تنظیم Microsoft 365 برای محیط شما

با یک اپلیکیشن Microsoft Entra اختصاصی، سازمان شما می‌تواند همان اپلیکیشن را برای ورود با مایکروسافت و همچنین برای Outlook، Teams و SharePoint استفاده کند. شما به صورت مرکزی تعیین می‌کنید که کدام یک از ادغام‌ها و عملیات نوشتن در دسترس باشند. سپس کاربران فقط لینک‌های شخصی خود را در تنظیمات → ابزارها → لینک‌ها روشن یا خاموش می‌کنند.

یکپارچه‌سازی‌های شخصی با مدل‌های پشتیبانی شده OpenAI، Claude، Gemini و Mistral کار می‌کنند. مدل انتخاب شده باید بتواند ابزارها را استفاده کند. در اتصالات شخصی، دسترسی مطابق حقوق کاربر مایکروسافت وارد شده است. رضایت سازمانی همه کارکنان را به طور خودکار وارد نمی‌کند و به AI دسترسی مستقل به همه صندوق‌های پستی نمی‌دهد. پایگاه دانش مرکزی SharePoint از حقوق برنامه جداگانه و حقوق موجود پایگاه دانش استفاده می‌کند، همانطور که در ادامه این مقاله توضیح داده شده است.

چه چیزهایی نیاز دارید؟

• یک سازمان Microsoft 365 با Microsoft Entra ID و حساب‌هایی که به خدمات مورد نظر دسترسی دارند.
• یک مدیر که اجازه ثبت اپلیکیشن و اعطای اجازه سازمانی برای مجوزهای Microsoft Graph انتخاب شده را داشته باشد. فقط نقش اشتراک Azure کافی نیست؛ نقش Entra شما باید این اجازه را بدهد.
• دسترسی مدیریتی در محیط AI مناسب برای فعال کردن ادغام‌ها.
• یک مدیر پلتفرم که بتواند ارائه‌دهنده هویت Microsoft را برای این محیط AI در Google Cloud Identity Platform تنظیم کند.
• یک ثبت اپلیکیشن در دایرکتوری Microsoft خودتان، با یک client secret و دو URL بازگشتی مربوط به برند مناسب.

ورود با مایکروسافت و دسترسی به داده‌های مایکروسافت دو عملکرد جداگانه هستند. فقط داشتن ورود مایکروسافت فعال به این معنی نیست که Outlook، Teams یا SharePoint تنظیم شده‌اند.

1. ثبت یک اپلیکیشن سازمانی

مرکز مدیریت Microsoft Entra را باز کنید و به App registrations → New registration بروید. یک نام قابل شناسایی انتخاب کنید، مثلاً AI-Public – نام سازمان شما. برای سازمان خود گزینه Accounts in this organizational directory only (Single tenant) را انتخاب کنید.

اطلاعات زیر را از بخش Overview ذخیره کنید:

داده	برای چه؟
Directory (tenant) ID	دایرکتوری مایکروسافت سازمان شما؛ این مقدار در فیلد Microsoft ID محیط AI قرار می‌گیرد.
Application (client) ID	اپلیکیشن ثبت شده؛ این مقدار در ارائه‌دهنده هویت Microsoft استفاده می‌شود.

این دو شناسه متفاوت هستند. در فیلد Microsoft ID نباید client ID یا Firebase tenant ID وارد شود.

2. تنظیم URLهای بازگشتی صحیح

به بخش Authentication → Add a platform → Web بروید. برای برند خود هر دو URL زیر را دقیقاً به همان شکل اضافه کنید. اولی ورود را پردازش می‌کند؛ دومی اجازه برای ادغام‌های حساب کاری را مدیریت می‌کند.

برند	ورود با مایکروسافت	ادغام‌های حساب کاری
AI-School	https://ai-school-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporate	https://ai-corporate.firebaseapp.com/__/auth/handler	https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Public	https://ai-public-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

از URLهای برند محیط خود استفاده کنید. نیازی به وارد کردن نام سازمان یا tenant ID در این URLها نیست. URL وب‌سایت، داشبورد و .web.app جایگزین این callbackها نیستند. آنها را به عنوان Web ثبت کنید، حتی اگر ادغام را از مرورگر استفاده می‌کنید. نیازی به فعال کردن صدور توکن ضمنی یا جریان کلاینت عمومی نیست.

