Entra 代理 OAuth 身份配置

要解决的实际问题

当 Microsoft 代理需要安全调用 Graph API 时，必须拥有一个明确的非人类工作负载身份。你可能需要处理应用注册、托管身份、OAuth 权限授予、赞助审批以及 sidecar 认证等多种细节，这个过程既繁琐又容易出错。

技能如何工作

核心能力

• 生成 Entra Agent ID 蓝图，将代理的声明、所需权限和标识打包。
• 创建代理主体，可选择用户、组、租户级托管身份或服务主体。
• 配置 Microsoft Graph beta 权限，并通过声明式方式完成审批，避免过度授权。
• 添加赞助规则，让管理员可以审查代理身份所需的权限范围。
• 内置 sidecar 认证模式，适合需要进程外令牌代理的场景。

关键步骤

1. 定义代理的权限和声明。
2. 选择合适的主体类型。
3. 声明式注册并绑定所需 beta 权限。
4. 配置赞助审批策略。
5. 如需 sidecar，启用 sidecar 认证。

适用边界与注意点

• 依赖 Microsoft Graph beta API，功能可能变化，生产环境需评估稳定性。
• 需要具备 Entra 角色或应用注册权限。
• sidecar 模式为可选，非所有代理都需要。
• 适用于 Microsoft Entra 租户，需租户管理员支持。
• 不适用于非 Microsoft Entra 环境。