Tworzenie strategii tożsamości agenta

Szablon tożsamości agenta służy do tworzenia tożsamości agentów i składania żądań tokenów z użyciem tych tożsamości agentów. Ten przewodnik przeprowadzi Cię przez proces tworzenia strategii tożsamości agenta przy użyciu interfejsu API REST programu Microsoft Graph i programu Microsoft Graph PowerShell.

Wymagania wstępne

Przed utworzeniem strategii tożsamości agenta upewnij się, że masz:

zrozumieć plany tożsamości agenta
Administrator ról uprzywilejowanych wymagany do udzielania uprawnień
Jedna z następujących ról jest wymagana do utworzenia szablonu: Developer identyfikatora agenta lub Administrator identyfikatora agenta. Preferuj rolę Administratora Identyfikatora Agenta.

Autoryzowanie klienta do tworzenia strategii tożsamości agenta

W tym artykule użyjesz programu Microsoft Graph PowerShell lub innego klienta do utworzenia strategii tożsamości agenta. Musisz udzielić autoryzacji temu klientowi do utworzenia szkicu tożsamości agenta. Klient wymaga jednego z następujących uprawnień programu Microsoft Graph:

AgentIdentityBlueprint.Create (uprawnienie delegowane)
AgentIdentityBlueprint.Create (uprawnienie aplikacji)

Tylko administrator globalny lub administrator ról uprzywilejowanych może udzielić tych uprawnień klientowi. Aby przyznać te uprawnienia, administrator może:

Użyj polecenia Connect-MgGraph.
Uruchom skrypt, aby utworzyć oAuth2PermissionGrant lub appRoleAssignment w dzierżawie.

Tworzenie strategii tożsamości agenta

Utworzenie schematu tożsamości agenta funkcjonalnego w Twojej dzierżawie wymaga dwóch kroków:

Utwórz element AgentIdentityBlueprint w kliencie.
Utwórz element AgentIdentityBlueprintPrincipal w kliencie.

Główny podmiot utworzony w tym przypadku różni się od tożsamości agenta używanej przez agenta.

Interfejs API programu Microsoft Graph
Microsoft Graph PowerShell

Najpierw uzyskaj token dostępu z uprawnieniem AgentIdentityBlueprint.Create. Po utworzeniu tokenu dostępu wykonaj następujące żądanie.

Wskazówka

Zawsze dołączaj nagłówek OData-Version podczas korzystania z @odata.type.

POST https://graph.microsoft.com/beta/applications/
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
  "@odata.type": "Microsoft.Graph.AgentIdentityBlueprint",
  "displayName": "My Agent Identity Blueprint",
  "sponsors@odata.bind": [
    "https://graph.microsoft.com/v1.0/users/<id>",
  ],
	"owners@odata.bind": [
	  "https://graph.microsoft.com/v1.0/users/<id>"
	]
}

Connect-MgGraph -Scopes "AgentIdentityBlueprint.Create","User.Read" -TenantId <your-tenant>

# Get the current user's ID
$currentUser = Get-MgContext | Select-Object -ExpandProperty Account
$user = Get-MgUser -UserId $currentUser

Write-Host "Current user: $($user.DisplayName) ($($user.Id))"

# Construct the body for the POST request
$body = @{
    "@odata.type" = "Microsoft.Graph.AgentIdentityBlueprint"
    "displayName" = "My Agent Identity Blueprint"
    "sponsors@odata.bind" = @("https://graph.microsoft.com/v1.0/users/$($user.Id)")
    "owners@odata.bind" = @("https://graph.microsoft.com/v1.0/users/$($user.Id)")
} | ConvertTo-Json -Depth 5

# Make the POST request to create the agent identity blueprint application
$response = Invoke-MgGraphRequest `
    -Method POST `
    -Uri "https://graph.microsoft.com/beta/applications/graph.agentIdentityBlueprint" `
    -Body $body `
    -ContentType "application/json"

# Output the response
$response

Po utworzeniu szablonu tożsamości agenta, zapisz jego appId w kolejnych krokach w przewodniku. Następnie utwórz główną usługę dla szablonu tożsamości agenta:

Interfejs API programu Microsoft Graph
Microsoft Graph PowerShell

Aby utworzyć jednostkę usługi, należy najpierw uzyskać token dostępu z uprawnieniem AgentIdentityBlueprint.Create. Po utworzeniu tokenu dostępu wykonaj następujące żądanie:

Wskazówka

Zawsze dołączaj nagłówek OData-Version podczas korzystania z @odata.type.

POST https://graph.microsoft.com/beta/serviceprincipals/graph.agentIdentityBlueprintPrincipal
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
  "appId": "<agent-blueprint-app-id>"
}

Connect-MgGraph -Scopes "AgentIdentityBlueprintPrincipal.Create" -TenantId <your-test-tenant>
$body = @{
    appId   = "<agent-blueprint-client-id>"
}
Invoke-MgGraphRequest -Method POST `
        -Uri "https://graph.microsoft.com/beta/serviceprincipals/graph.agentIdentityBlueprintPrincipal" `
        -Headers @{ "OData-Version" = "4.0" } `
        -Body ($body | ConvertTo-Json)

Konfigurowanie poświadczeń dla szablonu tożsamości agenta

Aby zażądać tokenów dostępu przy użyciu szablonu tożsamości agenta, należy dodać poświadczenia klienta. Zalecamy używanie tożsamości zarządzanej jako poświadczenia tożsamości federacyjnej na potrzeby wdrożeń produkcyjnych. W przypadku lokalnego rozwoju i testowania użyj tajemnicę klienta.