3. ساخت client secret و اختصاص مجوزها

به بخش Certificates & secrets → Client secrets → New client secret بروید. یک مدت زمان مناسب انتخاب کنید و Value را به محض نمایش امن نگه دارید. مقدار را از طریق کانال امن توافق شده برای مدیریت پلتفرم ارسال کنید؛ Secret ID همان client secret نیست. تاریخ انقضا را پیگیری کنید و قبل از آن secret را جایگزین کنید، همچنین در ارائه‌دهنده هویت.

سپس به API permissions → Add a permission → Microsoft Graph → Delegated permissions بروید. فقط مجوزهای لازم برای ادغام‌ها و عملیات نوشتن که سازمان شما ارائه می‌دهد را اضافه کنید.

ادغام	مجوزهای خواندن	مجوزهای اضافی برای نوشتن
پروفایل / پایه	User.Read؛ جریان ورود همچنین openid، profile، email و offline_access را درخواست می‌کند	ندارد
Outlook Mail	Mail.Read	پیش‌نویس‌ها: Mail.ReadWrite. ارسال: Mail.Send.
Outlook Calendar	Calendars.Read	نوشتن: Calendars.ReadWrite.
Microsoft Teams	Chat.Read, ChannelMessage.Read.All	ارسال: Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Send.
SharePoint / OneDrive	Sites.Read.All, Files.Read.All	این ادغام حساب کاری عملیات نوشتن ندارد.

Mail.ReadWrite اجازه ارسال ایمیل نمی‌دهد؛ برای آن باید جداگانه Mail.Send اضافه شود. ارسال در Teams پیام‌های متنی در کانال انتخاب شده است، نه پیام‌های چت خصوصی. برای این ادغام از Delegated permissions استفاده کنید، نه Application permissions. حتی مجوزهایی که All دارند، دسترسی واگذار شده محدود به دسترسی کاربر است.

روی Grant admin consent for your organization کلیک کنید و مطمئن شوید مجوزهای انتخاب شده به عنوان اعطا شده نمایش داده می‌شوند. این امکان را می‌دهد که کارکنان بدون نیاز به اعطای مجوز سازمانی خودشان، به دسترسی‌های تایید شده دسترسی داشته باشند. مایکروسافت ممکن است بسته به سیاست شما درخواست ورود مجدد، MFA یا اجازه مجدد کند.

4. اتصال اپلیکیشن در دو محل به محیط AI

مدیر پلتفرم باید محیط مناسب را انتخاب کرده و تنظیمات زیر را انجام دهد:

1. در Admin → Environment → Tenant: روش ورود Microsoft را فعال کرده و در Microsoft ID مقدار Directory (tenant) ID را وارد کند.
2. در Google Cloud → Identity Platform → tenant مربوطه → Identity providers → Microsoft: ارائه‌دهنده را فعال کرده و Application (client) ID و client secret Value همان اپ Entra را وارد کند.

ارائه‌دهنده هویت مربوط به tenant Firebase/Identity Platform محیط AI شما است، نه سازمان دیگر یا محیط عمومی Admin. ادغام حساب کاری دوباره از این اپ استفاده می‌کند. client secret نباید در تنظیمات کاربر، پیام‌های چت یا فیلدهای معمول محیط قرار گیرد.

نام سازمان، برند، Directory ID، client ID، مقدار secret از طریق کانال امن، تاریخ انقضا و ادغام‌ها/مجوزهای مورد نظر را به مدیر پلتفرم ارائه دهید. فقط app ID کافی نیست.

5. فعال کردن ادغام‌ها و عملیات نوشتن

به محیط مدیریت سازمان شما → ابزارها → MCP بروید. در Suite shortcuts ادغام Microsoft 365 را فعال کنید. ردیف‌های مایکروسافت ظاهر می‌شوند؛ اگر کل مجموعه غیرفعال باشد، این ردیف‌ها مخفی می‌مانند.

