Microsoft 365 instellen voor uw omgeving

Met een eigen Microsoft Entra-app kan uw organisatie dezelfde app gebruiken voor aanmelden met Microsoft en voor Outlook, Teams en SharePoint. U bepaalt centraal welke integraties en schrijfacties beschikbaar zijn. Gebruikers zetten daarna alleen hun persoonlijke koppelingen aan of uit in Voorkeuren → Tools → Koppelingen.

De persoonlijke integraties werken met ondersteunde modellen van OpenAI, Claude, Gemini en Mistral. Het gekozen model moet tools kunnen gebruiken. Bij persoonlijke koppelingen volgt de toegang de rechten van de aangemelde Microsoft-gebruiker. Organisatietoestemming meldt niet alle medewerkers automatisch aan en geeft de AI geen zelfstandige toegang tot alle mailboxen. De centrale SharePoint-kennisbank gebruikt afzonderlijke apprechten en de bestaande kennisbankrechten, zoals verderop in dit artikel beschreven.

Wat hebt u nodig?

Een Microsoft 365-organisatie met Microsoft Entra ID en accounts met toegang tot de gewenste diensten.
Een beheerder die een app mag registreren en organisatietoestemming voor de gekozen Microsoft Graph-rechten mag verlenen. Alleen een Azure-abonnementsrol is hiervoor niet voldoende; uw Entra-rol moet deze toestemming toestaan.
Beheerrechten in de juiste AI-omgeving om integraties beschikbaar te maken.
Een platformbeheerder die de Microsoft Identity Provider voor deze AI-omgeving kan instellen in Google Cloud Identity Platform.
Een app registration in uw eigen Microsoft-directory, met een client secret en de twee omleidings-URL's van het juiste merk.

Aanmelden met Microsoft en toegang tot Microsoft-gegevens zijn twee afzonderlijke functies. Alleen een werkende Microsoft-login betekent nog niet dat Outlook, Teams of SharePoint is ingesteld.

1. Registreer één organisatie-app

Open het Microsoft Entra-beheercentrum en ga naar App registrations → New registration. Gebruik een herkenbare naam, bijvoorbeeld AI-Public – uw organisatienaam. Kies voor een eigen organisatie Accounts in this organizational directory only (Single tenant).

Bewaar de volgende gegevens uit Overview:

Gegeven	Waarvoor?
Directory (tenant) ID	De Microsoft-directory van uw organisatie; dit komt in het veld Microsoft ID van de AI-omgeving.
Application (client) ID	De geregistreerde app; dit komt in de Microsoft Identity Provider.

Deze twee ID's zijn verschillend. Vul bij Microsoft ID niet de client ID of het Firebase-tenant-ID in.

2. Stel de juiste omleidings-URL's in

Ga naar Authentication → Add a platform → Web. Voeg voor uw merk beide onderstaande URL's toe, exact zoals weergegeven. De eerste verwerkt het aanmelden; de tweede verwerkt toestemming voor de werkaccountintegraties.

Merk	Aanmelden met Microsoft	Werkaccountintegraties
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Gebruik de URL's van het merk waarop uw omgeving draait. Uw eigen organisatienaam of tenant-ID hoeft niet in deze URL's te worden ingevuld. De website-URL, dashboard-URL en .web.app-URL vervangen deze callbacks niet. Registreer ze als Web, ook al gebruikt u de integratie vanuit een browser. U hoeft hiervoor geen impliciete tokenuitgifte of public-client-flow aan te zetten.

3. Maak een client secret en ken rechten toe

Ga naar Certificates & secrets → Client secrets → New client secret. Kies een passende looptijd en bewaar de Value veilig zodra die zichtbaar is. Lever de waarde aan via het afgesproken beveiligde kanaal voor platformbeheer; de Secret ID is niet de client secret. Houd de vervaldatum bij en vervang het secret vóór die datum, ook in de Identity Provider.

Ga daarna naar API permissions → Add a permission → Microsoft Graph → Delegated permissions. Voeg alleen de rechten toe voor de integraties en acties die uw organisatie gaat aanbieden.

Integratie	Leesrechten	Extra rechten voor schrijven
Profiel / basis	`User.Read`; de aanmeldflow vraagt ook `openid`, `profile`, `email` en `offline_access`	Geen
Outlook Mail	`Mail.Read`	Concepten: `Mail.ReadWrite`. Verzenden: `Mail.Send`.
Outlook Agenda	`Calendars.Read`	Schrijven: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Posten: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Deze werkaccountintegratie biedt hier geen schrijfacties.

