19 ott 2026 · 12 min di lettura

Agent Account in Copilot Studio: dall'agente-strumento all'agente-collega

Gli Agent Account permettono agli agenti Copilot Studio di diventare veri colleghi con identità Entra, casella email e presenza su Teams. La guida esplora architettura, attivazione, governance e limiti dell'anteprima Frontier.

#copilot-studio
#microsoft-entra
#agent-account
#microsoft-365
#ai-teammates

Oct 22, 2026 · @Maurizio Ceccacci

Introduzione: dall'agente-strumento all'agente-collega

Con gli Agent Account un agente Copilot Studio smette di essere uno strumento dietro le quinte e diventa un membro dell'organizzazione: ha un proprio account Microsoft Entra, una casella di posta, una presenza in Teams e una voce nella directory aziendale.

Finora un agente agiva sempre "per conto di" qualcuno: rispondeva in una chat, eseguiva un flusso, usava le credenziali dell'utente o di una connessione condivisa. Con un account, invece, può prendere in carico un processo dall'inizio alla fine: riceve email, viene @menzionato in Teams, risponde ai commenti nei documenti e lavora con permessi propri, governati e verificabili.

È un cambio di paradigma che riguarda tanto chi costruisce agenti quanto chi li governa. In questo articolo vediamo cos'è un Agent Account, come si collega a Microsoft Entra Agent ID e ad Agent 365, come si attiva passo passo e quali limiti conoscere prima di progettare un processo.

La funzionalità è in anteprima nel programma Frontier: disponibilità e comportamento possono cambiare. Le informazioni sono aggiornate a ottobre 2026.

Cos'è un Agent Account (e cosa non è)

Un Agent Account è un account utente Microsoft Entra "decorato" come agente AI, associato in rapporto 1:1 all'identità dell'agente. È il terzo livello di un modello di identità che Microsoft ha costruito con Microsoft Entra Agent ID.

Per capirlo bisogna distinguere tre oggetti, spesso confusi tra loro:

Oggetto	Cos'è	Quando esiste in Copilot Studio
Agent identity blueprint	Il modello padre di una famiglia di agenti: detiene credenziali e permessi ereditabili	Uno per tenant, creato da Copilot Studio al primo agente (Blueprint ID `25664c89-cea5-4ab6-b924-a54fd8a19ae0`)
Agent identity (Entra Agent ID)	Un service principal con sottotipo "Agent": l'identità con cui l'agente si autentica verso canali e servizi	Per ogni nuovo agente, automaticamente, da maggio 2026; non è più possibile disattivarla
Agent's user account (Agent Account)	Un secondo account, di tipo utente, che può avere licenze, mailbox, presenza in Teams e profilo in directory	Solo se il maker lo aggiunge esplicitamente, con prerequisiti Frontier

In sintesi: ogni agente ha già un'identità, ma solo l'Agent Account gli dà una "vita" da collega dentro Microsoft 365. La stessa documentazione Entra raccomanda di crearlo solo quando serve davvero un oggetto utente, cioè quando l'agente deve avere una casella di posta o essere raggiungibile in Teams.

Cosa ottiene l'agente con un account, una volta pubblicato:

una casella di posta propria: invia e riceve email e può essere aggiunto a liste di distribuzione;
una presenza in Teams e in directory, dove le persone lo trovano e lo @menzionano come un collega;
la possibilità di essere coinvolto nelle interazioni Microsoft 365 supportate: email, chat Teams, commenti nei documenti Office;
diritti di accesso propri e circoscritti per le operazioni supportate;
un'identità Entra che gli amministratori possono governare e sottoporre ad audit come qualsiasi altra.

Fonte: Give your agent an account (Frontier) · Agent identities in Microsoft Entra Agent ID

Come funziona: architettura e ciclo di vita

L'Agent Account non nasce da solo: è l'ultimo anello di una catena di identità che Copilot Studio gestisce in automatico, e si attiva solo alla pubblicazione dell'agente.

Il blueprint e l'Agent ID esistono per ogni agente; l'account utente si aggiunge solo quando serve una presenza in Microsoft 365, e tutto ricade sotto la governance di Agent 365 ed Entra.

Tre aspetti architetturali da tenere a mente:

Doppia identità, doppia gestione. Agent 365 provisiona e governa l'account utente, con visibilità e controllo "da utente"; in parallelo Copilot Studio crea un Entra Agent ID che gli amministratori gestiscono separatamente.
Credenziali sul blueprint. L'agent identity non ha credenziali proprie: ottiene i token tramite il blueprint. Disattivare il blueprint blocca istantaneamente tutte le identità che ne derivano: un vero kill switch.
Ciclo di vita legato all'agente. Eliminando l'agente in Copilot Studio viene eliminato anche il suo Entra Agent ID. L'indirizzo email dell'account, invece, non si può cambiare dopo la pubblicazione: va pianificato prima.

