Authentification Agent2Agent (A2A)

Le protocole Agent2Agent (A2A) permet à vos agents d’appeler d’autres agents. La plupart des points de terminaison A2A nécessitent une authentification pour accéder au point de terminaison et à son service sous-jacent. La configuration de l'authentification garantit que seuls les utilisateurs autorisés peuvent appeler vos outils A2A dans le service Agent Foundry.

Cet article explique les méthodes d’authentification disponibles pour les connexions A2A et vous aide à choisir l’approche appropriée pour votre scénario.

Scénarios d’authentification

En général, il existe deux scénarios d’authentification :

• Authentification partagée : chaque utilisateur de votre agent utilise la même identité pour s’authentifier auprès du point de terminaison A2A. Le contexte utilisateur individuel n’est pas conservé. Cette approche est idéale lorsque tous les utilisateurs doivent avoir le même niveau d’accès. Par exemple, si vous créez un agent de conversation pour récupérer des informations à partir de Azure Cosmos DB pour votre organisation, vous souhaiterez peut-être que chaque utilisateur accède au même conteneur partagé sans nécessiter de connexion individuelle.
• Authentification individuelle : chaque utilisateur de votre agent s’authentifie avec son propre compte, de sorte que son contexte utilisateur persiste entre les interactions. Cette approche est essentielle lorsque les actions doivent être étendues aux autorisations de l’utilisateur. Par exemple, si vous créez un agent de codage qui récupère les validations et extrait les demandes de GitHub, vous souhaitez que chaque développeur se connecte avec son propre compte GitHub afin qu’il voit uniquement les référentiels auxquels il a accès.

Conditions préalables

Avant de choisir une méthode d’authentification, vous avez besoin des éléments suivants :

• Accès au portail Foundry et à un projet. Si vous n’en avez pas, consultez Créer des projets dans Foundry.
• Rôle utilisateur Azure AI ou supérieur sur votre projet. Ce rôle accorde des autorisations pour créer des connexions de projet et configurer des agents. Pour plus d’informations, consultez le contrôle d’accès en fonction du rôle dans le portail Foundry.
• URL de point de terminaison A2A à laquelle vous souhaitez vous connecter. Contactez l’éditeur de point de terminaison pour confirmer les méthodes d’authentification que le point de terminaison prend en charge.
• Informations d’identification pour votre méthode d’authentification sélectionnée :
  • Basé sur clé : clé API, jeton d’accès personnel (PAT) ou autre jeton secret du fournisseur du point de terminaison.
  • Authentification Microsoft Entra : attributions de rôles pour l’identité de l’agent ou l’identité gérée du projet dans le service sous-jacent. Les rôles spécifiques dépendent du service (par exemple, Cosmos DB Data Reader pour Azure Cosmos DB).

Choisir une méthode d’authentification

La méthode d’authentification que vous choisissez varie selon que vous avez besoin d’un contexte utilisateur partagé ou individuel et des protocoles d’authentification pris en charge par le point de terminaison A2A.

Utilisez le tableau suivant pour choisir la méthode appropriée pour votre scénario :

Méthodes d’authentification prises en charge

Le tableau suivant récapitule les méthodes d’authentification disponibles pour les connexions A2A :

Authentification basée sur des clés

Utilisez l’authentification basée sur des clés lorsque le point de terminaison A2A accepte une clé API, un jeton d’accès personnel (PAT) ou une autre information d’identification secrète. Pour améliorer la sécurité, stockez les informations d’identification partagées dans une connexion de projet au lieu de les transmettre au moment de l’exécution.

Lorsque vous connectez votre point de terminaison A2A à un agent dans le portail Foundry, Foundry crée une connexion de projet pour vous. Indiquez le nom de l'identifiant (nom de l’en-tête HTTP) et la valeur de l'identifiant (valeur de l’en-tête). Le format dépend de ce que le point de terminaison attend.

Formats d’informations d’identification courants :

Lorsque l’agent invoque le point de terminaison A2A, le service de l’agent récupère les informations d’identification depuis la connexion de projet, qu’il inclut ensuite dans les en-têtes de requête.

Meilleures pratiques de sécurité pour l’authentification basée sur des clés

• Utilisez des informations d’identification à privilèges minimaux : demandez uniquement les autorisations minimales nécessaires pour les tâches de l’agent.
• Faire pivoter régulièrement des jetons : définissez un rappel pour régénérer les jetons avant leur expiration.
• Restreindre l’accès au projet : limitez les personnes autorisées à accéder aux projets qui contiennent des secrets partagés.
• Audit de l'utilisation des identifiants : Surveillez l'accès aux connexions de projet dans vos journaux d'activité Azure.

