Configurar Microsoft 365 para su entorno

Con una aplicación Microsoft Entra propia, su organización puede usar la misma aplicación para iniciar sesión con Microsoft y para Outlook, Teams y SharePoint. Usted determina centralmente qué integraciones y acciones de escritura están disponibles. Luego, los usuarios solo activan o desactivan sus enlaces personales en Preferencias → Herramientas → Enlaces.

Las integraciones personales funcionan con modelos compatibles de OpenAI, Claude, Gemini y Mistral. El modelo elegido debe poder usar herramientas. En enlaces personales, el acceso sigue los permisos del usuario de Microsoft conectado. El consentimiento organizacional no inicia sesión automáticamente a todos los empleados ni otorga a la IA acceso independiente a todos los buzones. El banco de conocimientos central de SharePoint usa permisos de aplicación separados y los permisos existentes del banco de conocimientos, como se describe más adelante en este artículo.

¿Qué necesita?

Una organización Microsoft 365 con Microsoft Entra ID y cuentas con acceso a los servicios deseados.
Un administrador que pueda registrar una aplicación y otorgar consentimiento organizacional para los permisos de Microsoft Graph seleccionados. Solo un rol de suscripción de Azure no es suficiente; su rol Entra debe permitir este consentimiento.
Permisos de administración en el entorno AI correcto para habilitar integraciones.
Un administrador de plataforma que pueda configurar el Proveedor de Identidad Microsoft para este entorno AI en Google Cloud Identity Platform.
Un registro de aplicación en su propio directorio Microsoft, con un secreto de cliente y las dos URL de redirección del marca correspondiente.

Iniciar sesión con Microsoft y acceder a datos de Microsoft son dos funciones separadas. Solo un inicio de sesión Microsoft funcional no significa que Outlook, Teams o SharePoint estén configurados.

1. Registre una aplicación organizacional

Abra el Centro de administración Microsoft Entra y vaya a App registrations → New registration. Use un nombre reconocible, por ejemplo AI-Public – nombre de su organización. Para una organización propia, elija Accounts in this organizational directory only (Single tenant).

Guarde los siguientes datos de Overview:

Dato	¿Para qué?
Directory (tenant) ID	El directorio Microsoft de su organización; esto va en el campo Microsoft ID del entorno AI.
Application (client) ID	La aplicación registrada; esto va en el Proveedor de Identidad Microsoft.

Estos dos ID son diferentes. No ingrese el client ID ni el tenant ID de Firebase en Microsoft ID.

2. Configure las URL de redirección correctas

Vaya a Authentication → Add a platform → Web. Agregue para su marca ambas URL siguientes, exactamente como se muestran. La primera procesa el inicio de sesión; la segunda procesa el consentimiento para las integraciones de cuenta laboral.

Marca	Iniciar sesión con Microsoft	Integraciones de cuenta laboral
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Use las URL de la marca en la que se ejecuta su entorno. No es necesario incluir el nombre de su organización o tenant ID en estas URL. La URL del sitio web, URL del panel y .web.app no reemplazan estas callbacks. Regístrelas como Web, aunque use la integración desde un navegador. No es necesario habilitar emisión implícita de tokens ni flujo de cliente público.

3. Cree un secreto de cliente y asigne permisos

Vaya a Certificates & secrets → Client secrets → New client secret. Elija una duración adecuada y guarde el Value de forma segura cuando sea visible. Entregue el valor a través del canal seguro acordado para administración de plataforma; el Secret ID no es el secreto de cliente. Controle la fecha de expiración y reemplace el secreto antes de esa fecha, también en el Proveedor de Identidad.

Luego, vaya a API permissions → Add a permission → Microsoft Graph → Delegated permissions. Agregue solo los permisos para las integraciones y acciones que su organización ofrecerá.

Integración	Permisos de lectura	Permisos adicionales para escritura
Perfil / básico	`User.Read`; el flujo de inicio de sesión también solicita `openid`, `profile`, `email` y `offline_access`	Ninguno
Outlook Mail	`Mail.Read`	Borradores: `Mail.ReadWrite`. Enviar: `Mail.Send`.
Outlook Calendario	`Calendars.Read`	Escritura: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Publicar: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Esta integración de cuenta laboral no ofrece acciones de escritura aquí.

