vaikutusalueita kutsuakseen Microsoft Graph, Outlook tai mitään muuta ohjelmointirajapintaa suoraan, koska liitinympäristö järjestää kaikki kutsut ja ottaa hallintokäytäntösi käyttöön.
• Koska vaikutusalueet ovat agentin Entra-agenttitunnus ensimmäisen luokan ohjelmointirajapinnan käyttöoikeuksia, järjestelmänvalvojat voivat kohdentaa niihin Ehdollinen Microsoft Entra -käyttöoikeus-käytännöillä. Voit esimerkiksi edellyttää tiettyjä verkkosijainteja, laitteiden yhteensopivuustilaa tai riskitasoja, ennen kuin tietylle liitinresurssille voidaan myöntää tunnuksia agentin käyttäjätiedoilla. Ehdollinen käyttöoikeus pakotetaan tällä hetkellä vain, kun agentti suoritetaan Microsoft Teams (katso tämän osion alussa oleva huomautus).

Lyhyesti sanottuna scopet kuvaavat, mihin agentti on konfiguroitu , kun taas kehittyneet liitinpolitiikat ja datapolitiikat päättävät, mitä agentti saa tehdä suoritushetkellä.

Milloin tähtäimet lisätään tai poistetaan?

Vaikutusalueet arvioidaan ja otetaan käyttöön, kun agentti julkaistaan. Liittimen (tai tietyn liitintoiminnon) lisääminen tai poistaminen agentissa ja agentin uudelleenjulkaiseminen päivittää vaikutusalueet vastaavasti.

Koskeeko tämä muutos vanhoja sovellusrekisteröintejä?

Nro Liitinalueet lisätään vain Entra Agent -tunnuksiin. Vanhojen sovellusten rekisteröinnillä ei edelleenkään ole liitettynä ohjelmointirajapinnan vaikutusalueita. Ohjeet annetaan artikkelissa Kuka voi luoda tunnuksia agentin käyttäjätietojen avulla. Tällä hetkellä tämä koskee ensimmäisen osapuolen ja sertifioituja Power Platform -liittimiä; agentteihin lisätyt mukautetut liittimet, MCP-palvelimet ja REST-ohjelmointirajapintatyökalut eivät lisää ohjelmointirajapinnan käyttöoikeuksia Entra-agenttitunnus.

Entra-agenttitunnus migraatio

Tässä osiossa selitetään, miten siirrytään vanhoista sovellusrekisteröinneistä Entra Agent ID:ihin olemassa oleville agenteille.

Mitä tapahtuu olemassa oleville agenteille, jotka loin ennen kuin Entra-agenttitunnus oli saatavilla?

Olemassa olevat agentit, jotka loit ennen kuin Entra-agenttitunnus tuli saataville toukokuussa 2026, käyttävät edelleen sovellusrekisteröintiä. Ne siirtyvät tulevaisuudessa Agentti-ID:ihin.

Siirron ominaisuudet:

• GUID-säilytys: Agentin tunnisteet pysyvät identtisinä (ei rikkoutuvia muutoksia).
• Nolla käyttökatkoa: Agentit jatkavat toimintaansa siirron aikana.
• Automaatti: Manuaalista toimintaa ei tarvita.
• Kanavayhteensopivuus säilytetty: Teams, Omnichannel ja taidot jatkavat toimintaansa.

Muuttaako agentin tunnuksen käyttöönotto tapaa, jonka agenttini todentaa?

Nro Agenttitunnukset ovat palvelun päänimiä, joiden alatyyppi on Agentti. Ne käyttävät samaa OAuth-pohjaista todentamistyönkulkua kuin perinteiset sovellusrekisteröinnit. Parannus on hallinnon näkyvyys – agenttitunnukset näkyvät Microsoft Entra -hallintakeskus jossa on enemmän elinkaaren hallinta- ja valvontaominaisuuksia.

Mitä blueprint-rehtorit ovat?

Kun ensimmäinen agentin käyttäjätieto luodaan ympäristössä, Copilot Studio lisää vuokraajaasi Microsoft Copilot Studio agentin henkilöllisyyssuunnitelman. Tällä blueprint-pääkäyttäjällä on oikeudet luoda agenttitunnuksia ja agentin käyttäjiä vuokralaisessa.

Tarkempia tietoja, kuten Blueprint-tunnukset (tuotanto ja testi), on artikkelissa Understanding Blueprint Principals. Lisätietoja on kohdassa Miten agentin käyttäjätiedot luodaan?.

Miksi agenttiani ei luotu Microsoft Entra -kiintiön tai rajoituksen takia?

Jokainen Copilot Studio:n luoma Microsoft Entra -agenttitunnus on hakemistoobjekti vuokralaisessa ja lasketaan vuokralaisen resurssikiintiöön Microsoft Entra ID:ssä. Agentin käyttäjätiedot valmistellaan, kun agentti on luotu Copilot Studio. Jos vuokralainen saavuttaa kiintiönsä tuolloin, Copilot Studio ei voi luoda Microsoft Entra -agenttitunnus:tä, eikä agenttia voida luoda.

Yleisimmät huomioitavat rajoitukset ovat seuraavat:

• Vuokraajan resurssikiintiö: oletusarvoisesti 50 000 hakemisto-objektia tai 300 000, jos vuokraajalla on vahvistettu toimialue. Omatoimisen rekisteröitymisen kautta luodut vuokraajat pysyvät 50 000:ssa, vaikka toimialue on vahvistettu. Agentin identiteetit (kuten kaikki muut Microsoft Entra resurssit) voivat käyttää enintään 95% tästä kiintiöstä.
• Uuden vuokraajan rajoitus: Kahden ensimmäisen päivän ajan vuokraajan luomisen jälkeen kiintiöksi määritetään tilapäisesti enintään 600 hakemistoobjektia.

250 agenttitunnuksen mallikohtainen enimmäismäärä ei koske Copilot Studiota, koska Copilot Studion malli on Microsoftin omistama.

Katso luettelo kaikista rajoituksista ja siitä, miten kiintiö lasketaan, artikkelista Microsoft Entra palvelun rajoitukset ja rajoitukset. Jos haluat nostaa vuokraajasi resurssikiintiötä, noudata artikkelin ohjeita.

Edustajan elinkaari

Tässä osiossa kuvataan agenttien identiteettien elinkaari Copilot Studio:ssa.

Mitä agentin käyttäjätietoihin tapahtuu, kun poistat agentin?

Kun poistat agentin Copilot Studio, prosessi poistaa liittyvän agenttitunnuksen (tai sovelluksen rekisteröinnin) Microsoft Entra ID.

Saat lisätietoja ohjeartikkelista Agenttien poistaminen.

Liittyvät artikkelit

• Käyttäjätodennuksen määrittäminen Microsoft Entra ID
• Katso ja hallinnoi Microsoft Entra Agent ID:t Copilot Studio -agenteille
• Poista agentteja
• Verkon eristys ja palomuurin määritys