用途：为 AI 智能体与非人类身份（NHI）提供生命周期治理层，包括归属、权限范围、凭据卫生、评审、下线与事件响应。适用对象为 Copilot Studio 智能体、Foundry 智能体、自建 LLM 智能体及其背后的服务主体。不适用于单独的工作负载身份联合、人类身份治理或通用智能体构建指导。
主要能力：清点并标记所有应用注册、服务主体与智能体，标注负责人、业务发起人、用途、数据范围、生命周期阶段与关键级别，孤立身份冻结并要求认领；收紧权限，如 Microsoft Graph 优先用 Sites.Selected 而非 Sites.Read.All，邮箱用 Application Access Policy 限定，Azure 角色分配到资源组或资源级；凭据卫生，新构建不用客户端密钥，改用联合凭据或 Key Vault 自动轮换证书，现有密钥限制 180 天并自动化轮换；对高影响智能体应用工作负载身份的条件访问；通过 Entra ID Governance 做季度访问评审，负责人无响应则自动禁用；构建开通、变更、下线的生命周期工作流，下线设 30 天禁用窗口；将 ServicePrincipalSignInLogs 与 AuditLogs 流式接入 Sentinel，并针对新提高权限、异常登录、Graph 调用激增、非工作时间敏感数据访问、非负责人新增凭据等做检测；智能体被攻陷时禁用身份、轮换凭据、撤销刷新令牌、回溯 7–30 天操作、通知数据所有者并定位根因。
使用方式：按资料中的清单与护栏执行，例如清点并生成负责人、范围与层级报告，将 Copilot Studio 智能体从“All SharePoint”改为指定知识站点，为 600 个智能体身份推出季度访问评审，用联合凭据或 Key Vault 证书替换 120 个遗留自动化服务主体的客户端密钥，对全部 tier-0 智能体应用工作负载身份条件访问。
限制：工作负载身份条件访问需单独许可，设计前需确认 SKU；新智能体的 OAuth 同意须经管理员审核；下线不等于当天删除，需保留 30 天禁用窗口；智能体凭据不得供人使用。资料未提供具体价格、平台支持范围或效果数据。