Identidade do Agente 365

O Agent 365 usa o ID do agente Microsoft Entra para representar cada agente com uma identidade distinta de agente. Uma identidade de agente é um principal de serviço Microsoft Entra com servicePrincipalType definidos como ServiceIdentity e @odata.type definidos como #microsoft.graph.agentIdentity. Administradores gerenciam as identidades dos agentes com os mesmos controles de inquilino usados em outras partes do Microsoft Entra, incluindo Acesso Condicional, concessões de permissão e consentimento, e operações de ciclo de vida.

Objetos identidade

Três objetos compõem o modelo. Nem todo agente usa os três.

Relacionamento de planta para agente

Dentro de um inquilino, o registro padrão de uma aplicação normalmente tem uma relação um a um com seu principal de serviço. O modelo de agente é de um para muitos: um blueprint pode ser associado a várias identidades de agentes dentro de um inquilino.

Cada identidade de agente herda propriedades do protocolo do blueprint e pode manter suas próprias permissões a jusante. Como agentes do mesmo tipo compartilham um blueprint, um administrador pode aplicar uma política de Acesso Condicional, revogar uma concessão de permissão ou desativar todos os agentes desse tipo em uma única operação.

As identidades dos agentes são de inquilino único e só podem receber tokens no locatário onde foram criados. Projetos podem ser multiinquilino. É assim que um agente publicado é adicionado a um inquilino cliente, que então cria suas próprias identidades de agente local a partir do blueprint.

Credentials

Um agente se autentica usando sua própria identidade de agente, mas a identidade em si não armazena credenciais. Você configura credenciais no blueprint, e o blueprint as usa para adquirir tokens para as identidades dos agentes criadas a partir desse blueprint.

Tipos de credenciais suportados no blueprint:

• Credenciais de identidade federadas
• Certificados e chaves criptográficas
• Segredos do cliente

Para agentes rodando no Azure, você pode federar o blueprint para uma identidade gerenciada pelo Azure para que nenhum segredo seja armazenado no blueprint.

As credenciais do blueprint são compartilhadas por cada identidade do agente criada a partir desse blueprint. Trate cada blueprint como um limite de credencial e agrupe apenas identidades que possam compartilhar credenciais e permissões base herdadas com segurança.

As identidades dos agentes não se autenticam com senhas, SMS, chaves de acesso ou aplicativos autenticadores, então a autenticação multifator não se aplica a eles. Governe-os com políticas de Acesso Condicional.

Conta de usuário do agente

Alguns agentes precisam acessar sistemas que exigem uma conta de usuário Microsoft Entra. Nesses casos, você pode dar uma segunda conta ao agente e marcá-la no diretório como agente de IA.

Ao usar uma conta de usuário e as licenças apropriadas, um agente pode ter uma caixa de correio e armazenamento do OneDrive, aparecer nos metadados de diretório e organizacionais, e ser contatado por meio do Teams, Outlook, comentários no Word e e-mail.

Adicione uma conta de usuário apenas quando o agente exigir uma. Agentes que emitem apenas telemetria e chamadas de ferramentas geralmente não precisam de uma delas.

Permissões e fluxo de tempo de execução

Um agente pode rodar em três modos de execução. O modo determina para quem o agente atua, qual sujeito token aparece na chamada a jusante e quais permissões e consentimento são necessários:

Por exemplo, o processamento noturno em segundo plano geralmente usa S2S; uma ação específica do usuário no chat usa OBO; e ler a própria caixa de correio de um agente usa o Agentic-User. O modelo de permissão e o modo de execução estão relacionados, mas não são termos intercambiáveis: escolha primeiro o modo, depois confirme a aplicação ou as permissões e consentimento delegados exigidos pelo recurso posterior.

Antes de implementar um modo, confirme se sua configuração completa suporta a operação:

1. Identifique quem o agente deve agir para a operação: sua identidade de agente, um usuário logado ou sua própria conta de usuário.
2. Confirme se o modo selecionado suporta esse contexto de conta e o tipo de permissão exigido pela API ou recurso de destino.
3. Conceda os escopos e consentimento necessários, depois satisfaça quaisquer pré-requisitos adicionais, como licenças ou um recurso de usuário provisionado.

Se algum requisito não for suportado pelo modo selecionado, escolha um modo ou operação diferente. Para escopos do Microsoft Graph, veja a referência de permissões do Microsoft Graph.

Depois de saber quais permissões o agente precisa, decida onde atribuí-las. Declare permissões de referência compartilhadas no blueprint para que toda identidade de agente criada a partir dele as herde, e atribua permissões diretamente a uma identidade de agente quando o acesso for específico para esse agente. O controle de acesso baseado em funções (RBAC) do Azure é uma exceção: blueprints não podem armazenar papéis RBAC do Azure, então atribua esses papéis diretamente à identidade de cada agente. As identidades de agentes também podem ocupar funções integradas ao Microsoft Entra.

Patrocinador e auditoria

Cada documento de identidade e plano de identidade de agente exige pelo menos um patrocinador: o representante comercial responsável pelo propósito e ciclo de vida do agente. Patrocinadores podem ser convidados a decidir se um agente deve ser mantido ou desativado, e equipes de segurança podem usar o patrocinador para contatar um humano responsável durante um incidente.

Logs de login e auditoria diferenciam entre o blueprint, a identidade do agente e a conta de usuário do agente. Um revisor pode identificar a fonte da credencial, a identidade atuante e o assunto do token. Em operações S2S, a identidade do agente é o sujeito do token. Nas operações OBO, o usuário logado é o sujeito e a identidade do agente é o ator.

O que você configura

Quando você traz um agente para o Agent 365, registra um blueprint de identidade de agente no Microsoft Entra e cria identidades de agente a partir dele. A make-a365-agent habilidade executa ambas as etapas no caminho padrão do agente. No caminho dos companheiros de equipe da IA, executa-os make-ai-teammate . Veja o Quickstart: Conecte um agente existente ao Agente 365.

Decida os seguintes itens antes de começar:

Conteúdo relacionado

• Visão geral do SDK do Agente 365
• Escolha sua opção de integração
• Início Rápido: Conecte um agente existente ao Agente 365
• Lista de verificação de validação do SDK do Agente 365