إعداد Microsoft 365 لبيئتك

باستخدام تطبيق Microsoft Entra الخاص بك، يمكن لمؤسستك استخدام نفس التطبيق لـ تسجيل الدخول باستخدام Microsoft ولـ Outlook وTeams وSharePoint. يمكنك تحديد التكاملات وإجراءات الكتابة المتاحة مركزيًا. بعد ذلك، يقوم المستخدمون فقط بتشغيل أو إيقاف الروابط الشخصية في التفضيلات → الأدوات → الروابط.

تعمل التكاملات الشخصية مع النماذج المدعومة من OpenAI وClaude وGemini وMistral. يجب أن يكون النموذج المختار قادرًا على استخدام الأدوات. في الروابط الشخصية، يتبع الوصول حقوق مستخدم Microsoft المسجل. لا تقوم موافقة المؤسسة بتسجيل جميع الموظفين تلقائيًا ولا تمنح الذكاء الاصطناعي وصولًا مستقلاً إلى جميع صناديق البريد. تستخدم القاعدة المعرفية المركزية لـ SharePoint حقوق تطبيق منفصلة وحقوق القاعدة المعرفية الحالية، كما هو موضح لاحقًا في هذا المقال.

ما الذي تحتاجه؟

• مؤسسة Microsoft 365 مع Microsoft Entra ID وحسابات لديها وصول إلى الخدمات المطلوبة.
• مسؤول يمكنه تسجيل تطبيق ومنح موافقة المؤسسة لأذونات Microsoft Graph المختارة. دور اشتراك Azure فقط غير كافٍ؛ يجب أن يسمح دور Entra الخاص بك بهذه الموافقة.
• أذونات إدارة في البيئة المناسبة للذكاء الاصطناعي لجعل التكاملات متاحة.
• مسؤول منصة يمكنه إعداد موفر هوية Microsoft لهذه البيئة في Google Cloud Identity Platform.
• تسجيل تطبيق في دليل Microsoft الخاص بك، مع سر العميل واثنين من عناوين URL لإعادة التوجيه للعلامة التجارية المناسبة.

تسجيل الدخول باستخدام Microsoft والوصول إلى بيانات Microsoft هما وظيفتان منفصلتان. تسجيل الدخول الناجح لا يعني تلقائيًا أن Outlook أو Teams أو SharePoint تم إعداده.

1. سجل تطبيق مؤسسة واحد

افتح مركز إدارة Microsoft Entra وانتقل إلى تسجيل التطبيقات → تسجيل جديد. استخدم اسمًا واضحًا، مثل AI-Public – اسم مؤسستك. اختر لـ مؤسسة خاصة الحسابات في هذا الدليل التنظيمي فقط (مستأجر واحد).

احتفظ بالبيانات التالية من نظرة عامة:

البيانات	الغرض
معرف الدليل (المستأجر)	دليل Microsoft لمؤسستك؛ هذا يُستخدم في حقل معرف Microsoft في بيئة الذكاء الاصطناعي.
معرف التطبيق (العميل)	التطبيق المسجل؛ هذا يُستخدم في موفر هوية Microsoft.

هاتان المعرفتان مختلفتان. لا تملأ حقل معرف Microsoft بمعرف العميل أو معرف مستأجر Firebase.

2. قم بإعداد عناوين URL لإعادة التوجيه الصحيحة

اذهب إلى المصادقة → إضافة منصة → ويب. أضف كلا عنواني URL أدناه لعلامتك التجارية، تمامًا كما هو موضح. الأول يعالج تسجيل الدخول؛ الثاني يعالج الموافقة لتكاملات حساب العمل.

العلامة التجارية	تسجيل الدخول باستخدام Microsoft	تكاملات حساب العمل
AI-School	https://ai-school-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporate	https://ai-corporate.firebaseapp.com/__/auth/handler	https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Public	https://ai-public-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

استخدم عناوين URL الخاصة بالعلامة التجارية التي تعمل عليها بيئتك. لا تحتاج إلى إدخال اسم مؤسستك أو معرف المستأجر في هذه العناوين. عنوان الموقع الإلكتروني، عنوان لوحة التحكم و.web.app لا تحل محل هذه العناوين. سجلها كـ ويب حتى لو كنت تستخدم التكامل من متصفح. لا تحتاج إلى تمكين إصدار الرموز الضمني أو تدفق العميل العام.