Authentification par Microsoft Entra ID

Utilisez l'authentification Microsoft Entra ID lorsque le point de terminaison A2A et son service sous-jacent acceptent les jetons Microsoft Entra ID. Cette méthode élimine la nécessité de gérer les secrets, car Azure gère automatiquement l’acquisition et le renouvellement des jetons.

Identité de l’agent

Utilisez l'identité managée de votre agent pour s'authentifier auprès des points de terminaison A2A qui prennent en charge l'authentification Microsoft Entra ID. Lorsque vous créez un agent dans le service d’agent, l’agent reçoit automatiquement une identité managée.

Cycle de vie des identités :

• Avant de publier : tous les agents du même projet partagent une identité commune. Cela simplifie le développement et les tests.
• Après la publication : chaque agent publié reçoit une identité unique. Cela permet d’isoler et d’activer le contrôle d’accès granulaire.

Pour plus d’informations sur le cycle de vie des identités de l’agent, consultez Concepts d’identité de l’agent dans Microsoft Foundry.

Pour configurer l’authentification d’identité de l’agent :

1. Identifiez le service sous-jacent qui alimente le point de terminaison A2A (par exemple, Azure Cosmos DB ou stockage Azure).
2. Attribuez les rôles requis à l’identité de l’agent sur ce service. Les rôles spécifiques dépendent du service et des opérations que votre agent doit effectuer.
3. Configurez la connexion A2A pour utiliser l’authentification d’identité de l’agent.

Lorsque l’agent appelle le point de terminaison A2A, Agent Service utilise l’identité de l’agent pour demander un jeton d’autorisation à partir de Microsoft Entra ID et l’inclure dans la demande.

Identité managée du projet Foundry

Utilisez l’identité managée de votre projet Foundry pour s’authentifier auprès des points de terminaison A2A. Cette option est utile lorsque vous souhaitez que tous les agents d’un projet partagent la même identité pour accéder aux ressources.

Pour configurer l’authentification d’identité managée du projet :

1. Identifiez le service sous-jacent qui alimente le point de terminaison A2A.
2. Attribuez les rôles requis à l’identité managée du projet sur ce service.
3. Configurez la connexion A2A pour utiliser l’authentification d’identité managée du projet.

Lorsque l'agent appelle le point de terminaison A2A, le service Agent utilise l'identité managée du projet pour demander un jeton d'autorisation depuis Microsoft Entra ID et l'inclut dans la demande.

Transfert direct d’identité OAuth

Le passage d’identité OAuth permet à votre agent d’agir pour le compte d’utilisateurs individuels. Utilisez cette méthode lorsque les actions doivent être limitées aux autorisations de chaque utilisateur, telles que l’accès à leurs fichiers personnels, référentiels ou autres ressources protégées.

Le passage d'identité OAuth fonctionne avec des endpoints A2A de Microsoft et de tiers qui prennent en charge OAuth 2.0, y compris les services utilisant Microsoft Entra ID.

Fonctionnement de la passthrough d’identité OAuth

1. Première interaction : lorsqu’un utilisateur interagit d’abord avec votre agent, le service agent génère un lien de consentement.
2. Consentement de l’utilisateur : l’utilisateur ouvre le lien, se connecte au service sous-jacent et autorise l’agent à accéder à ses données.
3. Stockage de jetons : le service d’agent stocke en toute sécurité les jetons OAuth de l’utilisateur (jeton d’accès et jeton d’actualisation). Ces jetons sont limités à cette combinaison d’utilisateurs et d’agents spécifiques.
4. Demandes suivantes : lorsque l’agent appelle le point de terminaison A2A, le service agent inclut le jeton d’accès de l’utilisateur dans la demande. Si le jeton d’accès expire, le service Agent utilise le jeton d’actualisation pour en obtenir un nouveau.

Types de jetons OAuth

OAuth utilise deux types de jetons :

Les étendues OAuth définissent ce que l’agent peut accéder et faire au nom de l’utilisateur. Les étendues sont spécifiées lorsque vous configurez la connexion et qu’elles sont présentées à l’utilisateur pendant le flux de consentement. Pour plus d’informations sur OAuth, consultez la documentation de sécurité Microsoft.

