Opsæt Microsoft 365 til dit miljø

Med en egen Microsoft Entra-app kan din organisation bruge den samme app til log ind med Microsoft og til Outlook, Teams og SharePoint. Du bestemmer centralt, hvilke integrationer og skrivehandlinger der er tilgængelige. Brugerne tænder eller slukker derefter kun deres personlige forbindelser under Indstillinger → Værktøjer → Forbindelser.

De personlige integrationer fungerer med understøttede modeller fra OpenAI, Claude, Gemini og Mistral. Den valgte model skal kunne bruge værktøjer. Ved personlige forbindelser følger adgangen rettighederne for den indloggede Microsoft-bruger. Organisationssamtykke logger ikke automatisk alle medarbejdere ind og giver ikke AI selvstændig adgang til alle postkasser. Den centrale SharePoint-vidensbase bruger separate apprettigheder og de eksisterende vidensbasetilladelser, som beskrevet senere i denne artikel.

Hvad har du brug for?

En Microsoft 365-organisation med Microsoft Entra ID og konti med adgang til de ønskede tjenester.
En administrator, der må registrere en app og give organisationssamtykke til de valgte Microsoft Graph-rettigheder. Kun en Azure-abonnementsrolle er ikke tilstrækkelig; din Entra-rolle skal tillade dette samtykke.
Administrationsrettigheder i det relevante AI-miljø for at gøre integrationer tilgængelige.
En platformadministrator, der kan konfigurere Microsoft Identity Provider for dette AI-miljø i Google Cloud Identity Platform.
En app-registrering i din egen Microsoft-directory med en klienthemmelighed og de to omdirigerings-URL'er for det relevante brand.

Log ind med Microsoft og adgang til Microsoft-data er to separate funktioner. Kun en fungerende Microsoft-login betyder ikke automatisk, at Outlook, Teams eller SharePoint er opsat.

1. Registrer én organisationsapp

Åbn Microsoft Entra administrationscenter og gå til App registrations → New registration. Brug et genkendeligt navn, for eksempel AI-Public – dit organisationsnavn. Vælg for din egen organisation Accounts in this organizational directory only (Single tenant).

Gem følgende oplysninger fra Overview:

Oplysning	Hvad bruges det til?
Directory (tenant) ID	Din organisations Microsoft-directory; dette skal indtastes i feltet Microsoft ID i AI-miljøet.
Application (client) ID	Den registrerede app; dette indtastes i Microsoft Identity Provider.

Disse to ID'er er forskellige. Indtast ikke klient-ID eller Firebase-tenant-ID i Microsoft ID.

2. Indstil de korrekte omdirigerings-URL'er

Gå til Authentication → Add a platform → Web. Tilføj for dit brand begge nedenstående URL'er, præcis som vist. Den første håndterer login; den anden håndterer samtykke til arbejdsrelaterede integrationer.

Brand	Log ind med Microsoft	Arbejdskonto-integrationer
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Brug URL'erne for det brand, dit miljø kører på. Dit eget organisationsnavn eller tenant-ID behøver ikke at indgå i disse URL'er. Webstedets URL, dashboard-URL og .web.app-URL erstatter ikke disse callbacks. Registrer dem som Web, selvom du bruger integrationen fra en browser. Du behøver ikke aktivere implicit tokenudstedelse eller public client flow.

3. Opret en klienthemmelighed og tildel rettigheder

Gå til Certificates & secrets → Client secrets → New client secret. Vælg en passende varighed og gem Value sikkert, når den vises. Lever værdien via den aftalte sikre kanal til platformadministration; Secret ID er ikke klienthemmeligheden. Hold styr på udløbsdatoen og udskift hemmeligheden før den udløber, også i Identity Provider.

Gå derefter til API permissions → Add a permission → Microsoft Graph → Delegated permissions. Tilføj kun de rettigheder, der er nødvendige for de integrationer og handlinger, din organisation vil tilbyde.