3. أنشئ سر عميل وامنح الأذونات

اذهب إلى الشهادات والأسرار → أسرار العميل → سر عميل جديد. اختر مدة مناسبة واحتفظ بـ القيمة بأمان بمجرد ظهورها. سلّم القيمة عبر القناة الآمنة المتفق عليها لإدارة المنصة؛ معرف السر ليس هو سر العميل. راقب تاريخ الانتهاء واستبدل السر قبل ذلك التاريخ، بما في ذلك في موفر الهوية.

بعد ذلك، اذهب إلى أذونات API → إضافة إذن → Microsoft Graph → أذونات مفوضة. أضف فقط الأذونات للتكاملات والإجراءات التي ستقدمها مؤسستك.

التكامل	أذونات القراءة	أذونات إضافية للكتابة
الملف الشخصي / الأساسي	User.Read; تدفق تسجيل الدخول يطلب أيضًا openid، profile، email وoffline_access	لا شيء
بريد Outlook	Mail.Read	المسودات: Mail.ReadWrite. الإرسال: Mail.Send.
تقويم Outlook	Calendars.Read	الكتابة: Calendars.ReadWrite.
Microsoft Teams	Chat.Read، ChannelMessage.Read.All	النشر: Team.ReadBasic.All، Channel.ReadBasic.All، ChannelMessage.Send.
SharePoint / OneDrive	Sites.Read.All، Files.Read.All	لا توفر هذه التكاملات إجراءات كتابة.

Mail.ReadWrite لا يمنح حق الإرسال؛ لذلك يلزم Mail.Send بشكل منفصل. نشر Teams يكتب رسائل نصية في قناة مختارة، وليس رسائل دردشة خاصة. استخدم أذونات مفوضة لهذا التكامل، وليس أذونات التطبيق. حتى مع الأذونات التي تحتوي على All في الاسم، يظل الوصول المفوض محدودًا حسب وصول المستخدم.

انقر على منح موافقة المسؤول لمؤسستك وتحقق من أن الأذونات المختارة تظهر كممنوحة. هكذا يمكن للموظفين استخدام الوصول المعتمد دون الحاجة لمنح أذونات المؤسسة بأنفسهم. قد تطلب Microsoft تسجيل الدخول، المصادقة متعددة العوامل أو الموافقة المتجددة حسب سياساتك.

4. اربط التطبيق في مكانين ببيئة الذكاء الاصطناعي

دع مسؤول المنصة يختار البيئة المناسبة وينفذ الإعدادات التالية:

1. في المسؤول → البيئة → المستأجر: فعّل طريقة تسجيل الدخول Microsoft واملأ معرف Microsoft بمعرف الدليل (المستأجر).
2. في Google Cloud → منصة الهوية → المستأجر المعني → موفرو الهوية → Microsoft: فعّل الموفر واملأ معرف التطبيق (العميل) وقيمة سر العميل لنفس تطبيق Entra.

ينتمي موفر الهوية إلى مستأجر Firebase/Identity Platform لبيئة الذكاء الاصطناعي الخاصة بك، وليس إلى منظمة أخرى أو بيئة المسؤول العامة. يستخدم تكامل حساب العمل التطبيق من هذا الموفر مرة أخرى. لا يجب وضع سر العميل في تفضيلات المستخدم أو رسائل الدردشة أو حقول البيئة العادية.

سلّم إلى مسؤول المنصة اسم المؤسسة، العلامة التجارية، معرف الدليل، معرف العميل، قيمة السر عبر القناة الآمنة، تاريخ الانتهاء والتكاملات/الأذونات المطلوبة. معرف التطبيق فقط غير كافٍ.

5. فعّل التكاملات وإجراءات الكتابة

افتح بيئة إدارة مؤسستك → الأدوات → MCP. شغّل التكامل Microsoft 365 ضمن اختصارات الحزمة. ستظهر صفوف Microsoft؛ إذا كانت الحزمة كاملة معطلة، تبقى هذه الصفوف مخفية.

