在租户中禁用代理标识

作为监督租户中代理标识的 IT 管理员，可能需要暂时停止代理活动来调查问题或查看代理使用情况。 你可以根据需要在租户中禁用智能体标识和智能体标识蓝图。 这两个操作都有在继续操作之前应理解的含义。

如果你的组织需要限制在租户中创建或使用代理标识，还可以配置条件访问策略并删除代理创建权限。 这些进程可以作为禁用代理标识的不同方法。 本文介绍与禁用代理标识相关的方案。

AI 代理使用的标识类型

你的 Microsoft Entra 租户可能包含带有或不带 Microsoft Entra 智能体标识的 AI 智能体。

• 具有代理标识的代理：在Microsoft Entra 智能体 ID中创建的代理或使用Microsoft Copilot Studio、Azure AI Foundry和Security Copilot等系统的最新迭代创建的代理，均具有代理标识。 代理标识具有清晰的分类、更丰富的元数据和功能，旨在应对 AI 代理的独特安全挑战。

• 没有代理标识的代理：在早期版本的 Copilot Studio 和 Azure AI Foundry 中创建的代理可能已在租户中被视为经典应用程序/服务委托。 这些应用程序/服务主体可能具有标记为 AI 代理的标记值，但它们没有Microsoft Entra代理标识。 它们受到与租户中所有其他应用程序/服务主体相同的策略、治理和流程。

禁用代理身份考虑因素

在租户中禁用代理标识可能会导致更广泛的影响，而不仅仅是阻止创建和使用新的 AI 代理。 在继续之前，请考虑以下注意事项：

• 组织中运行的现有代理可能会开始出现故障。
• 依赖代理标识可用性的 Microsoft 产品体验（例如 Copilot Studio 代理、Security Copilot 场景代理、Microsoft Entra 条件访问 Optimization Agent）可能会失败，或者退回到缺少代理专属跟踪和控制的标准服务主体。

监视代理标识的创建和活动

在禁用代理标识或代理标识蓝图之前，应注意与这些标识关联的活动类型。 智能体标识活动记录在其源自的基本标识类型下。 例如，创建代理标识显示为 添加服务主体 ，并添加代理标识蓝图在审核日志中显示为 添加应用程序 。

若要确定审核事件是否涉及代理标识，请检查 agentType 和 initiatedBy 字段上的 targetResources 属性。 除了 notAgentic 外的值表明代理的参与。

资源 agentSignIn 类型提供描述性信息，用于将登录事件标识和分类为代理事件。 使用此值，可以确定代理标识是否是身份验证事件中涉及的标识的子类型。

有关详细信息，请参阅 代理登录日志

禁用代理标识的方法

查看代理活动后，选择与方案匹配的方法。 在 Microsoft Entra 管理中心禁用代理是基于对象范围进行的——它针对特定的代理标识或蓝图，而不会影响其他代理。 条件访问策略是租户范围强制，阻止大类标识的令牌颁发，而不修改任何智能体标识或蓝图。 这两种方法可以组合在一起。 在租户中应用条件访问策略需要Microsoft Entra ID P1 许可证。

条件访问策略可以阻止代理身份的身份验证和令牌颁发。 应用策略可防止现有和新代理标识进行身份验证，但不会阻止在租户中创建代理标识。

建议在 仅报告模式下 运行这些策略，以在强制实施策略之前了解其影响。

当以下情况发生时，可在Microsoft Entra管理员中心禁用代理程序：

• 你想要防止代理标识接收令牌和身份验证，但需要将代理标识及其元数据保留在租户中。

在以下情况下使用条件访问策略：

• 你希望防止租户中的所有代理标识进行身份验证，包括未创建代理标识，而无需修改单个对象。
  • 策略 1：阻止代理标识身份验证。
• 你希望防止为用户代理的代理接收令牌（例如代理执行用户委托的操作），而不会禁用这些代理的识别对象本身。
  • 策略 2：阻止代理的用户帐户身份验证。
• 你希望防止人类用户代表他们登录代理或触发代理操作，同时使代理到代理和自治流不受影响
  • 策略 3：阻止用户登录到代理。
• 你需要为合规或事件响应目的临时、可逆地暂停租户范围内所有智能体身份验证，先以报告仅模式应用所有三个策略，然后强制实施。

在Microsoft Entra 管理中心中禁用代理标识和代理标识蓝图

若要禁用代理标识，请执行以下操作：

1. 以至少 Agent ID 管理员身份登录到 Microsoft Entra 管理中心。
2. 浏览到 Entra ID>代理人>代理身份。
3. 选择要禁用的代理标识，然后选择“ 禁用”。

若要禁用代理标识蓝图，请执行以下操作：

1. 以至少 Agent ID 管理员身份登录到 Microsoft Entra 管理中心。
2. 浏览到 Entra ID>代理程序>代理蓝图。
3. 选择要禁用的代理标识蓝图，然后选择“ 禁用”。

创建条件访问策略以禁用代理活动

可以使用三个策略模板来阻止令牌颁发或阻止用户登录到代理。 可以在Microsoft Entra 管理中心或通过Microsoft 图形 API创建这些策略。 建议先在仅报告模式下应用这些策略，以在强制实施策略之前了解其影响。

• 使用“条件访问 > 策略 1：阻止智能体标识身份验证”阻止向智能体标识颁发令牌
• 使用“条件访问 > 策略 2：阻止智能体用户帐户身份验证”阻止向智能体的用户帐户颁发令牌
• 使用条件访问 > 策略 3 阻止用户登录到代理程序：阻止用户登录到代理程序

