Si vos équipes créent des agents dans Copilot Studio depuis plus de six mois, votre locataire contient probablement des dizaines d’inscriptions d’application Azure que personne n’a jamais regardées comme des « agents ». Microsoft est en train de les convertir en identités Microsoft Entra Agent ID, avec ou sans votre aide. Autant savoir ce qui se passe et choisir le moment.
Ce que Microsoft a annoncé
Selon la documentation de Copilot Studio (page mise à jour le 24 septembre 2026), voici la situation :
- Avant mai 2026, Copilot Studio créait automatiquement une inscription d’application Azure dans votre locataire pour chaque agent.
- Après mai 2026, chaque nouvel agent reçoit directement une identité Microsoft Entra Agent ID.
- Les agents existants sont migrés automatiquement par Microsoft. L’avis MC1478488 du Centre de messages (publié le 24 septembre 2026) précise que le déploiement graduel de la migration libre-service dans Power Platform Advisor a commencé le 24 août 2026 et que les migrations automatiques ont débuté en septembre 2026.
Aucune date de fin n’est donnée pour la migration automatique. Vous ne savez donc pas quand vos agents seront touchés. La documentation décrit par ailleurs la migration manuelle comme une fonction en préversion : elle n’est pas destinée à la production, même si l’opération touche des agents bien réels.
Pourquoi ça vaut la peine
Une inscription d’application est un objet pensé pour des applications, pas pour des agents d’IA qui lisent vos fichiers et agissent en votre nom. L’identité d’agent corrige cela. D’après Microsoft, elle apporte :
- une identité de première classe que les administrateurs voient et gouvernent dans Microsoft Entra ;
- des politiques d’accès conditionnel conçues pour les agents (emplacement réseau, conformité de l’appareil, niveau de risque) ;
- des journaux d’audit dans Entra ID et une gestion du cycle de vie ;
- la visibilité des permissions des connecteurs comme permissions d’API sur l’identité de l’agent : un administrateur Entra voit ce que l’agent peut faire sans ouvrir le Centre d’administration Power Platform.
Pour un projet Copilot, c’est le chaînon qui manque entre « nous avons des agents » et « nous savons ce qu’ils peuvent toucher ». Le lien avec le surpartage est direct : un agent mal borné hérite de ce que son identité peut lire.
Ce que la migration change (et ne change pas)
La migration convertit l’identité sur place. L’agent garde son identifiant d’application (client) : les inscriptions de canaux et les connecteurs qui s’y réfèrent continuent de pointer vers le même identifiant. L’agent gagne en plus une identité Entra Agent ID. Vous pouvez migrer un agent ou un lot et revenir à l’identité d’origine si la validation échoue.
Que faire cette semaine ?
1. Préparer
Vous devez être administrateur Power Platform, administrateur Dynamics 365 ou administrateur général. L’inventaire Power Platform doit aussi être activé dans le locataire : sans lui, Advisor ne repère aucun agent admissible. Avisez les concepteurs d’agents et convenez d’une fenêtre de validation.
2. Migrer un lot pilote
Dans le Centre d’administration Power Platform, allez à Actions, Recommandations, onglet Actif, puis ouvrez la recommandation « Migrate Copilot Studio agents to Microsoft Entra Agent ID for enhanced agent governance ». Le tableau propose un ordre de migration suggéré et des notes pour chaque agent. Choisissez quelques agents non critiques qui couvrent vos canaux, vos modes d’authentification et vos connecteurs. Microsoft déconseille de tout migrer d’un coup.
3. Valider avant de continuer
Pour chaque agent migré, vérifiez qu’il répond dans tous ses canaux, que ses actions et ses flux s’exécutent et que l’authentification fonctionne. Un piège que mentionne la documentation : un agent peut très bien répondre dans la fenêtre de test et rester muet dans Teams si une politique d’accès conditionnel bloque l’authentification requise. Consultez les journaux de connexion dans Entra. Si un agent échoue, arrêtez le déploiement et revenez à l’ancienne identité pour cet agent.
4. Faire l’inventaire des identités d’agents
Le script ci-dessous liste les identités d’agents de votre locataire avec l’API Microsoft Graph (point de terminaison /servicePrincipals/microsoft.graph.agentIdentity, version 1.0). Il est en lecture seule, demande la permission déléguée AgentIdentity.Read.All et exporte un fichier CSV. Un administrateur sans rôle de propriétaire a besoin du rôle Entra « Agent ID Administrator ». Exécutez-le avant et après la migration de votre lot pilote pour comparer les résultats.
<#
.SYNOPSIS
Inventaire en lecture seule des identités d'agents (Entra Agent ID) du locataire.
.DESCRIPTION
Lit GET /servicePrincipals/microsoft.graph.agentIdentity (Microsoft Graph v1.0) et exporte un CSV.
Aucune écriture. Permission déléguée requise : AgentIdentity.Read.All.
#>
[CmdletBinding()]
param(
[string]$Path = ".\agent-identities.csv"
)
Connect-MgGraph -Scopes "AgentIdentity.Read.All" -NoWelcome
$uri = "https://graph.microsoft.com/v1.0/servicePrincipals/microsoft.graph.agentIdentity?`$select=id,displayName,accountEnabled,createdDateTime,agentIdentityBlueprintId&`$top=100"
$agents = [System.Collections.Generic.List[object]]::new()
while ($uri) {
$page = Invoke-MgGraphRequest -Method GET -Uri $uri
foreach ($item in $page.value) {
$agents.Add([pscustomobject]@{
Nom = $item.displayName
Id = $item.id
Actif = $item.accountEnabled
Cree = $item.createdDateTime
Blueprint = $item.agentIdentityBlueprintId
})
}
$uri = $page.'@odata.nextLink'
}
$agents | Sort-Object Cree | Export-Csv -Path $Path -NoTypeInformation -Encoding UTF8
Write-Output ("{0} identité(s) d'agent exportée(s) vers {1}" -f $agents.Count, $Path)Pour ceux qui préfèrent automatiser la migration, Microsoft documente aussi des points de terminaison de l’API Power Platform (opérations migrate et rollback, en POST). Je ne publie pas de script d’écriture ici : l’interface Advisor est la méthode recommandée.
5. Resserrer les politiques
Une fois la validation faite, relisez vos politiques d’accès conditionnel pour y inclure les agents. Documentez aussi qui est propriétaire de chaque agent : une identité sans responsable est le début d’un agent orphelin.
Le plus intéressant dans cette migration n’est pas technique. Pendant des mois, les agents ont vécu dans l’ombre des inscriptions d’application, là où peu d’administrateurs regardent. En les rendant visibles dans Entra, Microsoft force une conversation que les organisations auraient dû avoir plus tôt : qui possède cet agent, à quoi accède-t-il et qui l’arrête s’il dérape ? Les organisations qui profiteront le mieux du changement seront celles qui s’en servent pour faire le ménage plutôt que d’attendre que la migration automatique le fasse à leur place. Je reviendrai sur l’identité des agents dans un prochain article, quand la fonction sortira de la préversion.