Integration	Læserettigheder	Ekstra skrive-rettigheder
Profil / basis	`User.Read`; loginflowet anmoder også om `openid`, `profile`, `email` og `offline_access`	Ingen
Outlook Mail	`Mail.Read`	Koncept: `Mail.ReadWrite`. Send: `Mail.Send`.
Outlook Kalender	`Calendars.Read`	Skriv: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Post: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Denne arbejdskonto-integration tilbyder ingen skrivehandlinger her.

Mail.ReadWrite giver ikke sendetilladelse; det kræver separat Mail.Send. Teams-postning skriver tekstbeskeder i en valgt kanal, ikke private chatbeskeder. Brug Delegated permissions til denne integration, ikke Application permissions. Selv rettigheder med All i navnet er begrænset af brugerens adgang.

Klik på Grant admin consent for din organisation og kontroller, at de valgte rettigheder vises som givet. Så kan medarbejdere bruge den godkendte adgang uden selv at skulle give organisationsrettigheder. Microsoft kan stadig bede om login, MFA eller fornyet samtykke afhængigt af din politik.

4. Tilknyt appen to steder til AI-miljøet

Lad platformadministratoren vælge det korrekte miljø og udføre disse indstillinger:

I Admin → Miljø → Tenant: aktiver loginmetoden Microsoft og indtast Directory (tenant) ID under Microsoft ID.
I Google Cloud → Identity Platform → den relevante tenant → Identity providers → Microsoft: aktiver provider og indtast Application (client) ID og klienthemmelighedens Value fra samme Entra-app.

Identity Provider hører til Firebase/Identity Platform-tenant for dit AI-miljø, ikke en anden organisation eller den generelle Admin-miljø. Arbejdskonto-integration bruger appen fra denne provider igen. Klienthemmeligheden må ikke gemmes i brugerpræferencer, chatbeskeder eller almindelige miljøfelter.

Lever til platformadministration organisationsnavn, brand, Directory ID, klient-ID, hemmelighedsværdi via sikker kanal, udløbsdato og ønskede integrationer/rettigheder. Kun et app-ID er ikke nok.

5. Giv integrationer og skrivehandlinger fri

Åbn administrationsmiljøet for din organisation → Værktøjer → MCP. Tænd for integrationen Microsoft 365 under Suite-genveje. Microsoft-rækkerne bliver synlige; hvis hele suiten er slukket, forbliver rækkerne skjult.

Vælg for hver integration, om den er tilgængelig. I kolonnen Skrivehandlinger vælger du separat:

Outlook Mail → Koncept: opret og rediger koncepter.
Outlook Mail → Send: send et eksisterende koncept.
Outlook Kalender → Skriv: opret og rediger aftaler.
Microsoft Teams → Post: placer tekstbeskeder i et valgt Teams-kanal.

Klik på Gem. En skrivehandling virker kun, hvis både integrationen og den tilhørende administrationsret er aktiveret, Microsoft har givet de nødvendige rettigheder, og brugeren personligt har aktiveret forbindelsen. Brugeren får ikke et ekstra skrive-rettighedsskema.

Tilgængelighed

Indstillingerne skal også understøttes af backend for dit brand. Denne skriveudvidelse blev målrettet offentliggjort og testet for UndervisningsSupport på AI-Corporate den 7. oktober 2026. Det betyder ikke automatisk, at samme udvidelse allerede er frigivet for AI-Public, AI-Public eller andre miljøer. Spørg platformadministration om bekræftelse, hvis skrivehandlinger mangler.

6. Kontroller opsætningen

Lad en bruger logge ind på det korrekte AI-miljø og aktivere den ønskede integration ifølge Brug af Microsoft-integrationer. Kontroller, at Microsoft viser navnet på din egen Entra-app.

Test først et genkendeligt koncept og en aftale uden deltagere. Kontroller de gemte elementer i Outlook. Test derefter afsendelse med en aftalt testmodtager og Teams-post i en aftalt testkanal. En aftale med deltagere kan sende invitationer eller opdateringer. En accepteret sendebestilling er ikke en bekræftet levering.

Ved udvidelse af rettigheder forsøger forbindelsen at forny tokens. Hvis Microsoft kræver genlogin eller samtykke, skal brugeren genforbinde den eksisterende forbindelse. Der behøver ikke oprettes en anden app eller separat brugerindstilling.

