Identités des agents et authentification pour Copilot Studio

Cet article explique l’inscription des applications, les identités d’agent et l’authentification pour les agents Copilot Studio.

Comprendre les identités d’agent

Cette section explique comment Copilot Studio identifie les agents et gère leur identité à des fins d’authentification.

Comment Copilot Studio identifie-t-il les agents pour l’authentification ?

Copilot Studio attribue un identifiant unique à chaque agent afin de pouvoir communiquer avec les canaux (Teams, Omnichannel, et autres) et les services. Copilot Studio crée et gère automatiquement ces identités.

Il existe deux types d’identités d’agent :

• ID d’assistant Entra : principaux de service Microsoft Entra avec un sous-type « Assistant ». Copilot Studio provisionne automatiquement des ID d’assistant Entra pour les nouveaux assistants. Le moment du provisionnement de l’ID d’assistant Entra dépend de l’environnement d’exécution sur lequel repose l’assistant.

• Inscriptions d’applications (héritées) : les assistants existants créés avant la mise en œuvre de l’identifiant d’assistant Entra en mai 2026 continuent d’utiliser les inscriptions d’applications traditionnelles.

Important : Les ID d’assistant sont des principaux de service avec un sous-type « Assistant ». Le flux d’authentification OAuth sous-jacent reste le même. Les ID d’agent offrent des fonctionnalités de gestion et de visibilité de gouvernance améliorées par rapport aux inscriptions d’applications traditionnelles.

Quand un Identifiant d’assistant Entra est-il provisionné ?

Le provisionnement de l’ID d’assistant Entra dépend de l’environnement d’exécution de l’assistant.

• Environnement d’exécution standard : Copilot Studio provisionne l’ID d’assistant Entra lors de la création de l’assistant.
• GitHub Copilot harness : Copilot Studio n’approvisionne pas l’Identifiant d’assistant Entra lorsque vous enregistrez l’agent en tant que brouillon. Copilot Studio provisionne l’ID d’assistant Entra lors de la première publication de l’assistant, même si vous ne configurez aucun canal.

Pour en savoir plus, consultez Harnesses dans Copilot Studio.

Pourquoi mon agent a-t-il une identité dans Microsoft Entra ID ?

Les identités d’agent permettent à votre agent de s’authentifier en toute sécurité lors de la communication avec les canaux (Teams, Omnichannel, etc.) et les services. Copilot Studio crée et gère automatiquement ces identités en suivant les principes de sécurité Confiance nulle.

Quelle est la différence entre les agents Copilot Studio et les agents Agent Builder ?

• Assistants Copilot Studio : reçoivent des ID d’assistant Entra (ou des inscriptions d’applications pour les assistants hérités) pour l’authentification avec les canaux et les services.

• Assistants Agent Builder : actuellement, n’utilisent pas et ne nécessitent pas d’ID d’inscription d’application ou d’ID d’assistant. Pour plus d’informations, consultez Générateur d’agent dans Microsoft Copilot.

Travail avec les identités des agents

Cette section fournit des conseils sur la manière de travailler avec les identités des agents dans Copilot Studio.

Dois-je créer ou configurer manuellement une identité d’agent ?

No. Copilot Studio gère automatiquement les identités d’agent :

• Nouveaux agents : Obtiennent automatiquement les identifiants d’agent Microsoft Entra.
• Agents existants : continuent d’utiliser les enregistrements d’applications et seront migrés vers l’utilisation d’ID d’agent à l’avenir.

les normes de sécurité et de conformité de Microsoft guident la gestion automatique de toutes les informations d'identification. Vous disposez d’une visibilité et d’un contrôle complets dans le centre d’administration Microsoft Entra, où vous pouvez surveiller l’activité d’authentification et gérer le cycle de vie des identités de l’agent.

Comment trouver l’inscription de l’application ou l’ID d’agent qui appartient à mon agent ?