Mail.ReadWrite no otorga permiso para enviar; para eso se necesita Mail.Send por separado. Publicar en Teams escribe mensajes de texto en un canal elegido, no mensajes de chat privados. Para esta integración use Delegated permissions, no Application permissions. Incluso con permisos que incluyen All en el nombre, el acceso delegado está limitado por el acceso del usuario.

Haga clic en Grant admin consent for su organización y verifique que los permisos seleccionados aparezcan como concedidos. Así, los empleados pueden usar el acceso aprobado sin otorgar permisos organizacionales ellos mismos. Microsoft aún puede solicitar inicio de sesión, MFA o consentimiento renovado según su política.

4. Vincule la aplicación en dos lugares al entorno AI

El administrador de plataforma debe seleccionar el entorno correcto y realizar estas configuraciones:

En Admin → Entorno → Tenant: active el método de inicio de sesión Microsoft y rellene en Microsoft ID el Directory (tenant) ID.
En Google Cloud → Identity Platform → el tenant correspondiente → Identity providers → Microsoft: active el proveedor y rellene el Application (client) ID y el client secret Value de la misma aplicación Entra.

El Proveedor de Identidad pertenece al tenant Firebase/Identity Platform de su entorno AI, no a otra organización ni al entorno Admin general. La integración de cuenta laboral reutiliza la aplicación de este proveedor. El secreto de cliente no debe estar en preferencias de usuario, mensajes de chat ni campos normales de entorno.

Entregue al administrador de plataforma el nombre de la organización, la marca, el Directory ID, el client ID, el valor del secreto a través del canal seguro, la fecha de expiración y las integraciones/permisos deseados. Solo un ID de aplicación no es suficiente.

5. Habilite las integraciones y acciones de escritura

Abra el entorno de administración de su organización → Herramientas → MCP. Active la integración Microsoft 365 en Accesos directos de suite. Las filas de Microsoft se harán visibles; si toda la suite está desactivada, esas filas permanecen ocultas.

Elija por integración si está disponible. En la columna Acciones de escritura seleccione individualmente:

Outlook Mail → Borradores: crear y modificar borradores.
Outlook Mail → Enviar: enviar un borrador existente.
Outlook Calendario → Escritura: crear y modificar citas.
Microsoft Teams → Publicar: colocar mensajes de texto en un canal Teams elegido.

Haga clic en Guardar. Una acción de escritura funciona solo si tanto la integración como el permiso de administración correspondiente están activados, Microsoft ha concedido los permisos necesarios y el usuario ha activado el enlace personalmente. El usuario no recibe un formulario adicional de permisos de escritura.

Disponibilidad

Las configuraciones también deben ser compatibles con el backend de su marca. Esta extensión de escritura se publicó y probó específicamente para OnderwijsSupport en AI-Corporate el 7 de octubre de 2026. Esto no significa automáticamente que la misma extensión ya esté disponible para AI-Public, AI-Public o cualquier otro entorno. Solicite confirmación al administrador de plataforma si faltan acciones de escritura.

6. Verifique la configuración

Haga que un usuario inicie sesión en el entorno AI correcto y active la integración deseada según Usar integraciones Microsoft. Verifique que Microsoft muestre el nombre de su propia aplicación Entra.

Primero pruebe un borrador reconocible y una cita sin participantes. Verifique los elementos guardados en Outlook. Luego pruebe enviar con un destinatario de prueba acordado y publicar en Teams en un canal de prueba acordado. Una cita con participantes puede enviar invitaciones o actualizaciones. Una orden de envío aceptada no es una entrega confirmada.

Al ampliar permisos, el enlace intenta renovar tokens. Si Microsoft requiere volver a iniciar sesión o consentimiento, el usuario debe reconectar el enlace existente. No es necesario crear una segunda aplicación o configuración de usuario separada.

