Créer un blueprint d’identité d’agent

Cette étape crée le blueprint d’identité de l’agent, affecte un propriétaire et un sponsor, et nécessite les détails suivants :

• L’autorisation AgentIdentityBlueprint.Create.
• L’en-tête OData-Version doit être défini sur 4.0.
• Une ID d’utilisateur pour les champs propriétaire et sponsor dans le corps de requête exemple. Un sponsor est requis, mais un propriétaire est facultatif.

POST https://graph.microsoft.com/v1.0/applications/
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
  "@odata.type": "Microsoft.Graph.AgentIdentityBlueprint",
  "displayName": "My Agent Identity Blueprint",
  "sponsors@odata.bind": [
    "https://graph.microsoft.com/v1.0/users/<id>",
  ],
  "owners@odata.bind": [
    "https://graph.microsoft.com/v1.0/users/<id>"
  ],
}

Après avoir créé le schéma d’identité de l’agent, enregistrez la valeur du appId pour l’étape suivante.

Cette étape crée l’application blueprint d’identité de l’agent, en utilisant l’utilisateur actuel comme propriétaire et sponsor, et inclut les tâches distinctes suivantes :

• Connectez-vous à votre locataire à l’aide des étendues AgentIdentityBlueprint.Create et User.Read.
• Ajoute l'utilisateur actuel en tant que sponsor et propriétaire du plan d'identité de l'agent.
• Créez l'application de modèle d'identité d'agent.

Connect-MgGraph -Scopes "AgentIdentityBlueprint.Create","User.Read" -TenantId <your-tenant-id>

$currentUser = Get-MgContext | Select-Object -ExpandProperty Account
$user = Get-MgUser -UserId $currentUser

Write-Host "Current user: $($user.DisplayName) ($($user.Id))"
Write-Host "Sponsor user: $($user.DisplayName) ($($user.Id))"


$body = @{
    "@odata.type" = "Microsoft.Graph.AgentIdentityBlueprint"
    "displayName" = "My Agent Identity Blueprint"
    "sponsors@odata.bind" = @("https://microsoft.graph.microsoft.com/v1.0/users/$($user.Id)")
    "owners@odata.bind" = @("https://microsoft.graph.microsoft.com/v1.0/users/$($user.Id)")
} | ConvertTo-Json -Depth 5

$response = Invoke-MgGraphRequest `
    -Method POST `
    -Uri "https://graph.microsoft.com/v1.0/applications/microsoft.graph.agentIdentityBlueprint" `
    -Body $body `
    -ContentType "application/json"

$response

Après avoir créé le modèle d’identité d’agent, relevez la valeur de appId dans la sortie.

Pour envoyer cette requête :

• Vous devez avoir l’AgentIdentityBlueprint.AddRemoveCreds.Allautorisation.
• Remplacez l'espace réservé <agent-blueprint-id> par le plan d'identité appId de l’agent.
• Remplacez l’espace <managed-identity-principal-id> réservé par l’ID de votre identité managée.

Ajoutez une identité managée en tant qu'identifiant à l’aide de la requête suivante :

POST https://graph.microsoft.com/v1.0/applications/<agent-blueprint-id>/federatedIdentityCredentials
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
    "name": "my-managed-identity",
    "issuer": "https://login.microsoftonline.com/<your-tenant-id>/v2.0",
    "subject": "<managed-identity-principal-id>",
    "audiences": [
        "api://AzureADTokenExchange"
    ]
}

Cette étape inclut les tâches distinctes suivantes :

• Connectez-vous à votre locataire à l’aide de l’étendue AgentIdentityBlueprint.AddRemoveCreds.All.
• Ajoutez une identité gérée comme identifiant du modèle d’identité d’agent en utilisant l’entité principale du modèle d’identité d’agent précédemment créée.