OAuth managé et OAuth personnalisé

Agent Service prend en charge deux options de configuration OAuth :

Pour configurer oAuth personnalisé, fournissez les informations suivantes :

• ID client : ID d’application de votre inscription d’application OAuth.
• Clé secrète client (si nécessaire) : secret associé à l’inscription de votre application.
• URL d’autorisation : point de terminaison où les utilisateurs autorisent l’accès.
• URL du jeton : point de terminaison où agent service échange le code d’autorisation pour les jetons.
• URL d’actualisation : point de terminaison pour l’actualisation des jetons d’accès expirés.
• Scopes : autorisations dont votre agent a besoin (par exemple, repo pour GitHub ou Files.Read pour Microsoft Graph).

Accès non authentifié

Utilisez un accès non authentifié uniquement lorsque le point de terminaison A2A est accessible publiquement et ne nécessite pas d’authentification. Cette option est rare dans les scénarios de production, mais peut être appropriée pour :

• API publiques qui ne nécessitent pas d’authentification
• Points de terminaison de développement ou de test internes
• Points de terminaison protégés par la sécurité au niveau du réseau (tels que les points de terminaison privés) au lieu de l’authentification

Configurer l’authentification pour une connexion A2A

Procédez comme suit pour configurer l’authentification pour une connexion A2A :

1. Identifiez le point de terminaison A2A et les méthodes d’authentification prises en charge. Contactez l’éditeur de point de terminaison ou consultez la documentation du point de terminaison pour déterminer quelles méthodes d’authentification sont prises en charge.

2. Rassemblez les informations d’identification requises en fonction de votre méthode d’authentification choisie :

   • Basé sur la clé : obtenez la clé API ou le jeton auprès de l’éditeur du point de terminaison.
   • Microsoft Entra ID : identifiez les attributions de rôles requises pour le service sous-jacent.
   • OAuth : déterminez si OAuth managé est disponible ou rassemblez vos détails d’inscription d’application OAuth personnalisés.

3. Créez une connexion de projet dans le portail Foundry. La connexion stocke l’URL du point de terminaison A2A, la méthode d’authentification et les informations d’identification.

   • Pour obtenir des conseils généraux sur la connexion, consultez Ajouter une nouvelle connexion à votre projet.
   • Pour obtenir une configuration spécifique à A2A, consultez Ajouter un point de terminaison d’agent A2A au service de l’agent Foundry.

4. Configurer les attributions de rôles (authentification Microsoft Entra ID uniquement). Attribuez les rôles nécessaires à l'identité d'agent ou à l'identité managée du projet dans le service sous-jacent.

5. Ajoutez l’outil A2A à votre agent. Référencez la connexion de projet que vous avez créée et configurez les outils à partir du point de terminaison A2A que votre agent peut appeler.

Valider l’authentification

Après avoir configuré l’authentification, testez la connexion pour confirmer qu’elle fonctionne correctement.

Valider l’authentification par clé ou Microsoft Entra ID

1. Ouvrez votre agent dans le portail Foundry.
2. Démarrez une conversation et déclenchez une action qui appelle l’outil A2A.
3. Vérifiez que l’appel de l’outil se termine avec succès. Si l’appel échoue, vérifiez le message d’erreur et consultez Résolution des problèmes.

Valider la passe d’identité OAuth

1. Ouvrez votre agent dans le portail Foundry à l'aide d'un compte utilisateur de test qui n'a pas encore consenti.
2. Démarrez une conversation et déclenchez une action qui appelle l’outil A2A.
3. Vérifiez qu’un lien de consentement apparaît dans la réponse de l’agent.
4. Ouvrez le lien de consentement et connectez-vous avec les informations d’identification de l’utilisateur de test.
5. Autorisez les autorisations demandées.
6. Revenez à l’agent et réactivez l’outil A2A.
7. Vérifiez que l’appel de l’outil s’effectue avec succès à l’aide des identifiants de l’utilisateur de test.
8. (Facultatif) Testez avec un autre compte d’utilisateur pour confirmer que les flux de consentement fonctionnent pour plusieurs utilisateurs.

Dépannage

Utilisez le tableau suivant pour diagnostiquer et résoudre les problèmes d’authentification courants :

Contenu connexe

• Ajoutez un point d'accès A2A à Foundry Agent Service : Guide étape par étape pour configurer un outil A2A pour votre agent.
• Concepts d'identité d'agent dans Microsoft Foundry : découvrez le fonctionnement et le cycle de vie des identités d'agents.
• Contrôle d'accès basé sur le rôle pour Microsoft Foundry : Comprenez les rôles et les autorisations disponibles dans Foundry.
• Ajoutez une nouvelle connexion à votre projet : conseils généraux pour la création de connexions de projet.