Configurer l’authentification utilisateur dans Copilot Studio

L’authentification utilisateur permet aux utilisateurs de se connecter afin que votre agent puisse accéder à des ressources ou informations restreintes en leur nom. Les utilisateurs peuvent se connecter en utilisant Microsoft Entra ID ou un fournisseur d’identité OAuth 2.0, tel que Google ou Facebook.

Note

Pour les déploiements Microsoft Teams utilisant l’authentification manuelle, examinez les exigences de déploiement dans Configure SSO (connexion unique) avec Microsoft Entra ID pour les agents dans Teams.

Vous pouvez ajouter l’authentification de l’utilisateur à vos rubriques lors de la modification d’une rubrique.

Important

Les modifications apportées à la configuration d’authentification prennent effet uniquement après la publication de votre agent. Planifiez avant d’apporter des modifications d’authentification à votre agent.

Choisir une option d’authentification

Note

Avant de choisir une option d’authentification, passez en revue la limitation d’intégration Power BI suivante. Copilot Studio agents qui utilisent l'authentification Microsoft (Entra ID) ne peuvent pas être incorporés dans des rapports Power BI à l'aide de visuels basés sur iframe.

Copilot Studio prend en charge plusieurs options d’authentification. Sélectionnez et configurez l’option qui répond à vos besoins.

  1. Accédez à Paramètres pour votre agent et sélectionnez Sécurité.

  2. Sélectionnez Authentification.

  3. Sélectionnez une option d’authentification et configurez-la si nécessaire. Les options d’authentification suivantes sont disponibles :

  4. Cliquez sur Enregistrer.

Aucune authentification

L’absence d’authentification signifie que votre agent n’exige pas que vos utilisateurs se connectent lorsqu’ils interagissent avec lui. Une configuration non authentifiée signifie que votre agent peut accéder uniquement aux informations et ressources publiques. Les chatbots classiques sont configurés par défaut pour ne pas nécessiter d’authentification.

Cette option n’est pas disponible lorsqu’une politique de données est configurée dans le centre d’administration Power Platform pour exiger une authentification.

Caution

La sélection de l’option Aucune authentification permet à toute personne disposant du lien de discuter et d’interagir avec votre bot ou agent.

Nous vous recommandons d’appliquer l’authentification, en particulier si vous utilisez votre bot ou agent au sein de votre organisation ou pour des utilisateurs spécifiques, ainsi que d’autres contrôles de sécurité et de gouvernance.

Authentifier avec Microsoft

Important

Pour publier via le canal intégré Teams + Microsoft 365, utilisez S’authentifier avec Microsoft. Si votre configuration d’authentification bloque le canal, vérifiez agent status. Pour les déploiements d’authentification manuelle dans Teams, respectez les exigences distinctes relatives à Teams SSO et au manifeste d’application.

En outre, l'option Authenticate avec Microsoft n'est pas disponible pour les agents qui s'intègrent à Dynamics 365 Customer Service.

Cette configuration configure automatiquement l’authentification Microsoft Entra ID pour Teams, SharePoint, Power Apps et Microsoft Copilot sans configuration manuelle. Dans Teams, les utilisateurs ne sont pas invités à se connecter sauf si votre agent nécessite une étendue des autorisations élargie.

Si vous devez vous authentifier sur d’autres canaux, choisissez S’authentifier manuellement.

Si vous sélectionnez S’authentifier avec Microsoft, les variables suivantes sont disponibles dans le canevas de création de rubriques, à la fois dans l’application web et dans Teams :

  • User.Id
  • User.DisplayName

Dans l’application web, User.IsLoggedIn ainsi que des variables de profil supplémentaires sont également disponibles. Dans le plan Teams, User.IsLoggedIn n’est pas disponible avec cette option. En savoir plus sur les variables d’authentification.

User.AccessToken n’est pas disponible avec cette option. Si vous avez besoin d’un jeton d’authentification, utilisez S’authentifier manuellement.

Si vous passez de S’authentifier manuellement à S’authentifier avec Microsoft, les références à User.AccessToken deviennent des variables inconnues. Dans le plan Teams, les références à User.IsLoggedIn deviennent aussi des variables inconnues. Corrigez toute erreur de rubrique avant de publier votre assistant.

