代理标识蓝图是Microsoft Entra ID 中的对象，用作创建代理标识的模板。 它为在组织中创建、身份验证和管理代理的方式奠定了基础。 代理标识蓝图是Microsoft代理标识平台的关键组件，可大规模实现 AI 代理的安全开发和管理。
代理标识蓝图是Microsoft Entra 智能体 ID平台的强大组件。 它们保存有关如何创建和验证代理标识的关键信息，并充当用于大规模管理代理标识的容器。
代理标识蓝图
代理标识蓝图不仅仅是代理标识的模板，就像建筑物的蓝图不仅仅是绘图。 其中体系结构蓝图包括管道、电气和结构详细信息，代理标识蓝图包括有关身份验证、权限和活动日志的重要信息。
代理标识蓝图可用于部署同一类型的多个代理。 如果从一个代理标识蓝图创建多个代理，则每个代理都有自己的标识、凭据和权限，但它们共享蓝图定义的常见特征。 这样，组织就可以为所有特定类型的代理创建一致的配置，同时仍保持根据需要自定义各个代理的灵活性。
代理标识蓝图具有以下属性，可在其所有代理标识之间共享：
- 说明：代理用途和功能的简要摘要。
- 应用角色：定义在使用代理时可以提供给用户和其他主体的角色。
- 已验证的发布者：生成代理的组织。
- 身份验证协议的设置：配置颁发给代理的访问令牌中包含的信息，例如 OptionalClaims。
完整架构可在 Microsoft 图形 API 参考文档中使用。
代理标识蓝图的主要特征
除了标准属性，代理标识蓝图还包括在从代理标识蓝图创建代理标识之前必须了解的关键特征。
Credentials
用于对代理标识进行身份验证的凭据是在代理标识蓝图上配置的。 当 AI 代理想要执行操作时，代理标识蓝图上配置的凭据用于从 Microsoft Entra ID 请求访问令牌。 向代理标识蓝图授予的 OAuth 权限将授予从该蓝图创建的所有代理标识。 有多种凭据类型可用于代理标识。 有关这些内容的详细信息，请参阅 代理身份凭据。 有关身份验证协议，请参阅 代理 ID 身份验证协议
安全性
该蓝图为代理标识提供了一个逻辑容器，可在其中执行许多不同的标识管理操作。 此功能可帮助管理员将其安全工作扩展到大量 AI 代理。
标识管理员可以将策略和设置应用于代理标识蓝图，这些蓝图对从蓝图创建的所有代理标识生效。 可以将条件访问策略应用于代理标识蓝图，该蓝图针对所有从中创建的代理标识。 禁用代理标识模板会防止其所有代理标识被认证。
用于创建代理标识
蓝图不仅仅是承载信息。 它们在 Microsoft Entra ID 租户中也是一种特殊的身份类型。 蓝图可在租户中执行一项操作：预配或取消预配代理身份。 Microsoft Entra ID 租户中的所有代理标识都是从代理标识蓝图创建的。 若要创建代理标识，蓝图具有：
- OAuth 客户端 ID：用于从 Microsoft Entra ID 请求访问令牌的唯一 ID。
- 凭据：用于请求从 Microsoft Entra ID 获取访问令牌。
-
AgentIdentity.CreateAsManager：一种特有的 Microsoft Graph 权限，使蓝图能够在租户中创建代理身份。
服务使用蓝图的客户端 ID、凭据和权限通过 Microsoft Graph API 发送代理标识创建请求。 蓝图创建的代理标识共享常见特征。
有关详细信息，请参阅 创建代理标识。
可继承的权限和所需的资源访问权限
代理标识蓝图包括两个重要的权限相关配置，用于控制代理标识如何访问资源：
- 所需的资源访问 声明代理需要正常运行的 API 和权限。 此列表在许可评审期间对管理员可见，并帮助他们评估是否批准代理。
- 可继承的权限 定义哪些资源应用可以具有由从蓝图创建的代理标识自动继承的权限。 当管理员从可继承的资源应用授予对蓝图主体的权限时，组织中的所有代理标识都会自动接收这些权限。
这些配置是自身并不授予授权的宣言。 管理员仍必须同意对蓝图主体或单个代理标识的权限。
有关详细信息，请参阅 “可继承的权限”。
代理标识蓝图原则
代理标识蓝图主体是Microsoft Entra 智能体 ID中的对象，表示特定租户中是否存在代理标识蓝图。 将代理标识蓝图应用程序添加到租户时，Microsoft Entra 创建相应的主体对象，该对象是代理标识蓝图主体。
该负责人承担几个重要角色：
令牌发行：当代理身份蓝图用于获取租户内的令牌时，生成的令牌的
oid（对象 ID）声明引用代理身份蓝图主体。 它可确保代理标识蓝图执行的任何身份验证或授权都可追溯到租户中的主体对象。审核日志记录：代理标识蓝图执行的作（例如创建代理标识）记录在审核日志中，由代理标识蓝图主体执行。 它为由代理标识蓝图启动的操作提供了明确的责任追究和可追踪性。
代理身份蓝图始终在 Microsoft Entra 租户中创建。 代理标识蓝图通常用于在同一租户中创建代理标识。 这些代理身份蓝图称为“单租户”。代理身份蓝图还可以配置为“多租户”，并通过 Microsoft 产品目录发布给潜在客户。 然后，客户可以将这些蓝图添加到他们的租户中，从而用于创建代理身份。
在任一情况下，当将蓝图添加到租户时，始终会创建代理身份蓝图主体。 租户中存在此主体表明有一个蓝图可用于创建代理身份。 客户可以通过删除代理身份蓝图主体将蓝图从其租户中移除。