Verwalten der Agentinfrastruktur als Microsoft Entra Administrator

Als Microsoft Entra Administrator müssen Sie möglicherweise maßnahmen für Microsoft Foundry Agents in Ihrem Mandanten ergreifen. Bevor Sie fortfahren, wissen Sie, dass Foundry Infrastrukturaktionen bietet, nicht nur Laufzeitverwaltung. Wenn Sie einen Agent beenden oder löschen, arbeiten Sie mit Azure Ressourcen. Diese Ressourcen dienen möglicherweise mehreren Mandanten oder Teams.

Dieser Artikel hilft Ihnen bei:

  • Erhalten Sie den benötigten Zugriff
  • Verstehen Sie, wie Admin Center-Aktionen mit Azure-Ressourcenoperationen verknüpft sind
  • Treffen sie fundierte Entscheidungen darüber, wann und wie Sie eingreifen können

Die hier vorgestellten Richtlinien konzentrieren sich auf die Governance von Agenten auf Infrastrukturebene, die mit Foundry Agent Service erstellt wurden, als Ausweichlösung für Situationen, die ein direktes administratives Eingreifen erfordern.

Wichtig

Bevorzugen Sie " Stop over Delete ", wenn Sie Maßnahmen gegen einen Agent ergreifen müssen. Das Anhalten ist umkehrbar. Das Löschen entfernt dauerhaft Azure-Ressourcen und kann sich auf andere Mandanten auswirken.

Voraussetzungen

Wichtig

KI-Administratoren: Sie können das Zugriffserweiterungsverfahren nicht selbst ausführen. Sie sollten zuerst mit dem Agentbesitzer koordinieren, der eine der folgenden Aktionen ausführen kann:

  • Durchführung von Infrastrukturmaßnahmen in Ihrem Auftrag
  • Gewähren Sie die erforderlichen Azure Rollenzuweisungen für die spezifischen Ressourcen.

Wenn Sie den Agentbesitzer nicht identifizieren oder erreichen können, koordinieren Sie sich als Alternative mit einem globalen Administrator.

Grundlegendes zur Funktionsweise der Agent-Infrastruktur

Gießerei-Agenten leben in Projekten. Projekte sind Teil einer Foundry-Kontoressource in einem Azure-Abonnement. Ein Projekt bietet Entwicklern einen gemeinsamen Arbeitsbereich zum Erstellen, Testen und Zusammenarbeiten an Agents. Jedes Projekt verfügt über eigene Rechenressourcen, eigenen Speicher und eine gemeinsame Agentenidentität. Mehrere Agents können innerhalb eines einzelnen Projekts vorhanden sein. Aktionen gegen das Projekt wirken sich auf alle Agents in diesem Projekt aus.

Entwickler erstellen Foundry Agents innerhalb eines Projekts. Jeder Agent erhält eine eindeutige Identität und einen eindeutigen Endpunkt für die Interaktion. Foundry registriert automatisch jeden Agent bei der Agent 365-Registrierung mithilfe der eindeutigen Identität des Agents.

Agents können mehrere Agentversionen haben, während Entwickler deren Funktionalität iterieren und verbessern. Jede Version stellt eine Momentaufnahme der Konfiguration und des Verhaltens des Agents zu einem bestimmten Zeitpunkt dar.

Hinweis

Eingabeaufforderungs-Agents können auch einen gemeinsamen Endpunkt verwenden, der allen Agents im Projekt dient. Agents, die auf diese Weise ausgeführt werden, teilen sich die Infrastruktur und Identität des Projekts. Verwenden Sie keine Projektendpunkte für die Produktion. Foundry erstellt keine weiteren Registrierungen in Agent 365 für Projektendpunkte oder Projektidentitäten.

Wenn ein Entwickler einen Agent veröffentlicht, erstellt Foundry eine dedizierte Agent-Anwendungsressource . Diese Ressource verfügt über einen eigenen Endpunkt und die Entra-Agent-Identität. Die Anwendungsidentität ist von den zuvor erstellten einzelnen Agentidentitäten getrennt. Foundry registriert die Anwendung auch in der Agent 365-Registrierung mithilfe der eindeutigen Identität der Anwendung.

