El agente de Copilot studio no se puede compartir con un grupo de seguridad: solución

Cuando intenta compartir un agente de Copilot Studio con un grupo de seguridad de Microsoft Entra ID, la operación de compartir puede fallar con un mensaje de error o el grupo simplemente no aparece en el selector para compartir. Este problema se produce porque Copilot Studio usa la API de Microsoft Graph para resolver grupos de seguridad, y la entidad de servicio de Copilot Studio debe tener los permisos correctos para leer las pertenencias a grupos. Además, el grupo debe tener habilitado el correo o estar habilitado para seguridad con un alias de correo asignado; de lo contrario, la API no devuelve resultados. Este artículo explica la causa raíz de este error al compartir y proporciona una solución paso a paso para restaurar la capacidad de compartir agentes con grupos de seguridad.

Por qué Copilot Studio no puede compartir un agente con un grupo de seguridad

Copilot Studio se basa en la API de Microsoft Graph para buscar y validar grupos de seguridad cuando intenta compartir un agente. El cuadro de diálogo para compartir envía una consulta a https://graph.microsoft.com/v1.0/groups con un filtro en el nombre para mostrar o el alias de correo. Si la entidad de servicio de Copilot Studio no tiene el permiso GroupMember.Read.All, la API de Graph devuelve un error 403 Prohibido y la lista de grupos permanece vacía.

Una segunda causa común es que el grupo de seguridad no tiene un alias de correo. La API de Microsoft Graph, de forma predeterminada, solo devuelve grupos que tienen establecida una propiedad mailNickname. Los grupos de seguridad creados sin un alias de correo no aparecerán en los resultados de búsqueda, aunque existan en Microsoft Entra ID.

Una tercera causa implica los límites de pertenencia al grupo. Copilot Studio comparte el agente con el objeto de grupo, no con miembros individuales. Sin embargo, la API de Graph puede fallar si el grupo tiene más de 100.000 miembros o si el grupo es un grupo de pertenencia dinámica que no se puede resolver de forma sincrónica.

Pasos para solucionar el problema de uso compartido con grupos de seguridad en Copilot Studio

1. Conceder el permiso GroupMember.Read.All a Copilot Studio
   Inicie sesión en el Centro de administración de Microsoft Entra como administrador global. Vaya a Identidad > Aplicaciones > Aplicaciones empresariales. Busque Copilot Studio y selecciónelo. Vaya a Permisos y haga clic en Conceder consentimiento de administrador para [your tenant]. En la lista de permisos de API, agregue Microsoft Graph > Permisos delegados > GroupMember.Read.All. Haga clic de nuevo en Conceder consentimiento de administrador para guardar. Este permiso permite que Copilot Studio lea los miembros de cualquier grupo de seguridad de su inquilino.
2. Asignar un alias de correo al grupo de seguridad
   En el Centro de administración de Microsoft Entra, vaya a Identidad > Grupos > Todos los grupos. Busque el grupo de seguridad con el que desea compartir y abra su página Propiedades. Localice el campo Alias de correo. Escriba un alias único, como ITSupportGroup. El alias debe ser único entre todos los objetos habilitados para correo de su inquilino. Haga clic en Guardar. Espere hasta cinco minutos para que el cambio se propague.
3. Verificar que el grupo no sea dinámico ni demasiado grande
   Abra la propiedad Tipo de pertenencia del grupo. Si indica Usuario dinámico, el grupo no se puede usar para compartir en Copilot Studio. En su lugar, cree un nuevo grupo de seguridad asignado. Si el grupo tiene más de 100.000 miembros, reduzca la pertenencia o cree un subgrupo más pequeño para compartir.
4. Compartir el agente de Copilot Studio con el grupo de seguridad
   Abra Copilot Studio y seleccione el agente que desea compartir. Haga clic en Compartir en la barra de menú superior. En el panel Administrar acceso, haga clic en Agregar personas o grupos. Escriba el nombre para mostrar o el alias de correo del grupo de seguridad. Seleccione el grupo en los resultados de búsqueda. Elija el nivel de permiso Copropietario o Usuario. Haga clic en Compartir. El agente ahora es accesible para todos los miembros del grupo de seguridad.
5. Probar el acceso desde una cuenta de miembro
   Inicie sesión en Copilot Studio con una cuenta de usuario que sea miembro del grupo de seguridad pero no propietario del agente. Confirme que el agente compartido aparece en la lista de agentes del usuario y que este puede abrirlo con el nivel de permiso asignado.

Si Copilot Studio sigue sin poder compartir con el grupo de seguridad

Copilot Studio muestra “No se encontraron resultados” para el nombre del grupo

Este síntoma indica que la consulta a la API de Graph devolvió cero grupos. Abra las herramientas de desarrollador del navegador con F12 e inspeccione la solicitud de red a https://graph.microsoft.com/v1.0/groups. Si la respuesta contiene un error 403, repita el paso 1 y verifique que se aplicó el consentimiento de administrador. Si la respuesta devuelve un arreglo value vacío, verifique que el grupo tenga un alias de correo y que esté escribiendo el nombre para mostrar correcto.

El uso compartido se realiza correctamente, pero los miembros del grupo no pueden acceder al agente

Este problema se produce cuando el grupo es un grupo anidado. Copilot Studio no resuelve las pertenencias a grupos anidados. Solo los miembros directos del grupo de seguridad heredarán el acceso. Si su organización usa grupos anidados, agregue los usuarios directamente al grupo de seguridad principal en lugar de usar un grupo secundario.

Error “Acceso denegado” cuando el propietario del grupo intenta compartir

El usuario que comparte el agente debe tener el rol Copropietario en el agente. Solo los copropietarios pueden compartir agentes con grupos de seguridad. Si usted es el propietario del agente pero no es copropietario, pida a otro copropietario que le conceda primero acceso como copropietario.

Elemento	Uso compartido con grupos de seguridad	Uso compartido con usuarios individuales
Permiso necesario para compartir	Permiso delegado GroupMember.Read.All en la entidad de servicio de Copilot Studio	No se necesitan permisos adicionales de Graph
Tipo de grupo admitido	Grupos de seguridad asignados con alias de correo	No aplicable
Máximo de miembros	100.000	No aplicable
Grupos anidados admitidos	No	No aplicable
Grupos de pertenencia dinámica admitidos	No	No aplicable
Tiempo de propagación después de compartir	Hasta 30 minutos	Hasta 5 minutos

Después de completar los pasos anteriores, puede compartir agentes de Copilot Studio con grupos de seguridad de forma confiable. Para evitar problemas futuros, cree un grupo de seguridad dedicado para cada agente y asigne un alias de correo en el momento de crear el grupo. Para organizaciones grandes, use el permiso GroupMember.Read.All a nivel de inquilino en lugar de por aplicación para reducir la carga administrativa.