Nei log di accesso Entra si distinguono blueprint, agent identity e account utente: chi analizza un evento sa sempre quale identità ha agito e con quali credenziali.

Fonte: Agent 365 identity · Microsoft Entra Agent IDs for Copilot Studio agents

Procedura passo passo

La configurazione richiede due passaggi dell'amministratore e poi il lavoro del maker in Copilot Studio Preview. L'account va aggiunto prima della prima pubblicazione dell'agente.

Prerequisiti

Ambiente Power Platform con Release cycle: Early (verificabile nel Power Platform admin center).
Licenza del maker: Microsoft 365 E5 + add-on Microsoft Agent 365, oppure Microsoft 365 E7, che include Agent 365.
Tenant iscritto al programma Frontier, con i Terms of Service di Agent 365 accettati e licenze Microsoft 365 Frontier for AI Teammates disponibili: ogni agente con account ne consuma una alla pubblicazione.
Agente con nome, descrizione e istruzioni, pronto per essere pubblicato.

Lato amministratore (in quest'ordine)

Microsoft 365 admin center › All Agents › filtro Agent template: Yes › Copilot Studio (Frontier) › Activate. Nel passaggio Users della procedura guidata selezionare utenti o gruppi abilitati: solo loro potranno creare agenti con account.
Power Platform admin center › Copilot › Settings › sezione Copilot Studio › Agent accounts: attivare l'impostazione per l'ambiente. Se è spenta, il pulsante Agent account non compare.

Lato maker

Aprire Copilot Studio Preview e selezionare l'ambiente early release.
Creare un nuovo agente, senza salvarlo.
Sotto il nome dell'agente selezionare Agent account (1), poi nel pannello Add account (2).

Verificare il riepilogo: per gli strumenti che lo supportano, Agent account diventa la modalità di autenticazione predefinita (modificabile anche dopo). Selezionare Continue.
Nella pagina Create an agent identity rivedere il nome e la parte configurabile dell'indirizzo email (1), aggiungere eventualmente una qualifica (2) e selezionare Create account (3).

Selezionare Publish e attendere il completamento: solo ora l'agente riceve mailbox, presenza in Teams, voce in directory ed Entra Agent ID, e consuma una licenza AI Teammates.
Per gli strumenti con autenticazione dell'utente finale, usare Go to Agent Management sotto il nome dell'agente per configurare connessioni e consensi.

Se il pulsante non compare: verificare di essere in Copilot Studio Preview, in un ambiente early release, di essere tra gli utenti abilitati in fase di attivazione del template e di avere una licenza valida. Se la pubblicazione fallisce: quasi sempre manca una licenza AI Teammates libera.

Gli schemi Mermaid riproducono i passaggi dell'interfaccia descritta nella documentazione Microsoft e non sono screenshot: l'interfaccia in anteprima può differire. Nome, alias e dominio sono esempi.

Governance, sicurezza e licenze

Un agente con un account è, a tutti gli effetti, una nuova identità da governare: va trattato con lo stesso rigore di un utente, e in alcuni aspetti con qualche cautela in più.

Cosa ottengono amministratori e security team

Visibilità da utente tramite Agent 365, che provisiona e governa gli account degli agenti.
Sponsor obbligatorio: Copilot Studio aggiunge il proprietario dell'agente come sponsor dell'Entra Agent ID, cioè la persona responsabile del suo ciclo di vita.
Permessi dei connettori visibili in Entra: alla pubblicazione Copilot Studio associa all'Agent ID un permesso API per ogni connettore Power Platform usato. Gli admin vedono cosa può fare l'agente senza aprire il Power Platform admin center.
Conditional Access sugli agenti: quei permessi si possono condizionare a posizione di rete, conformità del dispositivo o livello di rischio.
Log e audit in Microsoft Entra, con distinzione tra blueprint, agent identity e account utente.

I tre punti di attenzione

La memoria è condivisa, senza confini tra utenti. Un agente con account mantiene un'unica memoria per tutte le persone con cui lavora, anche nelle chat 1:1. Ciò che spiega una persona può emergere nelle risposte a un'altra, anche se quest'ultima non ha accesso al file o alla chat originale, indipendentemente dall'etichetta di riservatezza. Non è possibile disattivarla, né per l'utente né per l'admin, se non spegnendo del tutto gli Agent Account. Le memorie si cancellano dopo 28 giorni senza interazioni e non includono dati personali sensibili, credenziali, informazioni sanitarie o giudizi sulle persone.
I documenti protetti restano fuori. L'agente non legge documenti con etichette che applicano protezione, ad esempio Confidential o Internal Only. Cambiare etichetta per farglieli leggere modifica la protezione del documento: non va mai usato come scorciatoia per i test.
L'account non concede permessi in automatico. Per ogni strumento bisogna verificare quale identità usa e concedere solo l'accesso necessario. Gli strumenti con autenticazione dell'utente finale richiedono che ogni persona completi il proprio consenso.