Mail.ReadWrite geeft geen verzendrecht; daarvoor is afzonderlijk Mail.Send nodig. Teams-posten schrijft tekstberichten in een gekozen kanaal, geen privéchatberichten. Voor deze integratie gebruikt u Delegated permissions, geen Application permissions. Ook bij rechten met All in de naam blijft gedelegeerde toegang beperkt door de toegang van de gebruiker.

Klik op Grant admin consent for uw organisatie en controleer dat de gekozen rechten als verleend worden weergegeven. Zo kunnen medewerkers de goedgekeurde toegang gebruiken zonder zelf organisatierechten te hoeven verlenen. Microsoft kan nog wel om aanmelden, MFA of hernieuwde toestemming vragen, afhankelijk van uw beleid.

4. Koppel de app op twee plaatsen aan de AI-omgeving

Laat de platformbeheerder de juiste omgeving selecteren en deze instellingen uitvoeren:

In Admin → Omgeving → Tenant: schakel de inlogmethode Microsoft in en vul bij Microsoft ID de Directory (tenant) ID in.
In Google Cloud → Identity Platform → de betreffende tenant → Identity providers → Microsoft: schakel de provider in en vul de Application (client) ID en de client secret Value van dezelfde Entra-app in.

De Identity Provider hoort bij de Firebase/Identity Platform-tenant van uw AI-omgeving, niet bij een andere organisatie of de algemene Admin omgeving. De werkaccountintegratie gebruikt de app uit deze provider opnieuw. De client secret hoort niet in gebruikersvoorkeuren, chatberichten of gewone omgevingsvelden.

Lever aan platformbeheer de organisatienaam, het merk, de Directory ID, de client ID, de secretwaarde via het beveiligde kanaal, de vervaldatum en de gewenste integraties/rechten aan. Een app-ID alleen is niet voldoende.

5. Geef de integraties en schrijfacties vrij

Open de beheeromgeving van uw organisatie → Tools → MCP. Zet bij Suite-snelkoppelingen de integratie Microsoft 365 aan. De Microsoft-rijen worden zichtbaar; wanneer de hele suite uitstaat, blijven die rijen verborgen.

Kies per integratie of die beschikbaar is. In de kolom Schrijfacties kiest u afzonderlijk:

Outlook Mail → Concepten: concepten maken en wijzigen.
Outlook Mail → Verzenden: een bestaand concept daadwerkelijk verzenden.
Outlook Agenda → Schrijven: afspraken maken en wijzigen.
Microsoft Teams → Posten: tekstberichten in een gekozen Teams-kanaal plaatsen.

Klik op Opslaan. Een schrijfactie werkt alleen als zowel de integratie als het bijbehorende beheerrecht aanstaat, Microsoft de benodigde rechten heeft verleend en de gebruiker de koppeling persoonlijk heeft aangezet. De gebruiker krijgt hiervoor geen extra schrijfrechtenformulier.

Beschikbaarheid

De instellingen moeten ook ondersteund worden door de backend van uw merk. Deze schrijfuitbreiding is op 7 oktober 2026 gericht gepubliceerd en getest voor OnderwijsSupport op AI-Corporate. Dat betekent niet automatisch dat dezelfde uitbreiding al voor AI-School, AI-Public of iedere andere omgeving is vrijgegeven. Vraag platformbeheer om bevestiging wanneer schrijfacties ontbreken.

6. Controleer de inrichting

Laat een gebruiker aanmelden op de juiste AI-omgeving en de gewenste integratie aanzetten volgens Microsoft-integraties gebruiken. Controleer of Microsoft de naam van uw eigen Entra-app toont.

Test eerst een herkenbaar concept en een afspraak zonder deelnemers. Controleer de opgeslagen items in Outlook. Test verzenden vervolgens met een afgesproken testontvanger en Teams-posten in een afgesproken testkanaal. Een afspraak met deelnemers kan uitnodigingen of updates versturen. Een geaccepteerde verzendopdracht is nog geen bevestigde aflevering.

