Omówienie trybu multi-tenant w programie Copilot Studio (wersja próbna)

[Ten artykuł to dokumentacja wstępna, która może ulec zmianie].

Teraz program Copilot Studio obsługuje tryb wielodostępny. To nowe wsparcie pozwala na użycie agenta w innej dzierżawie Microsoft Entra niż w tej, która go hostuje. Tryb wielodostępny zmienia zachowanie agenta programu Copilot Studio podczas korzystania z określonych opcji uwierzytelniania. W tym artykule opisano uwierzytelnianie w programie Copilot Studio oraz rolę, jaką uwierzytelnianie odgrywa w trybie wielodostępnym.

Important

Funkcja wielodostępna w programie Copilot Studio jest dostępna w publicznej wersji zapoznawczej i jest wyraźnie oznaczona w programie Copilot Studio dla twórców. Zawiera terminy, które są wspomniane w produkcie. Funkcje podglądu publicznego nie są obsługiwane w powszechnie dostępnej formie. Możesz jednak wypróbować agentów w fazie publicznego podglądu w Teams/Agent Store zgodnie z określonymi wytycznymi. Partnerzy powinni podkreślić swoim użytkownikom końcowym, że ich agenci korzystają z funkcji podglądu, umieszczając baner Podglądu w ikonie.

Twórcy Studia Copilot mogą wybrać jedną z trzech opcji uwierzytelniania dla agentów:

Metoda uwierzytelniania Description
Brak uwierzytelniania Ta opcja pozwala użytkownikom zewnętrznym korzystać z agentów, których tworzysz i hostujesz na platformie. Gdy wybierzesz tę opcję dla swojego agenta, klient, w którym użytkownik uzyskuje dostęp do agenta, nie przekazuje tokena dostępu agentowi. Taki scenariusz jest powszechny na przykład w przypadku stron z FAQ samoobsługowymi. To ustawienie pozwala każdemu użytkownikowi na dostęp do agenta.
Uwierzytelnij za pomocą usługi firmy Microsoft Ta opcja korzysta z zintegrowanej opcji uwierzytelniania. Agent oczekuje tożsamości Microsoft Entra ID od klienta. Zespoły i inni klienci firmy Microsoft wysyłają tę tożsamość podczas uwierzytelniania użytkowników przy użyciu kont służbowych Microsoft Entra. Agent wykorzystuje tę tożsamość, aby umożliwić użytkownikowi dostęp do jego funkcjonalności. Ta opcja w Copilot Studio zapewnia doświadczenie jednokrotnego logowania (SSO) między klientem, agentem i użytkownikiem. Użytkownik nie musi najpierw logować się, aby uzyskać dostęp do klienta, a potem drugi raz, aby uzyskać dostęp do agenta.
Uwierzytelnianie ręczne Po wybraniu tej opcji, jest to wyraźny sygnał dla Copilot Studio, aby nie obsługiwało lub oczekiwało tożsamości. Twórca konfiguruje uwierzytelnianie dla wybranej opcji uwierzytelniania. Ręczne uwierzytelnianie jest zazwyczaj stosowane, gdy nie używa się tożsamości lub klienta opartego na Microsoft. Na przykład, osadzasz agenta na stronie internetowej lub aplikacji natywnej i chcesz uwierzytelnić użytkowników zewnętrznych. Korzystając z ręcznej autoryzacji, możesz wybrać rodzaj uwierzytelniania:
  • OAuth: Gdy wybrany jest OAuth, użytkownik uzyskujący dostęp do agenta klienta jest proszony o zalogowanie się za pomocą OAuth. To otwiera przepływ logowania oparty na dostawcach tożsamości OAuth skonfigurowanych przez twórców. Po pomyślnym zalogowaniu się przez użytkownika agent otrzymuje token dostępu i może go używać w usługach downstream oraz do personalizacji.
  • Opcje tożsamości oparte na Microsoft Entra: Istnieją opcje tożsamości opartej na usłudze i tożsamości opartej na użytkowniku (na przykład certyfikaty i uwierzytelnianie użytkowników Microsoft Entra). Uwierzytelnianie usługi jest zazwyczaj stosowane w sytuacjach, gdy agent wymaga własnej tożsamości. Jednostka oparta na użytkowniku służy do dostępu do usług niższych, które wymagają uwierzytelnienia. twórcy programu Copilot Studio mogą ręcznie skonfigurować uwierzytelnianie użytkowników przy użyciu Microsoft Entra.

