Configuración de la autenticación de usuario en Copilot Studio

La autenticación de usuario permite a los usuarios iniciar sesión para que tu agente pueda acceder a recursos o información restringida en su nombre. Los usuarios pueden iniciar sesión utilizando Microsoft Entra ID o un proveedor de identidad OAuth 2.0, como Google o Facebook.

Note

Para despliegues de Microsoft Teams que usan autenticación manual, revisa los requisitos de despliegue en Configurar SSO (inicio de sesión único) con Microsoft Entra ID para agentes en Teams.

Puede agregar autenticación de usuario a temas al editar un tema.

Importante

Los cambios en la configuración de autenticación surten efecto solo después de publicar el agente. Planee con antelación antes de realizar cambios de autenticación en el agente.

Elegir una opción de autenticación

Note

Antes de elegir una opción de autenticación, revise la siguiente limitación de integración Power BI. Los agentes de Copilot Studio que usan la autenticación de Microsoft (Entra ID) no se pueden incrustar en informes de Power BI mediante visuales basados en iframe.

Copilot Studio admite varias opciones de autenticación. Seleccione y configure la opción que satisfaga sus necesidades.

  1. Vaya a Configuración de su agente y seleccione Seguridad.

  2. Seleccione Autenticación.

  3. Seleccione una opción de autenticación y configúrela según sea necesario. Las siguientes opciones de autenticación están disponibles:

  4. Seleccione Guardar.

Sin autenticación

Sin autenticación significa que el agente no requiere que los usuarios inicien sesión cuando interactúan con él. Una configuración sin autenticar significa que el agente solo puede acceder a información y recursos públicos. Los bots de chat clásicos están configurados de forma predeterminada para no requerir autenticación.

Esta opción no está disponible cuando una política de datos está configurada en el centro de administración de Power Platform para requerir autenticación.

Caution

Al seleccionar la opción Sin autenticación, cualquier persona que tenga el vínculo puede chatear e interactuar con su bot o agente.

Le recomendamos que aplique la autenticación, especialmente si usa su bot o agente dentro de su organización o para usuarios específicos, junto con otros controles de seguridad y gobernanza.

Autenticar con Microsoft

Importante

Para publicar a través del canal integrado de Teams + Microsoft 365, utiliza Autenticarse con Microsoft. Si tu configuración de autenticación bloquea el canal, revisa estado del agente. Para despliegues de autenticación manual en Teams, sigue los requisitos independientes para el SSO de Teams y el manifiesto de la aplicación.

Además, la opción Authenticate con Microsoft no está disponible para los agentes que se integran con Dynamics 365 Customer Service.

Esta configuración configura automáticamente la autenticación Microsoft Entra ID para Teams, SharePoint, Power Apps y Microsoft Copilot sin necesidad de configuración manual. En Teams, no se pide a los usuarios que inicien sesión a menos que tu agente requiera un ámbito ampliado.

Si necesitas autenticación en otros canales, elige Autenticar manualmente.

Si seleccionas Autenticar con Microsoft, las siguientes variables están disponibles en el lienzo de creación de temas tanto en la aplicación web como en la aplicación de Teams:

  • User.Id
  • User.DisplayName

En la aplicación web, User.IsLoggedIn y las variables de perfil adicionales también están disponibles. En el plan de Teams, User.IsLoggedIn no está disponible con esta opción. Aprende más en Variables de autenticación.

User.AccessToken no está disponible con esta opción. Si necesitas un token de autenticación, usa Autenticar manualmente.

Si cambias de Autenticar manualmente a Autenticar con Microsoft, las referencias a User.AccessToken se convierten en variables Desconocidas. En el plan de Teams, las referencias a User.IsLoggedIn también se convierten en variables Desconocidas. Corrige cualquier error de tema antes de publicar tu agente.

