Información general sobre el modo multiinquilino en Copilot Studio (versión preliminar)

[Este artículo es documentación preliminar y está sujeto a modificaciones].

Copilot Studio ahora admite el modo multiinquilino. Esta nueva compatibilidad permite que un agente se use en un inquilino de Microsoft Entra diferente al inquilino que lo hospeda. El modo multiinquilino cambia el comportamiento de un agente de Copilot Studio al usar opciones de autenticación específicas. En este artículo se describe la autenticación en Copilot Studio y el rol que desempeña la autenticación en modo multiinquilino.

Importante

La característica de multiempresa de Copilot Studio está en versión preliminar pública y está claramente marcada en Copilot Studio para creadores. Tiene términos que se mencionan en el producto. Las funciones de vista previa pública no están soportadas para su uso en una capacidad generalmente disponible. Sin embargo, puedes probar agentes de vista previa pública en Teams/Agent Store bajo unas directrices específicas. Los socios deben señalar a sus usuarios finales que sus agentes utilizan la función de vista previa incluyendo un banner de Vista previa en el icono.

Copilot Studio Makers puede seleccionar entre tres opciones de autenticación para los agentes:

Método de autenticación	Description
Sin autenticación	Al seleccionar la configuración de No Authenticaton en el Authentication y Settings área del agente, Copilot Studio permite a los usuarios externos usar agentes que compile y hospede en la plataforma. Cuando activas esta configuración, el cliente al que el usuario accede al agente no pasa un token de acceso al agente. Es común encontrar este tipo de situaciones en sitios web en casos de autoservicio tipo FAQ. Esta configuración permite a cualquier usuario acceder al agente.
Autenticar con Microsoft	Esta opción utiliza una opción de autenticación integrada. El agente espera una identidad Microsoft Entra ID del cliente. Teams y otros clientes de Microsoft envían esta identidad cuando autentican a los usuarios con cuentas de Microsoft Entra profesionales o educativas. El agente utiliza esta identidad para permitir que el usuario acceda a su funcionalidad. Esta opción de Copilot Studio realiza una experiencia de inicio de sesión único (SSO) entre el cliente, el agente y el usuario. El usuario no tiene que iniciar sesión primero para acceder al cliente y luego una segunda vez para acceder al agente.
Autenticar manualmente	Cuando se selecciona, esta opción indica explícitamente a Copilot Studio que no gestione ni espere la identidad. El creador configura la autenticación para la opción de autenticación seleccionada. La autenticación manual se utiliza típicamente cuando no se utiliza una identidad o cliente basado en Microsoft. Por ejemplo, estás incrustando el agente en una web o aplicación nativa y quieres autenticar a los usuarios externos. Al usar autenticación manual, puedes seleccionar el tipo de autenticación: OAuth: Cuando se selecciona OAuth, se pide al usuario que accede al agente en el cliente para iniciar sesión con OAuth. Esto abre un flujo de inicio de sesión basado en los proveedores de identidad OAuth configurados por el fabricante. Una vez que el usuario inicia sesión con éxito, el agente recibe un token de acceso y puede usar el token en servicios posteriores y para personalización. Opciones de identidad basadas en Microsoft Entra: hay opciones para identidad basada en servicios e identidad basada en usuarios (por ejemplo, certificados y autenticación de usuario de Microsoft Entra). La autenticación de servicio suele ser cuando el agente requiere su propia identidad. La entidad basada en el usuario se utiliza para acceder a servicios aguas abajo que requieren autenticación. los creadores de Copilot Studio pueden optar por configurar manualmente la autenticación de usuario con Microsoft Entra.

Importante

Para usar Microsoft Teams como canal en Copilot Studio, debe seleccionar Authenticate con Microsoft o Authenticate Manualmente. Este requisito es intencionado y alinea los modelos de identidad. Teams requiere que el usuario siempre esté conectado, así que los agentes de Teams no pueden ser anónimos. Lo mismo sucede con todos los canales de Microsoft (por ejemplo, SharePoint).

