El agente de Copilot studio usa el método de autenticación incorrecto: solución

Cuando se crea un agente personalizado en Copilot Studio, el agente debe autenticarse para acceder a los datos de Microsoft Graph o a las API de terceros. Si el agente usa el método de autenticación incorrecto, devuelve errores 401 No autorizado, no puede recuperar datos o muestra respuestas genéricas en lugar de información específica del usuario. Este problema suele ocurrir cuando el agente se configura con un tipo de autenticación que no coincide, como usar el inicio de sesión único de Azure AD cuando el conector requiere credenciales de cliente de OAuth 2.0, o cuando la aplicación registrada en Microsoft Entra ID carece de los permisos de API correctos. Este artículo explica por qué se produce la discrepancia en el método de autenticación y proporciona instrucciones paso a paso para verificar y corregir la configuración de autenticación en Copilot Studio.

Por qué el agente de Copilot Studio usa el método de autenticación incorrecto

Los agentes de Copilot Studio pueden usar varios métodos de autenticación: inicio de sesión único de Azure AD (SSO), concesión implícita de OAuth 2.0, flujo de código de autorización de OAuth 2.0, flujo de credenciales de cliente de OAuth 2.0 y autenticación con clave de API. Cada método sirve para un escenario diferente.

La causa raíz del método de autenticación incorrecto casi siempre es una discrepancia de configuración entre la definición del conector en Copilot Studio y la aplicación registrada en Microsoft Entra ID. Por ejemplo, se crea un conector en Copilot Studio que espera un flujo de código de autorización de OAuth 2.0 con un URI de redirección, pero la aplicación registrada en Entra ID está configurada para usar el flujo implícito. El conector intenta entonces canjear un código de autorización por un token, pero la aplicación de Entra ID rechaza la solicitud porque espera una concesión implícita.

Otra causa común es seleccionar el tipo de autenticación incorrecto al agregar un nuevo tema o acción. Copilot Studio permite establecer la autenticación por tema. Si se crea un tema que llama a una API de Microsoft Graph, se debe seleccionar SSO de Azure AD. Si se selecciona OAuth 2.0 genérico, el agente intentará usar el punto de conexión de token incorrecto y fallará.

Una tercera causa son los permisos de API faltantes o incorrectos en la aplicación registrada. Incluso si el método de autenticación es correcto, el agente fallará si la aplicación no tiene los permisos delegados o de aplicación necesarios para la API de destino. Por ejemplo, un agente que lee eventos del calendario del usuario necesita el permiso delegado Calendar.Read. Si la aplicación solo tiene Mail.Read, el agente devuelve un error 403 Prohibido.

Pasos para corregir el método de autenticación en Copilot Studio

Siga estos pasos en orden. Cada paso supone que tiene acceso a Copilot Studio y al centro de administración de Microsoft Entra ID.

1. Abra el agente de Copilot Studio y vaya a Temas
   En Copilot Studio, seleccione su agente de la lista. En el panel de navegación izquierdo, haga clic en Temas. Esta página enumera todos los temas y temas del sistema del agente. Cada tema puede tener su propia configuración de autenticación.
2. Compruebe el método de autenticación de cada tema que llama a una API
   Haga clic en un tema que desencadene una llamada a la API o un conector. En el editor de temas, haga clic en la pestaña Autenticación. La lista desplegable muestra el método de autenticación actual. Compárelo con el método requerido por el conector o la API. Para las API de Microsoft Graph, seleccione SSO de Azure AD. Para las API de terceros, seleccione el método especificado en la documentación de la API.
3. Verifique la configuración de autenticación del conector
   En Copilot Studio, vaya a Configuración > Conectores. Seleccione el conector que usa el agente. Haga clic en Editar y revise la sección Autenticación. El conector debe coincidir con el método configurado en la aplicación registrada. Por ejemplo, si el conector usa el flujo de código de autorización de OAuth 2.0, el URI de redirección del conector debe coincidir con el URI de redirección del registro de aplicaciones de Entra ID.
4. Abra el registro de aplicaciones de Microsoft Entra ID
   Vaya al centro de administración de Microsoft Entra ID. Navegue a Registros de aplicaciones. Busque el registro de aplicaciones que Copilot Studio usa para este agente. El nombre de la aplicación suele ser el mismo que el nombre del agente o el nombre del conector.
5. Compruebe los puntos de conexión de autenticación y el tipo de concesión
   En el registro de aplicaciones, haga clic en Autenticación en el menú izquierdo. En Configuraciones de plataforma, verifique que los URI de redirección coincidan con los del conector de Copilot Studio. En Concesión implícita y flujos híbridos, asegúrese de que las casillas de verificación coincidan con el método que usa su conector. Para el flujo de código de autorización, no marque ninguna casilla. Para el flujo implícito, marque Tokens de acceso y Tokens de identificador.
6. Verifique los permisos de API
   En el registro de aplicaciones, haga clic en Permisos de API. Confirme que la lista de permisos incluya las API que necesita el agente. Para Microsoft Graph, agregue permisos delegados como User.Read, Mail.Read o Calendar.Read. Para permisos de aplicación, agregue los correspondientes. Haga clic en Conceder consentimiento de administrador si es necesario.
7. Actualice el agente de Copilot Studio con el ID de aplicación y el secreto correctos
   En Copilot Studio, vaya a Configuración > Seguridad > Autenticación. Si usa credenciales de cliente de OAuth 2.0 o el flujo de código de autorización, asegúrese de que el ID de cliente coincida con el ID de aplicación del registro de aplicaciones de Entra ID. Introduzca el Secreto de cliente correcto. Para el SSO de Azure AD, asegúrese de que el ID de inquilino sea correcto.
8. Pruebe el agente en el panel de prueba
   En Copilot Studio, abra el panel Probar. Escriba un mensaje que desencadene la llamada a la API. Compruebe la respuesta. Si aún ve un error 401, abra las herramientas de desarrollo del navegador (F12) y observe la pestaña de red para la solicitud de token. El mensaje de error en la respuesta del token le indicará si el problema es un tipo de concesión incorrecto, un URI de redirección no válido o permisos insuficientes.