برای هر ادغام تعیین کنید که در دسترس باشد یا نه. در ستون Write actions به صورت جداگانه انتخاب کنید:

• Outlook Mail → پیش‌نویس‌ها: ساخت و ویرایش پیش‌نویس‌ها.
• Outlook Mail → ارسال: ارسال یک پیش‌نویس موجود.
• Outlook Calendar → نوشتن: ایجاد و ویرایش قرارها.
• Microsoft Teams → ارسال: ارسال پیام متنی در کانال انتخاب شده Teams.

روی ذخیره کلیک کنید. عملیات نوشتن فقط زمانی کار می‌کند که هم ادغام و هم مجوز مدیریتی مربوطه فعال باشند، مایکروسافت مجوزهای لازم را داده باشد و کاربر لینک را شخصاً فعال کرده باشد. کاربر فرم مجوز نوشتن اضافی دریافت نمی‌کند.

در دسترس بودن

تنظیمات باید توسط بک‌اند برند شما نیز پشتیبانی شود. این توسعه نوشتن در 7 اکتبر 2026 به صورت هدفمند منتشر و برای OnderwijsSupport در AI-Corporate آزمایش شده است. این به این معنی نیست که همان توسعه به طور خودکار برای AI-Public، AI-Public یا هر محیط دیگر منتشر شده باشد. در صورت نبود عملیات نوشتن از مدیر پلتفرم تایید بگیرید.

6. بررسی تنظیمات

یک کاربر را وارد محیط AI مناسب کنید و ادغام مورد نظر را طبق استفاده از ادغام‌های مایکروسافت فعال کنید. بررسی کنید که مایکروسافت نام اپ Entra خودتان را نمایش می‌دهد.

ابتدا یک پیش‌نویس قابل شناسایی و یک قرار بدون شرکت‌کننده را تست کنید. موارد ذخیره شده در Outlook را بررسی کنید. سپس ارسال را با گیرنده آزمایشی و ارسال پیام Teams در کانال آزمایشی تست کنید. قرار با شرکت‌کنندگان ممکن است دعوت‌نامه یا به‌روزرسانی ارسال کند. دستور ارسال پذیرفته شده تضمین تحویل نیست.

در صورت افزایش مجوزها، لینک تلاش می‌کند توکن‌ها را تازه کند. اگر مایکروسافت ورود مجدد یا اجازه مجدد خواست، کاربر باید لینک موجود را دوباره متصل کند. نیازی به اپ دوم یا تنظیم کاربر جداگانه نیست.

رفع مشکلات

مشکل	بررسی
AADSTS50011 / عدم تطابق redirect	هر دو callback دقیقاً به عنوان Web و برای برند صحیح ثبت شده باشند.
نام اپ متفاوت در اجازه نمایش داده می‌شود	محیط AI صحیح، Directory ID و ارائه‌دهنده هویت Microsoft مخصوص tenant؛ سپس دوباره متصل شوید.
ورود کار می‌کند اما ادغام نه	callback کانکتور، مجوزهای Graph و اجازه سازمانی را بررسی کنید.
خواندن ممکن است، نوشتن نه	مجوز مدیریتی، مجوز Graph واگذار شده، اجازه داده شده و در دسترس بودن بک‌اند را بررسی کنید.
client secret نامعتبر یا منقضی شده	مقدار Value را بررسی کنید، نه Secret ID؛ secret جدید را در ارائه‌دهنده هویت به‌روزرسانی کنید.
ادغام برای کاربر نمایش داده نمی‌شود	در ابزارها در دسترس بودن، مجوزهای کاربر برای لینک‌ها و محیط AI انتخاب شده را بررسی کنید.

