Agentidentiteiten en authenticatie voor Copilot Studio

In dit artikel worden app-registratie, agentidentiteiten en verificatie voor Copilot Studio-agents uitgelegd.

Begrijp agentidentiteiten

Deze sectie legt uit hoe Copilot Studio agenten identificeert en hun identiteit beheert voor authenticatiedoeleinden.

Hoe identificeert Copilot Studio agents voor verificatie?

Copilot Studio wijst elke agent een unieke identificatie toe zodat het kan communiceren met kanalen (Teams, Omnichannel en meer) en diensten. Copilot Studio maakt en beheert deze identiteiten automatisch.

Er zijn twee typen agentidentiteiten:

• Entra Agent ID’s: Microsoft Entra service-principals met het subtype "Agent". Copilot Studio richt automatisch Entra Agent-ID's in voor nieuwe agenten. De timing van de Entra Agent-ID-provisionering hangt af van de runtime die de agent aanstuurt.

• App-registraties (legacy): Bestaande agenten die je hebt aangemaakt voordat Entra Agent-ID in mei 2026 werd ingevoerd, blijven gebruikmaken van traditionele app registrations.

Belangrijk: Agent-ID's zijn serviceprincipals met een "Agent"-subtype. De onderliggende OAuth-verificatiestroom blijft hetzelfde. Agent-id's bieden verbeterde zichtbaarheid en beheermogelijkheden voor governance in vergelijking met traditionele app-registraties.

Wanneer wordt een Entra Agent-ID ingericht?

Het inrichten van de Entra Agent-ID hangt af van de configuratie van de agent.

• Standard harness: Copilot Studio levert de Entra Agent-ID wanneer je de agent aanmaakt.
• Microsoft Copilot Harness: Copilot Studio levert de Entra Agent-ID niet wanneer je de agent als concept opslaat. Copilot Studio richt de Entra Agent-ID in wanneer je de agent voor het eerst publiceert, zelfs als je geen kanalen configureert.

Lees meer in Harnesses in Copilot Studio.

Waarom heeft mijn agent een identiteit in Microsoft Entra ID?

Met agentidentiteiten kan uw agent veilig verifiëren bij het communiceren met kanalen (Teams, Omnichannel en meer) en services. Copilot Studio maakt en beheert deze identiteiten automatisch volgens Zero Trust beveiligingsprincipes.

Wat is het verschil tussen Copilot Studio agents en Agent Builder-agents?

• Copilot Studio-agenten: Hebben Entra Agent-id's (of App registrations voor legacy-agenten) voor authenticatie bij kanalen en services.

• Agent Builder-agenten: maken momenteel geen gebruik van en vereisen geen app-registratie-ID's of Agent-ID's. Zie Agent Builder in Microsoft Copilot voor meer informatie.

Werk met agentidentiteiten

Deze sectie geeft richtlijnen over hoe je met agentidentiteiten werkt in Copilot Studio.

Moet ik handmatig een agentidentiteit maken of configureren?

No. Copilot Studio beheert automatisch agentidentiteiten:

• Nieuwe agenten: Krijgen automatisch Microsoft Entra Agent-id's.
• Bestaande agenten: Blijven App registrations gebruiken en zullen in de toekomst worden gemigreerd om Agent ID's te gebruiken.

De beveiligings- en nalevingsstandaarden van Microsoft begeleiden het automatische beheer van alle inloggegevens. U hebt volledige zichtbaarheid en controle in de Microsoft Entra-beheercentrum, waar u de verificatieactiviteit kunt bewaken en de levenscyclus van de agentidentiteit kunt beheren.

Hoe vind ik welke app-registratie of agent-id bij mijn agent hoort?

1. Ga in Copilot Studio naar Settings>Advanced>Metadata.
2. Bekijk de Entra Agent-ID (GUID) voor agents met Entra-identiteiten.
3. Voor verouderde agents met app-registraties wordt de toepassings-id weergegeven in dezelfde sectie.
4. Gebruik deze GUID om de identiteit in Microsoft Entra-beheercentrum te vinden.

