Protokol autentikasi dalam agen

Agen menggunakan protokol OAuth 2.0 dengan pola pertukaran token khusus yang diaktifkan oleh Federated Identity Credentials (FIC). Semua alur autentikasi agen melibatkan pertukaran token multi-tahap di mana skema identitas agen menggambarkan identitas agen untuk melakukan operasi. Artikel ini menjelaskan protokol autentikasi dan alur token yang digunakan oleh agen. Ini mencakup skenario delegasi, operasi otonom, dan pola kredensial identitas federasi. Microsoft menyarankan agar Anda menggunakan SDK kami seperti Microsoft Entra ID Auth SDK (sidecar) karena mengimplementasikan langkah-langkah protokol ini tidaklah mudah.

Semua entitas agen adalah klien rahasia yang juga dapat berfungsi sebagai API untuk skenario On-Behalf-Of. Alur interaktif tidak didukung untuk jenis entitas agen apa pun, memastikan bahwa semua autentikasi terjadi melalui pertukaran token terprogram daripada alur interaksi pengguna.

Peringatan

Microsoft merekomendasikan penggunaan SDK yang telah disetujui, seperti pustaka Microsoft.Identity.Web dan Microsoft Entra ID Auth SDK (sidecar), untuk mengimplementasikan protokol ini. Implementasi manual protokol ini kompleks dan rawan kesalahan, dan menggunakan SDK membantu memastikan keamanan dan kepatuhan terhadap praktik terbaik.

Prasyarat

Jika Anda belum terbiasa, tinjau dokumen protokol berikut.

Jenis hibah yang didukung

Berikut ini adalah jenis hibah yang didukung untuk aplikasi agen.

Rancangan identitas agen

Cetak biru identitas agen memungkinkan client_credentials akuisisi token yang aman untuk skenario peniruan. jwt-bearer Jenis pemberian memfasilitasi pertukaran token dalam skenario Atas Nama, memungkinkan pola delegasi. refresh_token memungkinkan operasi latar belakang dengan konteks pengguna, mendukung proses jangka panjang yang mempertahankan otorisasi pengguna.

Identitas agen

Identitas agen menggunakan client_credentials untuk operasi otonom khusus aplikasi, memungkinkan fungsionalitas independen tanpa konteks pengguna, dan melakukan impersonasi untuk identitas agen pengguna. Jenis jwt-bearer pemberian mendukung alur kredensial klien dan alur On-Behalf Of (OBO) yang memberikan fleksibilitas dalam pola delegasi. refresh_token memfasilitasi operasi latar belakang yang didelegasikan kepada pengguna, memungkinkan identitas agen mempertahankan konteks pengguna selama operasi yang diperluas.

Alur yang tidak didukung

  • Model aplikasi agen secara eksplisit mengecualikan pola autentikasi tertentu untuk mempertahankan batas keamanan. Agen tidak didukung untuk alur interaktif (/authorize), sehingga semua autentikasi dilakukan secara terprogram.
  • Kemampuan klien publik tidak tersedia, mengharuskan semua agen beroperasi sebagai klien rahasia.
  • URI pengalihan web hanya dapat dikonfigurasi dalam blueprint untuk alur persetujuan (response_type=none), tetapi tidak dapat digunakan untuk memperoleh token secara interaktif. Fungsionalitas URI pengalihan penuh dikonfigurasi pada aplikasi klien.

Pola protokol dasar

Agen dapat beroperasi dalam tiga mode utama:

  • Agen yang beroperasi atas nama pengguna reguler di Microsoft Entra ID (agen interaktif). Ini adalah alur proses atas nama yang biasa.
  • Agen yang beroperasi secara mandiri menggunakan prinsipal layanan yang dibuat untuk agen (otonom).
  • Agen yang beroperasi atas nama mereka sendiri menggunakan prinsipal pengguna yang dibuat khusus untuk agen tersebut (misalnya agen yang memiliki kotak surat mereka sendiri).

Integrasi identitas terkelola

Identitas terkelola adalah jenis kredensial pilihan. Dalam konfigurasi ini, token identitas terkelola berfungsi sebagai kredensial untuk cetak biru identitas agen induk, sementara protokol MSI standar berlaku untuk akuisisi kredensial. Integrasi ini memungkinkan ID agen untuk menerima manfaat penuh dari keamanan dan manajemen MSI, termasuk rotasi kredensial otomatis dan penyimpanan yang aman.

Peringatan

Rahasia klien tidak boleh digunakan sebagai kredensial klien di lingkungan produksi untuk cetak biru identitas agen karena risiko keamanan. Sebagai gantinya, gunakan metode autentikasi yang lebih aman seperti kredensial identitas gabungan (FIC) dengan identitas terkelola atau sertifikat klien. Metode ini memberikan keamanan yang ditingkatkan dengan menghilangkan kebutuhan untuk menyimpan rahasia sensitif langsung dalam konfigurasi aplikasi Anda.

Protokol Oauth

Ada tiga alur OAuth untuk agen:

Diagram memperlihatkan ilustrasi alur OAuth untuk agen.

  • Agen atas nama alur: Agen yang beroperasi atas nama pengguna reguler (agen interaktif).
  • Alur aplikasi otonom: Operasi khusus aplikasi memungkinkan identitas agen bertindak secara otonom tanpa konteks pengguna.
  • Alur akun pengguna agen: Agen yang beroperasi atas nama mereka sendiri menggunakan prinsipal pengguna yang dibuat khusus untuk agen.

Konten terkait

  • Last updated on