Agentidentiteiten en authenticatie voor Copilot Studio

In dit artikel worden app-registratie, agentidentiteiten en verificatie voor Copilot Studio-agents uitgelegd.

Begrijp agentidentiteiten

Deze sectie legt uit hoe Copilot Studio agenten identificeert en hun identiteit beheert voor authenticatiedoeleinden.

Hoe identificeert Copilot Studio agents voor verificatie?

Copilot Studio wijst elke agent een unieke identificatie toe zodat het kan communiceren met kanalen (Teams, Omnichannel en meer) en diensten. Copilot Studio maakt en beheert deze identiteiten automatisch.

Er zijn twee typen agentidentiteiten:

• Entra Agent-ID's: Microsoft Entra service principals met een subtype "Agent." Alle nieuwe agenten ontvangen automatisch Entra Agent ID's.

• App-registraties (legacy): Bestaande agenten die je hebt aangemaakt voordat Entra Agent-ID in mei 2026 werd ingevoerd, blijven gebruikmaken van traditionele app registrations.

Belangrijk: Agent-ID's zijn service-principalen met een subtype "Agent". De onderliggende OAuth-verificatiestroom blijft hetzelfde. Agent-id's bieden verbeterde zichtbaarheid en beheermogelijkheden voor governance in vergelijking met traditionele app-registraties.

Waarom heeft mijn agent een identiteit in Microsoft Entra ID?

Met agentidentiteiten kan uw agent veilig verifiëren bij het communiceren met kanalen (Teams, Omnichannel en meer) en services. Copilot Studio maakt en beheert deze identiteiten automatisch volgens Zero Trust beveiligingsprincipes.

Wat is het verschil tussen Copilot Studio agents en Agent Builder-agents?

• Copilot Studio agents: Ontvang Entra Agent-ID's (ofwel app-registraties voor verouderde agents) voor authenticatie met kanalen en services.

• Agent Builder-agents: gebruiken momenteel geen app-registratie-id's of agent-id's en vereisen deze ook niet. Zie Agent Builder in Microsoft 365 Copilot voor meer informatie.

Werk met agentidentiteiten

Deze sectie geeft richtlijnen over hoe je met agentidentiteiten werkt in Copilot Studio.

Moet ik handmatig een agentidentiteit maken of configureren?

Nee. Copilot Studio beheert automatisch agentidentiteiten:

• Nieuwe agenten: Automatisch Microsoft Entra Agent ID's verkrijgen.
• Bestaande agenten: blijven app-registraties gebruiken en zullen in de toekomst worden gemigreerd om Agent-ID’s te gebruiken.

De beveiligings- en nalevingsstandaarden van Microsoft begeleiden het automatische beheer van alle inloggegevens. U hebt volledige zichtbaarheid en controle in de Microsoft Entra-beheercentrum, waar u de verificatieactiviteit kunt bewaken en de levenscyclus van de agentidentiteit kunt beheren.

Hoe vind ik welke app-registratie of agent-id bij mijn agent hoort?

1. Ga in Copilot Studio naar Settings>Advanced>Metadata.
2. Bekijk de Entra Agent-ID (GUID) voor agents met Entra-identiteiten.
3. Voor verouderde agents met app-registraties wordt de toepassings-id weergegeven in dezelfde sectie.
4. Gebruik deze GUID om de identiteit in Microsoft Entra-beheercentrum te vinden.

Kan ik mijn eigen agent-id of app-registratie meenemen?

Nee. Om beveiliging, naleving en integratie met kanalen en services te garanderen, is voor Copilot Studio automatisch beheer vereist.

Waarom voegt Copilot Studio de eigenaar van de agent toe aan de agentidentiteit?

Copilot Studio voegt de agent-eigenaar toe om het volgende te bieden:

• Governance-traceerbaarheid voor elke agent
• Verantwoordelijkheid voor de levenscyclus van agents
• Afstemming op het eigendomsbeleid van de organisatie

Voor Entra Agent-id's: de eigenaar van de agent wordt toegevoegd als sponsor met beperkte machtigingen in vergelijking met volledige eigenaren, waardoor beveiligingsproblemen worden verminderd rond machtigingswijzigingen. Sommige bestaande agenten hebben mogelijk nog geen sponsors.

Voor verouderde app-registraties: de eigenaar van de agent wordt toegevoegd als eigenaar van de app-registratie. Neem contact op met de klantenservice om af te zien van het toevoegen van de eigenaar van de agent.

Beveiliging en machtigingen

Deze sectie legt de beveiliging en machtigingen uit die horen bij agentidentiteiten in Copilot Studio.

Wie kan tokens genereren met behulp van de agent-id?

Voor Entra Agent-ID's

Een blueprint-principal van Microsoft maakt en beheert agentidentiteiten met behulp van Federatieve Identiteitsreferenties. Niemand in uw tenant, inclusief tenantbeheerders, kan tokens genereren met behulp van de agentidentiteit. Microsoft het blauwdruk- en verificatiemechanisme volledig beheert.