Licenze e costi

Nello Spazio economico europeo Teams è licenziato a parte: l'agente riceve comunque account, mailbox e voce in directory, ma compare in Teams solo se il tenant ha licenze Teams.

Voce	Chi	Note
Microsoft 365 E5 + Agent 365, oppure Microsoft 365 E7	Il maker	Necessaria per creare agenti con account
Microsoft 365 Frontier for AI Teammates	Ogni agente con account	Assegnata alla pubblicazione; senza licenza libera la pubblicazione fallisce
Copilot Credits (a consumo)	Il tenant	Costruzione, test, valutazione e uso dell'agente; separati dalla licenza dell'account

Fonte: FAQ for agent accounts · Agent identities and authentication for Copilot Studio

Scenari d'uso, limiti e best practice

L'Agent Account dà il meglio nei processi di team ricorrenti, dove l'agente prepara, raccoglie e sollecita, e le persone decidono.

Un esempio concreto: Cadence

La documentazione Microsoft propone Cadence, un agente che prepara la revisione periodica dell'avanzamento di un team. A ogni ciclo legge il tracker approvato e le fonti di stato, individua blocchi e aggiornamenti mancanti, genera un nuovo documento di revisione e ne invia il link ai revisori. I revisori aggiungono contesto con risposte o commenti; priorità e azioni restano alle persone.

Due dettagli di progettazione da notare: la pianificazione nasce da un trigger di ricorrenza, non dalle istruzioni, e l'agente crea un documento nuovo invece di modificarne uno esistente, perché la co-modifica non è ancora supportata.

Altri scenari in cui l'account ha senso:

Casella condivisa intelligente: l'agente riceve le richieste su un indirizzo dedicato, le smista e prepara le risposte.
Collega di progetto in Teams: viene @menzionato nei canali per riepiloghi, stato delle attività, solleciti.
Revisione documentale: risponde ai commenti nei documenti Office in cui viene menzionato, nei limiti degli scenari supportati.

Limiti attuali dell'anteprima

Area	Limite
Utenti esterni	L'agente non risponde a nessuno fuori dal tenant, senza alternative
Commenti Office	La @menzione supporta scenari limitati; niente modifiche mirate o co-authoring
Documenti	Può generare documenti nuovi, non modificare quelli esistenti
Email	Risponde solo a conversazioni con al massimo 250 persone (errore MCS-4043 se la verifica fallisce)
Microsoft Graph	Non tutte le operazioni e gli scope sono supportati
Identità	Prefisso alias, riporto al maker ed email non modificabili dopo la pubblicazione

Best practice

Crea l'account solo se serve davvero una mailbox o una presenza in Teams: per tutto il resto basta l'Entra Agent ID.
Progetta l'identità prima di pubblicare: nome, indirizzo email e qualifica restano.
Applica il minimo privilegio strumento per strumento: l'account non concede permessi da solo.
Informa gli utenti sulla memoria condivisa prima di coinvolgerli: condividere con l'agente significa condividere con il team.
Testa con dati non sensibili e approvati, mai rimuovendo etichette di protezione.
Nelle istruzioni, separa chi esegue da chi decide: l'agente prepara e segnala, le persone approvano. Indica cosa fare quando una fonte o un permesso manca: fermarsi e dichiararlo.
Pianifica le licenze AI Teammates: liberane una togliendola a un agente dismesso prima di pubblicarne uno nuovo.

Fonte: Give your agent an account (Frontier) · Best practices for Microsoft Entra Agent ID

Conclusioni

Gli Agent Account sono il passaggio che porta gli agenti Copilot Studio da assistenti a colleghi digitali: un'identità propria, una casella di posta, una presenza in Teams e una governance allineata a quella degli utenti.

Per chi progetta soluzioni il messaggio è duplice. Da un lato si aprono processi end-to-end finora difficili da realizzare, in cui l'agente lavora dentro i canali che il team già usa. Dall'altro serve più disciplina: licenze dedicate, minimo privilegio, attenzione alla memoria condivisa e un modello chiaro di responsabilità tra agente, sponsor e persone che decidono.

La funzionalità è ancora in anteprima Frontier: il consiglio è sperimentarla ora, su un processo di team circoscritto e con dati non sensibili, per arrivare pronti quando sarà disponibile a livello generale.