Important

Aby użyć Microsoft Teams jako kanału w programie Copilot Studio, musisz wybrać Uwierzytelnij się z Microsoft lub Uwierzytelnij się ręcznie. Ten wymóg jest celowy i dostosowuje modele tożsamości. Teams wymaga, aby użytkownik był zawsze zalogowany, więc agenci Teams nie mogą być anonimowi. To samo dotyczy wszystkich kanałów firmy Microsoft (na przykład SharePoint).

Tryb wielodostępny

W trybie pojedynczej dzierżawy użytkownicy Microsoft Teams muszą być zalogowani i uzyskać dostęp do agenta Copilot Studio, korzystając z tej samej dzierżawy, w której agent jest hostowany. Jeśli użytkownik z innego dzierżawcy (na przykład spróbuje example@zavainsurance.com uzyskać dostęp do agenta hostowanego w example@contoso.com), użytkownik otrzymuje wiadomość od agenta: "Nie masz dostępu do rozmowy z tym botem. Skontaktuj się z właścicielem."

Zrzut ekranu testowego, pokazujący odpowiedź agenta, gdy tryb multitenant nie jest włączony.

Po włączeniu trybu wielodostępnego w programie Copilot Studio dla agenta użytkownicy mogą uzyskiwać dostęp do agenta hostowanego w jednej dzierżawie z innej dzierżawy Microsoft Entra ID.

Ta funkcja jest dostępna w publicznej wersji zapoznawczej. Tryb Multitenant obsługuje agentów Copilot Studio w Microsoft Teams i Microsoft Copilot. Tryb wielodostępny umożliwia odnajdywanie agentów w globalnym sklepie Microsoft Teams, gdzie agenci mogą być używani przez klientów, gdy znajdują się w dwóch różnych dzierżawach.

Terminology

Gdy współpracujesz z agentami i rozumiesz uwierzytelnianie, ważne jest, aby rozdzielić następujące zachowania:

  • Uwierzytelnienie użytkownika na kliencie: Na przykład, gdy użytkownik loguje się do klienta Teams lub loguje się na stronie internetowej za pomocą swojego konta Microsoft. To uwierzytelnianie nie jest ściśle związane z agentem Copilot Studio i odbywa się poza agentem.
  • Uwierzytelnianie klient-agent: Klient przesyła informacje do agenta, a agent oczekuje ich od klienta. Jeśli skonfigurujesz agenta do pojedynczego logowania (SSO), uwierzytelnianie jest niewidoczne dla użytkownika końcowego klienta. Jeśli nie, użytkownik jest proszony o osobne zalogowanie się do agenta.
  • Uwierzytelnianie agenta do innych uwierzytelnionych usług: Agent musi komunikować się z innymi usługami, a w niektórych przypadkach przekazywać tożsamość. Ta tożsamość może być tożsamością agenta (podmiotem usługi), jeśli agent posiada tożsamość. W przeciwnym razie agent może użyć tożsamości użytkownika, jeśli ma do tego uprawnienia, uzyskując dostęp do zasobów i wykonując działania (korzystając z uprawnień delegowanych od zalogowanego użytkownika-klienta).

Istnieje także opcja mieszana w uwierzytelnianiu, gdzie przepływ uwierzytelniania agenta może być kontrolowany za pomocą tematów w Copilot Studio przy użyciu węzła Authenticate, który zachęca użytkownika do zalogowania się. Uwierzytelnianie mieszane jest dostępne tylko wtedy, gdy Uwierzytelnianie ręczne jest wybrane w Copilot Studio i gdy Wymaganie użytkowników do zalogowania jest wyłączone.