Solución de problemas

Problema	Verificación
`AADSTS50011` / redirección no coincide	Ambas callbacks registradas exactamente como Web, para la marca correcta.
Aparece otro nombre de aplicación en el consentimiento	El entorno AI correcto, Directory ID y Proveedor de Identidad Microsoft específico del tenant; luego reconecte.
Inicio de sesión funciona, pero la integración no	Verifique también la callback del conector, permisos Graph y consentimiento organizacional.
Lectura funciona, escritura no	Verifique permiso de administración, permiso delegado Graph correspondiente, consentimiento otorgado y disponibilidad backend.
Secreto de cliente inválido o expirado	El Value, no el Secret ID; actualice el secreto también en el Proveedor de Identidad.
Integración no aparece para el usuario	Verifique disponibilidad en Herramientas, permisos de usuario para enlaces y entorno AI seleccionado.

Más información

Banco de conocimientos central de SharePoint: Configuración de Microsoft

Una carpeta vinculada centralmente funciona a través de la aplicación organizacional, sin que cada empleado active un enlace personal de SharePoint. Para esto se necesitan dos permisos separados: el permiso de aplicación Sites.Selected con consentimiento de administrador, y una concesión de read en el sitio de SharePoint elegido. Un inicio de sesión de Microsoft funcional o solo el consentimiento de administrador no son suficientes.

1. Verifique la aplicación organizacional

Use el mismo registro de aplicación de inquilino único que para el inicio de sesión de Microsoft en su entorno de IA. Se puede ampliar una aplicación existente; no se necesita una segunda aplicación de integración. Verifique en Microsoft Entra → Registros de aplicaciones → su aplicación → Resumen el ID de directorio (inquilino) y el ID de aplicación (cliente). Use a continuación el ID de cliente, no el ID de objeto.

El ID de directorio debe estar en Admin → Entorno → Inquilino → ID de Microsoft. El ID de cliente y el Valor de un secreto de cliente válido deben estar en el Proveedor de identidad de Microsoft de exactamente ese entorno de IA. Esta configuración es mantenida por la administración de la plataforma. Un secreto expirado también impide la importación central; controle la fecha de vencimiento.

La conexión del servidor central usa client_credentials y no requiere una URL de redirección adicional. Las redirecciones web existentes para inicio de sesión e integraciones de cuentas de trabajo personales siguen siendo necesarias; use las URL de marca de la tabla anterior en este artículo.

2. Agregue el permiso de aplicación y otorgue consentimiento de administrador

Abra Permisos de API → Agregar un permiso → Microsoft Graph → Permisos de aplicación.
Busque Sites.Selected, seleccione este permiso y haga clic en Agregar permisos.
Un administrador autorizado de Entra debe ejecutar Conceder consentimiento de administrador para su organización.
Verifique que Sites.Selected, tipo Aplicación, aparezca como concedido.

Los permisos delegados para enlaces personales de Outlook, Teams y SharePoint pueden permanecer en la misma aplicación. No reemplazan el permiso de aplicación para el banco de conocimientos central. Para esta importación central no se necesita el permiso de aplicación Sites.Read.All, Sites.ReadWrite.All o Sites.FullControl.All.

3. Conceda acceso de solo lectura a la aplicación para el sitio por separado

Esta acción administrativa se puede realizar con Microsoft Graph Explorer. Use una cuenta administrativa en el mismo directorio de Microsoft, con rol de Administrador de SharePoint o un rol administrativo superior adecuado y acceso al sitio correspondiente. Un rol de suscripción de Azure o solo la propiedad de la aplicación no son suficientes.

Inicie sesión con la cuenta administrativa en Graph Explorer y verifique la organización mostrada.
Abra su menú de perfil → Consent to permissions, busque Sites.FullControl.All y seleccione Consent para otorgar el permiso requerido para Graph Explorer en este contexto de administración. En algunas consultas, también puede abrir el panel completo de permisos a través de Modify Permissions → Open the permissions panel. Este es un permiso de administración delegated para gestionar concesiones de sitios; no lo agregue como un permiso amplio de aplicación en la aplicación de la base de conocimientos. Use permisos vinculados a la cuenta cuando no se requiera el consentimiento organizacional para todos los usuarios.
Busque el ID del sitio con el siguiente GET. Reemplace el host de ejemplo y la ruta del sitio por los de su propia carpeta. Para una URL con /teams/ use esa ruta en lugar de /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

El valor id en la respuesta es el ID completo del sitio, incluyendo el nombre del host y dos GUID. Verifique también displayName y webUrl: la concesión debe aplicarse al sitio donde realmente está su carpeta.