Modo multiinquilino

En el modo de inquilino único, los usuarios de Microsoft Teams deben iniciar sesión y acceder al agente de Copilot Studio utilizando el mismo inquilino en el que está alojado el agente en Copilot Studio. Si un usuario de otro inquilino (por ejemplo, example@zavainsurance.com intenta acceder a un agente alojado en example@contoso.com), el usuario recibe un mensaje del agente: "No tienes acceso para hablar con este bot. Contacta con el propietario."

Al habilitar el modo multiinquilino en Copilot Studio para un agente, los usuarios pueden acceder al agente hospedado en un inquilino desde otro inquilino Microsoft Entra ID.

Esta característica está en versión preliminar pública. El modo multitenant soporta agentes de Copilot Studio en Microsoft Teams y Microsoft Copilot. El modo multiinquilino permite detectar agentes en la Tienda global de Microsoft Teams, donde los agentes se pueden usar por los clientes cuando se encuentran en dos inquilinos distintos.

Terminología

Cuando trabajas con agentes y entiendes la autenticación, es importante separar los siguientes comportamientos:

• Autenticación de usuario a cliente: Por ejemplo, cuando un usuario inicia sesión en un cliente de Teams o inicia sesión en un sitio web usando su cuenta de Microsoft. Esta autenticación no está estrictamente relacionada con el agente de Copilot Studio y se produce fuera del agente.
• Autenticación de cliente a agente: El cliente envía información al agente, y el agente espera información del cliente. Si configuras el agente para inicio de sesión único (SSO), la autenticación es invisible para el usuario final del cliente. Si no es así, se le pide al usuario que inicie sesión con el agente por separado.
• Autenticación de agentes a otros servicios autenticados: El agente necesita comunicarse con otros servicios y, en algunos casos, debe transmitir la identidad. Esa identidad puede ser la identidad del agente (principal de servicio) si el agente tiene una identidad. De lo contrario, el agente puede usar la identidad del usuario si el agente tiene permisos para hacerlo, accediendo a recursos y realizando acciones (usando permisos delegados del usuario cliente iniciado sesión).

También hay una experiencia de opción de autenticación combinada en la que un flujo de autenticación de agente se puede controlar a través de temas de Copilot Studio usando el nodo Authenticate, que solicita al usuario que inicie sesión. La autenticación combinada solo está disponible cuando se selecciona Autenticación Manual en Copilot Studio y cuando la opción Requerir que los usuarios inicien sesión está desactivada.

Cuando uses el modo multiinquilino, utiliza la siguiente terminología:

• El host es el entorno donde se hospeda Copilot Studio, desde el cual se ejecuta y desde el cual se factura. El servidor es donde se crea el agente de Copilot Studio. El host es también el lugar donde el agente avanza a través del ciclo de vida estándar del desarrollo de software mientras se desarrolla, prueba y traslada a un entorno de producción para su uso en tiempo real. Este proceso no es diferente del caso de los agentes en modo monoinquilino.

• El cliente es por donde se accede al agente. Esta aplicación cliente es como Microsoft Teams o Microsoft Copilot. Desde estos clientes, el usuario accede y usa el agente, iniciando sesión con Microsoft Entra ID. El cliente requiere o no usa ninguna infraestructura de Power Platform, incluida Copilot Studio.

En la siguiente documentación se explica qué funcionalidad se admite actualmente en versión preliminar pública cuando el modo multiinquilino está activado en Copilot Studio.

Funcionalidad admitida

La vista previa pública para multitenant se lanza dentro de un alcance específico.

Cuando el agente está en modo multiinquilino, se comporta de forma diferente. No se admiten todas las características de Copilot Studio. Las diferencias pueden deberse a la naturaleza de la funcionalidad (por ejemplo, el conocimiento de SharePoint no funciona entre instancias) o al ámbito de la versión preliminar pública. Las siguientes secciones contienen más detalles.