اختر لكل تكامل ما إذا كان متاحًا. في عمود إجراءات الكتابة اختر بشكل منفصل:

• بريد Outlook → المسودات: إنشاء وتعديل المسودات.
• بريد Outlook → الإرسال: إرسال مسودة موجودة فعليًا.
• تقويم Outlook → الكتابة: إنشاء وتعديل المواعيد.
• Microsoft Teams → النشر: نشر رسائل نصية في قناة Teams مختارة.

انقر على حفظ. تعمل إجراءات الكتابة فقط إذا كانت التكاملات وأذونات الإدارة المرتبطة مفعلة، ومنحت Microsoft الأذونات اللازمة، وقام المستخدم بتشغيل الرابط شخصيًا. لا يحصل المستخدم على نموذج أذونات كتابة إضافي.

التوفر

يجب أن تدعم الإعدادات أيضًا الواجهة الخلفية لعلامتك التجارية. تم نشر هذه الإضافة للكتابة رسميًا في 7 أكتوبر 2026 وتم اختبارها لـ OnderwijsSupport على AI-Corporate. هذا لا يعني تلقائيًا أن نفس الإضافة متاحة لـ AI-Public أو AI-Public أو أي بيئة أخرى. اسأل مسؤول المنصة للتأكيد إذا كانت إجراءات الكتابة مفقودة.

6. تحقق من الإعداد

دع مستخدمًا يسجل الدخول إلى بيئة الذكاء الاصطناعي المناسبة ويشغل التكامل المطلوب وفقًا لـ استخدام تكاملات Microsoft. تحقق من أن Microsoft تعرض اسم تطبيق Entra الخاص بك.

اختبر أولاً مسودة معروفة وموعدًا بدون مشاركين. تحقق من العناصر المحفوظة في Outlook. ثم اختبر الإرسال مع مستلم اختبار متفق عليه ونشر Teams في قناة اختبار متفق عليها. قد يرسل موعد مع مشاركين دعوات أو تحديثات. أمر الإرسال المقبول ليس تأكيدًا للتسليم.

عند توسيع الأذونات، تحاول الروابط تجديد الرموز. إذا طلبت Microsoft تسجيل الدخول أو الموافقة مجددًا، دع المستخدم يعيد ربط الرابط الحالي. لا حاجة لتطبيق ثاني أو إعداد مستخدم منفصل.

استكشاف الأخطاء وإصلاحها

المشكلة	تحقق
AADSTS50011 / عدم تطابق إعادة التوجيه	تم تسجيل كلا العنوانين callback بدقة كـ ويب، للعلامة التجارية الصحيحة.
يظهر اسم تطبيق مختلف عند الموافقة	البيئة الصحيحة، معرف الدليل وموفر هوية Microsoft الخاص بالمستأجر؛ أعد الربط بعد ذلك.
تسجيل الدخول يعمل لكن التكامل لا يعمل	تحقق أيضًا من callback الموصل، أذونات Graph وموافقة المؤسسة.
القراءة تعمل، الكتابة لا تعمل	تحقق من أذونات الإدارة، أذونات Graph المفوضة، الموافقة الممنوحة وتوفر الواجهة الخلفية.
سر العميل غير صالح أو منتهي	القيمة، ليست معرف السر؛ حدث السر الجديد أيضًا في موفر الهوية.
التكامل مفقود لدى المستخدم	تحقق من التوفر في الأدوات، أذونات المستخدم للروابط والبيئة المختارة.

مزيد من المعلومات

• إدارة الأدوات
• استخدام تكاملات Microsoft
• Microsoft: تسجيل تطبيق
• Microsoft: عناوين URL لإعادة التوجيه
• Microsoft Graph: نظرة عامة على الأذونات

قاعدة المعرفة المركزية لـ SharePoint: إعداد Microsoft

تعمل المجلدات المرتبطة مركزيًا عبر تطبيق المؤسسة، دون الحاجة إلى أن يقوم كل موظف بتفعيل ربط SharePoint شخصي. لهذا الأمر هناك حاجة إلى تصريحين منفصلين: حق التطبيق Sites.Selected مع موافقة المسؤول، وread-grant على موقع SharePoint المختار. تسجيل دخول Microsoft صالح أو موافقة المسؤول فقط غير كافيين.