Kan ik mijn eigen agent-id of app-registratie meenemen?

No. Om beveiliging, naleving en integratie met kanalen en services te garanderen, is voor Copilot Studio automatisch beheer vereist.

Waarom voegt Copilot Studio de eigenaar van de agent toe aan de agentidentiteit?

Copilot Studio voegt de agent-eigenaar toe om het volgende te bieden:

• Governance-traceerbaarheid voor elke agent
• Verantwoordelijkheid voor de levenscyclus van agents
• Afstemming op het eigendomsbeleid van de organisatie

Voor Entra Agent ID's: De agent-eigenaar wordt toegevoegd als sponsor met beperkte rechten vergeleken met volledige eigenaren, wat beveiligingszorgen rond correcties vermindert. Sommige bestaande agenten hebben mogelijk nog geen sponsors.

Voor legacy App registrations: De agent-eigenaar wordt toegevoegd als eigenaar van de app-registratie. Neem contact op met de klantenservice om af te zien van het toevoegen van de eigenaar van de agent.

Beveiliging en machtigingen

Deze sectie legt de beveiliging en machtigingen uit die horen bij agentidentiteiten in Copilot Studio.

Wie kan tokens genereren met behulp van de agent-id?

Voor Entra Agent-ID's

Een blueprint-principal van Microsoft maakt en beheert agentidentiteiten met behulp van Federatieve Identiteitsreferenties. Niemand in uw tenant, inclusief tenantbeheerders, kan tokens genereren met behulp van de agentidentiteit. Microsoft het blauwdruk- en verificatiemechanisme volledig beheert.

Voor Azure Bot Service vaardigheidsvalidatie

Bij het valideren of aanroepen van een Azure Bot Service vaardigheid kan Microsoft Copilot Studio een token verkrijgen die gekoppeld is aan de beheerde identiteit van de agent en deze presenteren aan het eindpunt van de geconfigureerde vaardigheid. Dit gedrag is opzettelijk en volgt hetzelfde vertrouwensmodel dat wordt gebruikt tijdens normale vaardigheidsuitvoering.

De agentidentiteit is eigendom van de huurder en alleen gekoppeld aan de agent die door de maker is aangemaakt. Tokens die voor de identiteit van de agent worden uitgegeven, verlenen geen privileges die verder gaan dan de privileges waarover de eigenaar van de agent al beschikt, en geven geen toegang tot gegevens of resources waarvoor de maker anders niet geautoriseerd zou zijn. Als gevolg hiervan betekent het ontvangen van een agentidentiteitstoken via vaardigheidsvalidatie of runtime-uitvoering geen privilege-escalatie of uitbreiding van de effectieve rechten van de maker.

Ontwikkelaars zijn verantwoordelijk voor de configuratie en betrouwbaarheid van de eindpunten van de vaardigheid, aangezien die eindpunten geauthenticeerde verzoeken van de agent kunnen ontvangen tijdens zowel de validatie als de normale uitvoering.

Voor verouderde app-registraties

Gebruikers met de rollen Globale beheerder, Toepassingsbeheerder of Cloudtoepassingsbeheerder kunnen clientgeheimen of certificaten maken voor elke app-registratie in de tenant zonder dat ze eigenaar hoeven te zijn. Gebruikers zonder deze rollen moeten eigenaarschap voor de specifieke app-registratie krijgen om de referenties aan te maken die nodig zijn voor het genereren van tokens. Copilot Studio voegt geen API-bereiken of machtigingen toe aan deze app-registraties, zodat tokens die zijn gegenereerd op basis van deze identiteiten geen toegang hebben tot klantgegevens of -resources.

Welke scopes zijn gekoppeld aan de Microsoft Entra Agent-ID van mijn agent?

Wanneer je een agent publiceert, voegt Copilot Studio API-rechten toe aan de Microsoft Entra Agent-ID van de agent die de Power Platform-connectors vertegenwoordigen waarop de agent is geconfigureerd. Deze scopes beschrijven alleen connectortoegang. Het zijn geen ruwe resource-rechten zoals Mail.Read of Files.Read.All.

