Nota del editor: Bienvenido al segundo «Punto de control práctico» de la guía «Comprender y prevenir los ataques a la identidad del agente Entra ID: una guía completa». A lo largo de la serie, utiliza estos breves tutoriales prácticos para explorar los objetos y comportamientos que hemos tratado. Para repasar los capítulos anteriores y practicar las lecciones, empieza aquí.
En nuestro primer «Practice Checkpoint», has aprendido a configurar el ID de agente y a crear tu primer usuario de agente.
Ahora que ya existen los objetos principales, vamos a configurar el modelo de permisos tal y como aparece en las implementaciones reales: permisos directos sobre la identidad del agente y permisos heredados concedidos a nivel de blueprint.
Este punto de control establece los datos exactos que posteriormente validaremos en los tokens a lo largo de los flujos de autenticación.
Asignar permisos a la identidad del agente
Para demostrar los permisos «directos» exclusivos de la aplicación a nivel de identidad del agente, asigna un rol de aplicación a <agent-identity-id> utilizando el mismo appRoleAssignments siguiendo el mismo patrón que antes.
En esta demostración, el appRoleId representa User.Read.All. Lo utilizaremos más adelante para autenticarnos con la identidad del agente y para mostrar la lista de usuarios.
Configurar permisos heredables
Configura los permisos heredables para que el agente pueda heredar los ámbitos delegados en los flujos delegados.
Paso 1: Conceder el permiso delegado
Crear un oauth2PermissionGrants registro que concede Group.Read.All al modelo de identidad del agente (flujo estándar de consentimiento delegado).
Paso 2: Márcalo como heredable
Llama al /applications/microsoft.graph.agentIdentityBlueprint/<blueprint-id>/inheritablePermissions punto final e incluye el ID de la aplicación de Graph. Utiliza un ámbito enumerado para que la identidad del agente herede únicamente el Group.Read.All permisos.
En un escenario de autenticación delegada, veremos y utilizaremos esos permisos para mostrar los grupos de inquilinos. Si quieres que se hereden todos los permisos, solo tienes que configurar tipo a allAllowed en lugar de enumerated y elimina la propiedad «scopes».
Aunque no está documentado, es posible heredar permisos enumerados exclusivos de la aplicación. En lugar de ámbitos, utilizaremos appRoleIds, que requieren el GUID del rol de la aplicación. Por lo tanto, la solicitud tendrá este aspecto:
También puedes configurarlos ambos a la vez. Para actualizar los permisos heredables existentes, envía una solicitud «Patch» al recurso correspondiente que desees actualizar.
PARCHE /applications/microsoft.graph.agentIdentityBlueprint/<blueprint-id>/inheritablePermissions/<resource-app-id>
A continuación: Descubriremos cómo se autentica y funciona tu identidad de agente en Entra ID.
Explora la guía
- Introducción: Cómo comprender y prevenir los ataques a la identidad de los agentes de Entra ID: una guía completa
- Capítulo 1: Conoce las identidades de los agentes de Entra ID (por cierto, no son personas)
- Capítulo 2: La taxonomía de las identidades de carga de trabajo en Entra ID: aplicaciones empresariales, entidades de servicio y otras formas de confusión organizada
- Capítulo 3: Introducción al ID de Microsoft Agent y a la plataforma de identidad de Agent
- Punto de control práctico 1: Creación de un identificador de agente con MS Graph
- Capítulo 4: Identidades de los agentes: análisis en profundidad del diseño
- Capítulo 5: El registro de agentes y cómo funcionan las identidades de los agentes en Entra ID
- Punto de control práctico n.º 3: Registro de un agente: con y sin ID de agente
- Punto de control práctico 4: Verificación de tokens y reclamaciones en tres flujos de autenticación de Entra ID
- Capítulo 6: Dónde pueden surgir problemas con las identidades de los agentes en Entra ID, y cómo evitar el desastre