策略 1：阻止代理标识身份验证

以下步骤有助于创建条件访问策略，以阻止颁发使用代理标识请求的访问令牌。

POST https://microsoftgraph.chinacloudapi.cn/beta/identity/conditionalAccess/policies
Content-type: application/json

{
    "displayName": "Block all agent identities from accessing resources",
    "conditions": {
        "clientApplications": {
            "includeAgentIdServicePrincipals": [
                "All"
            ],
            "excludeAgentIdServicePrincipals": [],
            "agentIdServicePrincipalFilter": null
        },
        "applications": {
            "includeApplications": [
                "All"
            ],
            "excludeApplications": []
        }
    },
    "grantControls": {
        "operator": "AND",
        "builtInControls": [
            "block"
        ]
    },
    "state": "enabledForReportingButNotEnforced"
}

策略 2：阻止代理的用户帐户身份验证

以下步骤有助于创建条件访问策略，以阻止颁发使用代理用户帐户请求的访问令牌。

POST https://microsoftgraph.chinacloudapi.cn/beta/identity/conditionalAccess/policies
Content-type: application/json

{
    "displayName": "Block all agent users from accessing resources",
    "conditions": {
        "users": {
            "includeUsers": [
                "AllAgentIdUsers"
            ]
        },
        "applications": {
            "includeApplications": [
                "All"
            ]
        }
    },
    "grantControls": {
        "operator": "AND",
        "builtInControls": [
            "block"
        ]
    },
    "state": "enabledForReportingButNotEnforced"
}

策略 3：阻止用户登录到代理

以下步骤有助于创建条件访问策略，以阻止在用户请求时向代理资源颁发访问令牌。 这将阻止人类用户登录到代理，以及代理代表他们执行操作。

POST https://microsoftgraph.chinacloudapi.cn/beta/identity/conditionalAccess/policies
Content-type: application/json

{
    "displayName": "Block all users from accessing agent resources",
    "conditions": {
        "users": {
            "includeUsers": [
                "All"
            ]
        },
        "applications": {
            "includeApplications": [
                "AllAgentIdResources"
            ],
            "excludeApplications": []
        }
    },
    "grantControls": {
        "operator": "AND",
        "builtInControls": [
            "block"
        ]
    },
    "state": "enabledForReportingButNotEnforced"
}

（可选）阻止创建代理标识

条件访问策略足以阻止租户中所有智能体标识的使用，包括新创建的智能体标识。 如果想要防止在租户中创建代理标识，请按照本部分中的步骤操作。

代理身份可以通过各种通道进入租户。 有关详细信息，请参阅 代理 ID 创建通道。 可以通过以下方法阻止创建代理标识。

• 阻止在Microsoft Entra 管理中心和其他Microsoft Entra体验中创建代理标识。
• 阻止从独立软件供应商（ISV）获取代理标识。
• 阻止通过 Microsoft 产品和服务创建代理身份。

阻止在 Microsoft Entra ID 中创建代理标识

若要防止用户在Microsoft Entra 管理中心和其他Microsoft Entra体验中创建代理标识，请执行以下操作：

1. 删除对代理 ID 管理员或代理 ID 开发人员内置角色的任何授权或活动分配。
2. 删除授予服务主体的任何 oauth2PermissionGrants 或 appRoleAssignments，以允许创建智能体标识。 有关特定权限，请参阅下表。

有关这些权限的完整详细信息，请参阅 Microsoft Graph 权限参考 。

阻止从 ISV 获取代理标识

若要通过授予对 ISV 代理标识蓝图的同意来防止用户创建代理标识，请使用 Microsoft Entra settings 禁用用户同意应用程序的能力。 没有方法可阻止用户授予对代理标识的同意，而不会影响向应用程序授予许可的能力。 禁用用户同意很广泛，还阻止加入依赖于用户同意流的合法非代理 SaaS 应用，并授予对现有非代理应用的权限。

如果这种影响过大，请保持启用用户同意，而是转而依靠条件访问块策略来阻止未经批准的 ISV 代理标识的令牌。

阻止通过微软产品和服务创建代理身份

若要阻止Microsoft产品和服务在租户中创建代理标识，必须使用每个Microsoft产品中可用的设置：

Copilot Studio

若要禁用使用Copilot Studio和创建代理标识，可以通过许可、RBAC 或数据策略限制代理创建。

• 发 牌：
  • 阻止用户注册Copilot Studio试用版。
  • 不要向用户分配 Copilot Studio 许可证。
• RBAC：
  • 防止用户注册试用版，从而阻止创建试用环境。
  • 创建 Copilot Studio 环境需要 Power Platform 管理员角色。 删除对环境的访问权限，并取消创建新环境的能力。
• 数据策略：
  • 应用阻止代理发布的策略，因此没有人可以与代理聊天。 这 不会 阻止代理创建。

有关详细信息，请参阅 Copilot Studio 文档，其中 建议使用数据策略。

Microsoft Teams

若要通过Microsoft Teams禁用代理标识的创建，请使用 Teams 管理中心中的设置：

• 阻止用户将应用/代理添加到 Teams。
• 通过Microsoft应用、第三方应用或自定义应用进行透视。
• 根据需要为特定用户/组启用特定应用/代理。

有关详细信息，请参阅 Teams 管理中心文档。

相关内容

• 代理标识删除
• 创建和删除代理标识
• 代理登录和审核日志
• 代理标识创建通道