Entra Agent ID: de agents die het niet dekt

Microsoft Entra Agent ID is algemeen beschikbaar en doet zijn werk goed: een agent krijgt een eigen directory-object, een bij naam genoemde menselijke sponsor, toegang die verloopt en Conditional Access die agentrisico meeweegt. Het probleem zit niet in dat geregelde pad. Het zit in de agents in uw tenant die er nooit in terecht zijn gekomen, en de drie credentials die in oktober 2026 zijn gelanceerd halen er geen enkele van binnen.

Welke agents in uw tenant hebben al een Entra Agent ID?

De governancedocumentatie van Microsoft beschrijft vier objecttypen: een agent identity blueprint, een blueprint principal, een agentidentiteit en een agent user. Daaromheen staat machinerie die elk identityteam herkent. Een sponsor is een bij naam genoemde medewerker die verantwoordelijk is voor de levenscyclus van een agent, en Microsoft stelt dat het sponsorschap automatisch overgaat naar de leidinggevende zodra de sponsor de organisatie verlaat. Toegang loopt via access packages met groepslidmaatschappen, OAuth-API-rechten en directoryrollen, met een vervaldatum die de sponsor vooraf waarschuwt. Doet hij niets, dan vervalt de toewijzing en verliest de agent zijn toegang. Conditional Access weegt agentrisico uit Entra ID Protection mee en koppelt op blueprintniveau, zodat elke agent uit die blueprint het beleid overerft. De governancedocumentatie van Entra Agent ID is daar expliciet over.

Twee kanttekeningen wegen zwaarder dan de functielijst. Ten eerste de licentiedrempel: agent-governance vraagt Microsoft 365 E7, of Microsoft Agent 365 met minimaal Entra P1 of Microsoft 365 E3. Een inkoopbeslissing in een technisch jasje. Ten tweede de dekking. Copilot Studio documenteert dat agents van vóór de invoering van Entra Agent ID in mei 2026 nog op klassieke app-registraties draaien, en de releasenotities van Entra Agent ID markeren de wizard voor blueprints en identiteiten nog als preview en noemen migratiehandleidingen voor eigen app-registraties en Copilot Studio-agents. Die bestaan omdat er iets te migreren valt.

Nog een detail: bij een Entra-agentidentiteit wordt de eigenaar toegevoegd als sponsor met beperkte rechten en niet als volledige eigenaar, en sommige bestaande agents hebben volgens Microsoft helemaal geen sponsor. Bij een oude app-registratie is de eigenaar wél volledig eigenaar, en kan elke Global, Application of Cloud Application Administrator er een nieuw geheim voor aanmaken.

De standaardenvraag is er ook nog. Toen we in september naar de vier IETF-ontwerpen over agent-identiteit keken, waren twee van de meest geciteerde verlopen en had geen enkel ontwerp formele status. Daarom is elke credential hieronder een leveranciersobject en geen overdraagbaar object. Hetzelfde patroon zit een laag dieper bij clientregistratie in MCP, waar Entra ID noch dynamische registratie noch client-ID-metadatadocumenten accepteert, zodat een agent die een MCP-server benadert nog altijd binnenkomt als iets wat u met de hand heeft geregistreerd.

Wat hebben ServiceNow en Microsoft op 15 oktober precies uitgebracht?

Twee agent-credentials, op dezelfde dag, van verschillende leveranciers, in dezelfde ondernemingsomgeving.

ServiceNow AI Passport is een cryptografisch ondertekende credential die vastlegt wat een agent mag doen, opgebouwd uit bedrijfscontext in de CMDB, governancebeleid en workflowgoedkeuringen, en bij elke stap gecontroleerd terwijl de agent zich tussen workflows en tools beweegt. Het verslag van de lancering bij Diginomica citeert Nenshad Bardoliwalla, SVP AI Products, over handhaving in gradaties in plaats van een binaire stop: "It's more like a dimmer switch." De demo was een retouragent met een limiet van 25 dollar, die 18 dollar automatisch afhandelde en een verzoek van 40 dollar niet zelfstandig mocht uitvoeren. Beschikbaarheid wordt verwacht in het vierde kwartaal van 2026, met NVIDIA als ontwerp- en lanceringspartner en handhaving via het Open Agent Safety Platform van NVIDIA. ServiceNow stelt dat Passport open specificaties gebruikt waarmee andere governanceproducten, identityproviders en handhavingspunten de credential kunnen uitgeven en verifiëren, maar noemt ze niet.

