Microsoft Entra Agent ID — Complete Reference Microsoft Entra Agent ID — Complete Reference

Was ist Microsoft Entra Agent ID? What is Microsoft Entra Agent ID?

Microsoft Entra Agent ID ist ein Identitäts- und Sicherheitsframework für KI-Agenten. Der Dienst erweitert Microsoft Entra auf assistive, autonome und benutzerähnliche Agenten, die Unternehmensdaten lesen, Aktionen ausführen oder mit anderen Agenten kommunizieren. Microsoft Entra Agent ID is an identity and security framework for AI agents. The service extends Microsoft Entra to assistive, autonomous, and user-like agents that read enterprise data, perform actions, or communicate with other agents.

Im Unterschied zu herkömmlichen App-Registrierungen oder Service Principals beschreibt Agent ID nicht nur den technischen Zugriff, sondern auch Zweck, Sponsor, Lebenszyklus, Vererbungsmodell und Agentenklassifikation. Dadurch lassen sich Identität, Autorisierung, Governance und Schutz als zusammenhängendes Betriebsmodell behandeln. Unlike conventional app registrations or service principals, Agent ID describes not only technical access but also purpose, sponsor, lifecycle, inheritance model, and agent classification. That makes identity, authorization, governance, and protection operable as one coherent model.

Agent Identity Platform und Microsoft Agent 365 Agent identity platform and Microsoft Agent 365

Die Microsoft Agent Identity Platform ist die technische Basis von Agent ID. Sie kombiniert eine OAuth 2.0- und OpenID-Connect-konforme Authentifizierungsschicht, SDKs, einen Agent Registry- und Verwaltungsbereich im Entra Admin Center sowie Objektbeziehungen zwischen Blueprint, Blueprint Principal, Agent Identity und optionalem Agent User. The Microsoft agent identity platform is the technical foundation of Agent ID. It combines an OAuth 2.0 and OpenID Connect compliant authentication layer, SDKs, an agent registry and management surface in the Entra admin center, and object relationships between blueprint, blueprint principal, agent identity, and optional agent user.

Microsoft Agent 365 nutzt diese Plattform, um Agenten über Microsoft 365-Dienste und Unternehmensworkflows hinweg betreiben zu können. Für reine Agent-ID-Funktionen ist Agent ID für Entra-Kunden verfügbar; für tiefe Agent-365-Workflows wird eine Microsoft-Agent-365-Lizenz pro Benutzer benötigt. Microsoft Agent 365 uses this platform so agents can operate across Microsoft 365 services and enterprise workflows. Core Agent ID capabilities are available to Entra customers; deeper Agent 365 workflow integration requires a Microsoft Agent 365 license per user.

Agent Identities im Vergleich zu Benutzern und Workloads Agent identities compared with users and workloads

Agent Identities sind spezielle Service Principals. Sie werden von einem Blueprint erzeugt und besitzen selbst keine eigenen Anmeldeinformationen. Stattdessen verwendet der Blueprint die dort hinterlegten Anmeldeinformationen, um Token für Agent Identities anzufordern. Agent identities are special service principals. They are created by a blueprint and do not carry their own credentials. Instead, the blueprint uses the credentials attached to it to request tokens for agent identities.

Agententypen Agent types

Agent Identity Blueprints, Eltern-Kind-Beziehungen und Erstellung Agent identity blueprints, parent-child relationships, and creation

Ein Blueprint ist die Elternressource für eine Agentenfamilie. Er enthält den Namen und den Herausgeber des Agententyps, definierte Rollen, gemeinsam genutzte Berechtigungen, optionale vererbbare OAuth-Scopes, Besitzer und Sponsoren sowie die Anmeldeinformationen, mit denen später Tokens für Agent Identities beschafft werden. A blueprint is the parent resource for a family of agents. It stores the agent type name and publisher, defined roles, shared permissions, optional inheritable OAuth scopes, owners and sponsors, and the credentials later used to obtain tokens for agent identities.