Używając trybu wielodzierżawcowego, używaj następującej terminologii:

  • host to środowisko, w którym jest hostowane, z którego uruchamiane i z którego rozliczane jest Copilot Studio. Serwer to miejsce, w którym tworzysz agenta Copilot Studio. Host to także miejsce, gdzie agent przechodzi przez standardowy cykl życia tworzenia oprogramowania: jest rozwijany, testowany, a następnie przenoszony do środowiska produkcyjnego w celu uruchomienia na żywo. Ten proces nie różni się od przypadku agentów w trybie pojedynczego najemcy.

  • Klient to miejsce, gdzie masz dostęp do agenta. Ta aplikacja kliencka jest podobna do Microsoft Teams lub Microsoft Copilot. Od tych klientów użytkownik uzyskuje dostęp do agenta i używa go, logując się przy użyciu Microsoft Entra ID. Klient wymaga lub nie używa żadnej infrastruktury platformy Power Platform, w tym Copilot Studio.

W poniższej dokumentacji opisano, jakie funkcje są obecnie obsługiwane w publicznej wersji zapoznawczej, gdy tryb wielodostępny jest włączony w programie Copilot Studio.

Obsługiwane funkcje

Publiczna wersja podglądowa obsługi wielu dzierżaw jest uruchamiana w określonym zakresie.

Gdy agent jest w trybie wielodzierżawczym, zachowuje się inaczej. Nie wszystkie funkcje programu Copilot Studio są obsługiwane. Różnice mogą być spowodowane charakterem funkcji (na przykład funkcjonalność SharePoint nie działa między dzierżawcami) lub z powodu zakresu publicznej wersji zapoznawczej. Poniższe sekcje zawierają więcej szczegółów.

Ważne punkty:

  • Tryb wielodzierżawcy nie obsługuje jeszcze uwierzytelniania użytkownika końcowego. To ograniczenie oznacza, że nie możesz delegować dostępu do wykorzystania tożsamości użytkownika w dalszych działaniach. Wartość tej funkcji polega na przekazywaniu uwierzytelnionych informacji agentowi z delegowanego uwierzytelniania przy użyciu innych usług. Ta funkcja nie jest jeszcze dostępna.
  • Transkrypcje rozmów są wyłączane, gdy tryb multitenant jest włączony. To ograniczenie chroni prywatność najemców korzystających z agenta na dalszej części łańcucha.
  • Najemcy hosta są odpowiedzialni za opłaty agenta Copilot Studio tak jak w trybie pojedynczej dzierżawy. Partnerzy Microsoftu wdrażający się do globalnego sklepu Teams i agentów, którzy szukają różnych wzorców współpracy ze swoimi klientami końcowymi, takich jak pobieranie opłat za agentów w globalnym Sklepie Teams, powinni skonsultować się z Partner Center w sprawie dostępnych programów.

Poniższa sekcja podsumowuje funkcjonalność, o której wiadomo, że działa lub nie działa podczas korzystania z agenta w trybie wielodzierżawczym. Jeśli coś nie jest tutaj wymienione jako działające, spodziewaj się, że nie będzie działać w trybie multitenancy. Funkcjonalność w Copilot Studio nie jest modyfikowana, aby działała inaczej, gdy jest włączony tryb wielodzierżawczy. Na przykład polityki danych nadal działają w hostowanej dzierżawie, a funkcje i funkcjonalność, jeśli są wspierane, mają ten sam zestaw funkcji co w trybie pojedynczej dzierżawy.

Wiedza

  • Dataverse Upload: Obsługiwane w publicznym podglądzie między dzierżawcami.
  • Witryny publiczne: Obsługiwane w przeglądzie publicznym dla wszystkich klientów.

Tools

  • Prompty: Wspierane w wersji poglądowej dostępnej dla wszystkich dzierżawców.
  • Ograniczone standardowe złącza: Więcej informacji można znaleźć w artykule Uwierzytelnianie.
  • Konektory API REST: Obsługiwane w publicznej wersji zapoznawczej dla wszystkich dzierżawców.

Note

Niestandardowe konektory, korzystanie z komputerów, przepływy agentów i narzędzia MCP nie są obsługiwane w trybie multitenant.

