Compartir a través de

Configurar la autenticación de usuarios en Copilot Studio

  • Artículo

La autenticación permite a los usuarios iniciar sesión, lo que le da a su agente acceso a un recurso o información restringidos. Los usuarios pueden iniciar sesión con Microsoft Entra ID o con cualquier proveedor de identidades OAuth2 como Google o Facebook.

Nota

En Microsoft Teams, puede configurar un agente de Copilot Studio para proporcionar capacidades de autenticación, de manera que los usuarios puedan iniciar sesión con un Microsoft Entra ID o con cualquier proveedor de identidad de OAuth2, como una cuenta de Facebook o Microsoft.

Puede agregar autenticación de usuario a temas al editar un tema.

Importante

Los cambios en la configuración de autenticación solo tienen efecto después de que publique su agente. Asegúrese de planificar con anticipación antes de realizar cambios de autenticación en su agente.

Elegir una opción de autenticación

Copilot Studio admite varias opciones de autenticación. Elija la que se adapte a sus necesidades.

  1. Vaya a Configuración de su agente y seleccione Seguridad.

  2. Seleccione Autenticación.

    Las siguientes opciones de autenticación están disponibles:

  3. Seleccione Guardar.

Sin autenticación

Sin autenticación significa que el agente no requiere que los usuarios inicien sesión cuando interactúan con él. Una configuración sin autenticar significa que el agente solo puede acceder a información y recursos públicos. Los bots de chat clásicos están configurados de forma predeterminada para no requerir autenticación.

Precaución

Al seleccionar la opción Sin autenticación, cualquier persona que tenga el vínculo puede chatear e interactuar con su bot o agente.

Le recomendamos que aplique la autenticación, especialmente si usa su bot o agente dentro de su organización o para usuarios específicos, junto con otros controles de seguridad y gobernanza.

Autenticar con Microsoft

Importante

Cuando la opción Autenticar con Microsoft está seleccionada, se deshabilitarán todos los canales menos el canal Teams.

Además, la opción Autenticarse con Microsoft no está disponible para agentes integrados con Dynamics 365 Customer Service.

Esta configuración establece automáticamente la autenticación del Id. de Microsoft Entra para Teams sin necesidad de configuración manual. Dado que la autenticación de Teams identifica al usuario, no se pedirá a los usuarios que inicien sesión mientras están en Teams, a menos que el agente requiera un ámbito ampliado.

Solo está disponible el canal Teams si selecciona esta opción. Si necesita publicar su agente en otros canales, pero aún desea una autenticación para este, elija Autenticarse manualmente.

Si selecciona Autenticar con Microsoft, las siguientes variables están disponibles en el lienzo de creación:

  • User.ID
  • User.DisplayName

Para obtener más información acerca de estas variables y cómo usarlas, consulte Agregar autenticación de usuario a temas.

Las variables User.AccessToken y User.IsLoggedIn no están disponibles con esta opción. Si necesita un token de autenticación, utilice la opción Autenticar manualmente.

Si cambia de Autenticar manualmente a Autenticar con Microsoft, y sus temas contienen las variables User.AccessToken o User.IsLoggedIn, se muestran como variables de tipo Desconocido después del cambio. Asegúrese de corregir cualquier tema con errores antes de publicar su agente.

Autenticar manualmente

Copilot Studio admite los siguientes proveedores de autenticación bajo la opción Autenticar manualmente:

  • Azure Active Directory
  • Azure Active Directory v2
  • Azure Active Directory v2 con certificados
  • OAuth 2 Genérico - Cualquier proveedor de identidades que cumpla con el estándar OAuth2

Las siguientes variables están disponibles en el lienzo de creación después de configurar la autenticación manual:

  • User.Id
  • User.DisplayName
  • User.AccessToken
  • User.IsLoggedIn

Para obtener más información acerca de estas variables y cómo usarlas, consulte Agregar autenticación de usuario a temas.

Una vez que se guarda la configuración, asegúrese de publicar su agente para que los cambios surtan efecto.

Nota

  • Los cambios de autenticación solo surten efecto después de que se publique el agente.
  • Esta configuración puede controlarse mediante el control de administrador correspondiente en Power Platform. Cuando el control está habilitado, evita que la opción Autenticar manualmente se habilite o deshabilite dentro de Copilot Studio. El control siempre está habilitado y la opción Autenticar manualmente no se puede modificar en Copilot Studio.

Inicio de sesión de usuario obligatorio y uso compartido de agentes

Requerir que los usuarios inicien sesión determina si un usuario necesita iniciar sesión antes de hablar con el agente. Es muy recomendable que active esta configuración para agentes que necesiten acceder a información confidencial o restringida.

Esta opción no está disponible para las opciones Sin autenticación y Autenticarse con Microsoft .

Nota

Esta opción tampoco se puede configurar cuando la política DLP en el centro de administración de Power Platform está configurada para requerir autenticación. Para obtener más información, consulte Ejemplo de prevención de pérdida de datos: requerir autenticación de usuario en agentes.

Si desactiva esta opción, su agente no pide a los usuarios que inicien sesión hasta que encuentre un tema que requiera que lo hagan.

Cuando activa esta opción, crea un tema del sistema llamado Requerir que los usuarios inicien sesión. Este tema solo es relevante para la configuración Autenticar manualmente. Los usuarios siempre se autentican en Teams.

El tema Requerir que los usuarios inicien sesión se desencadena automáticamente para cualquier usuario que hable con el agente sin estar autenticado. Si el usuario no puede iniciar sesión, el tema lo redirige al tema del sistema Escalar.