Si el agente sigue usando el método de autenticación incorrecto

Incluso después de seguir los pasos principales, el agente puede seguir fallando. Los siguientes problemas son comunes y tienen soluciones específicas.

El conector de Copilot Studio muestra el error “Cliente no válido”

Este error significa que el ID de cliente o el secreto de cliente del conector no coinciden con la aplicación registrada. Vuelva al registro de aplicaciones de Entra ID y copie el ID de aplicación exacto. En Copilot Studio, vaya a la configuración del conector y pegue el ID. Genere un nuevo secreto de cliente en Entra ID y cópielo inmediatamente. Péguelo en la configuración del conector. Guarde y vuelva a probar.

El agente devuelve el error “AADSTS7000218”

El código de error AADSTS7000218 significa que el cuerpo de la solicitud contiene un tipo de concesión no admitido. Esto ocurre cuando el conector espera el flujo de código de autorización pero la aplicación registrada está configurada para el flujo implícito. En el registro de aplicaciones de Entra ID, vaya a Autenticación. En Concesión implícita y flujos híbridos, desmarque ambas casillas. Guarde los cambios. En Copilot Studio, asegúrese de que el conector use el flujo de código de autorización con el URI de redirección correcto.

El agente devuelve datos genéricos en lugar de datos específicos del usuario

Este problema ocurre cuando el agente usa permisos de aplicación en lugar de permisos delegados. Los permisos de aplicación otorgan a la aplicación acceso a todos los datos del inquilino. El agente no sabe qué usuario está haciendo la pregunta. Para solucionarlo, cambie los permisos de API en el registro de aplicaciones de Entra ID de permisos de aplicación a permisos delegados. En Copilot Studio, establezca la autenticación del tema en SSO de Azure AD. Esto obliga al agente a autenticar al usuario y pasar el contexto del usuario a la API.

Métodos de autenticación en Copilot Studio: comparación

Elemento	SSO de Azure AD	Código de autorización de OAuth 2.0	Credenciales de cliente de OAuth 2.0
Ideal para	API de Microsoft Graph con contexto de usuario	API de terceros con contexto de usuario	API de servidor a servidor sin contexto de usuario
Configuración de Entra ID requerida	Permisos delegados, URI de redirección	Permisos delegados, URI de redirección, secreto de cliente	Permisos de aplicación, secreto de cliente o certificado
Duración del token	1 hora por defecto, renovable	1 hora por defecto, renovable con token de actualización	1 hora por defecto, sin token de actualización
Identidad del usuario transmitida	Sí	Sí	No
Error común si está mal configurado	401 No autorizado, AADSTS50011	AADSTS7000218, invalid_grant	401 No autorizado, AADSTS700016

Seleccione el método que coincida tanto con los requisitos de la API como con la necesidad de contexto de usuario. Si necesita datos específicos del usuario, use el SSO de Azure AD o el código de autorización de OAuth 2.0. Si necesita datos de todo el inquilino, use credenciales de cliente.

Después de corregir el método de autenticación, pruebe el agente con varias cuentas de usuario para confirmar que el agente devuelve los datos correctos para cada usuario. Si el agente sigue fallando, revise los registros del conector en Copilot Studio en Configuración > Análisis > Errores del conector. Los registros muestran la solicitud y la respuesta HTTP exactas, incluida la URL del punto de conexión del token y la carga útil del error. Use esta información para ajustar la configuración de autenticación en Entra ID o Copilot Studio.