Hoe worden de scopes weergegeven in Microsoft Entra ID?

Elke connector heeft een eigen service-principal in uw tenant, bijvoorbeeld Work IQ Calendar MCP Connector. Afhankelijk van hoe de maker de agent configureert, verleent de service-principal van de connector een of meer van de volgende machtigingen aan de Entra Agent-ID van de agent:

• Operations.Execute.All wordt toegekend wanneer de agent is geconfigureerd om de connector op het niveau van de agent (tool) te gebruiken. De agent kan elke bewerking aanroepen die de connector biedt.
• Individuele bewerkingsscopes worden toegekend wanneer de maker specifieke connectoracties toevoegt in plaats van de hele connector. Alleen de bewerkingen die de agent daadwerkelijk gebruikt, zijn toegestaan.
• Azure API Connections Runtime.All wordt gebruikt als een generieke fallback voor connectors die geen gedetailleerde scopes definiëren.

U kunt deze machtigingen bekijken bij de service-principal van de identiteit van de agent in het Microsoft Entra-beheercentrum onder API-machtigingen.

Dit model biedt Microsoft Entra ID en Microsoft 365 beheerders inzicht in wat een agent kan doen. Beheerders hoeven het Power Platform-beheercentrum niet te openen en het door de maker beheerde connectormodel blijft aanwezig:

• Makers blijven verbindingen toevoegen met connectors die vooraf zijn goedgekeurd door het geavanceerde connectorbeleid en het gegevensbeleid van je tenant.
• De runtime van de Power Platform-connector houdt alleen rekening met deze scopes. Tijdens de uitvoering controleert het connectorplatform opnieuw of de agent de connector kan aanroepen volgens het geavanceerde connectorbeleid en gegevensbeleid van uw tenant. Als een aanvaller de identiteit van een agent in handen krijgt, kan de aanvaller deze machtigingen niet gebruiken om Microsoft Graph, Outlook of een andere API rechtstreeks aan te roepen, omdat het connectorplatform elke aanroep afhandelt en uw governancebeleid toepast.
• Omdat de scopes volwaardige API-machtigingen zijn op de Entra Agent-ID van de agent, kunnen beheerders er Microsoft Entra Voorwaardelijke toegang-beleidsregels op toepassen. U kunt bijvoorbeeld specifieke netwerklocaties, apparaatnalevingsstatus of risiconiveaus vereisen voordat tokens kunnen worden uitgegeven voor een bepaalde connectorresource op een agentidentiteit. Voorwaardelijke toegang wordt momenteel alleen afgedwongen wanneer de agent wordt uitgevoerd in Microsoft Teams (zie de opmerking aan het begin van deze sectie).

Kortom, de scopes beschrijven wat een agent is geconfigureerd om te doen , terwijl geavanceerde connector- en databeleid bepalen wat hij mag doen op het moment van uitvoering.

Wanneer worden scopen toegevoegd of verwijderd?

Scopes worden geëvalueerd en toegepast zodra de agent wordt gepubliceerd. Als u een connector (of een specifieke connectoractie) aan de agent toevoegt of verwijdert en de agent opnieuw publiceert, worden de bereiken dienovereenkomstig bijgewerkt.

Is deze wijziging ook van toepassing op verouderde app-registraties?

No. Connectorbereiken worden alleen toegevoegd aan Entra Agent-id's. Verouderde app-registraties hebben nog steeds geen API-scopes gekoppeld, zoals beschreven in Wie kan tokens genereren met behulp van de agentidentiteit. Dit gedrag is tegenwoordig van toepassing op eigen en gecertificeerde Power Platform-connectors; aangepaste connectors, MCP-servers en REST API-hulpprogramma's die zijn toegevoegd aan agents, voegen geen API-machtigingen toe aan de Entra Agent-ID.

Entra Agent-ID-migratie

Deze sectie legt het migratieproces uit van legacy-appregistraties naar Entra Agent ID's voor bestaande agenten.

