認証フロー

重要

Microsoft Agent 365 の早期アクセスを利用するには、フロンティアプレビュープログラムに参加する必要があります。フロンティアは、Microsoft の最新の AI イノベーションと直接接続します。 Frontier のプレビューは、お客様の契約書に記載されている既存のプレビュー利用規約に従います。これらの機能は現在開発中であるため、提供状況や機能は今後変更される可能性があります。

エージェント ID は、Microsoft Agent 365 SDK の基本概念です。各エージェントは、人間のユーザーや汎用アプリケーションの登録とは別に、固有の永続的なエンタープライズ ID を取得します。この ID により、エージェントは、人間の従業員と同様の権限、認証、ロール、コンプライアンス機能を備えます。

エージェント ID コンポーネントについて

エージェントを Microsoft Agent 365 に登録すると、次の 3 つの主要コンポーネントが連携して、エージェントにその ID を提供します:

エージェントブループリント (エージェンティックアプリケーション)
エージェンティックアプリインスタンス
エージェンティックユーザー

エージェントブループリント (エージェンティックアプリケーション)

エージェントブループリントは、エージェントの ID、アクセス許可、インフラストラクチャの要件を定義します。エージェントインスタンスを作成するためのテンプレートとして機能し、次のものが含まれます:

Microsoft Entra アプリケーションの登録
必要な API アクセス許可 (Microsoft Graph スコープ)
認証の構成
リソース定義 (App Service プラン、Web アプリ)

エージェンティックアプリインスタンス

エージェンティックアプリインスタンスは、エージェントブループリントの特定の展開を表します。各インスタンスには次のものがあります:

一意のエージェントアプリ ID (Microsoft Entra ID)
認証のサービスプリンシパル
インスタンス固有の構成
Teams 統合のフェデレーション ID 認証情報

エージェンティックユーザー

エージェンティックユーザーとは、組織に表示されるランタイム ID です。エージェンティックユーザーは、エージェント専用に設計されたユーザー ID の特殊なサブタイプです。エージェンティックユーザーについて理解する必要がある主な概念は、ID 特性、組織の統合、リレーションシップモデル、およびライフサイクルです。

ID 特性

エージェンティックユーザーには、従来のユーザーアカウントと区別する固有の ID プロパティがあります:

ディレクトリ内でエージェンティックとしてマークされている
idtyp=user (ユーザー ID の種類) を持つトークンを受け取る
親エージェントインスタンスとは別の一意のユーザー ID (オブジェクト ID) を持つ
従来の認証情報 (パスワード、パスキー、MFA 要素) を使用できない
親エージェントインスタンスからの明示的な API 呼び出して作成する必要がある
親エージェントインスタンスへの変更できないリンクがある (リペアレント化できない)

組織統合

エージェンティックユーザーは、Microsoft 365 組織の完全なメンバーとして機能し、次の機能を備えています:

Microsoft 365 テナントディレクトリに同期されている
ライセンスを割り当てることができる (Microsoft 365 E5、Teams Enterprise、Copilot)
独自のメールボックスと OneDrive ストレージを持つ (ライセンスに基づく)
組織図とピープルカードに表示する
Teams、ドキュメント、その他の Microsoft 365 アプリで @mentioned になることができる
独自の一意のプリンシパル名を持つ (例: agent@yourtenant.onmicrosoft.com)

リレーションシップモデル

エージェンティックインスタンスとエージェンティックユーザーの間の接続は、厳密な親子パターンに従います:

各エージェンティックインスタンスには、最大で 1 つのエージェンティックユーザーの子を持つことができます
エージェンティックユーザーは、その親エージェントインスタンスへの参照を格納します
親エージェントインスタンスは、その子エージェンティックユーザーへの参照を保持します (存在する場合)
この双方向のリレーションシップにより、適切なライフサイクル管理と監査が可能になります

ライフサイクル

エージェンティックユーザーは、不要になったときに自動 cleanup を使用してすぐに使用できるように設計されています:

インスタントオン 機能をサポートし、作成後すぐに使用できます

注意

エージェンティックユーザー (メールボックス、OneDrive) のリソースプロビジョニングは、ライセンスの割り当て後最大 24 時間かかる場合がありますが、通常は 10-15 分以内に完了します。
親エージェントインスタンスが削除されると、子エージェンティックユーザーも削除されます
エージェントインスタンスとエージェンティックユーザーのリレーションシップは不変であり、変更できません

重要

エージェンティックユーザーは、Teams、メール、カレンダー、SharePoint、OneDrive などのサービスにアクセスするために、適切な Microsoft 365 ライセンスが必要です。一般的なライセンスには、Microsoft 365 E5、Teams Enterprise、Microsoft 365 Copilot が含まれます。ライセンスを割り当てた後、リソースプロビジョニング (メールボックス、OneDrive) は通常 10-15 分以内に完了しますが、場合によっては最大 24 時間かかることがあります。

アクセス許可およびアクセスの制御

エージェントのアクセス許可は複数のレベルで管理され、アクセス権と機能をきめ細かく制御できます。

既定のアクセス許可

エージェンティックユーザーには、特定のアクセス許可特性があります:

条件付きアクセスポリシーを使用して管理できる
MFA 要件から除外される (従来の認証要素を持つことができないため)
"すべてのエージェンティックユーザー" グループを含む Entra ID グループに追加できる
リソースアクセスは、明示的なアクセス許可の付与とライセンスによって制御される

アクセス許可の管理

アクセス許可は、さまざまなレベルで設定できます:

エージェントブループリントレベル - すべてのインスタンスの基本アクセス許可を定義します
エージェントインスタンスレベル - エージェント ID に対する特定のアクセス許可
エージェンティックユーザーレベル - ユーザー固有のアクセス許可とアクセス権

ヒント

エージェンティックユーザー ID を持つエージェントの場合、主にリソースアクセスにエージェンティックユーザー ID を使用します。この実践により、Microsoft 365 サービス全体で一貫したユーザーのような動作が提供されます。