اطلاعات بیشتر

• مدیریت ابزارها
• استفاده از ادغام‌های مایکروسافت
• مایکروسافت: ثبت اپلیکیشن
• مایکروسافت: URLهای بازگشتی
• Microsoft Graph: مروری بر مجوزها

پایگاه دانش مرکزی SharePoint: تنظیم مایکروسافت

یک پوشه متصل مرکزی از طریق برنامه سازمان کار می‌کند، بدون اینکه هر کارمند اتصال شخصی SharePoint را فعال کند. برای این کار به دو مجوز جداگانه نیاز است: حق برنامه Sites.Selected با رضایت مدیر، و همچنین مجوز read روی سایت SharePoint انتخاب شده. یک ورود مایکروسافت فعال یا فقط رضایت مدیر کافی نیست.

1. برنامه سازمان را بررسی کنید

از همان ثبت برنامه تک مستاجر که برای ورود مایکروسافت در محیط AI خود استفاده می‌کنید، بهره ببرید. یک برنامه موجود می‌تواند گسترش یابد؛ نیازی به برنامه یکپارچه‌سازی دوم نیست. در Microsoft Entra → App registrations → برنامه شما → Overview شناسه Directory (tenant) ID و Application (client) ID را بررسی کنید. در زیر از شناسه کلاینت استفاده کنید، نه شناسه شیء (Object ID).

شناسه دایرکتوری باید در Admin → Omgeving → Tenant → Microsoft ID قرار داشته باشد. شناسه کلاینت و Value یک کلید مخفی کلاینت معتبر باید در ارائه‌دهنده هویت مایکروسافت همان محیط AI قرار داشته باشند. این پیکربندی توسط مدیریت پلتفرم نگهداری می‌شود. یک کلید مخفی منقضی شده نیز واردات مرکزی را مسدود می‌کند؛ تاریخ انقضا را پیگیری کنید.

اتصال سرور مرکزی از client_credentials استفاده می‌کند و نیازی به URL بازگشتی اضافی ندارد. بازگشت‌های وب موجود برای ورود و یکپارچه‌سازی حساب کاری شخصی همچنان لازم است؛ از URLهای برند شده در جدول ابتدای این مقاله استفاده کنید.

2. حق برنامه را اضافه کنید و رضایت مدیر را اعطا کنید

1. به API permissions → Add a permission → Microsoft Graph → Application permissions بروید.
2. Sites.Selected را جستجو کنید، این حق را انتخاب کرده و روی Add permissions کلیک کنید.
3. یک مدیر مجاز Entra باید Grant admin consent for your organization را اجرا کند.
4. بررسی کنید که Sites.Selected با نوع Application به عنوان اعطا شده نمایش داده شود.

مجوزهای واگذار شده برای اتصالات شخصی Outlook، Teams و SharePoint می‌توانند روی همان برنامه باقی بمانند. آنها جایگزین حق برنامه برای پایگاه دانش مرکزی نیستند. برای این واردات مرکزی نیازی به حق برنامه Sites.Read.All، Sites.ReadWrite.All یا Sites.FullControl.All نیست.

3. به برنامه به صورت جداگانه دسترسی خواندن به سایت بدهید

این عملیات مدیریتی را می‌توان با Microsoft Graph Explorer انجام داد. از یک حساب مدیریت در همان دایرکتوری مایکروسافت استفاده کنید که دارای نقش SharePoint Administrator یا نقش مدیریتی بالاتر مناسب و دسترسی به سایت مربوطه باشد. نقش اشتراک Azure یا فقط مالکیت برنامه برای این کار کافی نیست.

1. با حساب مدیریت وارد Graph Explorer شوید و سازمان نمایش داده شده را بررسی کنید.
2. منوی پروفایل → Consent to permissions را باز کنید، Sites.FullControl.All را جستجو کنید و Consent را انتخاب کنید تا مجوز لازم برای Graph Explorer در این زمینه مدیریتی داده شود. در برخی پرس‌وجوها می‌توانید پنل کامل مجوزها را نیز از طریق Modify Permissions → Open the permissions panel باز کنید. این یک مجوز مدیریتی delegated برای مدیریت sitegrants است؛ آن را به عنوان مجوز گسترده برنامه در اپ دانش‌بان اضافه نکنید. زمانی که مجوز سازمانی برای همه کاربران لازم نیست، از مجوز حساب‌محور استفاده کنید.
3. شناسه سایت را با درخواست GET زیر پیدا کنید. میزبان نمونه و مسیر سایت را با پوشه خود جایگزین کنید. اگر URL شامل /teams/ است، از آن مسیر به جای /sites/ استفاده کنید.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

مقدار id در پاسخ شناسه کامل سایت است، شامل نام میزبان و دو GUID. همچنین displayName و webUrl را بررسی کنید: مجوز باید روی سایتی باشد که پوشه شما واقعاً در آن قرار دارد.