Schrittfolge zur manuellen Erstellung Step-by-step manual creation

1. Lege im Entra Admin Center oder per Graph zuerst einen Agent Identity Blueprint an. Create an agent identity blueprint first in the Entra admin center or via Microsoft Graph.
2. Bestimme Herausgeber, Display Name, Eigentümer und mindestens einen Sponsor, damit Verantwortlichkeit von Anfang an dokumentiert ist. Set publisher, display name, owners, and at least one sponsor so accountability is documented from day one.
3. Konfiguriere Anmeldeinformationen für den Blueprint, bevorzugt föderierte Credentials oder Zertifikate statt Secrets für Produktion. Configure blueprint credentials, preferring federated credentials or certificates over secrets in production.
4. Setze Identifier URI und mindestens einen Scope, wenn der Agent von anderen Clients oder Agenten aufgerufen werden soll. Set an identifier URI and at least one scope if the agent should be invoked by other clients or agents.
5. Erzeuge den Blueprint Principal explizit, da er nicht in jedem Ablauf automatisch entsteht. Create the blueprint principal explicitly because it is not automatically created in every flow.
6. Lege eine oder mehrere Agent Identities unter dem Blueprint an und weise bei Bedarf Besitzer oder Sponsoren zu. Create one or more agent identities under the blueprint and assign owners or sponsors as needed.
7. Falls nötig, verknüpfe einen Agent User, damit der Agent benutzerähnliche Ressourcen wie Mailboxen oder Chat nutzen kann. If necessary, link an agent user so the agent can use user-like resources such as mailboxes or chat.
8. Validiere Sign-ins, Berechtigungen, Access Packages und Richtlinien bevor der Agent produktiv ausgeführt wird. Validate sign-ins, permissions, access packages, and policies before running the agent in production.

POST https://graph.microsoft.com/beta/serviceprincipals/Microsoft.Graph.AgentIdentity
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
  "displayName": "Contoso Finance Close Agent",
  "agentIdentityBlueprintId": "<blueprint-app-id>",
  "sponsors@odata.bind": [
    "https://graph.microsoft.com/v1.0/users/<sponsor-user-id>"
  ]
}

Authentifizierung, Autorisierung, OAuth 2.0, MCP und A2A Authentication, authorization, OAuth 2.0, MCP, and A2A

Agent ID nutzt OAuth 2.0 für Autorisierung und OpenID Connect für Authentifizierung. Daraus ergeben sich drei Hauptmuster: delegiertes On-Behalf-Of, autonome App-Only-Tokens und agentenbenutzerbasierte Flows für digitale Mitarbeiter. Agent ID uses OAuth 2.0 for authorization and OpenID Connect for authentication. That produces three main patterns: delegated on-behalf-of, autonomous app-only tokens, and agent-user-based flows for digital workers.

MCP und A2A MCP and A2A

Microsoft dokumentiert, dass Agent ID Standardprotokolle wie MCP und A2A unterstützt. In der Praxis bedeutet das, dass Agenten nicht nur Ressourcen aufrufen, sondern auch andere Agenten oder MCP-Server über standardisierte Identitäts- und Tokenmuster ansprechen können. Microsoft documents that Agent ID supports standard protocols such as MCP and A2A. In practice this means agents can not only call resources but also address other agents or MCP servers through standardized identity and token patterns.

Connect-MgGraph -Scopes "Application.Read.All","AuditLog.Read.All","Policy.Read.All"

$uri = "https://graph.microsoft.com/beta/auditLogs/signIns?$filter=signInEventTypes/any(t: t eq 'servicePrincipal') and agent/agentType eq 'AgentIdentity'"
Invoke-MgGraphRequest -Method GET -Uri $uri

Microsoft Entra SDK for Agents und Sidecar-Muster Microsoft Entra SDK for Agents and the sidecar pattern

Der Microsoft Entra SDK for Agent ID ist ein containerisierter Dienst, der Tokenvalidierung, Tokenbeschaffung und sichere Downstream-API-Aufrufe übernimmt. Er läuft als Companion-Container im selben Vertrauensbereich wie deine Anwendung und stellt eine HTTP-Schnittstelle bereit. The Microsoft Entra SDK for Agent ID is a containerized service that handles token validation, token acquisition, and secure downstream API calls. It runs as a companion container in the same trust boundary as your application and exposes an HTTP interface.

