用途：该技能用于在 Microsoft Entra ID 中，从代理身份（Agent Identity）创建代理用户（Agent User），使 AI 代理能以数字员工身份运行。代理用户获取的令牌为 idtyp=user，而普通代理身份为 idtyp=app，因此可访问严格需要用户身份的 API 与服务，如 Exchange 邮箱、Teams、组织架构。
前提条件：需具备 Agent ID 能力的 Entra 租户；由代理身份蓝图创建的代理身份（ServiceIdentity 类型的服务主体）；权限 AgentIdUser.ReadWrite.IdentityParentedBy（最小权限）、AgentIdUser.ReadWrite.All 或 User.ReadWrite.All；委托场景下调用者至少需 Agent ID Administrator 角色。identityParentId 必须指向真正的代理身份，而非普通应用服务主体，可通过 @odata.type: #microsoft.graph.agentIdentity 与 servicePrincipalType: ServiceIdentity 验证。
主要步骤：1）用 GET https://graph.microsoft.com/beta/servicePrincipals/{agent-identity-id} 验证代理身份；2）用 POST https://graph.microsoft.com/beta/users/microsoft.graph.agentUser 创建代理用户，必填 accountEnabled、displayName、mailNickname、userPrincipalName、identityParentId；3）可选通过 PUT .../manager/$ref 分配经理；4）可选先 PATCH 设置 usageLocation，再 POST .../assignLicense 分配许可证。PowerShell 可用 Connect-MgGraph 与 Invoke-MgGraphRequest 完成。
能力：可加入 Entra 组（含动态组）、访问仅限用户的 API、拥有邮箱日历联系人、参与 Teams 聊天与频道、出现在组织架构与人员搜索、加入管理单元、分配许可证。
限制：不能设置密码、通行密钥或交互式登录；不能分配特权管理员角色；不能加入可分配角色的组；默认权限类似来宾用户；不支持自定义角色分配。每个代理身份最多对应一个代理用户，重复创建返回 400；UPN 必须唯一，冲突返回 409；未设置 usageLocation 会导致许可证分配失败。配置生效时间：Exchange 邮箱 5–30 分钟，Teams 15 分钟至 24 小时，组织架构最长 24–48 小时，SharePoint/OneDrive 5–30 分钟，全局地址列表最长 24 小时。