Agentanwendungen können über mehrere Agentbereitstellungen verfügen. Jede Bereitstellung verweist als Definition auf eine vorhandene Agentversion.

Eine vollständige Beschreibung der Agent-Lebenszyklusvorgänge finden Sie unter Verwalten von Agents in Foundry Control Plane. Weitere Informationen zu den in diesem Abschnitt referenzierten Foundry-Konzepten finden Sie unter:

Infrastrukturaktionen im Vergleich zu Admin Center-Aktionen

Die in der Foundry Control Plane verfügbaren Aktionen sind Infrastrukturvorgänge auf Azure-Ressourcen. Sie unterscheiden sich von den Aktionen Block und Unblock, mit denen Sie in Microsoft 365 Admin Center vertraut sind.

Blockaktionen in Microsoft 365 Admin Center und Teams Admin Center wirken sich auf die Sichtbarkeit des Agents für Benutzer aus:

  • Scope: Betrifft nur die Agentprojektion in Teams und Microsoft 365 Copilot
  • Auswirkung: Benutzer können nicht über diese spezifischen Kanäle auf den Agent zugreifen.
  • Foundry Access: Der Agent bleibt im Foundry-Portal und anderen Integrationspunkten voll funktionsfähig.
  • Infrastructure: Keine Auswirkungen auf zugrunde liegende Azure Ressourcen oder Berechnung

Infrastrukturaktionen in Foundry Control Plane wirken sich auf die zugrunde liegenden Ressourcen des Agents aus:

  • Anhalten und Starten wirken auf einzelne Bereitstellungen durch das Freigeben oder Bereitstellen von Compute. Sie wirken sich auf die zugrunde liegende Azure Infrastruktur aus und machen den Agent in allen Kanälen nicht verfügbar (Teams, Microsoft 365 Copilot, Foundry, APIs).
  • Delete entfernt dauerhaft Azure Ressourcen. Bei veröffentlichten Agenten umfasst das Löschen die Agentanwendung und die zugehörigen Bereitstellungen. Diese Aktion kann nicht rückgängig gemacht werden.

Wenn eine Agentanwendung ein Szenario mit mehreren Mandanten erfüllt, wirken sich Infrastrukturaktionen auf alle Verbraucher dieses Agents aus, nicht nur auf die Benutzer Ihres Mandanten.

Bevorzugen Sie immer "Stop over Delete". Das Beenden behält die Option bei, später neu zu starten. Das Löschen sollte nur als letztes Mittel eingesetzt werden, nachdem Sie sich mit den Besitzern der Ressourcen abgestimmt und bestätigt haben, dass der Agent nie wieder ausgeführt werden soll.

Identifizieren Sie den Ressourcentyp 'Foundry' für einen Agenten

Die Agent 365-Registrierung zeigt ein einheitliches Inventar von Foundry Agents und Agent-Anwendungen an. Beide sind "Agents", aber sie verfügen über unterschiedliche Verwaltungsfunktionen. Um zu wissen, welche Optionen Sie haben, müssen Sie zuerst ermitteln, mit welchem Foundry-Ressourcentyp Sie arbeiten.

Foundry registriert beide Typen mit einer Foundry Azure Ressourcen-ID:

Ressourcentyp Ressourcen-ID-Muster1
Gießerei-Agent .../projects/{project-name}/agents/{agent-name}
Agentanwendung .../projects/{project-name}/applications/{application-name}

1 Das vollständige Ressourcen-ID-Muster wird aus Platzgründen weggelassen. Beide teilen ein gemeinsames Präfix: /subscriptions/{sub-id}/resourceGroups/{group}/providers/Microsoft.CognitiveServices/accounts/{account-name}/projects/{project-name}/.... Der Hauptunterscheidungsmerkmal ist das Segment, das dem Projekt folgt: entweder agents/{agent-name} oder applications/{application-name}.