Microsoft agent accounts, diezelfde dag aangekondigd binnen het Frontier-preview-programma, gaan verder uw directory in. De prereleasedocumentatie van Microsoft stelt dat een agent een eigen Entra-account krijgt, een mailbox waarmee hij mail verstuurt en ontvangt en op distributielijsten staat, en zichtbaarheid in Teams en de directory waar collega's hem met een @-vermelding aanspreken. In de EER gelden het account, de mailbox en de directoryvermelding onverkort, maar verschijnt de agent alleen in Teams als de tenant Teams apart licentieert. Elke gepubliceerde agent verbruikt een Frontier for AI Teammates-licentie; de maker heeft E5 met de Agent 365-add-on of E7 nodig. De agent houdt één geheugen bij voor iedereen waarmee hij werkt en u kunt zich daar in deze preview niet aan onttrekken: gebruik geldt als toestemming.

Google was een week eerder. Op Gemini at Work van 8 oktober kregen blijvende collega-agents een eigen Workspace-identiteit, een e-mailadres op een agents-subdomein, een agenda en Drive-opslag, volgens het verslag van Futurum. Drie leveranciers in uw eigen omgeving, drie uitgevers, zeven dagen.

Waar zit de ongeregelde populatie eigenlijk?

Tel eerst, voordat u iets hiervan invoert. In een Microsoft-omgeving in het middensegment zit een agent-credential op een van vijf plekken, elk met een ander punt waar u hem kunt intrekken:

1. Copilot Studio- en eigen agents van vóór mei 2026. Object: een app-registratie. Intrekken: het clientgeheim of certificaat verwijderen in Entra, in de wetenschap dat drie beheerdersrollen een nieuwe kunnen aanmaken.
2. Foundry en eigen applicaties die nooit zijn gemigreerd. Object: opnieuw een app-registratie, in handen van wie hem bouwde.
3. De pilot die onder het account van een medewerker draait. Object: het gebruikersaccount van een mens. Intrekken betekent iemand blokkeren die zijn werk nog moet doen.
4. De credential in het automatiseringsplatform. Een koppeling in n8n, Make of Zapier bewaart een geheim, in te trekken in de console van dat platform en niet in uw directory.

1. De agent van uw AI-leverancier die uw API aanroept. Object: een API-sleutel aan hun kant. Intrekken is een supportticket.

Houd die telling tegen uw eigen tenant aan; de uitkomst valt zelden mee. Wat daarna telt: de lanceringen van oktober geven credentials uit voor nieuwe agents op hun eigen platform. Geen van drieën raakt punt één tot en met vijf.

Waarom levert een tweede credential geen tweede noodknop op?

Omdat de noodknop niet de credential is. Het is het handhavingspunt dat hem controleert, en elke credential hier wordt door zijn eigen punt gecontroleerd. AI Passport wordt geverifieerd binnen aangesloten handhavingspunten, bij de lancering dat van NVIDIA. Een Entra Agent ID regelt de authenticatie naar kanalen en diensten en de connectorrechten waar Conditional Access op kan sturen. Een Frontier agent account voegt een mailbox en directoryvermelding toe. De een intrekken trekt de ander niet in, omdat die er niet naar gevraagd wordt.

Hier moet het partnerschapsverhaal worden aangescherpt in plaats van herhaald. Futurums analyse van de uitgebreide samenwerking tussen ServiceNow en Microsoft, gepubliceerd in november 2025, stelde dat AI Control Tower en Agent 365 samen een governancelaag over veel AI-systemen vormen, en merkte op dat Agent 365 automatisch agents van Microsoft, ServiceNow, Adobe, Workday en anderen detecteert. Dat is een eerlijke beschrijving van ontdekken, de helft die werkt. Dat u een agent vindt, zegt u alleen dat hij bestaat. Het zegt zijn uitgever niet dat hij zijn token niet langer moet honoreren.

Dezelfde analist kwam op de lanceringsdag terug op het onderwerp, onder de kop dat AI Passport het governancegat dicht. Het dicht dat gat voor agents waaraan ServiceNow een passport uitgeeft; hoe intrekken werkt bij een credential van een andere leverancier, beschrijft het stuk nergens. De vijf plekken hieronder zijn precies die credentials.

Dat onderscheid is niet academisch, en het duidelijkste voorbeeld kwam de dag na de lanceringen. Op 16 oktober berichtte Fortune dat OpenAI vier incidenten had toegevoegd aan zijn openbare overzicht, dat er nu negentien telt. Alle vier vonden plaats in juni en van drie ervan wist OpenAI het pas in augustus of september. In één geval, als kritiek aangemerkt, bereikte een model dat openbare gegevens opzocht een intern systeem, bracht daar wijzigingen in aan, behield toegang nadat het die wijzigingen had teruggedraaid en haalde 147.451 rijen uit niet-openbare tabellen op, zonder iets daarvan aan de beoordelaars te melden. De handeling terugdraaien trok het recht niet in. Precies dat gat is waar een intrekpunt voor bestaat, en precies dat gat raakt een tweede uitgever niet.

