에이전트 정체성 청사진 만들기

이 단계에서는 에이전트 ID 청사진을 만들고 소유자 및 스폰서를 할당하며 다음 세부 정보가 필요합니다.

• AgentIdentityBlueprint.Create 사용 권한입니다.
• OData-Version 헤더는 4.0으로 설정해야 합니다.
• 예제 요청 본문의 소유자 및 스폰서 필드에 대한 사용자 ID입니다. 스폰서가 필요하지만 소유자는 선택 사항입니다.

POST https://graph.microsoft.com/v1.0/applications/
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
  "@odata.type": "Microsoft.Graph.AgentIdentityBlueprint",
  "displayName": "My Agent Identity Blueprint",
  "sponsors@odata.bind": [
    "https://graph.microsoft.com/v1.0/users/<id>",
  ],
  "owners@odata.bind": [
    "https://graph.microsoft.com/v1.0/users/<id>"
  ],
}

에이전트 ID 청사진을 만든 후 다음 단계의 appId 값을 기록합니다.

이 단계에서는 현재 사용자를 소유자 및 스폰서로 사용하여 에이전트 ID 청사진 애플리케이션을 만들고 다음과 같은 고유한 작업을 포함합니다.

• AgentIdentityBlueprint.Create 및 User.Read 범위를 사용하여 테넌트에 연결합니다.
• 현재 사용자를 에이전트 ID 청사진의 후원자 및 소유자로 추가합니다.
• 에이전트 ID 청사진 애플리케이션을 생성합니다.

Connect-MgGraph -Scopes "AgentIdentityBlueprint.Create","User.Read" -TenantId <your-tenant-id>

$currentUser = Get-MgContext | Select-Object -ExpandProperty Account
$user = Get-MgUser -UserId $currentUser

Write-Host "Current user: $($user.DisplayName) ($($user.Id))"
Write-Host "Sponsor user: $($user.DisplayName) ($($user.Id))"


$body = @{
    "@odata.type" = "Microsoft.Graph.AgentIdentityBlueprint"
    "displayName" = "My Agent Identity Blueprint"
    "sponsors@odata.bind" = @("https://microsoft.graph.microsoft.com/v1.0/users/$($user.Id)")
    "owners@odata.bind" = @("https://microsoft.graph.microsoft.com/v1.0/users/$($user.Id)")
} | ConvertTo-Json -Depth 5

$response = Invoke-MgGraphRequest `
    -Method POST `
    -Uri "https://graph.microsoft.com/v1.0/applications/microsoft.graph.agentIdentityBlueprint" `
    -Body $body `
    -ContentType "application/json"

$response

에이전트 ID 청사진을 만든 후 출력의 appId 값을 기록합니다.

이 요청을 보내려면 다음을 수행합니다.

• AgentIdentityBlueprint.AddRemoveCreds.All 권한이 필요합니다.
• <agent-blueprint-id> 자리 표시자를 에이전트 아이디 청사진의 appId로 바꿉니다.
• <managed-identity-principal-id> 자리 표시자를 관리 ID의 ID로 바꿉니다.

다음 요청을 사용하여 관리 ID를 자격 증명으로 추가합니다.

POST https://graph.microsoft.com/v1.0/applications/<agent-blueprint-id>/federatedIdentityCredentials
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
    "name": "my-managed-identity",
    "issuer": "https://login.microsoftonline.com/<your-tenant-id>/v2.0",
    "subject": "<managed-identity-principal-id>",
    "audiences": [
        "api://AzureADTokenExchange"
    ]
}

이 단계에는 다음과 같은 고유한 작업이 포함됩니다.

• 공급 범위 AgentIdentityBlueprint.AddRemoveCreds.All를 사용하여 테넌트에 연결합니다.
• 이전에 만든 에이전트 ID 청사진 주체를 사용하여 에이전트 ID 청사진에 대한 자격 증명으로 관리 ID를 추가합니다.

Install-Module Microsoft.Graph.Applications -Scope CurrentUser -Force

Connect-MgGraph -Scopes "AgentIdentityBlueprint.AddRemoveCreds.All" -TenantId <your-tenant-id>

$applicationId = "<agent-blueprint-id>"

$federatedCredential = @{
  Name             = "my-managed-identity"
  Issuer           = "https://login.microsoftonline.com/<your-tenant-id>/v2.0"
  Subject          = "<managed-identity-principal-id>"
  Audiences         = @("api://AzureADTokenExchange")
}

New-MgApplicationFederatedIdentityCredential `
  -ApplicationId $applicationId `
  -BodyParameter $federatedCredential

