Comment bloquer la création d'identité agents IA dans Entra ID

Introduction

À partir du 4 Novembre 2026, tout utilisateur par défaut (sans rôle intégré ou personnalisé dans Entra ID) pourra créer des blueprints d’agents, à moins qu’un administrateur n’ait explicitement désactivé le paramètre “Users can register agent identity blueprints”. Ce comportement s’applique à l’ensemble des tenants Entra ID et se déploie dans le monde entier entre début et fin Novembre 2026.

Un paramètre modifié avant le déploiement effectif n’a aucun effet immédiat : le changement de comportement par défaut ne prend effet qu’à partir du moment où le déploiement atteint le tenant concerné.

Pourquoi c’est important ?

Voir l’article sur les accès conditionnels pour les identités d’agents ICI, qui présentait le blueprint d’agent comme le gabarit à partir duquel sont créées les identités d’agents IA. Jusqu’ici, créer un blueprint nécessitait le rôle Agent ID Developer ou Agent ID Administrator. Le nouveau paramètre par défaut étend cette capacité à tout utilisateur standard, exactement comme Entra ID le fait déjà pour l’enregistrement d’applications via le paramètre “Users can register applications”.

Dans une organisation qui n’ajuste pas ce paramètre, n’importe quel utilisateur sans rôle d’administration pourra donc créer un blueprint d’agent, en devenir propriétaire, et ensuite créer des identités d’agents à partir de ce blueprint sans qu’aucun rôle Entra ID supplémentaire ne soit requis pour cette dernière étape.

Ce qui n’est pas affecté par ce changement

• Blueprints existants : Aucun blueprint déjà créé n’est concerné
• Création d’identités à partir d’un blueprint existant : Reste gouvernée par les permissions actuelles (propriétaire du blueprint, ou rôle Agent ID Developer / Agent ID Administrator / AI Administrator)
• Applications qui créent des identités : Les flux programmatiques via Microsoft Graph ne changent pas
• Microsoft Foundry et Security Copilot : Les prérequis de licences et d’abonnement Azure de ces plateformes restent inchangés

Étape 1 : Se connecter au Microsoft Entra Admin Center

Connectez-vous au Microsoft Entra Admin Center en ouvrant votre navigateur web sur https://entra.microsoft.com.

Étape 2 : Restreindre la création d’identités d’agents IA

Dans le menu de gauche, cliquez sur Users, puis sur User settings, et désactivez l’option Users can register agent identity blueprints.

Les utilisateurs assignés au rôle Agent ID Developer ou Agent ID Administrator conservent la capacité de créer des blueprints, indépendamment de ce paramètre.

Conclusion

Ce changement de comportement par défaut mérite d’être traité avec la même rigueur que l’enregistrement d’applications : une organisation qui ne veut pas que n’importe quel utilisateur puisse créer des identités pour des agents IA doit revoir ce paramètre avant le déploiement complet, prévu fin Novembre 2026.

Sources

Microsoft Learn - Autorisations par défaut des utilisateurs dans Microsoft Entra ID

Microsoft Learn - Créer un blueprint d’identité d’agent

Microsoft Learn - Rôles intégrés Microsoft Entra

Avez-vous apprécié cet article ? Vous avez des questions, commentaires ou suggestions, n’hésitez pas à m’envoyer un message depuis le formulaire de contact.

N’oubliez pas de nous suivre et de partager cet article.