Creare un progetto di identità dell'agente

Questo passaggio crea il progetto di identità dell'agente, assegna un proprietario e uno sponsor e richiede i dettagli seguenti:

• Autorizzazione AgentIdentityBlueprint.Create .
• L'intestazione OData-Version deve essere impostata su 4.0.
• ID utente per i campi proprietario e sponsor nel corpo della richiesta di esempio. Uno sponsor è obbligatorio, ma un proprietario è facoltativo.

POST https://graph.microsoft.com/v1.0/applications/
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
  "@odata.type": "Microsoft.Graph.AgentIdentityBlueprint",
  "displayName": "My Agent Identity Blueprint",
  "sponsors@odata.bind": [
    "https://graph.microsoft.com/v1.0/users/<id>",
  ],
  "owners@odata.bind": [
    "https://graph.microsoft.com/v1.0/users/<id>"
  ],
}

Dopo aver creato il progetto di identità dell'agente, annotare il valore di appId per il passaggio successivo.

Questo passaggio crea l'applicazione del progetto di identità dell'agente usando l'utente corrente come proprietario e sponsor e include le attività distinte seguenti:

• Connettiti al tenant con gli ambiti AgentIdentityBlueprint.Create e User.Read.
• Aggiunge l'utente corrente come sponsor e proprietario del modello d'identità dell'agente.
• Creare l'applicazione dello schema di identità dell'agente.

Connect-MgGraph -Scopes "AgentIdentityBlueprint.Create","User.Read" -TenantId <your-tenant-id>

$currentUser = Get-MgContext | Select-Object -ExpandProperty Account
$user = Get-MgUser -UserId $currentUser

Write-Host "Current user: $($user.DisplayName) ($($user.Id))"
Write-Host "Sponsor user: $($user.DisplayName) ($($user.Id))"


$body = @{
    "@odata.type" = "Microsoft.Graph.AgentIdentityBlueprint"
    "displayName" = "My Agent Identity Blueprint"
    "sponsors@odata.bind" = @("https://microsoft.graph.microsoft.com/v1.0/users/$($user.Id)")
    "owners@odata.bind" = @("https://microsoft.graph.microsoft.com/v1.0/users/$($user.Id)")
} | ConvertTo-Json -Depth 5

$response = Invoke-MgGraphRequest `
    -Method POST `
    -Uri "https://graph.microsoft.com/v1.0/applications/microsoft.graph.agentIdentityBlueprint" `
    -Body $body `
    -ContentType "application/json"

$response

Dopo aver creato il progetto di identità dell'agente, registrare il valore di appId dall'output.

Per inviare questa richiesta:

• È necessaria l'autorizzazione AgentIdentityBlueprint.AddRemoveCreds.All.
• Sostituire il segnaposto <agent-blueprint-id> con il blueprint di identità dell'agente appId.
• Sostituire il <managed-identity-principal-id> segnaposto con l'ID dell'identità gestita.

Aggiungere un'identità gestita come credenziale usando la richiesta seguente:

POST https://graph.microsoft.com/v1.0/applications/<agent-blueprint-id>/federatedIdentityCredentials
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
    "name": "my-managed-identity",
    "issuer": "https://login.microsoftonline.com/<your-tenant-id>/v2.0",
    "subject": "<managed-identity-principal-id>",
    "audiences": [
        "api://AzureADTokenExchange"
    ]
}

Questo passaggio include le attività distinte seguenti:

• Collegati al tuo tenant con l'ambito AgentIdentityBlueprint.AddRemoveCreds.All.
• Aggiungere un'identità gestita come credenziale per il blueprint di identità dell'agente utilizzando il principale del blueprint di identità dell'agente creato in precedenza.

Install-Module Microsoft.Graph.Applications -Scope CurrentUser -Force

Connect-MgGraph -Scopes "AgentIdentityBlueprint.AddRemoveCreds.All" -TenantId <your-tenant-id>

$applicationId = "<agent-blueprint-id>"

$federatedCredential = @{
  Name             = "my-managed-identity"
  Issuer           = "https://login.microsoftonline.com/<your-tenant-id>/v2.0"
  Subject          = "<managed-identity-principal-id>"
  Audiences         = @("api://AzureADTokenExchange")
}

New-MgApplicationFederatedIdentityCredential `
  -ApplicationId $applicationId `
  -BodyParameter $federatedCredential