Voor vaardigheidsvalidatie

Bij het valideren of aanroepen van een vaardigheid kan Microsoft Copilot Studio een token verkrijgen die gekoppeld is aan de beheerde identiteit van de agent en deze presenteren aan het eindpunt van de geconfigureerde vaardigheid. Dit gedrag is opzettelijk en volgt hetzelfde vertrouwensmodel dat wordt gebruikt tijdens normale vaardigheidsuitvoering.

De agentidentiteit is eigendom van de huurder en alleen gekoppeld aan de agent die door de maker is aangemaakt. Tokens die voor de identiteit van de agent worden uitgegeven, verlenen geen privileges die verder gaan dan de privileges waarover de eigenaar van de agent al beschikt, en geven geen toegang tot gegevens of resources waarvoor de maker anders niet geautoriseerd zou zijn. Als gevolg hiervan betekent het ontvangen van een agentidentiteitstoken via vaardigheidsvalidatie of runtime-uitvoering geen privilege-escalatie of uitbreiding van de effectieve rechten van de maker.

Ontwikkelaars zijn verantwoordelijk voor de configuratie en betrouwbaarheid van de eindpunten van de vaardigheid, aangezien die eindpunten geauthenticeerde verzoeken van de agent kunnen ontvangen tijdens zowel de validatie als de normale uitvoering.

Voor verouderde app-registraties

Gebruikers met de rollen Globale beheerder, Toepassingsbeheerder of Cloudtoepassingsbeheerder kunnen clientgeheimen of certificaten maken voor elke app-registratie in de tenant zonder dat ze eigenaar hoeven te zijn. Gebruikers zonder deze rollen moeten eigenaarschap voor de specifieke app-registratie krijgen om de referenties aan te maken die nodig zijn voor het genereren van tokens. Copilot Studio voegt geen API-bereiken of machtigingen toe aan deze app-registraties, zodat tokens die zijn gegenereerd op basis van deze identiteiten geen toegang hebben tot klantgegevens of -resources.

Welke machtigingen zijn gekoppeld aan de Entra Agent-ID van mijn agent?

Wanneer je een agent publiceert, voegt Copilot Studio API-rechten toe aan de Microsoft Entra Agent-ID van de agent die de Power Platform-connectors vertegenwoordigen waarop de agent is geconfigureerd. Deze scopes beschrijven alleen connectortoegang. Het zijn geen ruwe resource-rechten zoals Mail.Read of Files.Read.All.

Hoe worden de scopes weergegeven in Microsoft Entra ID?

Elke connector heeft een eigen service-principal in uw tenant, bijvoorbeeld Work IQ Calendar MCP Connector. Afhankelijk van hoe de maker de agent configureert, verleent de service-principal van de connector een of meer van de volgende machtigingen aan de Entra Agent-ID van de agent:

• Operations.Execute.All wordt verleend wanneer de agent is geconfigureerd om de connector op agentniveau (hulpprogramma) te gebruiken. De agent kan elke bewerking aanroepen die de connector biedt.
• Afzonderlijke bewerkingsbereiken worden verleend wanneer de maker specifieke connectoracties heeft toegevoegd in plaats van de hele connector. Alleen de bewerkingen die de agent daadwerkelijk gebruikt, zijn toegestaan.
• Azure API Connections Runtime.All wordt gebruikt als een algemene terugval voor connectors die geen gedetailleerde bereiken definiëren.

U kunt deze machtigingen bekijken bij de service-principal van de identiteit van de agent in het Microsoft Entra-beheercentrum onder API-machtigingen.

Dit model biedt Microsoft Entra ID en Microsoft 365 beheerders inzicht in wat een agent kan doen. Beheerders hoeven het Power Platform-beheercentrum niet te openen en het door de maker beheerde connectormodel blijft aanwezig:

• Makers kunnen verbindingen blijven toevoegen met behulp van connectors die vooraf zijn goedgekeurd door het beleid van uw tenant voor geavanceerde connectors (ACP) en gegevensverliespreventie (DLP).
• De runtime van de Power Platform-connector houdt alleen rekening met deze scopes. Tijdens runtime valideert het connectorplatform opnieuw of de agent de connector kan aanroepen volgens het ACP- en DLP-beleid van uw tenant. Als een aanvaller de identiteit van een agent in handen krijgt, kan de aanvaller deze machtigingen niet gebruiken om Microsoft Graph, Outlook of een andere API rechtstreeks aan te roepen, omdat het connectorplatform elke aanroep afhandelt en uw governancebeleid toepast.
• Omdat de scopes volwaardige API-machtigingen zijn op de Entra Agent-ID van de agent, kunnen beheerders er Microsoft Entra Voorwaardelijke toegang-beleidsregels op toepassen. U kunt bijvoorbeeld specifieke netwerklocaties, apparaatnalevingsstatus of risiconiveaus vereisen voordat tokens kunnen worden uitgegeven voor een bepaalde connectorresource op een agentidentiteit. Voorwaardelijke toegang wordt momenteel alleen afgedwongen wanneer de agent wordt uitgevoerd in Microsoft Teams (zie de opmerking aan het begin van deze sectie).