Primero verifique las concesiones existentes con GET en la siguiente dirección. Si su ID de cliente ya aparece allí con el rol read, no necesita crear una segunda concesión. Haga que su administrador de Microsoft revise concesiones existentes más amplias o diferentes.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Si falta la concesión, elija POST, use la misma dirección y complete en Request Body el siguiente JSON. Reemplace los dos valores de ejemplo; CLIENT-ID-DE-SU-APP es el ID de aplicación (cliente) de su aplicación de integración, no de la aplicación Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

Elija Ejecutar consulta. Una adición exitosa devuelve 201 Created. Verifique en la respuesta el rol read y el ID de cliente; Graph puede mostrarlos bajo grantedToIdentitiesV2. Luego verifique nuevamente con GET. Guarde el ID del permiso para administración y posible revocación posterior.
Repita esto solo para cada otro sitio del que desee vincular conscientemente carpetas del banco de conocimientos.

Concesión de sitio y permisos del banco de conocimientos

La concesión de Microsoft otorga a la aplicación acceso de lectura a todo el sitio seleccionado. El entorno de IA solo importa la carpeta y subcarpetas elegidas. Preferiblemente use un sitio separado para conocimientos compartidos centralmente. Los permisos existentes del banco de conocimientos determinan qué usuarios reciben los documentos importados; no se heredan permisos individuales de SharePoint.

4. Vincule la carpeta y verifique el resultado

Abra Administración → Banco de conocimientos → Agregar → Carpetas de SharePoint → Vincular carpeta y use la URL real de la carpeta, no un enlace de invitación ni una dirección de vista general de OneDrive. Elija alcance, público objetivo y estado de publicación según la guía del banco de conocimientos. Una fuente central no requiere un conector personal en las preferencias del usuario.

Verifique con Actualizar si los documentos se procesaron sin errores. Use Sincronizar ahora para una nueva comprobación y luego formule una pregunta concreta en el chat sobre un documento importado. Verifique que la respuesta mencione la fuente central de conocimiento correcta.

Problema	Verificación en el lado de Microsoft
El inicio de sesión funciona, pero la carpeta central no	`Sites.Selected` debe ser de tipo Aplicación y tener consentimiento de administrador; además, verifique la concesión de sitio separada.
`403 Forbidden` al acceder a la carpeta	Directorio de Microsoft correcto, ID del sitio, ID de cliente y concesión `read`; solo el consentimiento de administrador no otorga acceso al sitio.
`403` en la acción administrativa en Graph Explorer	Permiso delegado `Sites.FullControl.All`, permiso otorgado, rol administrativo y acceso al sitio objetivo. No agregue un permiso amplio a la aplicación de integración como solución.
El sitio funciona, la carpeta no se encuentra	Verifique la URL real de la carpeta, la biblioteca de documentos y la ruta del sitio; un acceso directo de OneDrive puede apuntar a otro sitio.
Secreto expirado o inválido	Haga que la administración de la plataforma actualice el nuevo Valor del secreto en el Proveedor de identidad de Microsoft correspondiente.

Para OnderwijsSupport en AI-Corporate esta vinculación central fue publicada y probada el 14 de octubre de 2026. La disponibilidad en AI-School, AI-Public u otro entorno debe ser confirmada por la administración de la plataforma.

Documentación de Microsoft: Permisos seleccionados, agregar concesión de sitio y ver concesiones de sitio.

¿Qué necesita?​

1. Registre una aplicación organizacional​

2. Configure las URL de redirección correctas​

3. Cree un secreto de cliente y asigne permisos​

4. Vincule la aplicación en dos lugares al entorno AI​

5. Habilite las integraciones y acciones de escritura​

6. Verifique la configuración​

Solución de problemas​

Más información​

Banco de conocimientos central de SharePoint: Configuración de Microsoft​

1. Verifique la aplicación organizacional​

2. Agregue el permiso de aplicación y otorgue consentimiento de administrador​

3. Conceda acceso de solo lectura a la aplicación para el sitio por separado​

4. Vincule la carpeta y verifique el resultado​