Integrare Microsoft Entra Agent ID con provider di identità di terze parti

Quando un agente IA agisce per conto di un utente, ha sempre bisogno di due autorizzazioni:

  • Autorizzazione dell'agente. L'agente stesso ha bisogno di un'identità in Microsoft Entra ID e delle credenziali per autenticarsi. Per configurare questa autorizzazione per un agente esterno a Microsoft Entra ID, consulta Configurare agenti di terze parti.
  • Autorizzazione dell'utente. L'utente deve acconsentire che l'agente agisca per suo conto e l'agente deve ottenere un token utente che può utilizzare per chiamare API a valle.

Questo articolo descrive la seconda autorizzazione: come autorizzare gli utenti che si autenticano tramite un provider di identità di terze parti (IdP) affinché un agente creato su Microsoft Entra Agent ID possa agire per conto loro.

Eseguire l'integrazione con Agent 365 per l'osservabilità usando l'ID utente e l'email

Non è necessaria la federazione completa per integrare un agente di terze parti con Agent 365 per l'osservabilità. Un agente può integrarsi con Agent 365 per l'osservabilità fornendo l'ID utente e l'indirizzo e-mail dell'utente che ha effettuato l'accesso. Questa integrazione semplificata è un'opzione per agenti i cui utenti si autenticano con un IdP di terze parti ma non necessitano di accedere a risorse che richiedono token da Microsoft Entra ID.

Per i passaggi di integrazione e i formati delle richieste, consulta Agent 365 per l'osservabilità.

Individuare un ID utente tramite Microsoft Graph

Se il tuo agente conosce solo l'indirizzo e-mail dell'utente o lo User Principal Name (UPN), usa Microsoft Graph per recuperare l'ID oggetto dell'utente. Gli esempi seguenti presuppongono che l'agente effettui chiamate a Microsoft Graph con un token solo app che dispone dell'autorizzazione applicazione User.Read.All.

Ottieni l'ID oggetto dell'utente da un indirizzo e-mail filtrando in base alla proprietà mail:

GET https://graph.microsoft.com/v1.0/users?$filter=mail eq 'user@contoso.com'&$select=id,mail,userPrincipalName
Authorization: Bearer {app-only-token}

La proprietà mail non coincide sempre con l'indirizzo con cui gli utenti effettuano l'accesso. Se la ricerca non restituisce risultati, ricorri alla raccolta otherMails:

GET https://graph.microsoft.com/v1.0/users?$filter=otherMails/any(o:o eq 'user@contoso.com')&$select=id,mail,userPrincipalName
Authorization: Bearer {app-only-token}

Ottieni l'ID oggetto dell'utente da un UPN accedendo direttamente alla risorsa utente:

GET https://graph.microsoft.com/v1.0/users/user@contoso.onmicrosoft.com?$select=id,mail,userPrincipalName
Authorization: Bearer {app-only-token}

Una risposta positiva restituisce l'ID oggetto dell'utente nella proprietà id. Passa quel valore come ID utente quando chiami Agent 365 per l'osservabilità.

Federare Microsoft Entra ID con l'IdP di terze parti

Molti clienti con un IdP di terze parti hanno i propri utenti che utilizzano Microsoft 365. Per abilitarlo, configura Microsoft Entra ID per eseguire la federazione con il provider di identità scelto. Con questa configurazione, gli utenti accedono normalmente a Microsoft 365, ma si autenticano con l'IdP di terze parti invece che con Microsoft Entra ID.

Eseguire l'autenticazione dell'agente con Microsoft Entra ID

Qualsiasi agente può utilizzare lo stesso approccio che usa Microsoft 365: l'agente autentica l'utente con Microsoft Entra ID, e Microsoft Entra ID reindirizza l'utente all'IdP scelto quando la federazione è configurata. Ora che l'agente ha autenticato l'utente con l'IDP scelto, l'agente può accedere a risorse come WorkIQ che richiedono token di Microsoft Entra ID. Non è richiesta alcuna configurazione nell'agente per la federazione.

Una volta che l'agente ha ottenuto un token utente tramite questo flusso, può utilizzare quel token per chiamare qualsiasi funzionalità di Agent 365 che richieda un token utente – non solo l'osservabilità. Lo stesso token può essere utilizzato per l'accesso allo strumento Work IQ, per chiamate On-Behalf-Of (OBO) a Microsoft Graph e ad altre API a valle, e per qualsiasi altra funzionalità di Agent 365 che opera nel contesto dell'utente.

Microsoft Entra ID supporta i protocolli di autenticazione e autorizzazione standard che la maggior parte degli agenti già utilizza.

Qualsiasi agente che autentica utenti tramite uno di questi protocolli può essere migrato a Microsoft Entra ID reindirizzando i suoi endpoint di autenticazione e verificando la compatibilità. Per una panoramica dei tipi e dei flussi di applicazione supportati da Microsoft Entra ID, consulta la pagina Tipi di applicazione nella piattaforma per l'identità Microsoft.

Contenuto correlato

  • Last updated on