Kortom, de scopes beschrijven waar een agent voor is geconfigureerd, terwijl ACP en DLP bepalen wat een agent op dat moment mag doen.

Wanneer worden scopen toegevoegd of verwijderd?

Scopes worden geëvalueerd en toegepast zodra de agent wordt gepubliceerd. Als u een connector (of een specifieke connectoractie) aan de agent toevoegt of verwijdert en de agent opnieuw publiceert, worden de bereiken dienovereenkomstig bijgewerkt.

Geldt dit ook voor legacy app-registraties?

Nee. Connectorbereiken worden alleen toegevoegd aan Entra Agent-id's. Verouderde app-registraties hebben nog steeds geen API-scopes gekoppeld, zoals beschreven in Wie kan tokens genereren met behulp van de agentidentiteit. Dit gedrag is tegenwoordig van toepassing op eigen en gecertificeerde Power Platform-connectors; aangepaste connectors, MCP-servers en REST API-hulpprogramma's die zijn toegevoegd aan agents, voegen geen API-machtigingen toe aan de Entra Agent-ID.

Entra Agent-ID-migratie

Deze sectie legt het migratieproces uit van legacy-appregistraties naar Entra Agent ID's voor bestaande agenten.

Wat gebeurt er met bestaande agenten die ik heb aangemaakt voordat Entra Agent-ID beschikbaar was?

Bestaande agenten die je hebt aangemaakt voordat Entra Agent-ID in mei 2026 beschikbaar was, blijven app-registraties gebruiken. Ze zullen in de toekomst migreren naar Agent ID's.

Migratiekenmerken:

• GUID-behoud: Agent-ID's blijven identiek (geen incompatibele wijzigingen).
• Nul downtime: Agenten blijven functioneren tijdens migratie.
• Automatisch: Geen handmatige actie nodig.
• Kanaalcompatibiliteit behouden: Teams, Omnichannel en vaardigheden blijven werken.

Wijzigt het inschakelen van agent-id de verificatie van mijn agent?

Nee. Agent-ID's zijn service-principals met een subtype Agent, die dezelfde OAuth-verificatiestromen gebruiken als traditionele app-registraties. De verbetering is zichtbaarheid van governance: agent-id's worden weergegeven in de Microsoft Entra-beheercentrum met meer mogelijkheden voor levenscyclusbeheer en bewaking.

Wat zijn blauwdrukprinciplen?

Wanneer de eerste agentidentiteit wordt gemaakt in een omgeving, voegt Copilot Studio een Microsoft Copilot Studio agentidentiteitsblauwdruk toe aan uw tenant. Deze blauwdruk-principal heeft bevoegdheden voor het maken van agentidentiteiten en -gebruikers in de tenant.

Voor gedetailleerde informatie, waaronder blauwdruk-ID's (productie en test), zie Principes van blauwdrukken. Zie Hoe worden agentidentiteiten gemaakt? voor meer technische informatie.

Waarom kon mijn agent niet worden gemaakt door een Entra-quotum of -limiet?

Elke Entra Agent-ID die Copilot Studio maakt, is een mapobject in uw tenant en telt mee voor het resourcequotum van uw tenant in Microsoft Entra ID. De identiteit van de agent wordt ingericht wanneer de agent in Copilot Studio wordt aangemaakt. Als de huurder op dat moment zijn quotum bereikt, kan Copilot Studio de Entra Agent-ID niet aanmaken en wordt de agent niet aangemaakt.

De meest voorkomende limieten waar u rekening mee moet houden, zijn:

• Tenantresourcequotum: standaard 50.000 mapobjecten of 300.000 als uw tenant een geverifieerd domein heeft. Tenants die via zelfserviceregistratie zijn gemaakt, blijven beperkt tot 50.000, zelfs nadat een domein is geverifieerd. Agentidentiteiten (samen met alle andere Entra-resources) kunnen maximaal 95% van dit quotum gebruiken.
• Beperking voor nieuwe tenants: Voor de eerste twee dagen nadat een tenant is gemaakt, wordt het quotum tijdelijk beperkt tot 600 mapobjecten.

De limiet per blauwdruk van 250 agentidentiteiten is not van toepassing op Copilot Studio, omdat de blauwdruk van Copilot Studio Microsoft eigendom is.

Zie Microsoft Entra servicelimieten en -beperkingen voor de volledige lijst met limieten en hoe het quotum wordt berekend. Als u het resourcequotum voor uw tenant wilt verhogen, volgt u de richtlijnen in dat artikel.

Levenscyclus van agent

Deze sectie beschrijft de levenscyclus van agentidentiteiten in Copilot Studio.

Wat gebeurt er met de agent-id wanneer u een agent verwijdert?

Wanneer u een agent verwijdert uit Copilot Studio, verwijdert het proces de bijbehorende agent-id (of app-registratie) uit Microsoft Entra ID.

Zie Agents verwijderen voor meer informatie.

Verwante artikelen

• Gebruikersverificatie configureren met Microsoft Entra ID
• Bekijk en beheer Microsoft Entra Agent-ID's voor Copilot Studio-agenten
• Agents verwijderen
• Netwerkisolatie en firewallconfiguratie