La política de acceso del agente de Copilot studio no se aplica: solución

Creó una política de acceso para su agente de Copilot Studio, pero los usuarios informan que las restricciones no se aplican. La política parece correcta en la configuración, pero los agentes siguen accediendo a datos o realizando acciones que la política debería bloquear. Este problema generalmente se debe a la herencia de políticas, una configuración incorrecta del ámbito o un paso de publicación faltante. Este artículo explica por qué la política no se aplica y proporciona los pasos exactos para solucionarlo.

Por qué no se aplica la política de acceso

Las políticas de acceso de Copilot Studio controlan la autenticación, las fuentes de datos y los permisos de usuario para los agentes. Cuando una política no se aplica, generalmente una de estas causas raíz es la responsable:

Herencia de políticas del entorno principal

Los agentes de Copilot Studio heredan las políticas de acceso de su entorno principal en Microsoft Dataverse. Si establece una política a nivel de agente pero la política a nivel de entorno es más restrictiva o tiene reglas en conflicto, la política a nivel de agente puede anularse. El agente aplicará entonces la política del entorno en lugar de la personalizada.

Versión del agente no publicada

Las políticas de acceso forman parte de la configuración del agente, no son una configuración del sistema independiente. Debe publicar el agente después de cambiar la política. Un borrador no publicado significa que la política existe en el editor pero no se implementa en el entorno de ejecución. Los usuarios que interactúan con el agente publicado no verán las nuevas restricciones.

Configuración incorrecta del ámbito

Las políticas se pueden limitar a grupos de usuarios específicos, tipos de autenticación o conexiones de datos. Si el ámbito excluye a los usuarios o escenarios que pretendía restringir, la política parecerá no hacer nada. Por ejemplo, una política que bloquea el acceso a datos de SharePoint solo se aplica cuando el agente usa un conector de SharePoint. Si el agente usa un conector diferente, la política nunca se activa.

Pasos para volver a aplicar y verificar la política de acceso

Siga estos pasos en orden para asegurarse de que la política esté configurada, publicada y aplicada correctamente.

1. Abra el agente en Copilot Studio
   Inicie sesión en Copilot Studio con una cuenta que tenga el rol Administrador del sistema o Personalizador del sistema. En la página de inicio, seleccione el agente que no está aplicando la política.
2. Vaya a Configuración > Seguridad > Políticas de acceso
   En la navegación izquierda, haga clic en Configuración, luego seleccione Seguridad. En la sección Seguridad, haga clic en Políticas de acceso. Verá una lista de las políticas existentes para este agente.
3. Revise los detalles de la política
   Haga clic en el nombre de la política para abrir su configuración. Verifique lo siguiente:
   – Ámbito: ¿La política está configurada para aplicarse a Todos los usuarios o a un Grupo de seguridad específico? Si está dirigida a un grupo, confirme que el grupo contenga los miembros correctos.
   – Condiciones: Revise las condiciones para el acceso a datos. Por ejemplo, si la política bloquea el acceso a determinados sitios de SharePoint, asegúrese de que esos sitios estén listados correctamente.
   – Acción: Confirme que la acción esté configurada como Bloquear o Permitir según lo previsto. Una política configurada como Permitir no bloqueará nada.
4. Busque políticas conflictivas a nivel de entorno
   En el mismo entorno de Copilot Studio, vaya a Configuración > Seguridad > Políticas de acceso a nivel de entorno (no a nivel de agente). Busque cualquier política que pueda anular la política de su agente. Las políticas a nivel de entorno se aplican a todos los agentes de ese entorno. Si encuentra una política en conflicto, tiene dos opciones:
   – Modificar la política del entorno para eliminar el conflicto.
   – Cambiar la política del agente para que sea más restrictiva que la política del entorno. Las políticas de agente siempre tienen prioridad cuando son más restrictivas.
5. Guarde y publique el agente
   Después de realizar cualquier cambio en la política, haga clic en Guardar en la esquina superior derecha del editor de políticas. Luego regrese a la página de información general del agente. Haga clic en el botón Publicar. Aparece un cuadro de diálogo de confirmación. Seleccione Publicar nuevamente para implementar el agente actualizado con la nueva política.
6. Pruebe la política con un usuario no administrador
   Abra el agente en una sesión de navegador separada iniciada como una cuenta de usuario estándar. Intente acceder a los datos o realizar la acción que la política debería bloquear. Si la política bloquea el acceso, verá un mensaje de error o el agente rechazará la solicitud. Si la política aún no se aplica, repita los pasos 1 a 5 y verifique nuevamente el ámbito y las condiciones.

Si la política aún no se aplica

Si siguió los pasos anteriores y la política sigue sin aplicarse, revise estos patrones de error adicionales.

El agente usa un conector personalizado que omite la política

Las políticas de acceso en Copilot Studio se aplican a los conectores integrados y a las fuentes de datos de Microsoft Graph. Los conectores personalizados y las llamadas directas a API pueden no estar sujetos al mismo motor de políticas. Para aplicar restricciones en conectores personalizados, debe implementar la lógica de autenticación y autorización dentro del propio conector. Revise el código o la configuración del conector personalizado para agregar comprobaciones similares a las políticas.

La política se aplica a una versión diferente del agente

Si tiene varias versiones del mismo agente implementadas en diferentes canales, verifique que la política se aplique a la versión correcta. En Copilot Studio, vaya a Configuración > Versiones. Compruebe qué versión está activa en cada canal. Si un canal usa una versión anterior, publique la versión más reciente en ese canal. También puede eliminar las versiones antiguas para evitar confusiones.

El tipo de autenticación del usuario no coincide con la condición de la política

Algunas políticas requieren un método de autenticación específico, como Microsoft Entra ID o acceso anónimo. Si la política está configurada para bloquear usuarios anónimos pero el agente permite el acceso anónimo, la política no puede aplicarse. Cambie la configuración de autenticación del agente en Configuración > Seguridad > Autenticación para que coincida con la condición de la política. Por ejemplo, configure la autenticación como Solo Microsoft Entra ID si la política está dirigida a usuarios autenticados.

Elemento	Política a nivel de agente	Política a nivel de entorno
Ámbito	Se aplica solo a este agente	Se aplica a todos los agentes del entorno
Comportamiento de anulación	Las reglas más restrictivas anulan la política del entorno	Las reglas menos restrictivas son anuladas por la política del agente
Ubicación de configuración	Copilot Studio > Agente > Configuración > Seguridad > Políticas de acceso	Centro de administración de Power Platform > Entornos > [Environment] > Configuración > Seguridad > Políticas de acceso
Requiere publicación	Sí	No, surte efecto inmediatamente
Ideal para	Control detallado por agente	Seguridad base para todos los agentes

Después de corregir la política, ahora puede aplicar restricciones de acceso a datos y de usuario para sus agentes de Copilot Studio. A continuación, revise la configuración de autenticación de cada agente para asegurarse de que se alinee con las condiciones de su política. Como sugerencia avanzada, use los registros de auditoría del centro de administración de Power Platform para realizar un seguimiento de cuándo se modificó una política por última vez y quién lo hizo, lo que ayuda a identificar cambios accidentales que deshabilitan la aplicación.