Bij uitbreiding van rechten probeert de koppeling tokens te vernieuwen. Als Microsoft opnieuw aanmelden of toestemming vereist, laat de gebruiker de bestaande koppeling opnieuw verbinden. Er hoeft geen tweede app of aparte gebruikersinstelling te worden gemaakt.

Problemen oplossen

Probleem	Controle
`AADSTS50011` / redirect mismatch	Beide callbacks exact geregistreerd als Web, voor het juiste merk.
Een andere appnaam verschijnt bij toestemming	De juiste AI-omgeving, Directory ID en tenant-specifieke Microsoft Identity Provider; verbind daarna opnieuw.
Login werkt, maar de integratie niet	Ook de connectorcallback, Graph-rechten en organisatietoestemming controleren.
Lezen lukt, schrijven niet	Beheerrecht, bijbehorend gedelegeerd Graph-recht, verleende toestemming en backendbeschikbaarheid controleren.
Client secret ongeldig of verlopen	De Value, niet de Secret ID; nieuw secret ook in de Identity Provider bijwerken.
Integratie ontbreekt bij de gebruiker	Beschikbaarheid in Tools, gebruikersrechten voor koppelingen en de geselecteerde AI-omgeving controleren.

Meer informatie

Centrale SharePoint-kennisbank: Microsoft instellen

Een centraal gekoppelde map werkt via de organisatie-app, zonder dat iedere medewerker een persoonlijke SharePoint-koppeling aanzet. Hiervoor zijn twee afzonderlijke toestemmingen nodig: het applicatierecht Sites.Selected met admin consent, én een read-grant op de gekozen SharePoint-site. Een werkende Microsoft-login of alleen admin consent is niet voldoende.

1. Controleer de organisatie-app

Gebruik dezelfde single-tenant app registration als voor Microsoft-aanmelden in uw AI-omgeving. Een bestaande app kan worden uitgebreid; een tweede integratie-app is niet nodig. Controleer in Microsoft Entra → App registrations → uw app → Overview de Directory (tenant) ID en Application (client) ID. Gebruik hieronder de client ID, niet de Object ID.

De Directory ID moet in Admin → Omgeving → Tenant → Microsoft ID staan. De client ID en de Value van een geldig client secret moeten bij de Microsoft Identity Provider van precies die AI-omgeving staan. Deze configuratie wordt door platformbeheer bijgehouden. Een verlopen secret verhindert ook de centrale import; houd de vervaldatum bij.

De centrale serververbinding gebruikt client_credentials en vraagt geen extra redirect-URL. De bestaande Web-redirects voor aanmelden en persoonlijke werkaccountintegraties blijven nodig; gebruik de merkgebonden URL's uit de tabel eerder in dit artikel.

Open API permissions → Add a permission → Microsoft Graph → Application permissions.
Zoek Sites.Selected, selecteer dit recht en klik op Add permissions.
Laat een bevoegde Entra-beheerder Grant admin consent for uw organisatie uitvoeren.
Controleer dat Sites.Selected, type Application, als verleend wordt weergegeven.

De gedelegeerde rechten voor persoonlijke Outlook-, Teams- en SharePoint-koppelingen kunnen op dezelfde app blijven staan. Zij vervangen het applicatierecht voor de centrale kennisbank niet. Voor deze centrale import is geen applicatierecht Sites.Read.All, Sites.ReadWrite.All of Sites.FullControl.All nodig.

3. Geef de app afzonderlijk leestoegang tot de site

Deze beheerhandeling kan met Microsoft Graph Explorer. Gebruik een beheeraccount in dezelfde Microsoft-directory, met SharePoint Administrator of een hogere geschikte beheerdersrol en toegang tot de betreffende site. Een Azure-abonnementsrol of alleen eigenaarschap van de app is hiervoor niet voldoende.

Meld het beheeraccount aan bij Graph Explorer en controleer de getoonde organisatie.
Open uw profielmenu → Consent to permissions, zoek Sites.FullControl.All en kies Consent om de vereiste toestemming voor Graph Explorer in deze beheercontext te verlenen. Bij sommige queries kunt u het volledige rechtenpaneel ook openen via Modify Permissions → Open the permissions panel. Dit is een delegated beheerecht om sitegrants te beheren; voeg het niet toe als breed applicatierecht op de kennisbankapp. Gebruik accountgebonden toestemming wanneer organisatietoestemming voor alle gebruikers niet nodig is.
Zoek de site-ID met onderstaande GET. Vervang de voorbeeldhost en het sitepad door die van uw eigen map. Bij een URL met /teams/ gebruikt u dat pad in plaats van /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

De waarde id in het antwoord is de volledige site-ID, inclusief hostnaam en twee GUID's. Controleer ook displayName en webUrl: de grant moet op de site komen waarin uw map werkelijk staat.