Aspectos destacados:

• El modo multiinquilino aún no soporta autenticación por parte de usuario final. Esta limitación significa que no puedes delegar acceso para usar la identidad del usuario en comportamientos posteriores. El valor de esta función es transmitir información autenticada al agente desde la autenticación delegada utilizando otros servicios. Esta funcionalidad aún no está disponible.
• Las transcripciones de conversaciones se desactivan cuando el modo multitenant está activado. Esta restricción protege la privacidad de los inquilinos aguas abajo que utilizan al agente.
• Los inquilinos anfitriones son responsables de la facturación del agente de Copilot Studio de la misma manera que para el modo de tenencia única. Los socios de Microsoft que se despliegan en la tienda global de Teams y agentes y que buscan diferentes patrones de trabajo con sus clientes finales, como cobrar por agentes en la Tienda global de Teams, deberían consultar con el Centro de Socios para saber qué programas están disponibles.

La siguiente sección resume la funcionalidad que se sabe que funciona o no al usar el agente en modo multiinquilino. Si algo no aparece aquí como funcionando, espera que no funcione en modo multiinquilino. La funcionalidad de Copilot Studio no se modifica para funcionar de forma diferente cuando el modo multiinquilino está activado. Por ejemplo, las políticas de datos siguen ejecutándose en el inquilino anfitrión, y las características y funcionalidades, si son compatibles, tienen el mismo conjunto de características que en el modo de inquilino único.

Conocimientos

• Subida de Dataverse: Soportada en la vista previa pública entre clientes.
• Sitios web públicos: Compatibles con la vista previa pública entre los inquilinos.

Tools

• Prompts: Soportados en la vista previa pública entre los clientes.
• Conectores estándar limitados: Para más información, consulte Autenticación.
• Conectores API REST: Soportados en la vista previa pública para múltiples inquilinos.

Note

No se soportan conectores personalizados, uso en ordenadores, flujos de agentes y herramientas MCP en modo multitenente.

Topics

• Variables de usuario: No disponibles ni soportadas en la vista previa pública.
• Nodo de autenticación: Disponible solo para autenticación manual.
• Nodo HTTP: Funciona para endpoints públicos en versión preliminar pública para el modo de multitenencia.

Canales

Los canales compatibles para la vista previa pública incluyen:

• Equipos de Microsoft
• Copiloto de Microsoft

Authentication

Note

Los usuarios B2B externos no son tratados como usuarios del tenant de host, incluso si su tipo de usuario de directorio está configurado como Member. Para acceder al agente, los usuarios deben autenticarse desde su tenant de origen a través de un canal multitenant compatible.

• Autenticación por usuario final: No soportada. El cliente solicita a los usuarios que abran el administrador de conexiones, pero no puede completar la solicitud, ya que envía al usuario a su propio administrador de conexiones de Copilot Studio en una ubicación diferente de la ubicación en la que se encuentra el agente.
• OAuth: No soportado para autenticar manualmente.
• Graph/Microsoft 365 conectores estándar: No es compatible.
• Conectores personalizados: No soportados.
• Autenticación de desarrollador (principal de servicio) en herramientas estándar: Soportada en versión preliminar pública.
• Autenticación manual con el identificador de usuario y entidad de servicio de Microsoft Entra: no compatible con la versión preliminar pública.
• Usuarios invitados: No soportados.

Otros detalles

• Solo se apoyan las conversaciones individuales. No se permiten conversaciones en grupo.
• No se soporta multi-geo. En la vista previa pública, los agentes se alojan en una única región de Dataverse, y el cumplimiento de residencia de datos sigue siendo responsabilidad del socio.
• Government Community Cloud (GCC) y GCC High no están soportados.
• La autenticación manual aún no está soportada (próximamente).

Note

Ten cuidado al usar autenticación de creadores en conectores. La autenticación por creador en conectores puede exponer los detalles de tu inquilino a terceros mediante URLs y demás.

Análisis

• Análisis agregados: No disponible en la vista previa pública.
• Datos de transcripción: No disponibles en vista previa pública.
• Descargar datos de la sesión: No disponible en la vista previa pública.
• Satisfacción, eficacia, visión general y reacciones: No disponible en la vista previa pública.

Note

Las métricas del canal se basan en lo que Teams ofrece a través de las capacidades y disponibilidad del canal.