Topics

  • Zmienne użytkownika: Niedostępne ani wspierane w publicznej wersji zapoznawczej.
  • Węzeł uwierzytelniający: Dostępny tylko do uwierzytelniania ręcznego.
  • Węzeł HTTP: Działa dla publicznych punktów końcowych w publicznym podglądzie w trybie multitenant.

Channels

Obsługiwane kanały do publicznego podglądu to:

  • Microsoft Teams
  • Microsoft Copilot

Authentication

Note

Zewnętrzni użytkownicy B2B nie są traktowani jako użytkownicy tenanta hosta, nawet jeśli ich typ użytkownika katalogu jest ustawiony na Member. Aby uzyskać dostęp do agenta, użytkownicy muszą uwierzytelnić się ze swojego domowego tenanta za pośrednictwem obsługiwanego kanału multitenant.

  • Uwierzytelnianie użytkownika końcowego: Nie jest obsługiwane. Klient monituje użytkowników o otwarcie menedżera połączeń, ale nie może ukończyć żądania, ponieważ wysyła użytkownika do własnego menedżera połączeń Copilot Studio w lokalizacji innej niż lokalizacja agenta.
  • OAuth: Nie obsługuje uwierzytelniania ręcznego.
  • Graph/Microsoft 365 łączniki standardowe: Nieobsługiwane.
  • Złącza niestandardowe: Nie są obsługiwane.
  • Uwierzytelnianie twórców (service principal) na standardowych narzędziach: Obsługiwane w publicznej wersji roboczej.
  • Ręczna autoryzacja przy użyciu identyfikatora użytkownika Microsoft Entra oraz głównego elementu usługi: Niewspierane w publicznej wersji zapoznawczej.
  • Użytkownicy gościnni: Nie jest obsługiwane.

Inne szczegóły

  • Obsługiwane są tylko rozmowy jeden na jeden. Rozmowy grupowe nie są wspierane.
  • Nie jest obsługiwane multi-geo. W wersji przedpremierowej agenci są hostowani w jednym regionie Dataverse, a partner jest odpowiedzialny za zgodność z rezydencją danych.
  • Nie są obsługiwane Government Community Cloud (GCC) i GCC High.
  • Ręczna weryfikacja nie jest jeszcze obsługiwana (wkrótce).

Note

Zachowaj ostrożność przy uwierzytelnianiu producenta na złączach. Uwierzytelnianie twórcy aplikacji za pomocą konektorów może ujawnić szczegóły Twojego dzierżawcy podmiotom zewnętrznym przez adresy URL i inne kanały.

Analiza danych

  • Analiza agregowana: Niedostępna w publicznym podglądzie.
  • Dane transkrypcji: Niedostępne w publicznym podglądzie.
  • Pobierz dane sesji: Niedostępne w publicznym podglądzie.
  • Satysfakcja, skuteczność, przegląd i reakcje: Niedostępne w wersji demonstracyjnej.

Note

Metryki kanału opierają się na tym, co Teams oferuje poprzez funkcje i dostępność kanału.

Kontrole administratora

Kontrole administracyjne dla tenanta hosta agenta

Centrum administracyjne Power Platform (PPAC) zarządza trybem wielodostępnym. Administratorzy administrujący tenantem hosta mogą uniemożliwić twórcom włączenie trybu multitenant dla agentów. Administratorzy host-tenanta mogą przejść do obszaru izolacji tenanta w PPAC, który jest domyślnie wyłączony. Gdy włączasz izolację dzierżawcy, dzierżawca jest izolowany i nie możesz używać trybu wielodzierżawczego. Jeśli administratorzy chcą pozwolić tylko wybranemu zestawowi tenantów na nawiązywanie połączeń do lub z ich tenanta, mogą włączyć izolację tenanta i użyć funkcji listy zezwalających, aby określić te tenanty dla przychodzących i wychodzących. Więcej informacji można znaleźć w artykule Ograniczenia przychodzące i wychodzące między dzierżawcami.

Zrzut ekranu Bezpieczeństwo: Zarządzanie tożsamością i dostępem, pokazujący, gdzie włączyć izolację tenanta.

Jeśli izolacja dzierżawcy jest włączona, tryb wielodzierżawczy nie jest dostępny w programie Copilot Studio.

