Microsoft Entra 代理 ID 是一种标识和安全框架，可将 Microsoft Entra 功能扩展到 AI 代理。 当组织部署辅助代理、自治代理和类似用户代理时，他们需要专用的标识构造来对这些非人身份进行身份验证、授权、治理和保护。 Microsoft Entra 代理 ID 通过提供统一的平台来管理企业规模的代理标识来满足这些需求。
代理标识和蓝图
如何筛选Microsoft 图形 API查询以仅返回代理标识？
Microsoft Graph 支持涉及代理标识（如 /ownedObjects、/deletedItems 和 /owners）的关系的 API 不支持按实体类型进行筛选。 使用现有 API，并使用 odata.type 属性筛选客户端上的结果，以标识响应中的代理标识对象。
删除代理标识或蓝图时代理的用户帐户会发生什么情况？
删除代理标识蓝图或代理标识后，任何关联的代理用户帐户将保留在租户中。 它们不会显示为禁用或删除，但无法认证。 使用 Microsoft 图形 API 或 Microsoft Entra PowerShell 手动删除孤立代理的用户帐户。
为什么在创建代理标识对象时，顺序Microsoft 图形 API请求有时会失败？
使用 Microsoft Graph API 快速连续创建代理标识对象时，请求可能会失败并出现错误，如 400 Bad Request: Object with id {id} not found。 触发此行为的常见序列包括：
- 创建代理标识蓝图，然后立即创建蓝图主体。
- 创建蓝图主体，然后使用蓝图立即创建代理标识。
- 创建代理标识，然后立即创建代理的用户帐户。
使用仅限应用的权限时，这些失败更为常见。 尽量使用委派权限，并在请求中添加带有指数退避机制的重试逻辑。
每个租户的代理标识蓝图数量是否有限制？
以下限制适用于代理标识蓝图：
- 使用仅应用权限的非 Microsoft 管理平台，每个蓝图最多只能有 250 个代理标识。 委托调用和微软自有平台（Foundry、Copilot Studio）不受此上限限制。
- 非管理员用户受Microsoft Entra ID中预先存在的 250 个拥有的对象限制，这些限制适用于所有Microsoft Entra资源类型。
- 蓝图占用的资源配额不得超过租户总体资源配额的 95%。 有关详细信息，请参阅 Microsoft Entra 服务限制中的 resources 行。
我如何才能知道管理员什么时候在其租户中批准我的代理身份蓝图？
没有用于代理标识蓝图审批的内置通知机制。 当租户管理员为代理创建或批准代理标识蓝图时，不会通过Microsoft Entra或Microsoft Graph收到通知。
若要检查蓝图是否已在特定租户中获得批准，请查询Microsoft 图形 API与应用程序关联的蓝图主体对象。 如果管理员尚未批准蓝图，则查询不会返回该租户的结果。
是否可以删除或还原Microsoft Entra 管理中心中的代理标识对象？
No. Microsoft Entra 管理中心不支持删除和还原代理标识对象。 请改用 Microsoft 图形 API 或 Microsoft Entra PowerShell。
是否可以恢复永久删除的代理标识？
No. 永久删除的对象无法还原。 软删除的对象可以在 30 天的保留期内还原;在该窗口之后，永久删除会自动发生且不可逆。
是否可以永久删除代理身份蓝图主体以立即释放配额？
No. 代理标识蓝图主体的永久删除被阻止。 若要释放其使用的配额，请等待 30 天的保留期到期。
角色、权限和组
是否可以将代理身份添加到管理单元？
代理标识、代理标识蓝图和代理标识蓝图主体无法添加到管理单元。
owners使用代理标识的属性来限制哪些用户可以管理特定对象。
可以更新代理用户帐户的照片吗？
代理 ID 管理员角色无权更新代理用户帐户的照片。 为此任务使用 用户管理员 角色。
是否可以使用动态组来管理代理的用户帐户？
可以向Microsoft Entra组（包括动态组）添加代理的用户帐户，使其能够继承授予这些组的访问权限。
哪些 Microsoft Entra 角色和组无法分配给代理标识？