Per inviare questa richiesta, è prima necessario ottenere un token di accesso con l'autorizzazione delegata AgentIdentityBlueprint.AddRemoveCreds.All

POST https://graph.microsoft.com/v1.0/applications/<agent-blueprint-id>/addPassword
Content-Type: application/json
Authorization: Bearer <token>

{
  "passwordCredential": {
    "displayName": "My Secret",
    "endDateTime": "2026-08-05T23:59:59Z"
  }
}

Connect-MgGraph -Scopes "AgentIdentityBlueprint.AddRemoveCreds.All" -TenantId <your-tenant-id>

$applicationId = "<agent-blueprint-application-id>"

# Define the secret properties
$displayName = "My Secret"
$endDate = (Get-Date).AddYears(1).ToString("o")  # 1 year from now, in ISO 8601 format

# Construct the password credential
$passwordCredential = @{
    displayName = $displayName
    endDateTime = $endDate
}

# Add the password (client secret)
$response = Add-MgApplicationPassword -ApplicationId $applicationId -PasswordCredential $passwordCredential

# Output the generated secret (only returned once!)
Write-Host "Secret Text: $($response.secretText)"

Per inviare questa richiesta:

• È necessaria l'autorizzazione AgentIdentityBlueprint.UpdateAuthProperties.All.
• Sostituire il segnaposto <agent-blueprint-id> con il blueprint di identità dell'agente appId.
• È necessario un identificatore univoco globale (GUID). In PowerShell eseguire [guid]::NewGuid() o usare un generatore GUID online. Copiare il GUID generato e usarlo per sostituire il <generate-a-guid> segnaposto.

PATCH https://graph.microsoft.com/v1.0/applications/<agent-blueprint-id>
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
    "identifierUris": ["api://<agent-blueprint-id>"],
    "api": {
      "oauth2PermissionScopes": [
        {
          "adminConsentDescription": "Allow the application to access the agent on behalf of the signed-in user.",
          "adminConsentDisplayName": "Access agent",
          "id": "<generate-a-guid>",
          "isEnabled": true,
          "type": "User",
          "value": "access_agent"
        }
      ]
  }
}

Una chiamata con esito positivo genera una risposta 204.

Questo passaggio include le attività distinte seguenti:

• Installare il modulo obbligatorio se non è già stato fatto.
• Collegati al tuo tenant con l'ambito AgentIdentityBlueprint.UpdateAuthProperties.All.
• Configurare l'URI e l'ambito per il nuovo modello di identità dell'agente.

Connect-MgGraph -Scopes "AgentIdentityBlueprint.UpdateAuthProperties.All" -TenantId <your-tenant-id>

$AppId = "<agent-blueprint-id>"
$IdentifierUri = "api://<agent-blueprint-id>"
$ScopeId = [guid]::NewGuid()

# Construct the OAuth2 permission scope
$scope = @{
    adminConsentDescription = "Allow the application to access the agent on behalf of the signed-in user."
    adminConsentDisplayName = "Access agent"
    id = $ScopeId
    isEnabled = $true
    type = "User"
    value = "access_agent"
}

Update-MgApplication -ApplicationId $AppId `
    -IdentifierUris @($IdentifierUri) `
    -Api @{ oauth2PermissionScopes = @($scope) }

Sostituire il <agent-blueprint-app-id> segnaposto con l'oggetto appId copiato dai risultati del passaggio precedente.

POST https://graph.microsoft.com/v1.0/serviceprincipals/microsoft.graph.agentIdentityBlueprintPrincipal
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
  "appId": "<agent-blueprint-app-id>"
}

Dopo aver creato il progetto blueprint dell'identità dell'agente, crea un'entità principale del blueprint dell'identità dell'agente utilizzando il blueprint dell'identità dell'agente appena creato appId.

Connect-MgGraph -Scopes "AgentIdentityBlueprintPrincipal.Create" -TenantId <your-tenant-id>

Connect-MgGraph -Scopes "AgentIdentityBlueprintPrincipal.Create" -TenantId
$body = @{
    appId   = "<agent-blueprint-client-id>"
}
Invoke-MgGraphRequest -Method POST `
        -Uri "https://graph.microsoft.com/v1.0/serviceprincipals/microsoft.graph.agentIdentityBlueprintPrincipal" `
        -Headers @{ "OData-Version" = "4.0" } `
        -Body ($body | ConvertTo-Json)