Skapa en agentidentitetsritning

Det här steget skapar agentidentitetsritningen, tilldelar en ägare och sponsor och kräver följande information:

• Behörigheten AgentIdentityBlueprint.Create .
• OData-Version-huvudet måste vara inställt på 4.0.
• Ett användar-ID för fälten ägare och sponsor i exempelbegärandetexten. En sponsor krävs, men en ägare är valfri.

POST https://graph.microsoft.com/v1.0/applications/
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
  "@odata.type": "Microsoft.Graph.AgentIdentityBlueprint",
  "displayName": "My Agent Identity Blueprint",
  "sponsors@odata.bind": [
    "https://graph.microsoft.com/v1.0/users/<id>",
  ],
  "owners@odata.bind": [
    "https://graph.microsoft.com/v1.0/users/<id>"
  ],
}

När du har skapat agentidentitetsritningen registrerar du värdet appId för nästa steg.

Det här steget skapar agentens identitetsskissprogram med den aktuella användaren som ägare och sponsor och innehåller följande distinkta uppgifter:

• Anslut till din klientorganisation med AgentIdentityBlueprint.Create och User.Read områden.
• Lägger till den aktuella användaren som sponsor och ägare för agentidentitetsritningen.
• Skapa agentens identitetsskissprogram.

Connect-MgGraph -Scopes "AgentIdentityBlueprint.Create","User.Read" -TenantId <your-tenant-id>

$currentUser = Get-MgContext | Select-Object -ExpandProperty Account
$user = Get-MgUser -UserId $currentUser

Write-Host "Current user: $($user.DisplayName) ($($user.Id))"
Write-Host "Sponsor user: $($user.DisplayName) ($($user.Id))"


$body = @{
    "@odata.type" = "Microsoft.Graph.AgentIdentityBlueprint"
    "displayName" = "My Agent Identity Blueprint"
    "sponsors@odata.bind" = @("https://microsoft.graph.microsoft.com/v1.0/users/$($user.Id)")
    "owners@odata.bind" = @("https://microsoft.graph.microsoft.com/v1.0/users/$($user.Id)")
} | ConvertTo-Json -Depth 5

$response = Invoke-MgGraphRequest `
    -Method POST `
    -Uri "https://graph.microsoft.com/v1.0/applications/microsoft.graph.agentIdentityBlueprint" `
    -Body $body `
    -ContentType "application/json"

$response

När du har skapat agentidentitetsritningen registrerar du värdet för appId utdata.

Så här skickar du den här begäran:

• Du behöver behörigheten AgentIdentityBlueprint.AddRemoveCreds.All.
• Ersätt <agent-blueprint-id>-platshållaren med appId-agentidentitetsritningen.
• <managed-identity-principal-id> Ersätt platshållaren med ID:t för din hanterade identitet.

Lägg till en hanterad identitet som en autentiseringsuppgift med hjälp av följande begäran:

POST https://graph.microsoft.com/v1.0/applications/<agent-blueprint-id>/federatedIdentityCredentials
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
    "name": "my-managed-identity",
    "issuer": "https://login.microsoftonline.com/<your-tenant-id>/v2.0",
    "subject": "<managed-identity-principal-id>",
    "audiences": [
        "api://AzureADTokenExchange"
    ]
}

Det här steget innehåller följande distinkta uppgifter:

• Anslut till din klientorganisation med AgentIdentityBlueprint.AddRemoveCreds.All-omfånget.
• Lägg till en hanterad identitet som en autentiseringsuppgift för agentidentitetsritningen med hjälp av det tidigare skapade agentidentitetsritningsobjektet.

Install-Module Microsoft.Graph.Applications -Scope CurrentUser -Force

Connect-MgGraph -Scopes "AgentIdentityBlueprint.AddRemoveCreds.All" -TenantId <your-tenant-id>

$applicationId = "<agent-blueprint-id>"

$federatedCredential = @{
  Name             = "my-managed-identity"
  Issuer           = "https://login.microsoftonline.com/<your-tenant-id>/v2.0"
  Subject          = "<managed-identity-principal-id>"
  Audiences         = @("api://AzureADTokenExchange")
}

New-MgApplicationFederatedIdentityCredential `
  -ApplicationId $applicationId `
  -BodyParameter $federatedCredential

