ID do agente Microsoft Entra principais conceitos

A plataforma de identidade do agente Microsoft fornece constructos de identidade especializados projetados especificamente para agentes de IA que operam em ambientes corporativos. Esses constructos de identidade permitem padrões de autenticação e autorização seguros que diferem das identidades tradicionais de usuário e aplicativo, atendendo aos requisitos exclusivos de sistemas de IA autônomos.

Este artigo explica os principais conceitos que formam a base do gerenciamento de identidade do agente: identidades de agente, blueprints de identidade do agente e seus componentes de suporte. Entender esses conceitos é essencial para desenvolvedores que precisam implementar padrões de autenticação seguros e escalonáveis para agentes de IA.

A arquitetura de identidade do agente segue um modelo hierárquico em que os blueprints de identidade do agente servem como modelos para criar várias instâncias de agente, cada uma com identidades e funcionalidades distintas. Essa abordagem permite o gerenciamento centralizado, fornecendo a flexibilidade necessária para diversos cenários de implantação de agente de IA.

Principais conceitos de identidade

Os conceitos a seguir formam a base do ID do agente Microsoft Entra e da plataforma de identidade do agente Microsoft.

Identidade do agente

Uma identidade de agente é a identidade primária que um agente de IA usa para autenticar em sistemas e acessar recursos. Ao contrário das contas de usuário, as identidades do agente não têm credenciais próprias. Eles se autenticam usando tokens emitidos pelo plano de identidade do agente. Para obter mais informações, consulte as identidades do Agente.

Projeto de identidade do agente

Um plano de identidade do agente é um objeto no Microsoft Entra ID que serve como o modelo e uma base de autenticação para uma ou mais identidades de agente. O blueprint contém credenciais e as usa para adquirir tokens em nome de todas as identidades de agente criadas a partir dele. As políticas e as configurações aplicadas a um blueprint, como o Acesso Condicional, têm efeito para todas as suas identidades de agente. Para obter mais informações, consulte Blueprints de Identidade do Agente.

Entidade de blueprint da identidade de agente

Quando um blueprint é adicionado a um locatário, Microsoft Entra cria um objeto principal correspondente. Uma entidade de blueprint de identidade do agente é o objeto do Microsoft Entra que registra a presença de um blueprint em um locatário e permite que ele adquira tokens e apareça nos logs de auditoria. Para obter mais informações, consulte Entidades de blueprint de identidade do agente.

As entidades de serviço tradicionais foram projetadas para cargas de trabalho estáticas e determinísticas. O ID do Agente Microsoft Entra existe porque as entidades de serviço carecem da infraestrutura de governança necessária para os agentes de IA. Não há nenhum patrocínio imposto, nenhuma entrada de auditoria com reconhecimento de agente e nenhum ciclo de vida gerenciado por blueprint. Para obter mais informações, consulte identidades do Agente, entidades de serviço e aplicativos.

As contas de usuário regulares do Microsoft Entra são projetadas para padrões de autenticação por humanos. A atribuição deles a agentes de IA causa falhas em todas as camadas de imposição de Confiança Zero: as políticas de acesso condicional criadas para humanos não se aplicam corretamente aos agentes, as detecções de Proteção de ID são degradadas e os processos de governança de identidade podem remover incorretamente o acesso do agente. Para obter mais informações, consulte Planejar a arquitetura de identidade do agente.

Padrões de operação do agente

A plataforma de identidade do agente dá suporte aos seguintes padrões de como os agentes operam e se autenticam, cada um atendendo a diferentes casos de uso e requisitos de segurança.

Agentes interativos

Agentes interativos executam tarefas específicas sob demanda em nome de um usuário conectado, muitas vezes por meio de uma interface de chat. As tarefas incluem analisar dados do cliente para recomendações de vendas ou responder a perguntas de suporte com escalonamento para representantes humanos. Esses agentes recebem permissões delegadas do Microsoft Entra que lhes permitem agir em nome dos usuários usando o fluxo de autenticação "em nome de" (OBO). Cenários comuns incluem assistentes de suporte ao cliente, auxiliares de pesquisa e agentes de colaboração em tempo real.

Agentes autônomos

Agentes autônomos operam independentemente usando sua própria identidade, não a identidade de um usuário humano. Esses agentes são executados em segundo plano, tomando decisões e tomando ações sem intervenção humana, como monitorar logs de rede para operações de segurança, gerenciar implantações de infraestrutura com dimensionamento automático ou processar tarefas de manutenção agendadas. Agentes autônomos se autenticam diretamente com a plataforma Microsoft Entra ID usando sua identidade de agente e o fluxo de credenciais do cliente.

Conta de usuário do agente

A conta de usuário de um agente é uma conta opcional que emparelha 1:1 com uma identidade de agente. Ele funciona com características do usuário humano, incluindo identidades persistentes e acesso a recursos organizacionais, como caixas de correio, calendários, canais do Teams e documentos. Use a conta de usuário de um agente somente quando o agente precisar acessar sistemas que exijam um objeto de usuário. A conta de usuário de um agente não substitui a identidade do agente . Ambos devem existir. Para obter mais informações, consulte as contas de usuário do Agente.

Proprietários, patrocinadores e gerentes de agentes

A plataforma de identidade do agente apresenta um modelo administrativo que separa a administração técnica da responsabilidade empresarial, garantindo controle operacional e supervisão de conformidade sem permissões excessivas. As funções administrativas do agente incluem proprietários, gerentes e patrocinadores.

  • Os proprietários servem como administradores técnicos para agentes, tratando aspectos operacionais e de configuração.
  • Os patrocinadores fornecem responsabilidade comercial para os agentes, tomando decisões de ciclo de vida sem acesso administrativo técnico.
  • Os gerentes são usuários humanos designados como o gerente de contratação ou proprietário operacional da conta de usuário de um agente.

Para obter mais informações, consulte Relações administrativas para identidades de agente (proprietários, patrocinadores e gerentes)

SDK de Autenticação do Microsoft Entra ID (sidecar)

O SDK de autenticação do Microsoft Entra ID (sidecar) é um serviço web conteinerizado que gerencia a aquisição de tokens, a validação e as chamadas seguras a APIs downstream para agentes registrados na plataforma de identidade da Microsoft. Ele é executado como um contêiner complementar ao lado do aplicativo, permitindo que você descarrege a lógica de identidade para um serviço dedicado. Para obter mais informações, consulte Microsoft Entra ID SDK de Autenticação (sidecar).

Conteúdo relacionado

  • Last updated on