Hoe haalt u een niet-Microsoft agent alsnog het geregelde pad in?

Daar bestaat een gedocumenteerd antwoord voor, en het is de enige route hier die de telling daadwerkelijk verkleint. Nieuw is het niet: Microsoft publiceerde het in april 2026, wat mede verklaart waarom geen enkel lanceringsbericht het noemt. De releasenotities van Entra Agent ID noemen handleidingen voor het inrichten van niet-Microsoft agents via sidecar en federatie, met aparte artikelen voor Amazon Bedrock en voor n8n. Daarmee verandert punt vier hierboven van een credential in andermans console in een identiteit die in uw eigen directory staat. De pagina gaat over tokenuitwisseling en het roteren van geheimen, niet over verlopen, dus het access package moet u er zelf omheen zetten.

Een werkbare volgorde voor een organisatie in het middensegment:

1. Eerst tellen. Eén overzicht, vijf kolommen: agent, platform, credentialobject, wie hem kan intrekken, en wanneer hij voor het laatst iets deed.
2. Migreer de app-registraties waarvoor Microsoft handleidingen geeft, met behoud van de GUID's zodat er verderop niets breekt.
3. Wijs voor elke agentidentiteit een sponsor aan en controleer de agents waarvan Microsoft waarschuwt dat ze er nog geen hebben.
4. Zet toegang in een access package met een vervaldatum in plaats van een permanente toekenning. De vervaldatum doet het werk dat uw reviewcyclus blijft uitstellen.
5. Koppel Conditional Access op blueprintniveau zodat overerving het afdwingt en niet uw discipline.

Pas daarna is een runtimecredential als AI Passport het beoordelen waard, omdat u dan weet welke agents hij wel en niet dekt.

Twee opmerkingen. Komen de meeste agents uit een Copilot-uitrol, dan is de telling vooral een Power Platform-vraag met een gedocumenteerd migratiepad. Komen ze uit een zelf gehoste assistent op eigen data, dan is de credential al van u, een stil voordeel van de assistent privé draaien: geen derde uitgever om mee af te stemmen.

Wat dit betekent voor een Nederlandse IT-afdeling met twee leveranciers

Voor een IT-manager, informatiemanager of security officer in een organisatie van 250 tot 5.000 fte is het lastige hieraan organisatorisch en niet technisch. U heeft een ICT-partner die de omgeving beheert en steeds vaker een aparte leverancier die de agents bouwt. Die AI-leverancier heeft de sleutels van Entra niet. De ICT-partner bouwt de agents niet en biedt uit zichzelf geen inventarisatie aan. De telling is van geen van beiden, tenzij iemand hem in een RACI vastlegt. Daarom ontbreekt hij in de meeste omgevingen waar al agents draaien.

Drie punten vallen in Nederland anders uit dan in de Amerikaanse berichtgeving. De EER-uitzondering staat in Microsofts eigen previewdocumentatie: agent accounts werken, maar zichtbaarheid in Teams hangt af van een aparte Teams-licentie. Het gedeelde geheugen in die preview kent geen privacygrens tussen gebruikers en is niet uit te zetten zonder agent accounts in hun geheel uit te schakelen, waardoor het eerder een gesprek over instemmingsrecht met uw ondernemingsraad is dan een configuratiekeuze. En de licentiedrempel, E7 of Agent 365 plus Entra P1 of E3, zet het geregelde pad in de begroting van volgend jaar en niet in een wijzigingsverzoek.

Is dat gesprek nieuw, dan is de grond al bewerkt: dezelfde OR-logica geldt al voor het detecteren van shadow AI op uw eigen netwerk. En weegt u af hoeveel hiervan u zelf draagt en hoeveel met een specialist, dan staan de afwegingen in onze toelichting op toegepaste AI in middelgrote organisaties.

Onze positie hierin is smal, en die zeggen we liever hardop: Crux Digits is een AI-leverancier die naast uw bestaande ICT-partner werkt, en zelf geen ICT-partner. Wij beheren uw directory niet. Wat wij wél doen, is de naad zichtbaar maken: welk vlak de credential van een agent uitgeeft, wie hem sponsort, wanneer zijn toegang verloopt en uit welke van de vijf plekken hierboven hij komt, zodat de vraag wie hem kan uitzetten een antwoord heeft voordat een auditor hem stelt.

Veelgestelde vragen