Authentifier manuellement

Copilot Studio prend en charge les fournisseurs de services d’authentification suivants sous l’option Authenticate manuellement :

  • Microsoft Entra ID V2 avec des informations d’identification fédérées
  • Microsoft Entra ID V2 avec des certificats
  • Microsoft Entra ID V2 avec des secrets de client
  • Microsoft Entra ID
  • OAuth 2 générique : Tout fournisseur d’identité conforme à la norme OAuth 2.0

Si vous sélectionnez Authentifier manuellement, les variables suivantes sont disponibles dans le canevas de création de la rubrique :

  • User.Id
  • User.DisplayName
  • User.AccessToken
  • User.IsLoggedIn

En savoir plus sur ces variables dans Ajouter l’authentification utilisateur aux rubriques.

Note

  • Les modifications d’authentification ne prennent effet qu’après la publication de l’agent.
  • Contrôlez ce paramètre avec le contrôle d’administrateur correspondant dans Power Platform. Lorsque vous activez le contrôle, celui-ci empêche l’activation ou la désactivation de l’option Authentifier manuellement dans Copilot Studio. Le contrôle est toujours activé et l'option Authenticate manuellement ne peut pas être modifiée dans Copilot Studio.

Connexion utilisateur requise et partage de l’assistant

Le paramètre « Exiger que les utilisateurs se connectent » détermine si un utilisateur doit se connecter avant de parler à l’agent. Activez ce paramètre pour les agents qui doivent accéder aux informations sensibles ou restreintes.

Cette option n’est pas disponible pour les options Aucune authentification et Authentifier avec Microsoft.

Note

Vous ne pouvez pas désactiver cette option lorsque la stratégie de données dans le Centre d’administration Power Platform est définie pour exiger l’authentification. Pour en savoir plus, consultez Configurer des stratégies de données pour les agents.

Si vous désactivez cette option, votre agent ne demande pas aux utilisateurs de se connecter tant qu’il ne rencontre pas une rubrique qui les oblige à le faire.

Lorsque vous activez cette option, elle crée une rubrique système appelée Demander aux utilisateurs de se connecter. Cette rubrique n’est pertinente que pour le paramètre Authentifier manuellement. Pour la connexion automatique dans les discussions Teams prises en charge, utilisez S’authentifier avec Microsoft.

Le sujet "Exiger que les utilisateurs se connectent" se déclenche automatiquement pour tout utilisateur qui communique avec l’agent sans être authentifié. Si l’utilisateur ne parvient pas à se connecter, le sujet redirige vers la rubrique système Escalader.

La rubrique est en lecture seule et ne peut pas être personnalisée. Pour le voir, sélectionnez Accéder au canevas de création.

Contrôlez qui peut discuter avec l'agent au sein de l'organisation.

La combinaison du type d’authentification de votre agent et du paramètre « Exiger que les utilisateurs se connectent » détermine si vous pouvez partager l’agent afin de contrôler qui dans votre organisation peut discuter avec lui. Le paramètre d’authentification n’affecte pas le partage d’un agent pour la collaboration.

  • Aucune authentification : tout utilisateur disposant d’un lien vers l’agent (ou peut le trouver, par exemple, sur votre site web) peut discuter avec lui. Vous ne pouvez pas contrôler quels utilisateurs peuvent discuter avec l’agent dans votre organisation.

  • S’authentifier avec Microsoft : L’agent utilise l’authentification Microsoft Entra ID dans Teams, SharePoint, Power Apps et Microsoft Copilot. Les utilisateurs sont déjà connectés, donc vous ne configurez pas Obliger les utilisateurs à se connecter séparément. Vous pouvez utiliser le partage d’agent pour contrôler qui dans votre organisation peut discuter avec l’agent.

  • Authentifier manuellement :

    • Si le fournisseur de services est Microsoft Entra ID, vous pouvez activer Require les utilisateurs pour se connecter pour contrôler qui dans votre organisation peut discuter avec l’agent à l’aide du partage d’agent.

    • Si le fournisseur de service est Generic OAuth 2, vous pouvez activer ou désactiver Exiger que les utilisateurs se connectent. Lorsque l’option est activée, un utilisateur qui se connecte peut discuter avec l’agent. Vous ne pouvez pas contrôler quels utilisateurs spécifiques de votre organisation peuvent discuter avec l’agent à l’aide du partage d’agent.

Lorsque le paramètre d’authentification de l’assistant ne vous permet pas de contrôler qui peut discuter avec lui, et que vous sélectionnez Partager sur la page d’aperçu de l’assistant, un message informe que n’importe qui peut discuter avec votre assistant.

Champs d’authentification manuelle

Le tableau suivant décrit les champs que vous pouvez rencontrer lors de la configuration de l’authentification manuelle. Les champs affichés dépendent du fournisseur de service que vous avez sélectionné.