Controleer eerst bestaande grants met GET op het onderstaande adres. Staat uw client ID daar al met rol read, dan hoeft u geen tweede grant aan te maken. Laat bestaande ruimere of afwijkende grants door uw Microsoft-beheerder beoordelen.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Ontbreekt de grant, kies POST, gebruik hetzelfde adres en vul bij Request Body het volgende JSON in. Vervang de twee voorbeeldwaarden; CLIENT-ID-VAN-UW-APP is de Application (client) ID van uw integratie-app, niet de Graph Explorer-app.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

Kies Run query. Een geslaagde toevoeging geeft 201 Created. Controleer in het antwoord de rol read en de client ID; Graph kan deze onder grantedToIdentitiesV2 tonen. Controleer daarna opnieuw met GET. Bewaar de permission-ID voor beheer en eventuele latere intrekking.
Herhaal dit alleen voor iedere andere site waarvan u bewust kennisbankmappen wilt koppelen.

Sitegrant en kennisbankrechten

De Microsoft-grant geeft de app leestoegang tot de hele geselecteerde site. De AI-omgeving importeert alleen de gekozen map en submappen. Gebruik bij voorkeur een afzonderlijke site voor centraal te delen kennis. De bestaande kennisbankrechten bepalen welke gebruikers de geïmporteerde documenten krijgen; individuele SharePoint-rechten worden niet overgenomen.

4. Koppel de map en controleer het resultaat

Open Beheer → Kennisbank → Toevoegen → SharePoint-mappen → Map koppelen en gebruik de echte map-URL, geen uitnodigingslink of OneDrive-overzichtsadres. Kies bereik, doelgroep en publicatiestatus volgens de kennisbankhandleiding. Een centrale bron vereist geen persoonlijke connector in gebruikersvoorkeuren.

Controleer met Vernieuwen of de documenten zijn verwerkt zonder fouten. Gebruik Nu synchroniseren voor een nieuwe controle en stel vervolgens een concrete chatvraag over een geïmporteerd document. Controleer dat het antwoord de juiste centrale kennisbron vermeldt.

Probleem	Controle aan Microsoft-zijde
Login werkt, maar de centrale map niet	`Sites.Selected` moet van type Application zijn én admin consent hebben; controleer daarnaast de afzonderlijke sitegrant.
`403 Forbidden` bij maptoegang	Juiste Microsoft-directory, site-ID, client ID en `read`-grant; admin consent alleen verleent geen sitetoegang.
`403` bij de beheerhandeling in Graph Explorer	Delegated `Sites.FullControl.All`, verleende toestemming, beheerdersrol en toegang tot de doel-site. Voeg geen breed recht toe aan de integratie-app als oplossing.
Site werkt, map niet gevonden	Controleer de echte map-URL, documentbibliotheek en het sitepad; een OneDrive-snelkoppeling kan naar een andere site verwijzen.
Secret verlopen of ongeldig	Laat platformbeheer de nieuwe secret Value in de juiste Microsoft Identity Provider bijwerken.

Voor OnderwijsSupport op AI-Corporate is deze centrale koppeling op 14 oktober 2026 gepubliceerd en getest. Beschikbaarheid op AI-School, AI-Public of een andere omgeving moet door platformbeheer worden bevestigd.

Microsoft-documentatie: Selected permissions, sitegrant toevoegen en sitegrants controleren.

Wat hebt u nodig?​

1. Registreer één organisatie-app​

2. Stel de juiste omleidings-URL's in​

3. Maak een client secret en ken rechten toe​

4. Koppel de app op twee plaatsen aan de AI-omgeving​

5. Geef de integraties en schrijfacties vrij​

6. Controleer de inrichting​

Problemen oplossen​

Meer informatie​

Centrale SharePoint-kennisbank: Microsoft instellen​

1. Controleer de organisatie-app​

2. Voeg het applicatierecht toe en verleen admin consent​

3. Geef de app afzonderlijk leestoegang tot de site​

4. Koppel de map en controleer het resultaat​