In Microsoft 365 Admin Center finden Sie diese Werte im Abschnitt "Plattformdetails". Das Admin Center erkennt automatisch den Ressourcentyp. Bei Agents-Anwendungen werden die Schaltflächen Anhalten oder Starten angezeigt oder fordert Sie zur Rechteerhöhung auf, wenn Sie berechtigt sind.

Koordinieren mit Ressourcenbesitzern

Foundry Agents erfordern Azure-Ressourcen, die innerhalb bestimmter Abonnements, Ressourcengruppen und Projekte organisiert sind. Diese Ressourcen verfügen über Besitzer. Bevor Sie Maßnahmen auf Infrastrukturebene ergreifen, identifizieren und arbeiten Sie nach Möglichkeit mit diesen Besitzern zusammen.

Zeitpunkt der Koordination im Vergleich zum eigenständigen Handeln

Situation Empfohlener Ansatz
Aktive Sicherheitsrisiken oder Richtlinienverstöße Handeln Sie zuerst (schalten Sie den Agenten ab), und benachrichtigen Sie dann die Eigentümer der Ressourcen.
Routinemäßige Complianceüberprüfung oder Prüfungsfeststellung Wenden Sie sich an die Ressourcenbesitzer, und arbeiten Sie an der Behebung zusammen.
Agent, der unerwartete Ressourcen oder Kosten verbraucht Benachrichtigen Sie die Ressourcenbesitzer. Erwägen Sie, den Agenten nur zu stoppen, wenn die Kosten kritisch sind und Eigentümer nicht reagieren.
Falsches Verhalten des Agents, aber kein Sicherheitsrisiko Wenden Sie sich an die Ressourcenbesitzer, bevor Sie Maßnahmen ergreifen. Beenden Sie nur, wenn das Verhalten aktiv schädlich ist.

Infrastruktur-Governance ist eine gemeinsame Verantwortlichkeit. Globale Administratoren haben den Zugriff, um zu handeln. Ressourcenbesitzer haben den Kontext, um die Auswirkungen zu verstehen. Die Koordination führt zu besseren Ergebnissen.

Identifizieren von Ressourcenbesitzern

Überprüfen Sie zunächst die in den Details zur Agent-Registrierung im Microsoft 365 Admin Center aufgeführten Besitzer. Sie können besitzer und Sponsoren auch über die Entra-Objekte identifizieren.

Wenn Sie die Azure-Ressourcen anzeigen können (erhöhen Sie die Zugriffsberechtigung, falls nicht - siehe nächster Abschnitt), überprüfen Sie, welche Benutzer über Berechtigungen für die Ressourcen verfügen.

  1. Navigieren Sie im portal Azure zu der Ressourcengruppe, die das Findry-Projekt des Agents enthält.
  2. Wählen Sie Zugriffssteuerung (IAM)>Rollenzuweisungen aus, um anzuzeigen, wer über berechtigungen für die Ressource verfügt.

Ressourcenbeteiligte haben möglicherweise viele verschiedene Rollen. Privilegierte Rollen wie Besitzer oder Mitwirkender sind ein gutes Signal. Allerdings verfügen nicht alle Beteiligten über diese privilegierten Rollen.

Überprüfen Sie das Aktivitätsprotokoll für die Ressource. Das Protokoll zeigt an, wer kürzlich Verwaltungsaktionen ausgeführt hat. Dieser Ansatz hilft Ihnen, aktuelle Ressourcenmanager zu identifizieren, auch wenn sie keine privilegierten Rollenzuweisungen haben.

Erhöhen des Zugriffs zum Verwalten von Azure-Abonnements

Microsoft Entra ID und Azure verwenden separate Zugriffssteuerungssysteme. Ihre Administratorrolle bietet Ihnen keinen automatischen Zugriff auf Azure Abonnements. Um Azure-Ressourcen anzuzeigen und zu verwalten, die Foundry-Agents unterstützen, benötigen Sie Azure-Rollen. Wenn Sie nicht über die richtigen Berechtigungen verfügen, erhöhen Sie Ihren Zugriff.

