Microsoft Entra Agent ID 的可继承权限：三个必需步骤，以及一个不授权任何内容的 200 OK

这是关于 Entra Agent ID 的系列文章第二部分。第一部分介绍 agent identity 如何获取访问令牌（两段式交换、fmi_path 参数、client assertion 来源）；本文讨论令牌要真正携带授权之前必须完成哪些配置，以及漏掉某一步时会发生什么：不会报错，返回的令牌却不含任何权限。文中指出 agent identity 本身不持有权限，而是从 agent identity blueprint（类型为 microsoft.graph.agentIdentityBlueprint 的应用对象）继承，blueprint 持有工作负载认证凭据并向下传递权限；这种继承并非自动生效，而是三步独立配置中的第三步，也是最容易被遗漏的一步。

AI推荐理由 面向 Microsoft Entra Agent ID 的实操系列文章，具体指出 agent identity 不持有自身权限、需从 agentIdentityBlueprint 继承，且继承是三步配置中的第三步，缺失时 token 返回 200 却不含任何授权——这是可验证的配置陷阱，对做 Agent 身份与权限落地的开发者有直接参考价值；局限是仅为系列第二部分，正文片段未给出完整步骤与官方文档佐证。