Creación de un plano técnico de identidad del agente

En este paso se crea el plano técnico de identidad del agente, se asigna un propietario y patrocinador, y se requieren los detalles siguientes:

• Permiso AgentIdentityBlueprint.Create .
• El encabezado OData-Version debe establecerse en 4.0.
• Identificador de usuario para los campos propietario y patrocinador en el cuerpo de la solicitud de ejemplo. Se requiere un patrocinador, pero un propietario es opcional.

POST https://graph.microsoft.com/v1.0/applications/
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
  "@odata.type": "Microsoft.Graph.AgentIdentityBlueprint",
  "displayName": "My Agent Identity Blueprint",
  "sponsors@odata.bind": [
    "https://graph.microsoft.com/v1.0/users/<id>",
  ],
  "owners@odata.bind": [
    "https://graph.microsoft.com/v1.0/users/<id>"
  ],
}

Después de crear el plano técnico de identidad del agente, registre el valor de appId para el paso siguiente.

En este paso se crea la aplicación de plano técnico de identidad del agente, con el usuario actual como propietario y patrocinador, e incluye las siguientes tareas distintas:

• Conéctese a su entorno con los ámbitos AgentIdentityBlueprint.Create y User.Read.
• Agrega al usuario actual como patrocinador y propietario del modelo de identidad del agente.
• Cree la aplicación del plan maestro de identidad del agente.

Connect-MgGraph -Scopes "AgentIdentityBlueprint.Create","User.Read" -TenantId <your-tenant-id>

$currentUser = Get-MgContext | Select-Object -ExpandProperty Account
$user = Get-MgUser -UserId $currentUser

Write-Host "Current user: $($user.DisplayName) ($($user.Id))"
Write-Host "Sponsor user: $($user.DisplayName) ($($user.Id))"


$body = @{
    "@odata.type" = "Microsoft.Graph.AgentIdentityBlueprint"
    "displayName" = "My Agent Identity Blueprint"
    "sponsors@odata.bind" = @("https://microsoft.graph.microsoft.com/v1.0/users/$($user.Id)")
    "owners@odata.bind" = @("https://microsoft.graph.microsoft.com/v1.0/users/$($user.Id)")
} | ConvertTo-Json -Depth 5

$response = Invoke-MgGraphRequest `
    -Method POST `
    -Uri "https://graph.microsoft.com/v1.0/applications/microsoft.graph.agentIdentityBlueprint" `
    -Body $body `
    -ContentType "application/json"

$response

Después de crear el prototipo de identidad del agente, registre el valor de appId desde la salida.

Para enviar esta solicitud:

• Necesitas el permiso AgentIdentityBlueprint.AddRemoveCreds.All.
• Reemplazar el marcador de posición <agent-blueprint-id> por la plantilla de identidad del agente appId.
• Reemplaza el <managed-identity-principal-id> marcador de posición por el identificador de la identidad administrada.

Agregue una identidad administrada como credencial mediante la solicitud siguiente:

POST https://graph.microsoft.com/v1.0/applications/<agent-blueprint-id>/federatedIdentityCredentials
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
    "name": "my-managed-identity",
    "issuer": "https://login.microsoftonline.com/<your-tenant-id>/v2.0",
    "subject": "<managed-identity-principal-id>",
    "audiences": [
        "api://AzureADTokenExchange"
    ]
}

Este paso incluye las siguientes tareas distintas:

• Conéctese al inquilino con el AgentIdentityBlueprint.AddRemoveCreds.All ámbito.
• Agregue una identidad administrada como credencial para la plantilla de identidad del agente mediante la principal de plantilla de identidad del agente creada anteriormente.

Install-Module Microsoft.Graph.Applications -Scope CurrentUser -Force

Connect-MgGraph -Scopes "AgentIdentityBlueprint.AddRemoveCreds.All" -TenantId <your-tenant-id>

$applicationId = "<agent-blueprint-id>"

$federatedCredential = @{
  Name             = "my-managed-identity"
  Issuer           = "https://login.microsoftonline.com/<your-tenant-id>/v2.0"
  Subject          = "<managed-identity-principal-id>"
  Audiences         = @("api://AzureADTokenExchange")
}

New-MgApplicationFederatedIdentityCredential `
  -ApplicationId $applicationId `
  -BodyParameter $federatedCredential

