Microsoft Entra Agent ID: AI-agenttien hallinta

Johdanto: miksi tämä on tärkeää

AI-agentit siirtyvät nopeasti erillisistä piloteista laajamittaiseen käyttöönottoon yrityksissä. Kasvu luo uuden identiteetti- ja tietoturvaongelman: organisaatiot tarvitsevat johdonmukaisen näkyvyyden agenttien rönsyilyyn, vahvat vähimmän oikeuden (least privilege) käyttöoikeusohjaimet sekä automatisoidun hallinnan, jotta vaikutusalue (blast radius) pienenee, jos agentti on väärin määritetty tai kompromettoitu. Microsoft Entra Agent ID:n tavoitteena on tehdä agenteista "first-class identities", jotta IT- ja tietoturvatiimit voivat hallita niitä samalla operatiivisella tehokkuudella kuin käyttäjiä, sovelluksia ja laitteita.

Mitä uutta Entra Agent ID:ssä (Public Preview)

1) Oma identiteetti jokaiselle agentille

Entra Agent ID edellyttää, että jokaisella agentilla on yksilöllinen identiteetti, mikä mahdollistaa standardoidun todennuksen, valtuutuksen ja auditoinnin. Microsoft-alustoille (esim. Copilot Studio, Microsoft Foundry, Security Copilot) rakennetut agentit voivat saada Agent ID:n automaattisesti.

2) Agent Registry: yhtenäinen löytäminen ja inventointi

Keskeinen lisäys on Agent Registry, laajennettava metatietovarasto, joka tarjoaa koontinäkymän tenantissa käyttöön otetuista agenteista—Microsoft-alustojen, open-source-kehysten ja kolmannen osapuolen ratkaisujen yli (kehittäjille tarkoitetun agent identity platform -ratkaisun kautta). Tämä kohdistuu suoraan vaikeimpaan operatiiviseen haasteeseen: sen selvittämiseen, mitä on olemassa ja missä se toimii.

3) Agent identity blueprints skaalautuvaan hallintaan

Agent identity blueprints toimivat malleina agenttiluokkien käyttöoikeuksille, rooleille ja hallintakäytännöille. Hyväksy kerran, peri kaikkialla. Olennaista on, että blueprintin poistaminen käytöstä voi välittömästi pysäyttää kaikki siitä luodut agentit—hyödyllistä nopeaan eristämiseen (containment) häiriötilanteissa.

4) Sisäänrakennettu hallinnan automaatio

Entra governance -ominaisuudet laajennetaan koskemaan agentteja, mukaan lukien:

• Lifecycle Workflows sponsoripäivitysten ja deaktivoinnin automatisointiin (jokaisella agentilla on oltava ihmissponsori).
• Access Packages roolien ja resurssikäyttöoikeuksien kokoamiseen hyväksyntään perustuvaksi, auditoitavaksi ja määräaikaiseksi prosessiksi.

5) Tietoturvaohjaimet: Conditional Access ja riskiperusteinen suojaus

Agent ID integroituu Entran ydin-tietoturvaominaisuuksiin:

• Conditional Access for agents (toimijoina tai suojattuina resursseina)
• Identity Protection -signaalit riskialttiiden agenttien tunnistamiseen sekä niiden automaattiseen estämiseen tai rajoittamiseen
• Custom security attributes agenttien merkitsemiseen (esim. "HR-approved") ja attribuuttipohjaisten käyttöoikeuskäytäntöjen valvomiseen

Vaikutukset IT-ylläpitäjille ja tietoturvatiimeille

• Parempi havainnoitavuus: selkeämpi inventaario- ja trendinäkymä Entra admin centerissä.
• Johdonmukaiset suojakaiteet (guardrails): vakiintuneiden Entra-mallien (least privilege, hyväksynnät, elinkaaren hallinta) soveltaminen agentteihin.
• Nopeampi reagointi: blueprint-tason ohjaimet voivat lyhentää eristämiseen kuluvaa aikaa ongelmallisissa agenttiluokissa.

Suositellut seuraavat askeleet

• Ota varhainen käyttöönpääsy käyttöön Microsoft Agent 365:lle ja tutustu Agent ID:hen Entra admin centerissä.
• Aloita löytämisestä: tarkista, kuinka monta agenttia on olemassa tänään ja ketkä toimivat niiden sponsoreina.
• Määritä blueprints yleisille agenttityypeille (HR, finance, IT helpdesk) ja sovella vähimmän oikeuden Access Packages -kokonaisuuksia.
• Pilotoi Conditional Access + Identity Protection -käytäntöjä nimenomaan agentti-identiteeteille.
• Jos rakennat mukautettuja agentteja, arvioi Entra Agent Identity Platform for Developers ja harkitse liittymistä Frontier-varhaisen käyttöönpääsyn ohjelmaan.