一个 AI 代理要访问企业数据，不能只给所有实例共用一个账号。entra-agent-id 这个 Skill 用 Microsoft Entra Agent ID 把“代理类型”和“代理实例”分开：Blueprint 定义一类代理，每个 Agent Identity 代表一个具体实例，还能单独授予权限。
假设你要部署多个客服代理。先创建 Blueprint，再显式创建 BlueprintPrincipal，最后为每个实例创建 Agent Identity。这里有个容易漏掉的步骤：Blueprint 不会自动生成 BlueprintPrincipal，跳过它，后面的创建流程就会报错。
权限也不是都挂在 Blueprint 上。每个 Agent Identity 可以单独拿应用权限或委托权限，方便追踪到底是哪一个实例访问了资源。代理运行时使用 Blueprint 上的凭据，Agent Identity 本身不能保存密钥或证书。
如果要做跨租户或代表用户访问，还要按文档走两步 `fmi_path` 交换；不要把它误写成 RFC 8693 的 token exchange。部署前先用 Microsoft Learn 和当前 SDK 版本核对 Graph 请求，准备好对应的 Entra 角色和权限。这个 Skill 适合正在给 AI 代理做身份、授权和审计边界的 Azure 团队，不是普通 Entra 应用注册的替代品。