Fejlfinding

Problem	Kontrol
`AADSTS50011` / redirect mismatch	Begge callbacks er registreret præcist som Web for det korrekte brand.
Et andet appnavn vises ved samtykke	Det korrekte AI-miljø, Directory ID og tenant-specifik Microsoft Identity Provider; forbind igen efter kontrol.
Login virker, men integrationen ikke	Kontroller også connector callback, Graph-rettigheder og organisationssamtykke.
Læsning virker, skrivning ikke	Kontroller administrationsret, tilhørende delegerede Graph-rettigheder, givet samtykke og backend-tilgængelighed.
Klienthemmelighed ugyldig eller udløbet	Brug Value, ikke Secret ID; opdater også i Identity Provider.
Integration mangler for brugeren	Kontroller tilgængelighed i Værktøjer, brugerrettigheder for forbindelser og det valgte AI-miljø.

Mere information

Central SharePoint-vidensbase: Opsæt Microsoft

En centralt tilknyttet mappe fungerer via organisationsappen, uden at hver medarbejder skal aktivere en personlig SharePoint-forbindelse. Dette kræver to separate tilladelser: applikationsrettigheden Sites.Selected med admin consent, og en read-tilladelse på den valgte SharePoint-side. En fungerende Microsoft-login eller kun admin consent er ikke tilstrækkeligt.

1. Kontroller organisationsappen

Brug den samme single-tenant app-registrering som til Microsoft-login i dit AI-miljø. En eksisterende app kan udvides; en anden integrationsapp er ikke nødvendig. Kontroller i Microsoft Entra → App registrations → din app → Overview Directory (tenant) ID og Application (client) ID. Brug nedenfor client ID, ikke Object ID.

Directory ID skal stå i Admin → Miljø → Tenant → Microsoft ID. Client ID og Value af en gyldig client secret skal være i Microsoft Identity Provider for netop det AI-miljø. Denne konfiguration vedligeholdes af platformadministration. En udløbet secret forhindrer også central import; hold øje med udløbsdatoen.

Den centrale serverforbindelse bruger client_credentials og kræver ikke ekstra redirect-URL. De eksisterende web-redirects til login og personlige arbejds-konto-integrationer forbliver nødvendige; brug de brandede URL'er fra tabellen tidligere i denne artikel.

Åbn API permissions → Add a permission → Microsoft Graph → Application permissions.
Søg efter Sites.Selected, vælg denne rettighed og klik på Add permissions.
Lad en autoriseret Entra-administrator udføre Grant admin consent for din organisation.
Kontroller, at Sites.Selected, type Application, vises som givet.

De delegerede rettigheder til personlige Outlook-, Teams- og SharePoint-forbindelser kan forblive på samme app. De erstatter ikke applikationsrettigheden for den centrale vidensbase. Til denne centrale import er der ikke behov for applikationsrettighederne Sites.Read.All, Sites.ReadWrite.All eller Sites.FullControl.All.

3. Giv appen separat læsetilladelse til siden

Denne administrationshandling kan udføres med Microsoft Graph Explorer. Brug en administrator-konto i samme Microsoft-directory med SharePoint Administrator eller en højere passende administratorrolle og adgang til den pågældende side. En Azure-abonnementsrolle eller kun ejerskab af appen er ikke tilstrækkeligt.

Log ind med administrator-kontoen i Graph Explorer og kontroller den viste organisation.
Åbn din profilmenu → Consent to permissions, søg efter Sites.FullControl.All og vælg Consent for at give den nødvendige tilladelse til Graph Explorer i denne administrationskontekst. For nogle forespørgsler kan du også åbne det fulde tilladelsespanel via Modify Permissions → Open the permissions panel. Dette er en delegated administrationsrettighed til at administrere site-tilladelser; tilføj det ikke som en bred applikationstilladelse på vidensbaseappen. Brug kontoafhængig tilladelse, når organisationssamtykke ikke er nødvendigt for alle brugere.
Find site-ID med nedenstående GET. Erstat eksempel-host og site-sti med din egen mappes. Ved en URL med /teams/ bruger du den sti i stedet for /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

Værdien id i svaret er den fulde site-ID, inklusive hostnavn og to GUID'er. Kontroller også displayName og webUrl: tilladelsen skal gives på den side, hvor din mappe faktisk ligger.