Om du vill skicka den här begäran måste du först hämta en åtkomsttoken med delegerad behörighet AgentIdentityBlueprint.AddRemoveCreds.All

POST https://graph.microsoft.com/v1.0/applications/<agent-blueprint-id>/addPassword
Content-Type: application/json
Authorization: Bearer <token>

{
  "passwordCredential": {
    "displayName": "My Secret",
    "endDateTime": "2026-08-05T23:59:59Z"
  }
}

Connect-MgGraph -Scopes "AgentIdentityBlueprint.AddRemoveCreds.All" -TenantId <your-tenant-id>

$applicationId = "<agent-blueprint-application-id>"

# Define the secret properties
$displayName = "My Secret"
$endDate = (Get-Date).AddYears(1).ToString("o")  # 1 year from now, in ISO 8601 format

# Construct the password credential
$passwordCredential = @{
    displayName = $displayName
    endDateTime = $endDate
}

# Add the password (client secret)
$response = Add-MgApplicationPassword -ApplicationId $applicationId -PasswordCredential $passwordCredential

# Output the generated secret (only returned once!)
Write-Host "Secret Text: $($response.secretText)"

Så här skickar du den här begäran:

• Du behöver behörigheten AgentIdentityBlueprint.UpdateAuthProperties.All.
• Ersätt <agent-blueprint-id>-platshållaren med appId-agentidentitetsritningen.
• Du behöver en globalt unik identifierare (GUID). I PowerShell kör [guid]::NewGuid() eller använder du en GUID-generator online. Kopiera det genererade GUID:et och använd det för att ersätta <generate-a-guid> platshållaren.

PATCH https://graph.microsoft.com/v1.0/applications/<agent-blueprint-id>
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
    "identifierUris": ["api://<agent-blueprint-id>"],
    "api": {
      "oauth2PermissionScopes": [
        {
          "adminConsentDescription": "Allow the application to access the agent on behalf of the signed-in user.",
          "adminConsentDisplayName": "Access agent",
          "id": "<generate-a-guid>",
          "isEnabled": true,
          "type": "User",
          "value": "access_agent"
        }
      ]
  }
}

Ett lyckat anrop genererar ett 204-svar.

Det här steget innehåller följande distinkta uppgifter:

• Installera den nödvändiga modulen om du inte redan har gjort det.
• Anslut till din klientorganisation med AgentIdentityBlueprint.UpdateAuthProperties.All-omfånget.
• Konfigurera URI:n och omfånget för den nya agentidentitetsritningen.

Connect-MgGraph -Scopes "AgentIdentityBlueprint.UpdateAuthProperties.All" -TenantId <your-tenant-id>

$AppId = "<agent-blueprint-id>"
$IdentifierUri = "api://<agent-blueprint-id>"
$ScopeId = [guid]::NewGuid()

# Construct the OAuth2 permission scope
$scope = @{
    adminConsentDescription = "Allow the application to access the agent on behalf of the signed-in user."
    adminConsentDisplayName = "Access agent"
    id = $ScopeId
    isEnabled = $true
    type = "User"
    value = "access_agent"
}

Update-MgApplication -ApplicationId $AppId `
    -IdentifierUris @($IdentifierUri) `
    -Api @{ oauth2PermissionScopes = @($scope) }

<agent-blueprint-app-id> Ersätt platshållaren med den appId som du kopierade från resultatet från föregående steg.

POST https://graph.microsoft.com/v1.0/serviceprincipals/microsoft.graph.agentIdentityBlueprintPrincipal
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
  "appId": "<agent-blueprint-app-id>"
}

Efter att du har skapat agentidentitetsritningen, skapar du en huvudkomponent för agentidentitetsritningen med hjälp av den nyligen skapade agentidentitetsritningen appId.

Connect-MgGraph -Scopes "AgentIdentityBlueprintPrincipal.Create" -TenantId <your-tenant-id>

Connect-MgGraph -Scopes "AgentIdentityBlueprintPrincipal.Create" -TenantId
$body = @{
    appId   = "<agent-blueprint-client-id>"
}
Invoke-MgGraphRequest -Method POST `
        -Uri "https://graph.microsoft.com/v1.0/serviceprincipals/microsoft.graph.agentIdentityBlueprintPrincipal" `
        -Headers @{ "OData-Version" = "4.0" } `
        -Body ($body | ConvertTo-Json)