1. Dans Copilot Studio, accédez à Settings>Advanced>Metadata.
2. Affichez le Identifiant d’assistant Entra (GUID) pour les agents avec des identités Entra.
3. Pour les agents hérités avec des inscriptions d’applications, l’ID d’application s’affiche dans la même section.
4. Utilisez ce GUID pour localiser l’identité dans centre d’administration Microsoft Entra.

Puis-je apporter mon propre ID d’agent ou mon inscription d’application ?

No. Pour garantir la sécurité, la conformité et l’intégration aux canaux et services, Copilot Studio nécessite une gestion automatique.

Pourquoi Copilot Studio ajouter le propriétaire de l’agent à l’identité de l’agent ?

Copilot Studio inclut le propriétaire de l’agent pour offrir :

• Traçabilité de la gouvernance pour chaque agent
• Responsabilité pour le cycle de vie de l’agent
• Alignement avec les stratégies de propriété de l’organisation

Pour les identifiants d’agent Entra: le propriétaire de l’agent est ajouté en tant que sponsor avec des autorisations limitées par rapport aux propriétaires à part entière, ce qui réduit les problèmes de sécurité liés aux modifications des autorisations. Certains agents préexistants n’ont peut-être pas encore de sponsors.

Pour les inscriptions d’applications héritées : le propriétaire de l’assistant est ajouté en tant que propriétaire de l’inscription de l’application. Pour désactiver l’ajout du propriétaire de l’assistant, contactez le support.

Sécurité et autorisations

Cette section explique la sécurité et les autorisations associées aux identités des agents dans Copilot Studio.

Qui peut générer des jetons à l’aide de l’identité de l’agent ?

Pour les ID de l’agent Entra

Un principal de blueprint détenu par Microsoft crée et gère des identités d’assistant à l’aide des informations d’identification d’identité fédérée. Personne dans votre locataire, y compris les administrateurs du locataire, ne peut générer de jetons en utilisant l’identité de l’assistant. Microsoft contrôle entièrement le blueprint et le mécanisme d’authentification.

Pour la validation des compétences d’Azure Bot Service

Lors de la validation ou de l'invocation d'une compétence Azure Bot Service, Microsoft Copilot Studio peut obtenir un jeton associé à l'identité gérée de l'agent et le présenter au point de terminaison configuré de la compétence. Ce comportement est intentionnel et suit le même modèle de confiance utilisé lors de l’exécution normale des compétences.

L’identité de l’agent est détenue par le locataire et uniquement associée à l’agent créé par le fabricant. Les jetons émis pour l’identité de l’agent n’accordent pas de privilèges autres que ceux déjà disponibles pour le propriétaire de l’agent et ne donnent pas accès à des données ou ressources que le créateur ne serait pas autorisé à utiliser autrement. En conséquence, recevoir un jeton d’identité d’assistant dans le cadre de la validation des compétences ou lors de l’exécution ne constitue ni une escalade de privilèges, ni un élargissement des autorisations effectives du créateur.

Les développeurs sont responsables de la configuration et de la sécurité des points de terminaison de la compétence, car ces points de terminaison peuvent recevoir des requêtes authentifiées de l’agent, tant lors de la validation que pendant le fonctionnement normal.

Pour les inscriptions d’applications anciennes

Les utilisateurs disposant de rôles d’administrateur général, d’administrateur d’application ou d’administrateur d’application cloud peuvent créer des secrets client ou des certificats pour toute inscription d’application dans le locataire sans avoir besoin de propriété. Les utilisateurs ne disposant pas de ces rôles doivent se voir attribuer la propriété de l’inscription d’application concernée afin de créer les informations d’identification nécessaires à la génération de jetons. Copilot Studio n'ajoute pas d'étendues d'API ni d'autorisations à ces inscriptions d'applications. Par conséquent, les jetons générés à partir de ces identités n'ont aucun accès aux données ou ressources client.

Quelles autorisations sont associées à l’ID d’agent Microsoft Entra de mon agent ?

Lorsque vous publiez un agent, Copilot Studio attache des permissions API à l'Identifiant d’assistant Microsoft Entra de l'agent qui représentent les connecteurs Power Platform que l'agent est configuré pour utiliser. Ces autorisations décrivent uniquement l’accès au connecteur. Ce ne sont pas des autorisations de ressources brutes comme Mail.Read ou Files.Read.All.