Autenticar manualmente

Copilot Studio admite los siguientes proveedores de servicios de autenticación en la opción Authenticate manualmente:

  • Microsoft Entra ID V2 con credenciales federadas
  • Microsoft Entra ID V2 con certificados
  • Microsoft Entra ID V2 con secretos de cliente
  • Microsoft Entra ID
  • OAuth 2 genérico: Cualquier proveedor de identidad que cumpla con el estándar OAuth 2.0

Si selecciona Autenticar manualmente, las siguientes variables están disponibles en el lienzo de creación de tema:

  • User.Id
  • User.DisplayName
  • User.AccessToken
  • User.IsLoggedIn

Infórmate más sobre estas variables en Añadir autenticación de usuario a los temas.

Note

  • Los cambios de autenticación solo entran en vigor después de publicar el agente.
  • Controle esta configuración con el control de administrador correspondiente en Power Platform. Cuando activas el control, evita que la opción de Autenticar manualmente se active o desactive dentro de Copilot Studio. El control siempre está activado y la opción Authenticate manualmente no se puede modificar en Copilot Studio.

Inicio de sesión obligatorio por parte del usuario y compartición de agentes

La opción Exigir que los usuarios inicien sesión determina si un usuario necesita iniciar sesión antes de hablar con el agente. Active esta configuración para los agentes que necesitan acceder a información confidencial o restringida.

Esta opción no está disponible para las opciones Sin autenticación y Autenticarse con Microsoft.

Note

No puede desactivar esta opción cuando la directiva de datos del Centro de administración de Power Platform esté establecida para requerir autenticación. Obtenga más información en Configuración de directivas de datos para agentes.

Si desactiva esta opción, su agente no pide a los usuarios que inicien sesión hasta que encuentre un tema que requiera que lo hagan.

Cuando activa esta opción, crea un tema del sistema llamado Requerir que los usuarios inicien sesión. Este tema solo es relevante para la configuración Autenticar manualmente. Para iniciar sesión automáticamente en los chats compatibles de Teams, utiliza Autenticarse con Microsoft.

El tema Requerir inicio de sesión de los usuarios se desencadena automáticamente para cualquier usuario que se comunique con el agente sin autenticarse. Si el usuario no puede iniciar sesión, el tema redirige al tema del sistema Escalate.

El tema es de solo lectura y no se puede personalizar. Para verlo, seleccione Ir al entorno de autoría.

Controlar quién puede charlar con el agente en la organización

La combinación del tipo de autenticación de tu agente y la configuración de Requerir que los usuarios inicien sesión determina si puedes compartir el agente para controlar quién en tu organización puede chatear con él. La configuración de autenticación no afecta al uso compartido de un agente para la colaboración.

  • Sin autenticación: cualquier usuario que tenga un vínculo al agente (o que pueda encontrarlo, por ejemplo, en su sitio web) puede chatear con él. No puede controlar qué usuarios de su organización pueden chatear con el agente.

  • Autenticar con Microsoft: El agente utiliza la autenticación Microsoft Entra ID en Teams, SharePoint, Power Apps y Microsoft Copilot. Los usuarios ya han iniciado sesión, así que no es necesario configurar Exigir que los usuarios inicien sesión por separado. Puede usar el uso compartido de agentes para controlar quién de su organización puede chatear con el agente.

  • Autenticar manualmente:

    • Si el proveedor de servicios es Microsoft Entra ID, puede activar Require a los usuarios para iniciar sesión para controlar quién puede chatear con el agente mediante el uso compartido del agente.

    • Si el proveedor de servicios es Generic OAuth 2, puedes activar o desactivar Exigir que los usuarios inicien sesión . Cuando está activada, un usuario que inicia sesión puede chatear con el agente. No puede controlar qué usuarios específicos de su organización pueden chatear con el agente utilizando la compartición de agentes.

Cuando la configuración de autenticación del agente no le permite controlar quién puede chatear con él, si selecciona Compartir en la página de información general del agente, un mensaje le informará de que cualquiera puede chatear con su agente.

Campos de autenticación manual

En la tabla siguiente se describen los campos que puede encontrar al configurar la autenticación manual. Los campos específicos que ve dependen de la selección del proveedor de servicios.

