Agent ID Developer + Agent ID Administrator

Agent ID Developer cria agent identity blueprints e vira owner deles (microsoft.directory/agentIdentityBlueprints/createAsOwner); Agent ID Administrator administra todos os agentes do tenant, incluindo os blueprints de terceiros. É o padrão clássico de desenvolvedor que também aprova a própria entrega, transposto para identidades agênticas.

Um blueprint com comportamento não revisado chega a produção porque autor e aprovador são a mesma pessoa — e o artefato promovido é uma identidade que age sozinha.

• Separar autoria de blueprint de sua promoção, como já se faz com deploy de aplicação.
• Registrar a aprovação de cada blueprint num sistema de mudança fora do próprio Entra.
• Revisar periodicamente os owners de agent identity blueprints.

• https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference