用途：为 AI 智能体在 Microsoft Entra 中创建可承载 OAuth 2.0 的身份，使每个智能体实例拥有独立身份、审计轨迹与独立范围的权限授予。对象模型为 Blueprint（应用）→ BlueprintPrincipal（服务主体）→ Agent Identity（服务主体）。适用于新 Blueprint 与 BlueprintPrincipal 预配、创建按实例的 Agent Identity、在 Blueprint 上配置凭据、实现两步 fmi_path 运行时令牌交换（自主或 OBO）、跨租户令牌流、部署 AgentID SDK sidecar 及按身份授权。
主要能力：通过 Microsoft Graph（https://graph.microsoft.com/v1.0）调用 typed endpoint 创建 Blueprint、BlueprintPrincipal 与 Agent Identity；配置联合身份凭据（FIC）、托管身份或客户端密钥；授予应用权限（appRoleAssignments）与委派权限（oauth2PermissionGrants）；诊断 AADSTS82001、AADSTS700211、PropertyNotCompatibleWithAgentIdentity 等错误。
使用方式：需 Agent Identity Developer、Agent Identity Administrator 或 Application Administrator 角色。PowerShell 可安装 Microsoft.Graph.Applications 并 Connect-MgGraph 指定委派作用域；Python 可用 azure-identity 与 requests。凭据存放在 Blueprint 上，Agent Identity 本身不能持有凭据。创建 Blueprint 后必须显式创建 BlueprintPrincipal，否则报 400。生产建议使用托管身份加联合身份凭据，客户端密钥仅用于本地开发。
限制：DefaultAzureCredential 不支持；Azure CLI 令牌因 Directory.AccessAsUser.All 会被硬拒绝 403。令牌交换须用 client_credentials 配 fmi_path，不能使用 RFC 8693；两步均用 /.default 作用域。Agent Identity 不支持浏览器式管理员同意，需用 oauth2PermissionGrants。管理员同意后声明可能有 30–120 秒延迟。AgentID SDK 须仅监听 localhost，不可经 LoadBalancer 或 Ingress 暴露。部分配置细节与已知限制见原参考资料。