El tema es de solo lectura y no se puede personalizar. Para verlo, seleccione Ir al lienzo de creación.

Controlar quién puede charlar con el agente en la organización

La opción Requerir que el usuario inicie sesión de la autenticación del agente en combinación determina si puede compartir el agente para controlar quién en su organización puede charlar con él. La configuración de autenticación no afecta al uso compartido de un agente para la colaboración.

  • Sin autenticación: cualquier usuario que tenga un vínculo al agente (o pueda encontrarlo, por ejemplo, en su sitio web) puede chatear con él. No puede controlar qué usuarios de su organización pueden chatear con el agente.

  • Autenticar con Microsoft: el agente solo funciona en el canal de Teams. Dado que el usuario siempre estará conectado, la configuración Requerir que los usuarios inicien sesión está activada y no se puede desactivar. Puede usar el uso compartido de agentes para controlar quién de su organización puede chatear con el agente.

  • Autenticar manualmente:

    • Si el proveedor de servicios es Azure Active Directory o Microsoft Entra ID, puede activar Requerir que los usuarios inicien sesión para controlar quién de su organización puede chatear con el agente mediante el uso compartido de agentes.

    • Si el proveedor de servicios es OAuth2 genérica, puede activar o desactivar Requerir que los usuarios inicien sesión. Cuando está activada, un usuario que inicia sesión puede chatear con el agente. No puede controlar qué usuarios específicos de su organización pueden chatear con el agente mediante el uso compartido de agentes.

Cuando la configuración de autenticación de un agente no puede controlar quién puede chatear con él, si selecciona Compartir en la página de información general del agente, un mensaje le informará de que cualquiera puede chatear con su agente.

Campos de autenticación manual

Los siguientes son todos los campos que puede ver cuando configura la autenticación manual. Los campos que verá dependen de su elección para proveedor de servicios.

Nombre de campo Descripción
Plantilla de la dirección URL de autorización La plantilla de URL para autorización, definida por el proveedor de identidades. Por ejemplo, https://login.microsoftonline.com/common/oauth2/v2.0/authorize
Plantilla de la cadena de consulta de la dirección URL de autorización La plantilla de consulta para autorización, tal como la proporciona su proveedor de identidades. Las claves de la plantilla de cadena de consulta variarán según el proveedor de identidades (?client_id={ClientId}&response_type=code&redirect_uri={RedirectUrl}&scope={Scopes}&state={State}).
Client ID Su id. de cliente, obtenido del proveedor de identidades.
Client secret Su secreto de cliente, obtenido cuando creó el registro de la aplicación del proveedor de identidades.
Plantilla del cuerpo de actualización La plantilla para el cuerpo de actualización (refresh_token={RefreshToken}&redirect_uri={RedirectUrl}&grant_type=refresh_token&client_id={ClientId}&client_secret={ClientSecret}).
Plantilla de la cadena de consulta de la dirección URL de actualización El separador de cadena de consulta de URL de actualización para la URL del token, generalmente un signo de interrogación (?).
Plantilla de la dirección URL de actualización La plantilla de URL para actualizar; por ejemplo, https://login.microsoftonline.com/common/oauth2/v2.0/token.
Delimitador de la lista de ámbitos El carácter separador de la lista de ámbitos. No se admiten los espacios vacíos en este campo.1
Ámbitos La lista de ámbitos que desea que los usuarios tengan después de iniciar sesión. Utilice el Delimitador de lista de ámbito para separar varios ámbitos.1 Solo establezca únicamente los ámbitos necesarios y siga el principio de control de acceso de privilegios mínimos.
Proveedor de servicios El proveedor de servicios que desea utilizar para autenticación. Para obtener más información, consulte Proveedores genéricos de OAuth.
Id. de inquilino Su id. de inquilino de Microsoft Entra ID. Consulte Usar un inquilino de Microsoft Entra ID existente para saber cómo encontrar su id. de inquilino.
Plantilla del cuerpo del token La plantilla para el cuerpo de token. (code={Code}&grant_type=authorization_code&redirect_uri={RedirectUrl}&client_id={ClientId}&client_secret={ClientSecret})
Dirección URL de intercambio de tokens (necesaria para SSO) Este es un campo opcional que se usa al configurar el inicio de sesión único.
Plantilla de URL de token La plantilla de URL para tokens, tal como la proporciona su proveedor de identidades; por ejemplo, https://login.microsoftonline.com/common/oauth2/v2.0/token.
Plantilla de la cadena de consulta de la dirección URL de token El separador de cadena de consulta para la URL del token, generalmente un signo de interrogación (?).

1 Puedes usar espacios en el campo Ámbitos si el proveedor de identidades lo requiere. En ese caso, escriba una coma (,) en Delimitador de la lista de ámbitos y escriba espacios en el campo Ámbitos.

Desactivar la autenticación

  1. Con su agente abierto, seleccione Configuración en la barra de menú superior.

  2. Seleccione Seguridad y, a continuación, Autenticación.

  3. Seleccione Sin autenticación.

    Si se utilizan variables de autenticación en un tema, se convertirán en variables de tipo Desconocido. Vaya a la página Temas para ver qué temas tienen errores y corregirlos antes de publicarlos.

  4. Publique el agente.

Importante

Si su agente tiene acciones configuradas para requerir credenciales de usuario, no desactive la autenticación en el nivel agente, ya que esto impediría que estas acciones funcionen.