1. تحقق من تطبيق المؤسسة

استخدم نفس تسجيل التطبيق لمستأجر واحد كما هو مستخدم لتسجيل الدخول إلى Microsoft في بيئة الذكاء الاصطناعي الخاصة بك. يمكن توسيع تطبيق موجود؛ لا حاجة لتطبيق تكامل ثانٍ. تحقق في Microsoft Entra → App registrations → تطبيقك → Overview من معرف الدليل (المستأجر) ومعرف التطبيق (العميل). استخدم معرف العميل أدناه، وليس معرف الكائن.

يجب أن يكون معرف الدليل موجودًا في Admin → Environment → Tenant → Microsoft ID. يجب أن يكون معرف العميل والقيمة لسر العميل الصالح موجودين في موفر هوية Microsoft الخاص بتلك البيئة بالذات. يتم متابعة هذا التكوين من قبل إدارة المنصة. انتهاء صلاحية السر يمنع أيضًا الاستيراد المركزي؛ راقب تاريخ الانتهاء.

يستخدم الاتصال المركزي للخادم client_credentials ولا يطلب عنوان URL لإعادة التوجيه إضافي. تبقى عناوين URL لإعادة التوجيه الخاصة بالويب لتسجيل الدخول وتكامل حساب العمل الشخصي ضرورية؛ استخدم عناوين URL المرتبطة بالعلامة التجارية من الجدول في بداية هذا المقال.

2. أضف حق التطبيق وامنح موافقة المسؤول

1. افتح API permissions → Add a permission → Microsoft Graph → Application permissions.
2. ابحث عن Sites.Selected، حدد هذا الحق وانقر على Add permissions.
3. دع مسؤول Entra المخول يقوم بـ Grant admin consent for your organization.
4. تحقق من أن Sites.Selected، من النوع Application، يظهر كممنوح.

يمكن أن تبقى الحقوق المفوضة لروابط Outlook وTeams وSharePoint الشخصية على نفس التطبيق. هذه الحقوق لا تحل محل حق التطبيق للقاعدة المعرفية المركزية. لا يتطلب هذا الاستيراد المركزي حق التطبيق Sites.Read.All أو Sites.ReadWrite.All أو Sites.FullControl.All.

3. امنح التطبيق حق القراءة بشكل منفصل على الموقع

يمكن تنفيذ هذا الإجراء الإداري باستخدام Microsoft Graph Explorer. استخدم حساب إدارة في نفس دليل Microsoft، مع دور SharePoint Administrator أو دور إداري أعلى مناسب، والوصول إلى الموقع المعني. دور اشتراك Azure أو ملكية التطبيق فقط غير كافيين لهذا.

1. سجل دخول حساب الإدارة في Graph Explorer وتحقق من المؤسسة المعروضة.
2. افتح قائمة ملفك الشخصي → Consent to permissions، وابحث عن Sites.FullControl.All واختر Consent لمنح الإذن المطلوب لـ Graph Explorer في سياق الإدارة هذا. في بعض الاستعلامات، يمكنك أيضًا فتح لوحة الأذونات الكاملة عبر Modify Permissions → Open the permissions panel. هذا هو إذن إدارة delegated لإدارة منح المواقع؛ لا تضفه كإذن تطبيق واسع على تطبيق قاعدة المعرفة. استخدم الإذن المرتبط بالحساب عندما لا تكون موافقة المؤسسة لجميع المستخدمين ضرورية.
3. ابحث عن معرف الموقع باستخدام GET أدناه. استبدل المضيف النموذجي ومسار الموقع بمسار مجلدك الخاص. إذا كان عنوان URL يحتوي على /teams/ فاستخدم هذا المسار بدلاً من /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

القيمة id في الرد هي معرف الموقع الكامل، بما في ذلك اسم المضيف وGUIDs الاثنين. تحقق أيضًا من displayName وwebUrl: يجب أن يكون المنح على الموقع الذي يوجد فيه مجلدك فعليًا.