services:
  finance-agent:
    image: contoso/finance-agent:latest
    environment:
      ENTRA_SDK_BASE_URL: http://entra-agentid-sidecar:7000
    depends_on:
      - entra-agentid-sidecar

  entra-agentid-sidecar:
    image: mcr.microsoft.com/entra/agent-id-sdk:latest
    environment:
      ENTRA_TENANT_ID: <tenant-id>
      ENTRA_CLIENT_ID: <agent-blueprint-app-id>
      ENTRA_TOKEN_MODE: managed-identity
    ports:
      - "7000:7000"

POST http://entra-agentid-sidecar:7000/AuthorizationHeaderUnauthenticated/graph
Content-Type: application/json

{
  "scopes": [
    "https://graph.microsoft.com/.default"
  ]
}

Drittanbieterintegration: AWS Bedrock, n8n, Federation und Konfigurationsmuster Third-party integration: AWS Bedrock, n8n, federation, and configuration patterns

Ein zentrales Designziel von Agent ID ist, dass der Agent nicht aus einer Microsoft-Plattform stammen muss. Microsoft dokumentiert Sidecar- und Federation-Muster für AWS Bedrock, n8n, lokale LLM-Orchestrierung sowie andere Agentenframeworks, die OAuth 2.0 oder OIDC unterstützen. A central design goal of Agent ID is that the agent does not have to originate from a Microsoft platform. Microsoft documents sidecar and federation patterns for AWS Bedrock, n8n, local LLM orchestration, and other agent frameworks that support OAuth 2.0 or OIDC.

AWS Bedrock AWS Bedrock

Für Bedrock ist das Sidecar-Muster oft die pragmatischste Wahl: Der Agent ruft lokal den Sidecar an, der seinerseits Entra-Tokens für Graph oder eigene APIs bezieht. Wenn deine Bedrock-Laufzeit bereits einen OIDC- oder STS-Vertrauenspfad besitzt, ist Federation ohne Sidecar die schlankere Produktionsform. For Bedrock, the sidecar pattern is often the pragmatic choice: the agent calls the local sidecar, which in turn obtains Entra tokens for Graph or custom APIs. If the Bedrock runtime already has an OIDC or STS trust path, federation without a sidecar is the leaner production shape.

{
  "name": "aws-bedrock-prod",
  "issuer": "https://sts.amazonaws.com",
  "subject": "arn:aws:iam::123456789012:role/contoso-bedrock-agent",
  "audiences": [
    "api://AzureADTokenExchange"
  ]
}

n8n n8n

n8n kann Agent-ID-Token innerhalb des Workflows beziehen. Nutze dafür einen dedizierten Node oder einen HTTP-Aufruf an den Sidecar. Wichtiger als die konkrete Technik ist, dass Tenant ID, Blueprint bzw. Agent Identity, Zielscopes und Protokollierung nicht pro Workflow wild auseinanderlaufen. n8n can acquire Agent ID tokens inside the workflow. You can do that with a dedicated node or with an HTTP call to the sidecar. More important than the exact method is ensuring tenant ID, blueprint or agent identity, target scopes, and logging do not drift across individual workflows.

{
  "baseUrl": "http://entra-agentid-sidecar:7000",
  "tokenPath": "/AuthorizationHeaderUnauthenticated/graph",
  "scope": "https://graph.microsoft.com/.default",
  "agentIdentity": "n8n-finance-approvals"
}

Lokale und hybride Entwicklung Local and hybrid development

• Verwende für lokale Tests den Sidecar mit Docker Compose und einen separaten Entwicklungs-Blueprint. Use the sidecar with Docker Compose and a separate development blueprint for local testing.
• Nutze in Produktion nach Möglichkeit föderierte Credentials oder Managed Identity statt Client Secrets. In production, prefer federated credentials or managed identity over client secrets whenever possible.
• Validiere in eigenen APIs immer issuer, audience, tenant und relevante Rollen oder Scopes. Always validate issuer, audience, tenant, and relevant roles or scopes in your own APIs.
• Dokumentiere, welcher externe Issuer welche Agentenfamilie erzeugen oder repräsentieren darf. Document which external issuer is allowed to create or represent which family of agents.