Für die Erhöhungsprozedur ist die Rolle "Globaler Administrator" erforderlich. KI-Administratoren sollten sich mit Agentenbesitzern oder globalen Administratoren abstimmen. Ausführliche Informationen finden Sie in den Voraussetzungen .

Elevation weist Ihnen die Rolle User Access Administrator im Root-Bereich (/) zu. Diese Rolle bietet Ihnen Einblicke in alle Abonnements und Verwaltungsgruppen in Ihrem Mandanten.

Das vollständige Verfahren finden Sie unter Zugriff erhöhen, um alle Azure-Abonnements und Verwaltungsgruppen zu verwalten.

Wichtig

Entfernen Sie den erweiterten Zugriff, sobald Sie fertig sind. Die Erhöhung der Berechtigungen im Root-Bereich ist eine leistungsstarke Berechtigung, und das Prinzip der geringsten Rechte gilt. Befolgen Sie das Zurückstufungsverfahren, wenn Sie Ihre Aufgaben abgeschlossen haben.

Wenn Ihre Organisation PIM verwendet, deaktivieren Sie die Zuweisung der Rolle des globalen Administrators, nachdem Sie das Umschaltfeld für die Berechtigungsstufe entfernt haben.

Zugriff mit erhöhten Rechten entfernen

Wenn Sie Ihre Administratoraufgaben abgeschlossen haben, entfernen Sie Ihre erhöhten Berechtigungen in umgekehrter Reihenfolge:

  1. Entfernen von Azure-Rollenzuweisungen: Entfernen Sie alle Azure AI-Rollen, die Sie selbst vergeben haben (wie z. B. Azure AI-Besitzer) aus den spezifischen Foundry-Projekten oder Ressourcengruppen.

    Azure Portal:

    1. Navigieren Sie im Azure-Portal zu der Ressource, in der Sie sich selbst Rollen zugewiesen haben.
    2. Wählen Sie Zugriffssteuerung (IAM)>-Rollenzuweisungen aus.
    3. Suchen Sie Ihr Benutzerkonto in der Rollenzuweisungsliste.
    4. Wählen Sie die Aufgabe und dann "Entfernen" aus.

    Azure CLI:

    # List current role assignments to find the assignment ID
az role assignment list --assignee <your-email> --scope <resource-scope>

# Remove the specific role assignment
az role assignment delete --ids <assignment-id>

  2. Entfernen sie die Rolle "Benutzerzugriffsadministrator": Entfernen Sie die Rolle "Benutzerzugriffsadministrator auf Stammebene" aus der Rechteerweiterungsprozedur.

    Azure Portal:

    1. Wechseln Sie im Azure-Portal zu Microsoft Entra ID>Properties.
    2. Legen Sie unter Access-Verwaltung für Azure Ressourcen den Umschalter auf No fest.
    3. Wählen Sie "Speichern" aus.

    Azure CLI:

    # Remove the User Access Administrator role at root scope
az role assignment delete \
  --assignee <your-email> \
  --role "User Access Administrator" \
  --scope "/"

Dieser zweistufige Prozess stellt sicher, dass Sie sowohl die spezifischen Berechtigungen entfernen, die Sie selbst erteilt haben, als auch die breite Rechteerweiterung, die diese Berechtigungen aktiviert hat.

Zuweisen der richtigen Rollen

Nachdem Sie den Zugriff erhöht haben, weisen Sie sich selbst die mindeste Rolle zu, die für Ihre Aktion erforderlich ist. Bleiben Sie nicht länger als nötig im Root-Bereich.