Dodaj tożsamość zarządzaną jako poświadczenie za pomocą następującego żądania:

Interfejs API programu Microsoft Graph
Microsoft Graph PowerShell

Aby wysłać to żądanie, należy najpierw uzyskać token dostępu z uprawnieniem AgentIdentityBlueprint.AddRemoveCreds.All.

POST https://graph.microsoft.com/beta/applications/<agent-blueprint-object-id>/federatedIdentityCredentials
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
    "name": "my-msi",
    "issuer": "https://login.microsoftonline.com/<my-test-tenant-id>/v2.0",
    "subject": "<msi-principal-id>",
    "audiences": [
        "api://AzureADTokenExchange"
    ]
}

Connect-MgGraph -Scopes "AgentIdentityBlueprint.AddRemoveCreds.All" -TenantId <your-test-tenant>

$applicationId = "<agent-blueprint-object-id>"

$federatedCredential = @{
  Name             = "my-msi"
  Issuer           = "https://login.microsoftonline.com/<my-test-tenant-id>/v2.0"
  Subject          = "<msi-principal-id>"
  Audiences         = @("api://AzureADTokenExchange")
}

New-MgApplicationFederatedIdentityCredential `
  -ApplicationId $applicationId `
  -BodyParameter $federatedCredential

W niektórych dzierżawach obsługiwane są również inne rodzaje poświadczeń aplikacji, w tym keyCredentials, passwordCredentials i trustedSubjectNameAndIssuers. Tego rodzaju poświadczenia nie są zalecane w środowisku produkcyjnym, ale mogą być wygodne w przypadku lokalnego programowania i testowania. Aby dodać poświadczenie hasła:

Interfejs API programu Microsoft Graph
Microsoft Graph PowerShell

Aby wysłać to żądanie, najpierw musisz uzyskać token dostępu z delegowanym uprawnieniem AgentIdentityBlueprint.AddRemoveCreds.All

POST https://graph.microsoft.com/beta/applications/<agent-blueprint-object-id>/addPassword
Content-Type: application/json
Authorization: Bearer <token>

{
  "passwordCredential": {
    "displayName": "My Secret",
    "endDateTime": "2026-08-05T23:59:59Z"
  }
}

Connect-MgGraph -Scopes "AgentIdentityBlueprint.AddRemoveCreds.All" -TenantId <your-tenant>

$applicationId = "<agent-blueprint-object-id>"

# Define the secret properties
$displayName = "My Secret"
$endDate = (Get-Date).AddYears(1).ToString("o")  # 1 year from now, in ISO 8601 format

# Construct the password credential
$passwordCredential = @{
    displayName = $displayName
    endDateTime = $endDate
}

# Add the password (client secret)
$response = Add-MgApplicationPassword -ApplicationId $applicationId -PasswordCredential $passwordCredential

# Output the generated secret (only returned once!)
Write-Host "Secret Text: $($response.secretText)"

Pamiętaj, aby bezpiecznie przechowywać wygenerowaną wartość passwordCredential. Nie można go wyświetlić po początkowym utworzeniu. Certyfikaty klienta można również używać jako poświadczenia; zobacz Dodaj poświadczenie certyfikatu.

Konfiguracja identyfikatora URI i zakresu

Aby odbierać żądania przychodzące od użytkowników i innych agentów, należy zdefiniować identyfikator URI i zakres OAuth dla strategii tożsamości agenta:

Interfejs API programu Microsoft Graph
Microsoft Graph PowerShell

Aby wysłać to żądanie, należy najpierw uzyskać token dostępu z uprawnieniem AgentIdentityBlueprint.ReadWrite.All.

PATCH https://graph.microsoft.com/beta/applications/<agent-blueprint-object-id>
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
    "identifierUris": ["api://<agent-blueprint-id>"],
    "api": {
      "oauth2PermissionScopes": [
        {
          "adminConsentDescription": "Allow the application to access the agent on behalf of the signed-in user.",
          "adminConsentDisplayName": "Access agent",
          "id": "<generate-a-guid>",
          "isEnabled": true,
          "type": "User",
          "value": "access_agent"
        }
      ]
  }
}

Connect-MgGraph -Scopes "AgentIdentityBlueprint.ReadWrite.All" -TenantId <your-tenant>

$AppId = "<agent-blueprint-object-id>"
$IdentifierUri = "api://<agent-blueprint-id>"
$ScopeId = [guid]::NewGuid()

# Construct the OAuth2 permission scope
$scope = @{
    adminConsentDescription = "Allow the application to access the agent on behalf of the signed-in user."
    adminConsentDisplayName = "Access agent"
    id = $ScopeId
    isEnabled = $true
    type = "User"
    value = "access_agent"
}

Update-MgApplication -ApplicationId $AppId `
    -IdentifierUris @($IdentifierUri) `
    -Api @{ oauth2PermissionScopes = @($scope) }

Tworzenie i usuwanie tożsamości agentów

Sprzężenie zwrotne

Czy ta strona była pomocna?

Last updated on 2025-11-19

Udostępnij przez

Tworzenie strategii tożsamości agenta

Wymagania wstępne

Autoryzowanie klienta do tworzenia strategii tożsamości agenta

Tworzenie strategii tożsamości agenta

Konfigurowanie poświadczeń dla szablonu tożsamości agenta

Konfiguracja identyfikatora URI i zakresu

Treści powiązane

Sprzężenie zwrotne

Dodatkowe źródła