Controles de administración

Controles de administrador para el tenant anfitrión agente

El centro de administración de Power Platform (PPAC) administra el modo multiinquilino. Los administradores de inquilinos de host pueden impedir que los desarrolladores activen el modo multicliente para los agentes. Los administradores del inquilino anfitrión pueden navegar al área de aislamiento del inquilino en PPAC, que está desactivada por defecto. Cuando activas el aislamiento del inquilino, el inquilino está aislado y no puedes usar el modo multiinquilino. Si los administradores quieren permitir que solo un conjunto selecto de arrendatarios establezcan conexiones hacia o desde su arrendatario, pueden activar el aislamiento de arrendatarios y usar la lista blanca para especificar esos arrendatarios para conexiones entrantes y salientes. Para más información, consulte Restricciones de entrada y salida entre inquilinos.

Si el aislamiento de inquilino está activado, el modo multiinquilino no está disponible en Copilot Studio.

Otros escenarios:

• Si el aislamiento del cliente se activa después de habilitar y publicar un agente, Copilot Studio muestra una notificación explicando que el agente ya no funciona como multicliente. El agente entonces se comporta igual que un agente de un solo inquilino cuando otro inquilino intenta acceder a él.
• Si el control de administrador está activado (para bloquear multiinquilino) pero hay una entrada en la lista de permisos, solo los inquilinos en la lista de permisos pueden acceder al agente. Todos los demás inquilinos están bloqueados, igual que en el modo de inquilino único.
• Los controles de prevención de pérdida de datos esperan las políticas de datos del agente anfitrión.
• Copilot Studio permite deshabilitar el canal de Teams para un agente. Esta acción impide que el agente responda en el cliente de Teams.
• Si el canal de Teams y Microsoft Copilot está desactivado, esta acción interrumpe el servicio para tu agente. Puedes volver a activar a tu agente, ya que tu ID de agente no está cambiado. Puede que tengas que completar el proceso de publicación de nuevo.
• Actualizar un agente es lo mismo que para Copilot Studio. Los creadores deberían usar Publicar para enviar cambios al agente activo en uso. Las nuevas actualizaciones no necesitan publicarse a través de la tienda de Teams. Las políticas de la tienda de Teams tienen sus propias expectativas sobre la actualización de un agente si se modifican metadatos relacionados con el agente, por ejemplo, propósito, términos, enlaces, etc.

Controles de administración para Copilot Studio en el cliente

En el tenant cliente donde se utiliza el agente, no hay cambios para los administradores de Microsoft Admin Center (MAC). Los administradores de MAC controlan un CEA mediante Copilot Studio igual que los agentes de motor personalizados de código pro.

Facturación y licencias

Eres responsable de facturar como inquilino anfitrión. Esta responsabilidad es la misma que la de los agentes pro-code en la tienda y de los clientes que despliegan agentes a sus propios usuarios. Para más información sobre facturación, consulta Gestionar sesiones y capacidad.

Los inquilinos anfitriones deben gestionar su facturación como parte del producto y asegurarse de que cuente con los créditos y la configuración de facturación adecuados para apoyar a la audiencia a la que acceden.

El modo multitenant solo se admite en la vista previa pública por inquilinos anfitriones con una licencia completa de Copilot Studio.

Si el socio no tiene suficiente facturación y se queda sin créditos, el usuario final se ve afectado y recibe un error con el agente. Antes de que esto ocurra, se notifica a los administradores y se les pide que solucionen el problema mediante una notificación automática. El número máximo de créditos y sesiones de Copilot Studio que puede asignar a un entorno es el límite máximo permitido que puede asignar.

Si socios o clientes publican su agente en la Tienda de Teams, la adopción de agentes puede provocar facturaciones inesperadas si avanza a un ritmo rápido (por ejemplo, a través de la Tienda de Teams u otros métodos de descubrimiento). Eres responsable como inquilino anfitrión de este proceso y del agente, de la misma manera que hoy en día publicas agentes anónimos en canales no autenticados (por ejemplo, en la web).

