Durante años, dar acceso a una automatización en Azure era crear un service principal, darle un rol y olvidarse. Con los agentes de IA ese modelo no aguanta: deciden qué herramientas usan, actúan en nombre de usuarios, se crean por cientos desde Copilot Studio o Foundry y sobreviven a la persona que los construyó.

Microsoft Entra Agent ID convierte al agente en una identidad de primera clase, con su propio modelo: blueprints que actúan como plantilla de una familia de agentes, identidades de agente en runtime, cuentas de usuario de agente y la figura del sponsor, la persona que responde por él.

En esta sesión lo aterrizamos en FraSoHome, una cadena de retail de hogar con tres agentes que llegan al directorio por tres puertas distintas:

- Un agente de Copilot Studio que ya tiene Agent ID, pero cuya creadora cambió de equipo hace meses.
- Un agente de Foundry que funciona en desarrollo y pierde los permisos al publicarse, porque la identidad compartida del proyecto y la identidad propia no son la misma.
- Un agente propio en un contenedor de Azure, sin secretos, con federated credentials sobre un blueprint aprobado por IT.

Y sobre ellos, los controles que ya conoces aplicados a un sujeto nuevo: RBAC mínimo sobre recursos de Azure, acceso condicional dirigido a blueprints y atributos de seguridad, bloqueo de agentes de alto riesgo, lifecycle workflows cuando el sponsor se va, revisiones de acceso y logs de inicio de sesión. Con Agent 365 como registro donde verlos todos juntos.