Entra: controleer wie agent identity blueprints mag maken

Microsoft wijzigt de standaardrechten in Entra. Gebruikers zonder Entra-rol kunnen agent identity blueprints gaan maken, tenzij een beheerder deze mogelijkheid uitschakelt.

De uitrol begint op 4 november 2026 en is naar verwachting eind november afgerond. Je kunt de voorkeur nu instellen; deze wordt actief zodra de uitrol jouw tenant bereikt.

Waarom deze instelling controleren?

Een blueprint is een sjabloon voor agentidentiteiten en bevat gedeelde authenticatieconfiguratie. Het aanmaken geeft op zichzelf geen toegang tot bedrijfsgegevens: rechten vereisen nog de passende toestemming.

De maker wordt automatisch eigenaar. Blueprint-eigenaren kunnen vanuit die blueprint agentidentiteiten aanmaken zonder Agent ID-rol, mits de gebruikte applicatie de vereiste gedelegeerde rechten heeft.

Beperk registratie door standaardgebruikers

1. Meld je aan bij het Microsoft Entra admin center met minimaal de rol Cloud Application Administrator.
2. Ga naar Entra ID > Users > User settings.
3. Zet onder Default user role permissions de optie Users can create agent blueprints op No.
4. Sla de wijziging op.

De portal kan deze optie ook Users can register agent identity blueprints noemen. De rollen Agent ID Developer en Agent ID Administrator kunnen nog steeds blueprints aanmaken wanneer de instelling uitstaat.

Controleer ook bestaande blueprints

Bestaande blueprints en aanmaakrechten daarop blijven ongewijzigd. Users can register applications is een aparte instelling.

Mijn advies: controleer bestaande eigenaren en rechten en ken Agent ID Developer alleen toe aan mensen die blueprints moeten maken. Leg die keuze vast als onderdeel van je AI-governance.

Gecontroleerd op 15 oktober 2026. Bronnen: MC1506733 (openbaar archief) · Microsoft Learn — aanmaken beperken · Microsoft Learn — blueprint aanmaken · Microsoft Learn — blueprintrechten.