Wat gebeurt er met bestaande agenten die ik heb aangemaakt voordat Entra Agent-ID beschikbaar was?

Bestaande agenten die je hebt aangemaakt voordat Entra Agent-ID in mei 2026 beschikbaar was, blijven app-registraties gebruiken. Ze zullen in de toekomst migreren naar Agent ID's.

Migratiekenmerken:

• GUID-behoud: Agent-ID's blijven identiek (geen incompatibele wijzigingen).
• Nul downtime: Agenten blijven functioneren tijdens migratie.
• Automatisch: Geen handmatige actie nodig.
• Kanaalcompatibiliteit behouden: Teams, Omnichannel en vaardigheden blijven werken.

Wijzigt het inschakelen van agent-id de verificatie van mijn agent?

No. Agent-ID's zijn service-principals met een subtype Agent, die dezelfde OAuth-verificatiestromen gebruiken als traditionele app-registraties. De verbetering is zichtbaarheid van governance: agent-id's worden weergegeven in de Microsoft Entra-beheercentrum met meer mogelijkheden voor levenscyclusbeheer en bewaking.

Wat zijn blauwdrukprinciplen?

Wanneer de eerste agentidentiteit wordt gemaakt in een omgeving, voegt Copilot Studio een Microsoft Copilot Studio agentidentiteitsblauwdruk toe aan uw tenant. Deze blauwdruk-principal heeft bevoegdheden voor het maken van agentidentiteiten en -gebruikers in de tenant.

Voor gedetailleerde informatie, waaronder blauwdruk-ID's (productie en test), zie Principes van blauwdrukken. Zie Hoe worden agentidentiteiten gemaakt? voor meer technische informatie.

Waarom is mijn agent niet aangemaakt vanwege een Microsoft Entra-quotum of limiet?

Elke Microsoft Entra Agent-ID die Copilot Studio aanmaakt is een directoryobject in je tenant en telt mee tegen de resourcequotum van je tenant in Microsoft Entra ID. De identiteit van de agent wordt ingericht wanneer de agent in Copilot Studio wordt aangemaakt. Als de tenant op dat moment zijn quotum bereikt, kan Copilot Studio de Microsoft Entra Agent-ID niet aanmaken en wordt de agent niet aangemaakt.

De meest voorkomende limieten waar u rekening mee moet houden, zijn:

• Tenantresourcequota: standaard 50.000 directoryobjecten, of 300.000 als er een geverifieerd domein aan je tenant is gekoppeld. Tenants die via zelfserviceregistratie zijn gemaakt, blijven beperkt tot 50.000, zelfs nadat een domein is geverifieerd. Agentidentiteiten (samen met alle andere Microsoft Entra bronnen) mogen niet meer dan 95% van deze quota gebruiken.
• Nieuwe tenantbeperking: Gedurende de eerste twee dagen nadat een tenant is aangemaakt, is de quotum tijdelijk beperkt tot 600 directoryobjecten.

De limiet per blauwdruk van 250 agentidentiteiten is not van toepassing op Copilot Studio, omdat de blauwdruk van Copilot Studio Microsoft eigendom is.

Zie Microsoft Entra servicelimieten en -beperkingen voor de volledige lijst met limieten en hoe het quotum wordt berekend. Als u het resourcequotum voor uw tenant wilt verhogen, volgt u de richtlijnen in dat artikel.

Levenscyclus van agent

Deze sectie beschrijft de levenscyclus van agentidentiteiten in Copilot Studio.

Wat gebeurt er met de agent-id wanneer u een agent verwijdert?

Wanneer u een agent verwijdert uit Copilot Studio, verwijdert het proces de bijbehorende agent-id (of app-registratie) uit Microsoft Entra ID.

Zie Agents verwijderen voor meer informatie.

Gerelateerde artikelen

• Configureren van gebruikersauthenticatie met Microsoft Entra ID
• Bekijk en beheer Microsoft Entra Agent-ID's voor Copilot Studio-agenten
• Verwijder agenten
• Netwerkisolatie en firewallconfiguratie