Para enviar esta solicitud, primero debe obtener un token de acceso con el permiso delegado. AgentIdentityBlueprint.AddRemoveCreds.All

POST https://graph.microsoft.com/v1.0/applications/<agent-blueprint-id>/addPassword
Content-Type: application/json
Authorization: Bearer <token>

{
  "passwordCredential": {
    "displayName": "My Secret",
    "endDateTime": "2026-08-05T23:59:59Z"
  }
}

Connect-MgGraph -Scopes "AgentIdentityBlueprint.AddRemoveCreds.All" -TenantId <your-tenant-id>

$applicationId = "<agent-blueprint-application-id>"

# Define the secret properties
$displayName = "My Secret"
$endDate = (Get-Date).AddYears(1).ToString("o")  # 1 year from now, in ISO 8601 format

# Construct the password credential
$passwordCredential = @{
    displayName = $displayName
    endDateTime = $endDate
}

# Add the password (client secret)
$response = Add-MgApplicationPassword -ApplicationId $applicationId -PasswordCredential $passwordCredential

# Output the generated secret (only returned once!)
Write-Host "Secret Text: $($response.secretText)"

Para enviar esta solicitud:

• Necesita el permiso AgentIdentityBlueprint.UpdateAuthProperties.All.
• Reemplazar el marcador de posición <agent-blueprint-id> por la plantilla de identidad del agente appId.
• Necesita un identificador único global (GUID). En PowerShell, ejecute [guid]::NewGuid() o use un generador GUID en línea. Copie el GUID generado y úselo para reemplazar el marcador de posición <generate-a-guid>.

PATCH https://graph.microsoft.com/v1.0/applications/<agent-blueprint-id>
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
    "identifierUris": ["api://<agent-blueprint-id>"],
    "api": {
      "oauth2PermissionScopes": [
        {
          "adminConsentDescription": "Allow the application to access the agent on behalf of the signed-in user.",
          "adminConsentDisplayName": "Access agent",
          "id": "<generate-a-guid>",
          "isEnabled": true,
          "type": "User",
          "value": "access_agent"
        }
      ]
  }
}

Una llamada correcta genera una respuesta 204.

Este paso incluye las siguientes tareas distintas:

• Instale el módulo necesario si aún no lo ha hecho.
• Conéctese al inquilino con el AgentIdentityBlueprint.UpdateAuthProperties.All ámbito.
• Configura el URI y el ámbito para el nuevo diseño de identidad del agente.

Connect-MgGraph -Scopes "AgentIdentityBlueprint.UpdateAuthProperties.All" -TenantId <your-tenant-id>

$AppId = "<agent-blueprint-id>"
$IdentifierUri = "api://<agent-blueprint-id>"
$ScopeId = [guid]::NewGuid()

# Construct the OAuth2 permission scope
$scope = @{
    adminConsentDescription = "Allow the application to access the agent on behalf of the signed-in user."
    adminConsentDisplayName = "Access agent"
    id = $ScopeId
    isEnabled = $true
    type = "User"
    value = "access_agent"
}

Update-MgApplication -ApplicationId $AppId `
    -IdentifierUris @($IdentifierUri) `
    -Api @{ oauth2PermissionScopes = @($scope) }

Reemplace el <agent-blueprint-app-id> marcador de posición por el appId que copió de los resultados del paso anterior.

POST https://graph.microsoft.com/v1.0/serviceprincipals/microsoft.graph.agentIdentityBlueprintPrincipal
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
  "appId": "<agent-blueprint-app-id>"
}

Después de crear el diseño de identidad del agente, cree un objeto principal del diseño de identidad del agente utilizando el diseño de identidad del agente recién creado appId.

Connect-MgGraph -Scopes "AgentIdentityBlueprintPrincipal.Create" -TenantId <your-tenant-id>

Connect-MgGraph -Scopes "AgentIdentityBlueprintPrincipal.Create" -TenantId
$body = @{
    appId   = "<agent-blueprint-client-id>"
}
Invoke-MgGraphRequest -Method POST `
        -Uri "https://graph.microsoft.com/v1.0/serviceprincipals/microsoft.graph.agentIdentityBlueprintPrincipal" `
        -Headers @{ "OData-Version" = "4.0" } `
        -Body ($body | ConvertTo-Json)