4. تحقق أولاً من المنح الموجودة باستخدام GET على العنوان أدناه. إذا كان معرف العميل الخاص بك موجودًا هناك مع الدور read، فلا حاجة لإنشاء منح ثانية. دع مسؤول Microsoft الخاص بك يراجع المنح الأوسع أو المختلفة الموجودة.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

5. إذا كان المنح مفقودًا، اختر POST، استخدم نفس العنوان واملأ في Request Body JSON التالي. استبدل القيمتين النموذجيتين؛ CLIENT-ID-VAN-UW-APP هو معرف التطبيق (العميل) لتطبيق التكامل الخاص بك، وليس تطبيق Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

6. اختر Run query. إضافة ناجحة تعطي 201 Created. تحقق في الرد من الدور read ومعرف العميل؛ قد يعرض Graph هذه تحت grantedToIdentitiesV2. تحقق مرة أخرى باستخدام GET. احتفظ بمعرف الإذن للإدارة وسحب لاحق محتمل.
7. كرر هذا فقط لكل موقع آخر تريد ربط مجلدات قاعدة المعرفة به عن قصد.

Sitegrant وحقوق القاعدة المعرفية

يمنح منح Microsoft التطبيق حق القراءة على الموقع المحدد بالكامل. تستورد بيئة الذكاء الاصطناعي فقط المجلد المختار والمجلدات الفرعية. يُفضل استخدام موقع منفصل للمشاركة المركزية للمعرفة. تحدد حقوق القاعدة المعرفية الحالية المستخدمين الذين يحصلون على المستندات المستوردة؛ لا يتم نقل حقوق SharePoint الفردية.

4. اربط المجلد وتحقق من النتيجة

افتح الإدارة → القاعدة المعرفية → إضافة → مجلدات SharePoint → ربط مجلد واستخدم عنوان URL الحقيقي للمجلد، وليس رابط دعوة أو عنوان عرض OneDrive. اختر النطاق، الجمهور، وحالة النشر وفقًا لـ دليل القاعدة المعرفية. المصدر المركزي لا يتطلب موصلًا شخصيًا في تفضيلات المستخدم.

تحقق باستخدام تحديث ما إذا تمت معالجة المستندات بدون أخطاء. استخدم مزامنة الآن لفحص جديد ثم اطرح سؤال دردشة محدد حول مستند مستورد. تحقق من أن الإجابة تذكر مصدر المعرفة المركزي الصحيح.

المشكلة	التحقق من جانب Microsoft
تسجيل الدخول يعمل، لكن المجلد المركزي لا يعمل	يجب أن يكون Sites.Selected من نوع Application ويحمل موافقة المسؤول؛ تحقق أيضًا من منح الموقع المنفصل.
403 Forbidden عند الوصول إلى المجلد	تحقق من دليل Microsoft الصحيح، معرف الموقع، معرف العميل ومنح read؛ موافقة المسؤول فقط لا تمنح حق الوصول إلى الموقع.
403 في الإجراء الإداري في Graph Explorer	حق مفوض Sites.FullControl.All، إذن ممنوح، دور إداري، والوصول إلى الموقع الهدف. لا تضف حقًا واسعًا لتطبيق التكامل كحل.
الموقع يعمل، المجلد غير موجود	تحقق من عنوان URL الحقيقي للمجلد، مكتبة المستندات ومسار الموقع؛ قد يشير اختصار OneDrive إلى موقع آخر.
السر منتهي الصلاحية أو غير صالح	دع إدارة المنصة تحدث قيمة السر الجديدة في موفر هوية Microsoft الصحيح.

تم نشر واختبار هذا الربط المركزي لـ OnderwijsSupport على AI-Corporate في 14 أكتوبر 2026. يجب تأكيد التوفر على AI-School أو AI-Public أو بيئة أخرى من قبل إدارة المنصة.

توثيق Microsoft: الأذونات المختارة، إضافة منح الموقع والتحقق من منح المواقع.