Kontroller først eksisterende tilladelser med GET på nedenstående adresse. Hvis din client ID allerede står der med rollen read, behøver du ikke oprette en ny tilladelse. Lad din Microsoft-administrator vurdere eksisterende bredere eller afvigende tilladelser.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Mangler tilladelsen, vælg POST, brug samme adresse og indsæt følgende JSON i Request Body. Erstat de to eksempelværdier; CLIENT-ID-VAN-DIN-APP er Application (client) ID for din integrationsapp, ikke Graph Explorer-appen.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

Vælg Run query. En vellykket tilføjelse giver 201 Created. Kontroller i svaret rollen read og client ID; Graph kan vise disse under grantedToIdentitiesV2. Kontroller derefter igen med GET. Gem permission-ID til administration og eventuel senere tilbagekaldelse.
Gentag kun for hver anden side, hvor du bevidst ønsker at tilknytte vidensbasemapper.

Sitegrant og vidensbasetilladelser

Microsoft-tilladelsen giver appen læsetilladelse til hele den valgte side. AI-miljøet importerer kun den valgte mappe og undermapper. Brug helst en separat side til centralt delte vidensressourcer. De eksisterende vidensbasetilladelser bestemmer, hvilke brugere der får adgang til de importerede dokumenter; individuelle SharePoint-rettigheder overføres ikke.

4. Tilknyt mappen og kontroller resultatet

Åbn Administration → Vidensbase → Tilføj → SharePoint-mapper → Tilknyt mappe og brug den rigtige mappe-URL, ikke en invitationslink eller OneDrive-oversigtsadresse. Vælg rækkevidde, målgruppe og publiceringsstatus i henhold til vidensbasevejledningen. En central kilde kræver ikke en personlig connector i brugerpræferencer.

Kontroller med Opdater om dokumenterne er behandlet uden fejl. Brug Synkroniser nu for en ny kontrol og stil derefter et konkret chatspørgsmål om et importeret dokument. Kontroller, at svaret nævner den korrekte centrale videnskilde.

Problem	Kontrol på Microsoft-siden
Login virker, men den centrale mappe ikke	`Sites.Selected` skal være af typen Application og have admin consent; kontroller også den separate sitegrant.
`403 Forbidden` ved adgang til mappe	Korrekt Microsoft-directory, site-ID, client ID og `read`-grant; admin consent alene giver ikke adgang til siden.
`403` ved administrationshandling i Graph Explorer	Delegated `Sites.FullControl.All`, givet tilladelse, administratorrolle og adgang til målsiden. Tilføj ikke bred rettighed til integrationsappen som løsning.
Side virker, mappe ikke fundet	Kontroller den rigtige mappe-URL, dokumentbibliotek og site-sti; en OneDrive-genvej kan pege på en anden side.
Secret udløbet eller ugyldig	Lad platformadministration opdatere den nye secret Value i den korrekte Microsoft Identity Provider.

For OnderwijsSupport på AI-Corporate blev denne centrale forbindelse offentliggjort og testet den 14. oktober 2026. Tilgængelighed på AI-School, AI-Public eller et andet miljø skal bekræftes af platformadministration.

Microsoft-dokumentation: Selected permissions, tilføj sitegrant og kontroller sitegrants.

Hvad har du brug for?​

1. Registrer én organisationsapp​

2. Indstil de korrekte omdirigerings-URL'er​

3. Opret en klienthemmelighed og tildel rettigheder​

4. Tilknyt appen to steder til AI-miljøet​

5. Giv integrationer og skrivehandlinger fri​

6. Kontroller opsætningen​

Fejlfinding​

Mere information​

Central SharePoint-vidensbase: Opsæt Microsoft​

1. Kontroller organisationsappen​

2. Tilføj applikationsrettighed og giv admin consent​

3. Giv appen separat læsetilladelse til siden​

4. Tilknyt mappen og kontroller resultatet​