代理身份被阻止分配高特权目录角色，包括全局管理员、特权角色管理员和用户管理员。 只能分配较低权限的角色，例如读者角色。 代理标识不能属于可分配角色组。
身份验证和同意
代理标识是否可以使用单一登录（SSO）登录到 Web 应用？
代理标识无法登录到Microsoft Entra ID登录页，这意味着它们不能对 OpenID Connect 或 SAML 协议使用单一登录。 利用现有的Web API将代理与工作场所的应用和服务集成。
管理员同意工作流是否适用于Microsoft Entra 智能体 ID权限请求？
Microsoft Entra ID 管理员同意工作流对于智能体标识请求的权限无法正常工作。 用户应联系其 Microsoft Entra 租户管理员，请求将权限直接授予代理标识。
如果用户授权被基于风险的增强验证阻止，该怎么办？
对代理身份确认流程强制执行基于风险的增强验证。 如果用户的同意被阻止，则没有解决方法。 用户必须先解决已标记的风险，然后才能继续同意。
管理员是否可以为代理授予高权限的 Microsoft Graph 权限？
No. 一组高风险 Microsoft Graph 权限（包括 Application.ReadWrite.All、RoleManagement.ReadWrite.All、User.ReadWrite.All 和 Directory.AccessAsUser.All）对代理已被阻止，且无法通过 Microsoft Graph 或 Microsoft Entra 管理中心授予。 这些权限请求会被拒绝。 代理仍可获得经用户或管理员同意的较低权限的范围限定权限。
监视和日志
如何在审核日志中识别代理标识活动？
默认情况下，审核日志不会将代理标识与其他Microsoft Entra标识类型区分开来：
- 在 ApplicationManagement 类别中记录代理标识、蓝图和蓝图主体的操作。
- 代理用户帐户的操作记录在 “用户管理 ”类别中。
- 智能体标识启动的操作显示为服务主体。
- 由代理用户帐户发起的操作显示为普通用户。
若要标识代理 ID 相关活动，请使用审核日志中的对象 ID 来查询Microsoft Graph并确定实体类型。 还可以使用登录日志关联 ID 来查找活动中涉及的操作者或对象的身份信息。
如何在Microsoft Graph活动日志中标识代理标识？
Microsoft Graph活动日志当前不会将代理标识与其他标识类型分开：
- 来自代理身份的请求会被记录为应用程序，代理身份包含在 appID 列中。
- 来自代理用户帐户的请求被记录为用户，并且代理用户 ID 会记录在 UserID 列中。
使用Microsoft Entra登录日志进行联接以确定实体类型。
开发资源
是否有 SDK 或库可用于Microsoft Entra 智能体 ID方案？
使用的软件开发工具包取决于您的使用场景：
Microsoft Agent 365 CLI 和 SDK 是大多数开发人员的推荐起点。 CLI 在单个命令中处理代理标识预配、蓝图创建和权限连接。 SDK 在运行时处理令牌获取。 有关详细信息，请参阅 Microsoft Entra Agent 365 SDK 文档。
Microsoft。Identity.Web 提供更高级别的 API，用于在 .NET 应用程序中获取代理标识的令牌。 使用 Microsoft。Identity.Web.AgentIdentities 包，以简化代理标识的管理。
Microsoft Entra ID身份验证 SDK （sidecar）作为与应用程序一起运行的容器化 Web 服务提供Microsoft Entra身份验证和令牌管理功能。 当代理在容器化环境中运行（例如 Kubernetes、Docker 或 Azure 容器服务），或者代理未在.NET中生成并且需要与语言无关的 HTTP 接口时使用。 对于.NET应用程序，Microsoft。Identity.Web 提供等效的进程内集成。 有关详细信息，请参阅Microsoft Entra ID身份验证 SDK（sidecar）。
当其他选项不适合你的方案时，Microsoft Graph API 提供代理标识管理。 有关详细信息，请参阅 Microsoft 图形 API的代理标识蓝图。