Comment les étendues apparaissent-elles dans Microsoft Entra ID ?

Chaque connecteur a son propre principal de service dans votre tenant, par exemple, Work IQ Calendar MCP Connector. Selon la manière dont le créateur configure l’assistant, le principal de service du connecteur accorde une ou plusieurs des autorisations suivantes à l’ID d’assistant Entra de l’assistant :

• Operations.Execute.All est autorisé lorsque l’agent est configuré pour utiliser le connecteur au niveau de l’agent (outil). L’agent peut invoquer n’importe quelle opération exposée par le connecteur.
• Les étendues d’opération individuelles sont accordées lorsque le créateur a ajouté des actions de connecteur spécifiques au lieu du connecteur entier. Seules les opérations que l’agent utilise réellement sont autorisées.
• Azure API Connections Runtime.All est utilisé comme secours générique pour les connecteurs qui ne définissent pas d'étendues granulaires.

Vous pouvez consulter ces autorisations sur le principal de service de l’identité de l’agent dans le centre d’administration Microsoft Entra, sous Autorisations de l’API.

Ce modèle offre Microsoft Entra ID et Microsoft 365 administrateurs une visibilité sur ce qu’un agent peut faire. Les administrateurs n’ont pas besoin d’ouvrir le centre d’administration Power Platform, et le modèle de connecteur piloté par les créateurs et régi par des stratégies reste en place :

• Les créateurs continuent d’ajouter des connexions en utilisant des connecteurs pré-approuvés par les politiques avancées de connecteurs et les politiques de données de votre locataire.
• Le runtime du connecteur Power Platform respecte uniquement ces étendues. Au moment de l’exécution, la plateforme de connecteurs vérifie de nouveau que l’agent peut appeler le connecteur conformément aux stratégies avancées relatives aux connecteurs et aux stratégies de données de votre locataire. Si un attaquant obtient l'identité d'un agent, l'attaquant ne peut pas utiliser ces étendues pour appeler Microsoft Graph, Outlook ou toute autre API directement, car la plateforme de connecteur médiate chaque appel et applique vos stratégies de gouvernance.
• Étant donné que les étendues sont des autorisations d’API de première classe associées à l’ID d’assistant Entra de l’assistant, les administrateurs peuvent les cibler à l’aide des stratégies d’accès conditionnel Microsoft Entra. Par exemple, vous pouvez exiger des emplacements réseau spécifiques, un état de conformité de l’appareil ou des niveaux de risque avant que les jetons puissent être émis pour une ressource de connecteur particulière sur une identité d’agent. L’accès conditionnel est appliqué aujourd’hui uniquement lorsque l’agent s’exécute dans Microsoft Teams (consultez la note au début de cette section).

En résumé, les scopes décrivent ce pour quoi un agent est configuré , tandis que les politiques de connecteurs avancées et les politiques de données décident de ce qu’il est autorisé à faire au moment de l’exécution.

Quand les étendues sont-elles ajoutées ou retirées ?

Les étendues sont évaluées et appliquées lorsque l’assistant est publié. L’ajout ou la suppression d’un connecteur (ou d’une action de connecteur spécifique) sur l’assistant, puis la republication de celui-ci, met à jour les étendues en conséquence.

Ce changement s’applique-t-il aux inscriptions aux applications anciennes ?

No. Les étendues du connecteur sont ajoutées uniquement aux identifiants d’assistant Entra. Les inscriptions d’applications héritées continuent de ne comporter aucune étendue d’API associée, comme décrit dans la section Qui peut générer des jetons à l’aide de l’identité de l’assistant. Aujourd’hui, ce comportement s’applique aux connecteurs Power Platform certifiés et internes ; Les connecteurs personnalisés, les serveurs MCP et les outils d'API REST ajoutés aux agents n'ajoutent pas d'autorisations d'API au Identifiant d’assistant Entra.

