Agent Blueprint in Microsoft Entra: Warum Admins die Erstellung vor dem 4. November sperren sollten

• Ab dem 4. November 2026 können in Microsoft Entra alle Benutzer ohne Admin-Rolle einen Agent Blueprint anlegen, weil die neue Einstellung „Users can create agent blueprints“ standardmäßig eingeschaltet ist.
• Ein Agent Blueprint ist die Vorlage, aus der KI-Agenten ihre eigene Identität in Entra erhalten, und ähnelt technisch einer App-Registrierung.
• Die Einstellung ist unabhängig von „Users can register applications“: Wer App-Registrierungen gesperrt hat, blockiert damit keine Blueprints.
• Admins können den Schalter schon jetzt unter Entra ID > Benutzer > Benutzereinstellungen auf „Nein“ setzen und Entwicklern gezielt die Rolle Agent ID Developer zuweisen.

Ab dem 4. November 2026 dürfen in Microsoft Entra alle Benutzer ohne Admin-Rolle einen Agent Blueprint anlegen, sofern ein Administrator das nicht vorher abschaltet. Microsoft hat die Änderung am 13. Oktober 2026 im Message Center unter MC1506733 angekündigt. Der weltweite Rollout beginnt Anfang November und soll Ende November abgeschlossen sein.

Gesteuert wird das über die neue Einstellung „Users can create agent blueprints“ in den Standardberechtigungen für Benutzer. Sie steht ab Werk auf „Ja“. Bisher konnten nur Administratoren und Benutzer mit den Rollen Agent ID Developer oder Agent ID Administrator Blueprints erstellen.

Ein Agent Blueprint ist Teil von Microsoft Entra Agent ID, der Identitätsplattform für KI-Agenten, die zu Microsoft Agent 365 gehört. Er ist die Vorlage und die Anmeldegrundlage, aus der KI-Agenten ihre eigene Identität im Verzeichnis erhalten. Über den Blueprint fordern die Agenten ihre Zugriffstoken an.

Im Blueprint sind unter anderem Beschreibung, App-Rollen, verifizierter Herausgeber und Authentifizierungseinstellungen festgelegt. Alle Agenten, die aus einem Blueprint entstehen, teilen diese Eigenschaften. Technisch ähnelt ein Blueprint damit stark einer App-Registrierung.

Wie Agent 365 und Entra Agent ID zusammenspielen, lesen Sie auf unserer Seite zu Microsoft Agent 365 und Entra Agent ID.

• Der Ersteller wird Besitzer. Besitzer eines Blueprints können Zugangsdaten verwalten, die Konfiguration ändern, weitere Besitzer hinzufügen und Agent-Identitäten aus dem Blueprint erzeugen, ganz ohne Agent-ID-Rolle.
• Blueprints halten Zugangsdaten. Zugangsdaten am Blueprint gelten für jede Agent-Identität, die darauf aufbaut.
• Ein kompromittiertes Konto reicht. Übernimmt ein Angreifer ein normales Benutzerkonto, kann er eigene Agenten-Identitäten im Tenant anlegen. Zwischen einem solchen Agenten und Ihren Daten steht dann nur noch Ihre Consent-Konfiguration.
• Keine Lizenzhürde. Für das Anlegen von Blueprints und Agenten ist keine zusätzliche Lizenz nötig.
• Die App-Sperre schützt nicht. Die neue Einstellung ist unabhängig von „Users can register applications“. Wer App-Registrierungen für Benutzer bereits gesperrt hat, blockiert damit keine Blueprints.

1. Melden Sie sich mindestens als Cloud Application Administrator im Microsoft Entra Admin Center an.
2. Öffnen Sie Entra ID > Benutzer > Benutzereinstellungen.
3. Setzen Sie unter den Standardberechtigungen für Benutzerrollen „Users can create agent blueprints“ auf „Nein“. Je nach Stand heißt der Schalter auch „Users can register agent identity blueprints“.
4. Speichern Sie die Änderung.

Ist der Schalter noch nicht sichtbar, hilft ein vollständiges Neuladen der Seite mit Strg + F5. Die Einstellung lässt sich schon jetzt setzen und greift, sobald der Rollout Ihren Tenant erreicht.

Per Microsoft Graph steuern Sie dasselbe über die Eigenschaft allowedToCreateAgentIdentityBlueprints in der authorizationPolicy (Beta-Endpunkt, Berechtigung Policy.ReadWrite.Authorization).

• Vorhandene Blueprints: Das Abschalten entfernt keine bestehenden Blueprints und nimmt ihren Besitzern keine Rechte. Prüfen Sie unter Entra ID > Agents > Agent blueprints, welche Blueprints es gibt und wer Besitzer ist.
• Rollen gezielt vergeben: Mitarbeiter, die tatsächlich Agenten entwickeln, erhalten die Rolle Agent ID Developer. Sie ist der Weg mit den geringsten Rechten. Die Rolle Agent ID Administrator verwaltet alle Agenten im Tenant und ist die einzige Agent-ID-Rolle, die einem Blueprint ein Secret oder Zertifikat hinzufügen darf. Behandeln Sie sie wie den Application Administrator.
• Benutzer-Consent einschränken: Beschränken Sie unter Entra ID > Enterprise-Apps > Einwilligung und Berechtigungen die Benutzereinwilligung und aktivieren Sie den Workflow für die Administratoreinwilligung. So beantragen Benutzer Zugriff, statt ihn selbst zu erteilen.
• Besitzer regelmäßig prüfen: Der Besitz eines Blueprints wirkt wie eine Berechtigung. Nehmen Sie Blueprint-Besitzer in Ihre regelmäßigen Zugriffsprüfungen auf.

Wir empfehlen, die Einstellung vor dem 4. November auf „Nein“ zu setzen, so wie viele Unternehmen schon App-Registrierungen durch Benutzer sperren. KI-Agenten brauchen eine geregelte Einführung: Wer baut Agenten, wer gibt sie frei und auf welche Daten dürfen sie zugreifen? Agenten entwickeln Sie dann kontrolliert, zum Beispiel mit Microsoft Copilot Studio.

Wenn Sie nicht sicher sind, wie Ihr Tenant aktuell eingestellt ist, prüfen wir das im Microsoft 365 Tenant Check. Grundlagen zur Absicherung von Identitäten finden Sie auf unserer Seite zu Microsoft Entra ID. Als Microsoft Solutions Partner für Security unterstützt die InSys AG^® Sie als Microsoft 365 Partner für Security bei allen Fragen rund um Entra, Copilot und KI-Agenten.