Prácticas de desarrollo de software

Como parte del proceso de gestión del ciclo de vida de la aplicación (ALM) de tu agente, somete a los agentes multitenant a niveles superiores de prueba. Los agentes multitenant tienen más áreas de funcionalidad para probar, ya que algunas áreas se comportan de forma diferente que en modo de inquilino único.

Tenga en cuenta estas áreas al trabajar con agentes multiinquilino en Copilot Studio:

• Configura tus entornos de desarrollo y configura el proceso ALM recomendado, que incluye un entorno de desarrollo, un entorno de pruebas, un entorno de pruebas en un segundo tenant y un entorno de producción.
• Planifica y configura tu capacidad para los entornos. Además, planifica una forma proactiva de revisar y supervisar a esos agentes.
• Si planeas crear un agente multiinquilino, asegúrate de tener un tenant separado para las pruebas, de modo que puedas probar la configuración específica en modo multitenant accediendo al agente desde un inquilino diferente al que está alojado el agente.
  • Puedes cargar directamente tu agente en tu tenant de cliente de prueba y configurar la política de aislamiento del tenant en el administrador del Power Platform de tu host para trabajar específicamente con la configuración de tu entorno de prueba.
  • Un cliente o socio puede cargar lateralmente el paquete .ZIP que hace referencia a un agente que se ejecuta en Copilot Studio. El paquete .ZIP se puede cargar a través de Teams o del Centro de administración de Microsoft y administrarlo de la misma manera que para los agentes de un único inquilino en Copilot Studio.

Actualiza tu agente

Los agentes publicados en la Tienda de Teams solo requieren una republicación mediante el proceso de validación de la Tienda de Teams si hay cambios en los metadatos (por ejemplo, propósito, términos, enlaces, etc.). Este requisito significa que cuando un agente no de Microsoft se publica y se pone en marcha, está disponible para todos los usuarios actuales. Este requisito es el mismo para Copilot Studio que para otros canales y métodos de autenticación.

Exportación del manifiesto desde Copilot Studio

Cuando estés listo para probar el agente en el cliente de Microsoft Teams o Microsoft Copilot en otro tenant, necesitas poner el agente disponible en el segundo tenant. Para las pruebas, un administrador de MAC o un usuario con permisos para cargar lateralmente el agente en su cliente (concedidos por un administrador de MAC en el segundo inquilino) debe cargar lateralmente el agente en el otro inquilino.

Puede restringir el acceso al arrendatario host mediante la directiva de aislamiento de arrendatarios del Centro de administración de Power Platform. Añade la información de tu cliente de prueba cuando estés probando en tus propias instancias específicas y avanzando en el proceso de administración del ciclo de vida de la aplicación.

Para exportar el archivo .ZIP del manifiesto, ve a Canales en Copilot Studio, selecciona el canal Teams y Microsoft Copilot y, después, selecciona Editar detalles.

Puedes editar el nombre, la descripción y otros detalles en el archivo manifiesto que requieren Microsoft Teams y Microsoft Copilot. El archivo del manifiesto contiene metadatos importantes sobre tu agente, que el inquilino cliente ve al revisar a tu agente para su uso en el suyo.

Después de editar los detalles, selecciona Opciones de Disponibilidad para exportar el archivo .ZIP.

Esta acción descarga un archivo local de .ZIP a tu máquina. El archivo .ZIP tiene archivos de color de icono y archivos de manifiesto. También puedes editar el manifiesto manualmente. Mientras la función está en vista previa pública, los creadores deben editar el manifiesto, específicamente el Valid Domains nodo. Para más información, consulta Haz que tu agente esté disponible en Teams o Microsoft Copilot.

Información relacionada

• Pon tu agente a disposición en Teams o Microsoft Copilot: Este artículo incluye documentación sobre la carga local y la publicación en la Tienda global de Teams.
• Mejores prácticas, resolución de problemas e información adicional: Este artículo incluye orientación sobre el ciclo de vida del desarrollo de software al crear agentes, consideraciones, resolución de problemas e información sobre la hoja de ruta.