Sicherheit: Conditional Access, Risk, Netzwerk und Logging Security: Conditional Access, risk, network, and logging

Microsoft erweitert seine Entra-Sicherheitsfunktionen gezielt auf Agenten. Für Agenten relevante Kernbausteine sind Conditional Access für Agent Identities oder Agent Users, Identity Protection für risky agents, Netzwerksteuerung über Global Secure Access und detaillierte Sign-in- sowie Auditlogs. Microsoft explicitly extends Entra security capabilities to agents. The core building blocks for agents are Conditional Access for agent identities or agent users, Identity Protection for risky agents, network control through Global Secure Access, and detailed sign-in and audit logs.

Risky agents und Echtzeitschutz Risky agents and near-real-time protection

Derzeit beschreibt Microsoft Risky Agents mit Offline-Detektionen wie unfamiliar resource access, signInSpike, failedAccessAttempt, adminConfirmedAgentCompromised und threat-intelligence-basierten Signalen. In OBO-Szenarien wird riskantes Verhalten dem Benutzer zugerechnet; autonome Agenten werden als eigener Risikoträger bewertet. Microsoft currently documents risky agents with offline detections such as unfamiliar resource access, signInSpike, failedAccessAttempt, adminConfirmedAgentCompromised, and threat-intelligence-based signals. In OBO scenarios risky activity is attributed to the user; autonomous agents are evaluated as their own risk subject.

GET https://graph.microsoft.com/beta/identityProtection/riskyAgents
Authorization: Bearer <token>

GET https://graph.microsoft.com/beta/identityProtection/agentRiskDetections
Authorization: Bearer <token>

Governance: ID Governance, Access Packages, Reviews und Sponsorverantwortung Governance: ID Governance, access packages, reviews, and sponsor accountability

Agent Governance in Entra orientiert sich bewusst an Human Identity Governance: Die richtige Identität erhält den richtigen Zugriff zur richtigen Zeit, und ein verantwortlicher Mensch bleibt über den gesamten Lebenszyklus eingebunden. Für Agenten wird diese Verantwortung über Owners und vor allem Sponsors formalisiert. Agent governance in Entra intentionally mirrors human identity governance: the right identity gets the right access at the right time, and a responsible human stays involved throughout the lifecycle. For agents, that accountability is formalized through owners and especially sponsors.

Microsoft beschreibt drei Anforderungswege für Access Packages: Der Agent beantragt programmgesteuert selbst, ein Sponsor beantragt im Namen des Agenten, oder ein Administrator weist das Paket direkt zu. Diese Mischung ist hilfreich, weil sie Self-Service und Kontrolle kombinieren kann. Microsoft describes three request paths for access packages: the agent requests programmatically, a sponsor requests on behalf of the agent, or an administrator directly assigns the package. That mix is useful because it can combine self-service and control.

POST https://graph.microsoft.com/v1.0/identityGovernance/entitlementManagement/assignmentRequests
Authorization: Bearer <token>
Content-Type: application/json

{
  "requestType": "AdminAdd",
  "assignment": {
    "targetId": "<agent-identity-id>",
    "accessPackageId": "<access-package-id>"
  }
}

Agent Management: Portal, Wizard, Logs und operative Aufgaben Agent management: portal, wizard, logs, and operational tasks

Administratoren verwalten Agenten zentral im Microsoft Entra Admin Center unter Entra ID > Agents. Dort lassen sich Agent Identities suchen, filtern, deaktivieren, per Multi-Select abschalten, Eigentümer und Sponsoren pflegen sowie Details zu Zugriffen, Berechtigungen und Aktivität prüfen. Administrators manage agents centrally in the Microsoft Entra admin center under Entra ID > Agents. There they can search, filter, disable, batch-disable, maintain owners and sponsors, and inspect access, permissions, and activity details.

