代理标识是Microsoft Entra ID 中的标识帐户，为 AI 代理提供唯一的标识和身份验证功能。 随着组织越来越多地部署自治 AI 系统，专为人类用户和应用程序设计的标识模型证明不够。 代理身份通过提供专门构建的身份结构，来解决企业规模运行的 AI 代理所需的独特要求，填补了这一空白。
什么是代理
在最基本的形式中，代理是一个应用程序，它试图通过了解其环境/上下文、做出决策并使用可用工具自主处理它们来实现目标。 当提供适当的目标或任务时，代理可以在有或没有人工干预的情况下采取行动。
代理的关键组件包括：
模型：基于模型的代理具有语言模型，充当代理进程的集中式决策者。 模型可以是通用的、多模态的，或者根据特定的代理体系结构需求进行微调。
编排层：管理代理如何获取信息、进行内部推理并利用推理指导其下一步行动的周期性过程。 此循环一直持续到代理达到其目标或停止点。 复杂性因简单的决策规则到链接逻辑而异。
内存：内存使代理能够获得更动态的、最新的信息，确保响应的准确性和相关性。 此内存允许开发人员向代理提供其原始格式的更多数据，而无需数据转换、模型重新训练或微调。 它不同于典型的大型语言模型（LLM），这些模型保持静态，只保留最初训练的知识。
工具：工具使代理能够与其环境交互并扩展其功能。 工具可以包括 Web 搜索、数据库访问、API、文件系统或与其他软件的集成。 每个工具都需要仔细考虑安全、权限和错误处理。 通过使用工具，代理可以执行复杂的任务、访问信息和控制外部系统，使其更高效且更适应。
代理工作流在整体或部分上是自动规划和自主运行的，不依赖于人工用户。 有许多类型的代理工作流，从用户直接启动的代理工作流，到自主作的工作流。 这些工作流中使用的子组件、技能、工具或 API 可能是代理，也可能不是代理。
代理标识存在的原因
随着自治企业系统的出现，AI 代理的出现带来了现有标识模型无法充分解决的安全和作挑战。 代理标识有助于解决 AI 代理带来的某些安全挑战，例如：
- 需要区分 AI 代理执行的操作与由员工、客户以及工作负荷标识执行的操作。
- 使 AI 代理能够跨系统获得合适级别的访问权限。
- 防止人工智能代理获得对最关键安全角色和系统的访问权限。
- 将身份管理扩展到可以快速创建和销毁的大量 AI 代理。
代理标识与应用程序标识
应用程序标识通常在 Microsoft Entra ID 中表示为服务主体，旨在为企业构建和维护的服务而设计。 这些标识具有长期稳定性、已知所有权和管理生命周期的预期。
代理通常通过自动化、API 业务流程等工具中的用户操作动态创建。 代理在特定任务期间可能存在几分钟，或者作为自动化工作流的一部分每天创建和销毁数千次。 使用现有应用程序标识管理这种级别的动态会带来操作复杂性和安全挑战。
代理标识采用这种动态性质，同时提供适当的安全控制。 组织可以批量创建代理标识、对所有代理应用一致的策略，以及停用代理，而无需留下孤立凭据或权限分配。 身份模型设计旨在支持可扩展性和短暂性而非永久性。
代理标识与人工用户标识
人类用户标识与人类每天使用的身份验证机制相关联，例如密码和多重身份验证。 人类用户具有与其关联的数据，例如邮箱、团队和组织层次结构。
代理标识表示软件系统，而不是人类。 它们不使用人工身份验证机制。 但是，某些方案要求代理像人类用户一样显示和运行。 对于这些场景，代理标识可以与代理用户帐户配对，这些特殊的 Microsoft Entra 用户帐户与其配对的代理标识保持一对一关系。 这种区别允许组织在必要时为代理提供用户身份，以确保系统兼容性，同时仍然在 AI 驱动的操作中保持明确的分离和适当的安全策略。
代理标识能启动什么功能
通过启用多个关键功能，代理标识为安全、可缩放的 AI 代理部署提供了基础。 与其他帐户一样，代理标识主要是访问组织中的应用、Web 服务和其他系统的方法。 AI 代理可以使用代理标识来：
访问 Web 服务。 代理可以从 Microsoft Entra 请求访问令牌，并使用这些令牌来访问 Web 服务。 服务可以包括Microsoft服务，例如Microsoft Graph、组织生成的服务和从第三方供应商购买的服务。
自动化访问。 代理可以使用直接赋予代理身份的访问权限进行自主操作。 访问权限可以包括 Microsoft Graph 权限、Azure RBAC 角色、Microsoft Entra 目录角色、Microsoft Entra 应用角色等。
委派的访问权限。 代理可以使用授予给用户的访问权限，代表人类用户执行操作。 用户可控制将哪些权限委派给代理身份。
对传入消息进行身份验证：代理可以接受来自其他客户端、用户和代理的请求。 这些请求可以使用Microsoft Entra ID颁发的访问令牌进行保护，使代理能够可靠地识别调用方并做出授权决策。
如何入门
Microsoft Entra 智能体 ID是Microsoft Entra中的产品，提供用于创建和管理代理标识和代理标识蓝图的平台。 代理 ID 适用于所有Microsoft Entra客户。
Microsoft Agent 365 使代理能够跨 Microsoft 365 服务和企业工作流运行，这要求每位用户都具有 Microsoft Agent 365 许可证。
将Microsoft Entra安全功能扩展到代理需要Microsoft Agent 365。 代理 365 包含在 Microsoft 365 E7 中，作为 Microsoft E5/A5/Business Premium（或 Microsoft Defender 套件 + Microsoft Purview 套件）的加载项提供。 有关更多详细信息，请参阅我们最新的 Agent 365 产品条款。