Compartir a través de

Configurar la autenticación de usuarios en Copilot Studio

  • Artículo

La autenticación permite a los usuarios iniciar sesión, lo que le da a su copiloto acceso a un recurso o información restringidos. Los usuarios pueden iniciar sesión con Microsoft Entra ID o con cualquier proveedor de identidades OAuth2 como Google o Facebook.

Nota

En Microsoft Teams, puede configurar un copiloto de Copilot Studio para proporcionar funciones de autenticación, de forma que los usuarios puedan iniciar sesión con Microsoft Entra ID o cualquier Proveedor de identidades OAuth2, como una cuenta Microsoft o una cuenta de Facebook.

Puede agregar autenticación de usuario final a temas al editar un tema.

Importante

Los cambios en la configuración de autenticación solo tendrán efecto después de que publique su copiloto. Asegúrese de planificar con anticipación antes de realizar cambios de autenticación en su copiloto.

Elegir una opción de autenticación

Copilot Studio admite varias opciones de autenticación. Elija la que se adapte a sus necesidades.

  1. Vaya a Configuración de su copiloto y seleccione Seguridad.

  2. Seleccione Autenticación.

    Las siguientes opciones de autenticación están disponibles:

  3. Seleccione Guardar.

Sin autenticación

Sin autenticación significa que el copiloto no requerirá que los usuarios inicien sesión cuando interactúen con el copiloto. Una configuración sin autenticar significa que el copiloto solo puede acceder a información y recursos públicos. Los bots de chat clásicos están configurados de forma predeterminada para no requerir autenticación.

Precaución

Al seleccionar la opción Sin autenticación, cualquier persona que tenga el vínculo puede chatear e interactuar con su bot o copiloto.

Se recomienda aplicar la autenticación, especialmente si está utilizando el bot o copiloto dentro de su organización o para usuarios específicos, junto con otros controles de seguridad y gobernanza.

Autenticar con Microsoft

Importante

Cuando la opción Autenticar con Microsoft está seleccionada, se deshabilitarán todos los canales menos el canal Teams.

Además, la opción Autenticarse con Microsoft no está disponible para copilotos integrados con Dynamics 365 Customer Service.

Esta configuración establece automáticamente la autenticación del Id. de Microsoft Entra para Teams sin necesidad de configuración manual. Dado que la autenticación de Teams identifica al usuario, no se pedirá a los usuarios que inicien sesión mientras están en Teams, a menos que el copiloto requiera un ámbito ampliado.

Solo está disponible el canal Teams si selecciona esta opción. Si necesita publicar su copiloto en otros canales, pero aún desea una autenticación para este, elija Autenticarse manualmente.

Si selecciona Autenticar con Microsoft, las siguientes variables están disponibles en el lienzo de creación:

  • User.ID
  • User.DisplayName

Para obtener más información sobre estas variables y cómo utilizarlas, consulte Agregar autenticación de usuario final a temas.

Las variables User.AccessToken y User.IsLoggedIn no están disponibles con esta opción. Si necesita un token de autenticación, utilice la opción Autenticar manualmente.

Si cambia de Autenticar manualmente a Autenticar con Microsoft, y sus temas contienen las variables User.AccessToken o User.IsLoggedIn, se muestran como variables de tipo Desconocido después del cambio. Asegúrese de corregir cualquier tema con errores antes de publicar su copiloto.

Autenticar manualmente

Copilot Studio admite los siguientes proveedores de autenticación bajo la opción Autenticar manualmente:

  • Azure Active Directory
  • Azure Active Directory v2
  • Azure Active Directory v2 con certificados
  • OAuth 2 Genérico - Cualquier proveedor de identidades que cumpla con el estándar OAuth2

Las siguientes variables están disponibles en el lienzo de creación después de configurar la autenticación manual:

  • User.Id
  • User.DisplayName
  • User.AccessToken
  • User.IsLoggedIn

Para obtener más información sobre estas variables y cómo utilizarlas, consulte Agregar autenticación de usuario final a temas.

Una vez que se guarda la configuración, asegúrese de publicar su copiloto para que los cambios surtan efecto.

Nota

  • Los cambios de autenticación solo surten efecto después de que se publique el copiloto.
  • Esta configuración puede controlarse mediante el control de administrador correspondiente en Power Platform. Cuando el control está habilitado, evita que la opción Autenticar manualmente se habilite o deshabilite dentro de Copilot Studio. El control siempre está habilitado y la opción Autenticar manualmente no se puede modificar en Copilot Studio.

Inicio de sesión de usuario obligatorio y uso compartido de copiloto

Requerir que los usuarios inicien sesión determina si un usuario necesita iniciar sesión antes de hablar con el copiloto. Es muy recomendable que active esta configuración para copilotos que necesiten acceder a información confidencial o restringida.

Esta opción no está disponible para las opciones Sin autenticación y Autenticarse con Microsoft .

Nota

Esta opción tampoco se puede configurar cuando la política DLP en el centro de administración de Power Platform está configurada para requerir autenticación. Para obtener más información, consulte Ejemplo de prevención de pérdida de datos: requerir autenticación del usuario final en copilotos.

Si desactiva esta opción, su copiloto no pedirá a los usuarios que inicien sesión hasta que encuentre un tema que requiera que lo hagan.

Cuando activa esta opción, crea un tema del sistema llamado Requerir que los usuarios inicien sesión. Este tema solo es relevante para la configuración Autenticar manualmente. Los usuarios siempre se autentican en Teams.

El tema Requerir que los usuarios inicien sesión se desencadena automáticamente para cualquier usuario que hable con el copiloto sin estar autenticado. Si el usuario no puede iniciar sesión, el tema lo redirige al tema del sistema Escalar.