Migration de l’Identifiant d’assistant Entra

Cette section explique le processus de migration des enregistrements d’applications héritées vers les identifiants d’agent Entra pour les agents existants.

Que se passe-t-il avec les agents existants que j’ai créés avant que l’Identifiant d’assistant Entra ne soit disponible ?

Les agents existants que vous avez créés avant que l’Identifiant d’assistant Entra ne soit disponible en mai 2026 continuent d’utiliser les inscriptions de l’application. Ils migreront vers des identifiants d’agent à l’avenir.

Caractéristiques de migration :

• Conservation du GUID : les identificateurs de l’assistant restent identiques (aucun changement cassant).
• Aucune interruption : Les agents continuent de fonctionner pendant la migration.
• Automatique : Aucune action manuelle requise.
• Compatibilité des canaux maintenue : Teams, Omnichannel et compétences continuent de fonctionner.

L’activation de l’ID de l’agent change-t-elle la façon dont mon agent s’authentifie ?

No. Les ID d’assistant sont des principaux de service avec un sous-type « Assistant » qui utilisent les mêmes flux d’authentification OAuth que les inscriptions d’applications traditionnelles. L’amélioration est la visibilité de la gouvernance : les ID d’agent apparaissent dans le centre d’administration Microsoft Entra avec davantage de fonctionnalités de gestion et de surveillance du cycle de vie.

Qu'est-ce que les principes de Blueprint ?

Lorsque la première identité de l’agent est créée dans un environnement, Copilot Studio ajoute un modèle d'identité d’agent Microsoft Copilot Studio à votre locataire. Ce principal de blueprint dispose de privilèges pour créer les identités et les utilisateurs d’assistant dans le client.

Pour des informations détaillées, notamment les ID de blueprint (production et test), consultez Comprendre les principaux de blueprint. Pour plus d’informations techniques, consultez Comment les identités d’agent sont-elles créées ?.

Pourquoi mon agent n’a-t-il pas été créé à cause d’un quota ou d’une limite Microsoft Entra ?

Chaque ID d’agent Microsoft Entra que Copilot Studio crée est un objet de répertoire dans votre tenant et est comptabilisé dans le quota de ressources de votre tenant dans Microsoft Entra ID. L’identité de l’agent est configurée lorsque l’agent est créé dans Copilot Studio. Si le locataire atteint son quota à ce moment-là, Copilot Studio ne peut pas créer l'Identifiant d’assistant Microsoft Entra et l'agent ne peut pas être créé.

Les limites les plus courantes à connaître sont les suivantes :

• Quota de ressources du locataire : 50 000 objets d’annuaire par défaut, ou 300 000 si votre locataire a un domaine vérifié. Les locataires créés via l’inscription en libre-service restent à 50 000 même après la vérification d’un domaine. Les identités des agents (ainsi que toutes les autres ressources Microsoft Entra) ne peuvent utiliser pas plus de 95% de ce quota.
• Restriction de nouveau locataire : pour les deux premiers jours après la création d’un locataire, le quota est temporairement limité à 600 objets d’annuaire.

La limite de 250 identités d’agent par modèle ne s’applique pas à Copilot Studio, car le modèle de Copilot Studio appartient à Microsoft.

Pour obtenir la liste complète des limites et la façon dont le quota est calculé, consultez Microsoft Entra limites et restrictions de service. Pour augmenter le quota de ressources pour votre locataire, suivez les instructions de cet article.

Cycle de vie de l’agent

Cette section décrit le cycle de vie des identités des agents dans Copilot Studio.

Que se passe-t-il pour l’identité de l’agent lorsque vous supprimez un agent ?

Lorsque vous supprimez un agent de Copilot Studio, le processus supprime l’ID d’agent associé (ou l’inscription d’application) de Microsoft Entra ID.

Pour plus d’informations, consultez Supprimer des agents.

Articles connexes

• Configurer l'authentification utilisateur avec Microsoft Entra ID
• Consultez et gérez les identifiants d’agent Microsoft Entra pour les agents Copilot Studio
• Supprimer des agents
• Configuration de l’isolation réseau et du pare-feu