AI-guided Setup Wizard AI-guided setup wizard

Microsoft bietet zusätzlich einen AI-guided Setup-Ansatz an, der GitHub Copilot im Agent-Modus verwendet. Dieses Skill validiert Rollen, Tools und Graph-Berechtigungen, erzeugt konsistente Namen, kann Fehler analysieren und wiederholt idempotent, falls der erste Durchlauf unterbrochen wurde. Microsoft also offers an AI-guided setup approach that uses GitHub Copilot in agent mode. The skill validates roles, tools, and Graph permissions, derives consistent names, can analyze errors, and reruns idempotently if the first pass was interrupted.

1. Projekt oder Arbeitsverzeichnis in VS Code öffnen. Open the project or working directory in Visual Studio Code.
2. Copilot Chat auf Agent Mode stellen. Switch Copilot Chat into agent mode.
3. Das Agent-ID-Skill oder die Skill-Datei referenzieren. Reference the Agent ID skill or the skill file.
4. Display Name, Sponsor, Credential-Typ und Zahl der Agent Identities bestätigen. Confirm display name, sponsor, credential type, and the number of agent identities.
5. Erzeugte Ressourcen anschließend im Entra Admin Center validieren. Validate the resulting resources in the Entra admin center afterwards.

Architekturmuster und Best Practices Architecture patterns and best practices

• Beginne mit enumerierten inheritable permissions und schalte niemals sofort all allowed scopes frei. Start with enumerated inheritable permissions and do not immediately enable all allowed scopes.
• Trenne Produktions-, Test- und Experimentierräume über separate Agent Identities oder sogar eigene Blueprints. Separate production, test, and experimental spaces with separate agent identities or even separate blueprints.
• Nutze Custom Security Attributes, wenn viele Agenten nach Datenklassifikation, Region oder Kritikalität segmentiert werden müssen. Use custom security attributes when many agents must be segmented by data classification, region, or criticality.
• Logge jeden administrativen Schritt sowie jeden privilegierten API-Zugriff in ein zentrales SIEM. Log every administrative step and every privileged API access into a central SIEM.
• Dokumentiere für jeden Agenten den Sponsor, die Geschäftsfunktion, die erlaubten Datenquellen und den Offboarding-Trigger. Document for every agent the sponsor, business function, allowed data sources, and offboarding trigger.

Lizenzierung Licensing

PowerShell- und Graph-API-Referenz PowerShell and Graph API reference

Die Agent-ID-APIs sind derzeit stark Graph-orientiert und viele Beispiele verwenden Beta-Endpunkte. Für Betriebsautomatisierung ist das normal, sollte aber bewusst dokumentiert, versioniert und mit Change Control versehen werden. Agent ID APIs are currently heavily Graph-oriented and many examples use beta endpoints. That is normal for operational automation, but it should be documented, versioned, and placed under change control.

Connect-MgGraph -Scopes `
  "Application.Read.All",`
  "Application.ReadWrite.All",`
  "AuditLog.Read.All",`
  "Policy.Read.All",`
  "RoleManagement.Read.Directory",`
  "EntitlementManagement.Read.All"

$agentSignIns = Invoke-MgGraphRequest -Method GET -Uri "https://graph.microsoft.com/beta/auditLogs/signIns?$filter=signInEventTypes/any(t: t eq 'servicePrincipal') and agent/agentType eq 'AgentIdentity'"
$agentSignIns.value | Select-Object createdDateTime, appDisplayName, resourceDisplayName

$riskyAgents = Invoke-MgGraphRequest -Method GET -Uri "https://graph.microsoft.com/beta/identityProtection/riskyAgents"
$riskyAgents.value |
  Select-Object id, displayName, riskLevel, riskState

GET https://graph.microsoft.com/beta/auditLogs/signIns?$filter=agent/agentType eq 'AgentIdentity'
Authorization: Bearer <token>

GET https://graph.microsoft.com/beta/applications?$filter=startswith(displayName,'Contoso Agent')
Authorization: Bearer <token>

FAQ FAQ