Befehl Minimale integrierte Rolle für Foundry-Agent-Objekte Minimale integrierte Rolle für Agent-Anwendungen
Sicht Azure AI User
(Reader reicht nicht aus)		 Leser
Beenden/Starten Nicht unterstützt Azure AI Owner
Löschen Azure AI User Azure AI Owner

Weisen Sie Rollen im kleinstmöglichen Umfang zu. Für Foundry Agents weisen Sie die Rolle nur der Foundry-Projektressource zu, mit der Sie arbeiten möchten. Weisen Sie für Agentanwendungen die Rolle auf Anwendungsebene zu. Wenn Sie nur Agents in einer einzelnen Ressourcengruppe verwalten müssen, weisen Sie die Rolle im Bereich der Ressourcengruppe zu. Weisen Sie diese Rollen nicht im Bereich des Abonnements oder der Verwaltungsgruppe zu.

Wenn Ihre Organisation PIM verwendet, erwägen Sie, berechtigte Aufgaben anstelle dauerhafter Aufgaben zu erstellen. Berechtigte Zuordnungen erfordern eine Aktivierung. Dieser Ansatz erstellt einen Überwachungspfad und erzwingt Zeitlimits.

Maßnahmen gegen einen Agenten ergreifen

Wenn Sie eingreifen müssen, wählen Sie die geringste störende Aktion für Ihre Situation aus. Die Wahl des Aktions- und Agenttyps bestimmt, welche Schnittstelle Sie zum Verwalten des Agents verwenden. Verwenden Sie die Registerkarten in jedem Abschnitt, um die richtige Schnittstelle für Ihr Szenario zu identifizieren.

Microsoft 365 Admin Center umfasst Gießerei-Agenten in Ihrem vollständigen Agentenbestand. Sie können Agent-Anwendungen bequem aus dem Registrierungseintrag beenden und starten.

Agenttyp Unterstützte Aktionen im Microsoft 365 Admin Center
Agentanwendungen Beenden, Starten
Gießerei-Agenten None - verwenden Sie eine andere Schnittstelle

Agent stoppen

Einen Agenten zu stoppen ist in den meisten Situationen die bevorzugte Vorgehensweise. Durch Beenden wird der Agent deaktiviert, ohne Ressourcen zu zerstören. Sie können den Agent später neu starten.

Wenn Sie die Agent-Detailseite für eine Foundry-Agent-Anwendung öffnen, überprüft Microsoft 365 Admin Center automatisch, ob Sie über die erforderlichen Berechtigungen zum Verwalten des Agents verfügen. Wenn Sie dies tun, ist eine Schaltfläche " Beenden " oder " Start " am oberen Rand der Seite verfügbar, basierend auf dem aktuellen Zustand der Anwendung. Wenn diese Schaltflächen nicht angezeigt werden, Sie aber ein Globaler Administrator sind, folgen Sie der Eingabeaufforderung, um Ihren Zugriff automatisch zu erhöhen und sich selbst die Rolle des Azure AI-Besitzers über die Agentanwendung zu gewähren.

Wenn Ihre Agentanwendung zurzeit ausgeführt wird, wählen Sie "Beenden " aus, um sie zu beenden. Diese Aktion stoppt alle Agentbereitstellungen, die der Anwendung zugeordnet sind. Die Agentanwendung und ihre Installationen existieren noch. Sie können sie später erneut starten.

Wenn Sie bereit sind, die Agentanwendung erneut zu starten, wählen Sie "Start" aus. Diese Aktion startet die letzte Bereitstellung der Agentenanwendung. Wenn Sie andere Bereitstellungen starten müssen, verwenden Sie die REST-API.

Wenn Sie den Zugriff erhöht haben, stellen Sie sicher, dass Sie ihn entfernen, wenn Sie fertig sind.

Löschen eines Agents (letzte Möglichkeit)

Durch das Löschen werden Agenten-Ressourcen dauerhaft entfernt und können nicht rückgängig gemacht werden. Stellen Sie vor dem Löschen sicher, dass keine anderen Mandanten oder Teams vom Agent abhängig sind, und vergewissern Sie sich, dass die Ressourcenbesitzer mit der dauerhaften Entfernung einverstanden sind.

Das Löschen von Foundry-Agents wird im Microsoft 365 Admin Center nicht unterstützt. Verwenden Sie eine andere Schnittstelle, um sie bei Bedarf zu löschen.

Verwandte Inhalte

  • Last updated on