Nom du champ Description
Modèle d’URL d’autorisation Modèle d’URL pour les autorisations, comme défini par votre fournisseur d’identité. Par exemple : https://login.microsoftonline.com/common/oauth2/v2.0/authorize
Modèle de chaîne de requête de l’URL d’autorisation Le modèle de requête pour les autorisations, comme fourni par votre fournisseur d’identité. Les clés du modèle de chaîne de requête varient en fonction du fournisseur d’identité (?client_id={ClientId}&response_type=code&redirect_uri={RedirectUrl}&scope={Scopes}&state={State}).
ID du client Votre ID client obtenu auprès du fournisseur d’identité.
Secret de client Votre clé secrète client obtenue lorsque vous avez créé l’enregistrement de l’application auprès du fournisseur d’identité.
URL KeyVault de certificat client URL du Key Vault où votre certificat client est stocké. Obligatoire pour Microsoft Entra ID avec l’authentification des certificats.
Type d’octroi Le type d’autorisation OAuth 2.0 que vous souhaitez utiliser.
La revendication x5c est-elle requise ? Indiquez si la revendication x5c est requise dans la demande de jeton. Obligatoire pour Microsoft Entra ID avec l’authentification des certificats.
URL de connexion URL dans laquelle les utilisateurs sont dirigés pour se connecter.
Actualiser le modèle de corps Le modèle pour le corps d’actualisation (refresh_token={RefreshToken}&redirect_uri={RedirectUrl}&grant_type=refresh_token&client_id={ClientId}&client_secret={ClientSecret}).
Actualiser le modèle de chaîne de requête de l’URL Le séparateur de chaîne de requête de l’URL d’actualisation pour l’URL du jeton, généralement un point d’interrogation (?).
Actualiser le modèle d’URL Le modèle d’URL pour l’actualisation ; par exemple, https://login.microsoftonline.com/common/oauth2/v2.0/token.
URL de la ressource L’URL de la ressource pour laquelle le jeton est demandé.
Délimiteur de la liste des étendues Le caractère séparateur de la liste des étendues. Les espaces vides ne sont pas pris en charge dans ce champ.1
Étendues La liste des étendues dont les utilisateurs doivent disposer après leur connexion. Utilisez le Délimiteur de la liste des étendues pour séparer plusieurs étendues.1 Définissez uniquement les étendues nécessaires et suivez le Principe de contrôle d’accès avec privilèges minimum.
Fournisseur de services Le fournisseur de services que vous souhaitez utiliser pour l’authentification. En savoir plus sur les fournisseurs génériques OAuth.
ID du locataire VOTRE ID de locataire Microsoft Entra ID. Découvrez-en plus dans la rubrique Comment trouver votre identifiant client Microsoft Entra.
Modèle de corps de jeton Le modèle pour le corps du jeton. (code={Code}&grant_type=authorization_code&redirect_uri={RedirectUrl}&client_id={ClientId}&client_secret={ClientSecret})
URL d’échange de jetons (obligatoire pour l’authentification unique (SSO)) Obligatoire lorsque vous configurez l’authentification unique ; optionnel sinon.
Modèle d’URL de jeton Le modèle d’URL pour les jetons, tel que fourni par votre fournisseur d’identité, par exemple, https://login.microsoftonline.com/common/oauth2/v2.0/token
Modèle de chaîne de requête de l’URL de jeton Le séparateur de chaîne de requête pour l’URL du jeton, généralement un point d’interrogation (?).

1 Vous pouvez utiliser des espaces dans le champ Périmètres si le fournisseur d’identité l’exige. Dans ce cas, saisissez une virgule (,) dans Délimiteur de la liste des étendues, et entrez des espaces dans le champ Étendues.

Désactiver l’authentification

  1. Avec votre agent ouvert, sélectionnez Paramètres dans la barre de menu supérieure.

  2. Sélectionnez Sécurité, puis Authentification.

  3. Sélectionnez Aucune authentification.

    Si une rubrique utilise des variables d’authentification, elles deviennent des variables inconnues . Accédez à la page Rubriques pour voir quelles rubriques comportent des erreurs et corrigez-les avant la publication.

  4. Sélectionnez Enregistrer, puis publiez l’agent.

Important

Si votre agent a des outils configurés pour exiger des identifiants utilisateur, ne désactivez pas l’authentification au niveau de l’agent. Cette action empêche ces outils de fonctionner.

  • Dernière mise à jour :