Install-Module Microsoft.Graph.Applications -Scope CurrentUser -Force

Connect-MgGraph -Scopes "AgentIdentityBlueprint.AddRemoveCreds.All" -TenantId <your-tenant-id>

$applicationId = "<agent-blueprint-id>"

$federatedCredential = @{
  Name             = "my-managed-identity"
  Issuer           = "https://login.microsoftonline.com/<your-tenant-id>/v2.0"
  Subject          = "<managed-identity-principal-id>"
  Audiences         = @("api://AzureADTokenExchange")
}

New-MgApplicationFederatedIdentityCredential `
  -ApplicationId $applicationId `
  -BodyParameter $federatedCredential

Pour envoyer cette requête, vous devez d’abord obtenir un jeton d'accès avec l’autorisation déléguée AgentIdentityBlueprint.AddRemoveCreds.All

POST https://graph.microsoft.com/v1.0/applications/<agent-blueprint-id>/addPassword
Content-Type: application/json
Authorization: Bearer <token>

{
  "passwordCredential": {
    "displayName": "My Secret",
    "endDateTime": "2026-08-05T23:59:59Z"
  }
}

Connect-MgGraph -Scopes "AgentIdentityBlueprint.AddRemoveCreds.All" -TenantId <your-tenant-id>

$applicationId = "<agent-blueprint-application-id>"

# Define the secret properties
$displayName = "My Secret"
$endDate = (Get-Date).AddYears(1).ToString("o")  # 1 year from now, in ISO 8601 format

# Construct the password credential
$passwordCredential = @{
    displayName = $displayName
    endDateTime = $endDate
}

# Add the password (client secret)
$response = Add-MgApplicationPassword -ApplicationId $applicationId -PasswordCredential $passwordCredential

# Output the generated secret (only returned once!)
Write-Host "Secret Text: $($response.secretText)"

Pour envoyer cette requête :

• Vous avez besoin de l’autorisation AgentIdentityBlueprint.UpdateAuthProperties.All.
• Remplacez l'espace réservé <agent-blueprint-id> par le plan d'identité appId de l’agent.
• Vous avez besoin d’un identificateur global unique (GUID). Dans PowerShell, exécutez [guid]::NewGuid() ou utilisez un générateur GUID en ligne. Copiez le GUID généré et utilisez-le pour remplacer l’espace <generate-a-guid> réservé.

PATCH https://graph.microsoft.com/v1.0/applications/<agent-blueprint-id>
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
    "identifierUris": ["api://<agent-blueprint-id>"],
    "api": {
      "oauth2PermissionScopes": [
        {
          "adminConsentDescription": "Allow the application to access the agent on behalf of the signed-in user.",
          "adminConsentDisplayName": "Access agent",
          "id": "<generate-a-guid>",
          "isEnabled": true,
          "type": "User",
          "value": "access_agent"
        }
      ]
  }
}

Un appel réussi génère une réponse 204.

Cette étape inclut les tâches distinctes suivantes :

• Installez le module requis si vous ne l’avez pas déjà fait.
• Connectez-vous à votre locataire à l’aide de l’étendue AgentIdentityBlueprint.UpdateAuthProperties.All.
• Configurez l’URI et la portée du nouveau modèle d'identité de l’agent.

Connect-MgGraph -Scopes "AgentIdentityBlueprint.UpdateAuthProperties.All" -TenantId <your-tenant-id>

$AppId = "<agent-blueprint-id>"
$IdentifierUri = "api://<agent-blueprint-id>"
$ScopeId = [guid]::NewGuid()

# Construct the OAuth2 permission scope
$scope = @{
    adminConsentDescription = "Allow the application to access the agent on behalf of the signed-in user."
    adminConsentDisplayName = "Access agent"
    id = $ScopeId
    isEnabled = $true
    type = "User"
    value = "access_agent"
}

Update-MgApplication -ApplicationId $AppId `
    -IdentifierUris @($IdentifierUri) `
    -Api @{ oauth2PermissionScopes = @($scope) }

Remplacez l’espace <agent-blueprint-app-id> réservé par celui appId que vous avez copié à partir des résultats de l’étape précédente.

POST https://graph.microsoft.com/v1.0/serviceprincipals/microsoft.graph.agentIdentityBlueprintPrincipal
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
  "appId": "<agent-blueprint-app-id>"
}

Après avoir créé le modèle d’identité d’agent, créez un principal de modèle d’identité d’agent à l’aide du modèle d’identité d’agent appId nouvellement créé.

Connect-MgGraph -Étendues « AgentIdentityBlueprintPrincipal.Create » -TenantId <your-tenant-id>

Connect-MgGraph -Scopes "AgentIdentityBlueprintPrincipal.Create" -TenantId
$body = @{
    appId   = "<agent-blueprint-client-id>"
}
Invoke-MgGraphRequest -Method POST `
        -Uri "https://graph.microsoft.com/v1.0/serviceprincipals/microsoft.graph.agentIdentityBlueprintPrincipal" `
        -Headers @{ "OData-Version" = "4.0" } `
        -Body ($body | ConvertTo-Json)