Inne scenariusze:

  • Jeśli izolacja najemcy jest włączona po włączeniu i opublikowaniu agenta, program Copilot Studio wyświetli powiadomienie wyjaśniające, że agent nie obsługuje już multitenancy. Agent zachowuje się wtedy tak samo jak agent z pojedynczym najemcą, gdy inny najemca próbuje się do niego dostać.
  • Jeśli kontrola administratora jest włączona (aby blokować wielodostępność), ale istnieje wpis na liście dozwolonych, tylko najemcy z tej listy mogą mieć dostęp do agenta. Wszyscy pozostali najemcy są zablokowani, tak samo jak w trybie pojedynczego najemcy.
  • Kontrole zapobiegania utracie danych uwzględniają polityki danych agenta hosta.
  • Copilot Studio umożliwia wyłączenie kanału usługi Teams dla agenta. Ta akcja uniemożliwia agentowi odpowiedź w kliencie Teams.
  • Jeśli kanał Microsoft 365 i Microsoft Teams jest wyłączony, ta czynność zakłóca działanie Twojego agenta. Możesz ponownie włączyć swojego agenta, ponieważ Twój identyfikator agenta nie został zmieniony. Może być konieczne ponowne ukończenie procesu publikacji.
  • Aktualizowanie agenta jest takie samo jak w przypadku programu Copilot Studio. Twórcy powinni używać Publish , aby wprowadzać zmiany do aktywnego agenta. Nowe aktualizacje nie muszą być publikowane za pośrednictwem Sklepu Teams. Polityki Sklepu Teams mają własne oczekiwania dotyczące aktualizacji agenta, jeśli zmienią się metadane związane z agentem, na przykład cel, warunki, linki i tym podobne.

Kontrolki administratora programu Copilot Studio w kliencie

W dzierżawie klienta, w której agent jest używany, nie ma zmian dla administratorów Microsoft Admin Center (MAC). Administratorzy komputerów Mac kontrolują CEA za pomocą programu Copilot Studio tak samo jak agenci niestandardowego silnika pro-code.

Rozliczenia i licencjonowanie

Jesteś odpowiedzialny za rozliczanie jako host tenant. Ta odpowiedzialność jest taka sama jak w przypadku agentów pro-code w sklepie oraz dla klientów wdrażających agentów dla własnych użytkowników. Więcej informacji o rozliczeniach można znaleźć w sekcji Zarządzaj sesjami i pojemnością.

Hostujący najemcy muszą zarządzać rozliczeniami w ramach produktu i upewnić się, że ma on odpowiednie kredyty i właściwą konfigurację rozliczeniową, żeby wspierać odbiorców, którym umożliwiają dostęp.

Tryb wielodostępny jest obsługiwany w publicznej wersji zapoznawczej tylko przez dzierżawców hostów z pełną licencją Copilot Studio.

Jeśli partner nie ma wystarczających środków rozliczeniowych i kończą mu się kredyty, użytkownik końcowy odczuwa skutki i otrzymuje komunikat o błędzie od agenta. Zanim to nastąpi, administratorzy są powiadamiani i proszeni o rozwiązanie problemu poprzez automatyczne powiadomienie. Maksymalna liczba kredytów i sesji programu Copilot Studio, które można przydzielić do środowiska, jest największa, jaką można przypisać.

Jeśli partnerzy lub klienci publikują swojego agenta w Sklepie Teams, adopcja agentów może powodować nieoczekiwane rozliczenia, jeśli odbywa się to w szybkim tempie (na przykład przez Sklep Teams lub inne metody odkrywania). Jesteś odpowiedzialny jako gospodarz dzierżawy za ten proces i za agenta w taki sam sposób, jak publikowanie anonimowych agentów na nieuwierzytelnionych kanałach (na przykład w Internecie).

Praktyki tworzenia oprogramowania

W ramach procesu zarządzania cyklem życia aplikacji (ALM) agentów, poddaj agentów wielodzierżawczych wyższemu poziomowi testów. Agenci multitenant mają więcej obszarów funkcjonalności do testowania, ponieważ niektóre obszary zachowują się inaczej niż w trybie single-tenant.

