实践检查点 2:设置 Agent 身份权限

Semperis 实践检查点 4：通过 Microsoft Graph 端到端验证 Entra ID 三种 Agent 身份验证流程（自主流、On-Behalf-Of 流、Agent 用户流），逐步解码各阶段令牌，展示 oid、azp、aud、roles 等声明与 Blueprint、Agent 身份及权限的对应关系。

Semperis 指南第 4 章深入剖析 Agent ID 设计：借助 Microsoft Graph 元数据端点解读 Blueprint、Agent 身份与 Agent 用户如何映射到图数据模型，并梳理应用权限、委托权限与可继承权限的组合逻辑。

解析攻击者滥用 Azure OAuth 获取初始访问与持久化的三类手法，说明如何借助 Entra ID 登录日志与 JWT 字段识别，附 Wiz 遥测数据与可直接使用的 KQL 检测查询。

Semperis《Entra ID Agent 身份攻击》指南第 6 章：聚焦大规模采用 Agent ID 后常见的错误配置——无负责人/担保人的「孤儿」Agent、使用客户端密钥的 Blueprint、权限过高的 Agent 身份，并介绍如何发现与规避这些隐患。

Semperis 指南第 5 章：解读 Microsoft Agent Registry 作为组织内 AI Agent 的集中清单与治理视图（现已移入 Agent 365 管理中心），厘清其与 Entra Agent ID 身份层的分工，并介绍自主、On-Behalf-Of 与用户上下文三种认证流程。

Semperis 指南首个实践检查点：一步步在 Entra ID 租户中搭建真实的 Agent ID 对象集——包括 Blueprint、Blueprint 主体、凭据、Agent 身份与 Agent 用户——全程使用 Microsoft Graph 与 PowerShell。