Agent 365 Workshop

Eure neuen Kollegen haben keinen Arbeitsvertrag.

Ein Onboarding brauchen sie trotzdem. Im Agent 365 Workshop finden wir die Agents, die in eurem Tenant schon arbeiten, und klären, wem sie gehören, was sie dürfen und was mit ihnen passiert, wenn ihr Verantwortlicher geht.

Workshop anfragen

Vier Fragen, auf die kaum ein Tenant eine Antwort hat

Agents entstehen heute dort, wo früher Excel-Makros entstanden sind: in den Fachbereichen, schnell und ohne Ticket. Das ist gewollt, und wir finden das gut so. Es heißt aber, dass die Zahl der Konten ohne Personalakte schneller wächst als jede andere Gruppe im Verzeichnis, und dass die Geschäftsführung irgendwann vier Fragen stellt, auf die der Tenant selbst keine Antwort gibt.

Wer hat den Agent eingestellt?In der Registry steht ein Name. Ob die Person noch im Unternehmen ist und von ihrer Verantwortung weiß, steht dort nicht.
Was darf er?Ein Agent, der im Auftrag eines Users handelt, erbt dessen Rechte. Ein autonomer Agent arbeitet mit eigenen. Beides muss jemand bewusst entschieden haben.
Wer haftet?Für Zugriffe, Ausgaben und Fehler eines Agents steht das Unternehmen gerade. Deshalb braucht jeder Agent einen Sponsor, so wie jeder Gast.
Was passiert, wenn der Verantwortliche geht?Die Service Principals aus dem letzten Jahrzehnt zeigen es: Sie laufen weiter, bis sie jemand findet. Agents brauchen ein Ablaufdatum und eine Prüfung, die wiederkommt.

Die Differenz zwischen euren Mitarbeitenden und den Identitäten mit Zugriff auf eure Daten ist eure unsichtbare Belegschaft. Agents sind ihr jüngster Teil, und der, der am schnellsten wächst.

Der erste Schritt

Agent 365 Workshop

Wir bringen die Abfragen mit, ihr den Tenant und die Menschen, die wissen, was in den Fachbereichen gebaut wurde. Am Ende liegt eine Liste auf dem Tisch: welche Agents arbeiten, wer sie gebaut hat, was sie dürfen und welche davon bleiben sollen. Danach entscheidet ihr auf Basis von Fakten.

InventarRegistry und ClientsAgent 365 sammelt Agents aus Microsoft 365, Copilot Studio, Power Platform und Foundry. Defender for Endpoint findet die lokalen auf den Clients. Wir werten beides mit KQL zusammen aus.
ZuordnungSponsor und RechteFür jeden Agent klären wir, wer ihn verantwortet, ob er im Auftrag eines Users handelt oder mit eigener Identität, und worauf er dabei zugreift.
RegelnBlueprint und LifecycleWas Conditional Access für Agent-Identitäten kann und was nicht, wie Agent Blueprints Rechte vor dem Bau festlegen, und wie Ablaufdatum und Access Reviews auch für Agents laufen.
ErgebnisListe und nächste SchritteDie Liste eurer Agents mit Verantwortlichen, die Entscheidungen, die ihr jetzt treffen müsst, und ein Vorschlag, wie es weitergeht, mit oder ohne uns.

Agent 365 Workshop anfragen

Für wen der Workshop gedacht ist

Für Unternehmen, bei denen Agents schon arbeiten, auch wenn das noch niemand gezählt hat. Microsoft 365 E7 bringt Agent 365 und die Entra Suite mit, der Workshop funktioniert aber auch mit Agent 365 als einzelner Lizenz.

Was ihr mitbringt

Einen Microsoft-365-Tenant mit Agent 365 oder E7
Globale Leserechte für den Tag, kein Admin-Zugriff
Die Menschen, die wissen, was in Copilot Studio und SharePoint gebaut wurde
Optional Defender for Endpoint Plan 2 für die Agents auf den Clients

Was wir mitbringen

Die KQL-Abfragen für Registry und Clients
Die Fragen, die wir in jedem Tenant stellen
Erfahrung mit Service Principals, die niemand mehr kennt
Die Agent-Blueprints, an denen wir gerade bauen

Und danach

Die Liste ist der Anfang, nicht das Ende.

Agents haben kein Gerät und keinen Standort. Bei ihnen greifen Geräte- und Netzwerkschutz nicht, nur die Identität. Deshalb landet jede Antwort aus dem Workshop in Entra: Sponsor, Rechte, Ablaufdatum, Conditional Access. Wer das nicht von Hand pflegen will, lässt es uns als Code betreiben. Managed Entra ist der Betrieb, der aus der Liste einen Zustand macht, der bleibt.

Zu Managed Entra

Fragen, die wir vor dem Workshop hören

Kurz beantwortet. Wenn eure Frage fehlt, stellt sie uns unten.

Agents sind bei uns noch kein Thema.

Oft arbeiten schon welche, gebaut in Copilot Studio, als SharePoint Agents oder lokal auf den Clients. Der Workshop zeigt, wer sie gebaut hat und was sie dürfen. Wenn die Liste leer bleibt, wisst ihr das danach sicher.

Brauchen wir dafür E7?

Nein. Agent 365 gibt es als eigene Lizenz, E7 bringt es zusammen mit E5, Copilot und der Entra Suite mit. Für die Agents auf den Clients hilft Defender for Endpoint Plan 2, das ist aber optional.

Sieht der Workshop alle Agents?

Nein, und das sagen wir vorher. Die Registry zeigt vor allem Microsoft-eigene Agents und solche auf Microsoft-Plattformen. Wer per API-Key auf eure Daten zugreift, läuft an Entra vorbei. Diese Lücke benennen wir, statt sie zu übergehen.

Braucht ihr Admin-Rechte in unserem Tenant?

Nein. Die Abfragen laufen mit Leserechten, geändert wird im Workshop nichts. Was ihr danach ändert, entscheidet ihr.

Was passiert nach dem Workshop?

Ihr habt die Liste und die offenen Entscheidungen. Viele Kunden räumen damit erst einmal selbst auf. Wer die Regeln dauerhaft als Code betreiben lassen will, bekommt ein Angebot für Managed Entra, zum Festpreis.