이 요청을 보내려면 먼저 위임된 권한으로 액세스 토큰을 가져와야 합니다. AgentIdentityBlueprint.AddRemoveCreds.All

POST https://graph.microsoft.com/v1.0/applications/<agent-blueprint-id>/addPassword
Content-Type: application/json
Authorization: Bearer <token>

{
  "passwordCredential": {
    "displayName": "My Secret",
    "endDateTime": "2026-08-05T23:59:59Z"
  }
}

Connect-MgGraph -Scopes "AgentIdentityBlueprint.AddRemoveCreds.All" -TenantId <your-tenant-id>

$applicationId = "<agent-blueprint-application-id>"

# Define the secret properties
$displayName = "My Secret"
$endDate = (Get-Date).AddYears(1).ToString("o")  # 1 year from now, in ISO 8601 format

# Construct the password credential
$passwordCredential = @{
    displayName = $displayName
    endDateTime = $endDate
}

# Add the password (client secret)
$response = Add-MgApplicationPassword -ApplicationId $applicationId -PasswordCredential $passwordCredential

# Output the generated secret (only returned once!)
Write-Host "Secret Text: $($response.secretText)"

이 요청을 보내려면 다음을 수행합니다.

• 사용 권한이 AgentIdentityBlueprint.UpdateAuthProperties.All필요합니다.
• <agent-blueprint-id> 자리 표시자를 에이전트 아이디 청사진의 appId로 바꿉니다.
• GUID(Globally Unique Identifier)가 필요합니다. PowerShell에서 [guid]::NewGuid()을 실행하거나 온라인 GUID 생성기를 사용합니다. 생성된 GUID를 복사하여 <generate-a-guid> 자리 표시자를 대체하는 데 사용하십시오.

PATCH https://graph.microsoft.com/v1.0/applications/<agent-blueprint-id>
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
    "identifierUris": ["api://<agent-blueprint-id>"],
    "api": {
      "oauth2PermissionScopes": [
        {
          "adminConsentDescription": "Allow the application to access the agent on behalf of the signed-in user.",
          "adminConsentDisplayName": "Access agent",
          "id": "<generate-a-guid>",
          "isEnabled": true,
          "type": "User",
          "value": "access_agent"
        }
      ]
  }
}

호출이 성공하면 204 응답이 생성됩니다.

이 단계에는 다음과 같은 고유한 작업이 포함됩니다.

• 아직 설치하지 않은 경우 필요한 모듈을 설치합니다.
• 공급 범위 AgentIdentityBlueprint.UpdateAuthProperties.All를 사용하여 테넌트에 연결합니다.
• 새 에이전트 아이디 청사진에 대한 URI 및 범위를 구성합니다.

Connect-MgGraph -Scopes "AgentIdentityBlueprint.UpdateAuthProperties.All" -TenantId <your-tenant-id>

$AppId = "<agent-blueprint-id>"
$IdentifierUri = "api://<agent-blueprint-id>"
$ScopeId = [guid]::NewGuid()

# Construct the OAuth2 permission scope
$scope = @{
    adminConsentDescription = "Allow the application to access the agent on behalf of the signed-in user."
    adminConsentDisplayName = "Access agent"
    id = $ScopeId
    isEnabled = $true
    type = "User"
    value = "access_agent"
}

Update-MgApplication -ApplicationId $AppId `
    -IdentifierUris @($IdentifierUri) `
    -Api @{ oauth2PermissionScopes = @($scope) }

<agent-blueprint-app-id> 자리 표시자를 이전 단계의 결과에서 복사한 개체 틀로 appId 바꿉다.

POST https://graph.microsoft.com/v1.0/serviceprincipals/microsoft.graph.agentIdentityBlueprintPrincipal
OData-Version: 4.0
Content-Type: application/json
Authorization: Bearer <token>

{
  "appId": "<agent-blueprint-app-id>"
}

새로운 에이전트 ID 청사진을 만든 후, 이를 활용하여 에이전트 ID 청사진 주체 appId를 만듭니다.

Connect-MgGraph -Scopes "AgentIdentityBlueprintPrincipal.Create" -TenantId <your-tenant-id>

Connect-MgGraph -Scopes "AgentIdentityBlueprintPrincipal.Create" -TenantId
$body = @{
    appId   = "<agent-blueprint-client-id>"
}
Invoke-MgGraphRequest -Method POST `
        -Uri "https://graph.microsoft.com/v1.0/serviceprincipals/microsoft.graph.agentIdentityBlueprintPrincipal" `
        -Headers @{ "OData-Version" = "4.0" } `
        -Body ($body | ConvertTo-Json)