Nombre del campo Description
Plantilla de URL de autorización La plantilla de URL para autorización, definida por el proveedor de identidades. Por ejemplo: https://login.microsoftonline.com/common/oauth2/v2.0/authorize
Plantilla de la cadena de consulta de la dirección URL de autorización La plantilla de consulta para autorización, tal como la proporciona su proveedor de identidades. Las claves de la plantilla de cadena de consulta variarán según el proveedor de identidades (?client_id={ClientId}&response_type=code&redirect_uri={RedirectUrl}&scope={Scopes}&state={State}).
Id de cliente Su ID de cliente, obtenido del proveedor de identidad.
Secreto de cliente Su secreto de cliente, obtenido cuando creó el registro de la aplicación del proveedor de identidades.
URL de KeyVault para certificado cliente Dirección URL de KeyVault donde se almacena el certificado de cliente. Necesario para Microsoft Entra ID con autenticación mediante certificados.
Tipo de concesión El tipo de concesión OAuth 2.0 que quieres usar.
¿Se requiere una reclamación x5c? Especifique si la reclamación x5c es necesaria en la solicitud de token. Necesario para Microsoft Entra ID con autenticación mediante certificados.
URL de inicio de sesión URL a la que se redirige a los usuarios para iniciar sesión.
Plantilla de cuerpo de actualización La plantilla para el cuerpo de actualización (refresh_token={RefreshToken}&redirect_uri={RedirectUrl}&grant_type=refresh_token&client_id={ClientId}&client_secret={ClientSecret}).
Plantilla para actualizar la cadena de consulta de URL El separador de la cadena de consulta de actualización para la URL del token, suele ser un signo de interrogación (?).
Plantilla de URL de actualización La plantilla de URL para actualizar; por ejemplo, https://login.microsoftonline.com/common/oauth2/v2.0/token.
Dirección URL del recurso La URL del recurso para la que se solicitó el token.
Delimitador de la lista de alcances El carácter separador de la lista de ámbitos. No se admiten los espacios vacíos en este campo.1
Ámbitos La lista de ámbitos que desea que los usuarios tengan después de iniciar sesión. Utilice el Delimitador de lista de ámbito para separar varios ámbitos.1 Solo establezca únicamente los ámbitos necesarios y siga el principio de control de acceso de privilegios mínimos.
Proveedor de servicios El proveedor de servicios que desea utilizar para autenticación. Más información sobre proveedores genéricos de OAuth.
Id. de inquilino ID de inquilino de Microsoft Entra ID. Descubre más en Cómo encontrar tu id. de inquilino de Microsoft Entra.
Plantilla del cuerpo del token La plantilla para el cuerpo del token. (code={Code}&grant_type=authorization_code&redirect_uri={RedirectUrl}&client_id={ClientId}&client_secret={ClientSecret})
Dirección URL de intercambio de tokens (necesaria para el inicio de sesión único (SSO)) Es obligatorio cuando configuras el inicio de sesión único; opcional en caso contrario.
Plantilla de URL de token La plantilla de URL para tokens, tal como la proporciona su proveedor de identidades; por ejemplo, https://login.microsoftonline.com/common/oauth2/v2.0/token.
Plantilla de cadena de consulta de URL de token El separador de cadena de consulta para la URL del token, generalmente un signo de interrogación (?).

1 Puede usar espacios en el campo Ámbitos si el proveedor de identidad lo requiere. En ese caso, escriba una coma (,) en Delimitador de la lista de ámbitos y escriba espacios en el campo Ámbitos.

Desactivar la autenticación

  1. Con su agente abierto, seleccione Configuración en la barra de menú superior.

  2. Seleccione Seguridad y, después, Autenticación.

  3. Seleccione Sin autenticación.

    Si un tema usa variables de autenticación, se convierten en variables desconocidas . Vaya a la página Temas para ver qué temas tienen errores y corregirlos antes de publicarlos.

  4. Selecciona Guardar y luego publica el agente.

Importante

Si tu agente tiene herramientas configuradas para requerir credenciales de usuario, no desactives la autenticación a nivel de agente. Esta acción impide que estas herramientas funcionen.

  • Darrera actualització el