Podczas pracy z agentami wielotenantowymi w Copilot Studio należy wziąć pod uwagę następujące obszary:

  • Skonfiguruj środowiska programistyczne i ustaw zalecany proces ALM (Application Lifecycle Management), który obejmuje środowisko programistyczne, środowisko testowe, środowisko testowe w drugim najemcy oraz środowisko produkcyjne.
  • Zaplanuj i skonfiguruj swoje możliwości dla środowisk. Zaplanuj też proaktywny sposób przeglądania i monitorowania tych agentów.
  • Jeśli planujesz utworzyć agenta multitenant, upewnij się, że masz osobnego tenanta do testowania, aby móc przetestować konkretną konfigurację w trybie multitenant, uzyskując dostęp do agenta z innego tenanta niż ten, w którym hostowany jest agent.
    • Możesz załadować swojego agenta z własnego testowego tenant tenant i skonfigurować politykę izolacji tenant w Power Platform Admin na hostze, aby współpracowała z konfiguracją środowiska testowego.
    • Klient lub partner może ręcznie załadować pakiet .ZIP, który odwołuje się do agenta uruchomionego w programie Copilot Studio. Pakiet .ZIP można przekazać za pośrednictwem Teams lub Centrum administracyjnego Microsoft i zarządzać nim w taki sam sposób jak agentami z jedną dzierżawcą w Copilot Studio.

Zaktualizuj agenta

Agenci opublikowani w Sklepie Teams wymagają ponownego opublikowania w procesie walidacji w Sklepie Teams tylko wtedy, gdy nastąpią zmiany metadanych (np. cel, terminy, linki itp.). Ten wymóg oznacza, że gdy agent spoza Microsoftu zostanie opublikowany i uruchomiony, jest dostępny dla wszystkich obecnych użytkowników. To wymaganie jest takie samo w przypadku programu Copilot Studio dzisiaj, co w przypadku innych kanałów i metod uwierzytelniania.

Eksportowanie manifestu z programu Copilot Studio

Gdy wszystko będzie gotowe do przetestowania agenta w kliencie Microsoft Teams lub Microsoft Copilot w innej dzierżawie, musisz udostępnić agenta w drugiej dzierżawie. Do testów administrator MAC lub użytkownik z uprawnieniami do załadowania agenta we własnym kliencie (przyznanymi przez administratora MAC w drugim dzierżawcy) musi załadować agenta do innego dzierżawcy.

Dostęp dzierżawców do hosta można ograniczyć, korzystając z zasady izolacji dzierżawców w Centrum administracyjnym Power Platform. Dodaj informacje o testowym tenantzie klienta podczas testowania na swoich konkretnych tenantach i przechodzenia przez proces zarządzania cyklem życia aplikacji.

Aby wyeksportować plik manifestu .ZIP, przejdź do Kanałów w Copilot Studio, wybierz kanał Microsoft 365 i Microsoft Teams, a następnie wybierz Edytuj szczegóły.

Zrzut ekranu okienka „Edytuj szczegóły” kanału Teams i Microsoft Copilot.

Możesz edytować nazwę, opis i inne szczegóły w pliku manifestu wymaganym przez Microsoft Teams i Microsoft Copilot. Plik manifestu zawiera ważne metadane o Twoim agencie, które klient-najemca widzi podczas przeglądu Twojego agenta pod kątem użycia na swoim tenantze.

Po edycji szczegółów wybierz Opcje dostępności , aby wyeksportować plik .ZIP.

Zrzut ekranu panelu kanałów Teams i Microsoft Copilot, pokazujący przycisk opcji dostępności.

Ta akcja pobiera lokalny plik .ZIP na Twój komputer. Plik .ZIP zawiera kolor ikony i pliki manifestu. Możesz też edytować manifest ręcznie. Podczas gdy funkcja jest dostępna w ogólnodostępnym podglądzie, twórcy aplikacji muszą edytować manifest, a konkretnie węzeł Valid Domains. Więcej informacji znajdziesz w artykule Udostępnij swojego agenta w Teams lub Microsoft Copilot.

  • Ostatnia aktualizacja o