El tema es de solo lectura y no se puede personalizar. Para verlo, seleccione Ir al lienzo de creación.

Controlar quién puede charlar con el copiloto en la organización

La opción Requerir que el usuario inicie sesión de la autenticación del copiloto en combinación determina si puede compartir el copiloto para controlar quién en su organización puede charlar con él. La configuración de autenticación no afecta al uso compartido de un copiloto para la colaboración.

  • Sin autenticación: cualquier usuario que tenga un vínculo al copiloto (o pueda encontrarlo, por ejemplo, en su sitio web) puede charlar con él. No puede controlar qué usuarios de su organización pueden chatear con el copiloto.

  • Autenticar con Microsoft: el copiloto funciona solo en el canal de Teams. Dado que el usuario siempre estará conectado, la configuración Requerir que los usuarios inicien sesión está activada y no se puede desactivar. Puede usar el uso compartido de copiloto para controlar quién de su organización puede chatear con el copiloto.

  • Autenticar manualmente:

    • Si el proveedor de servicios es Azure Active Directory o Microsoft Entra ID, puede activar Requerir que los usuarios inicien sesión para controlar quién de su organización puede chatear con el copiloto mediante el uso compartido de copiloto.

    • Si el proveedor de servicios es OAuth2 genérica, puede activar o desactivar Requerir que los usuarios inicien sesión. Cuando está activada, un usuario que inicia sesión puede chatear con el copiloto. No puede controlar qué usuarios específicos de su organización pueden chatear con el copiloto mediante el uso compartido de copiloto.

Cuando la configuración de autenticación de un copiloto no puede controlar quién puede chatear con él, si selecciona Compartir en la página de resumen del copiloto, un mensaje le informará de que cualquiera puede chatear con su copiloto.

Campos de autenticación manual

Los siguientes son todos los campos que puede ver cuando configura la autenticación manual. Los campos que verá dependen de su elección para proveedor de servicios.

Nombre de campo Descripción
Plantilla de la dirección URL de autorización La plantilla de URL para autorización, definida por el proveedor de identidades. Por ejemplo, https://login.microsoftonline.com/common/oauth2/v2.0/authorize
Plantilla de la cadena de consulta de la dirección URL de autorización La plantilla de consulta para autorización, tal como la proporciona su proveedor de identidades. Las claves de la plantilla de cadena de consulta variarán según el proveedor de identidades (?client_id={ClientId}&response_type=code&redirect_uri={RedirectUrl}&scope={Scopes}&state={State}).
Client ID Su id. de cliente, obtenido del proveedor de identidades.
Client secret Su secreto de cliente, obtenido cuando creó el registro de la aplicación del proveedor de identidades.
Plantilla del cuerpo de actualización La plantilla para el cuerpo de actualización (refresh_token={RefreshToken}&redirect_uri={RedirectUrl}&grant_type=refresh_token&client_id={ClientId}&client_secret={ClientSecret}).
Plantilla de la cadena de consulta de la dirección URL de actualización El separador de cadena de consulta de URL de actualización para la URL del token, generalmente un signo de interrogación (?).
Plantilla de la dirección URL de actualización La plantilla de URL para actualizar; por ejemplo, https://login.microsoftonline.com/common/oauth2/v2.0/token.
Delimitador de la lista de ámbitos El carácter separador de la lista de ámbitos. No se admiten los espacios vacíos en este campo.1
Ámbitos La lista de ámbitos que desea que los usuarios tengan después de iniciar sesión. Utilice el Delimitador de lista de ámbito para separar varios ámbitos.1 Solo establezca únicamente los ámbitos necesarios y siga el principio de control de acceso de privilegios mínimos.
Proveedor de servicios El proveedor de servicios que desea utilizar para autenticación. Para obtener más información, consulte Proveedores genéricos de OAuth.
Id. de inquilino Su id. de inquilino de Microsoft Entra ID. Consulte Usar un inquilino de Microsoft Entra ID existente para saber cómo encontrar su id. de inquilino.
Plantilla del cuerpo del token La plantilla para el cuerpo de token. (code={Code}&grant_type=authorization_code&redirect_uri={RedirectUrl}&client_id={ClientId}&client_secret={ClientSecret})
Dirección URL de intercambio de tokens (necesaria para SSO) Este es un campo opcional que se usa al configurar el inicio de sesión único.
Plantilla de URL de token La plantilla de URL para tokens, tal como la proporciona su proveedor de identidades; por ejemplo, https://login.microsoftonline.com/common/oauth2/v2.0/token.
Plantilla de la cadena de consulta de la dirección URL de token El separador de cadena de consulta para la URL del token, generalmente un signo de interrogación (?).

1 Puedes usar espacios en el campo Ámbitos si el proveedor de identidades lo requiere. En ese caso, escriba una coma (,) en Delimitador de la lista de ámbitos y escriba espacios en el campo Ámbitos.

Desactivar la autenticación

  1. Con su copiloto abierto, seleccione Configuración en la barra de menú superior.

  2. Seleccione Seguridad y, a continuación, Autenticación.

  3. Seleccione Sin autenticación.

    Si se utilizan variables de autenticación en un tema, se convertirán en variables de tipo Desconocido. Vaya a la página Temas para ver qué temas tienen errores y corregirlos antes de publicarlos.

  4. Publicar el copiloto.

Importante

Si su copiloto tiene acciones configuradas para usar credenciales del usuario final, no desactive la autenticación en el nivel de copiloto, ya que esto impediría que estas acciones funcionen.