4. ابتدا مجوزهای موجود را با درخواست GET در آدرس زیر بررسی کنید. اگر شناسه کلاینت شما با نقش read آنجا باشد، نیازی به ایجاد مجوز دوم نیست. مجوزهای موجود با دامنه وسیع‌تر یا متفاوت را توسط مدیر مایکروسافت خود بررسی کنید.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

5. اگر مجوز وجود ندارد، POST را انتخاب کنید، همان آدرس را استفاده کرده و در Request Body JSON زیر را وارد کنید. دو مقدار نمونه را جایگزین کنید؛ CLIENT-ID-VAN-UW-APP شناسه Application (client) ID برنامه یکپارچه‌سازی شما است، نه برنامه Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

6. روی Run query کلیک کنید. افزودن موفقیت‌آمیز با 201 Created پاسخ داده می‌شود. نقش read و شناسه کلاینت را در پاسخ بررسی کنید؛ Graph ممکن است آنها را تحت grantedToIdentitiesV2 نشان دهد. سپس دوباره با GET بررسی کنید. شناسه مجوز را برای مدیریت و لغو احتمالی بعدی ذخیره کنید.
7. این کار را فقط برای هر سایت دیگری که می‌خواهید پوشه‌های پایگاه دانش را به صورت آگاهانه متصل کنید، تکرار کنید.

مجوز سایت و حقوق پایگاه دانش

مجوز مایکروسافت به برنامه دسترسی خواندن به کل سایت انتخاب شده را می‌دهد. محیط AI فقط پوشه انتخاب شده و زیرپوشه‌های آن را وارد می‌کند. ترجیحاً از یک سایت جداگانه برای دانش مشترک مرکزی استفاده کنید. حقوق پایگاه دانش موجود تعیین می‌کند کدام کاربران اسناد وارد شده را دریافت می‌کنند؛ حقوق فردی SharePoint منتقل نمی‌شود.

4. پوشه را متصل کنید و نتیجه را بررسی کنید

به Beheer → Kennisbank → Toevoegen → SharePoint-mappen → Map koppelen بروید و از URL واقعی پوشه استفاده کنید، نه لینک دعوت یا آدرس نمای کلی OneDrive. دامنه، مخاطب و وضعیت انتشار را مطابق راهنمای پایگاه دانش انتخاب کنید. منبع مرکزی نیازی به اتصال شخصی در تنظیمات کاربر ندارد.

با Vernieuwen بررسی کنید که اسناد بدون خطا پردازش شده‌اند. برای بررسی جدید از Nu synchroniseren استفاده کنید و سپس یک سوال چت مشخص درباره یک سند وارد شده بپرسید. بررسی کنید که پاسخ منبع دانش مرکزی صحیح را ذکر کند.

مشکل	بررسی در سمت مایکروسافت
ورود کار می‌کند اما پوشه مرکزی نه	Sites.Selected باید از نوع Application باشد و رضایت مدیر داشته باشد؛ همچنین مجوز سایت جداگانه را بررسی کنید.
403 Forbidden هنگام دسترسی به پوشه	دایرکتوری مایکروسافت صحیح، شناسه سایت، شناسه کلاینت و مجوز read؛ فقط رضایت مدیر دسترسی سایت نمی‌دهد.
403 در عملیات مدیریتی در Graph Explorer	Sites.FullControl.All واگذار شده، مجوز داده شده، نقش مدیر و دسترسی به سایت هدف. اضافه کردن حق گسترده به برنامه یکپارچه‌سازی راه حل نیست.
سایت کار می‌کند، پوشه پیدا نمی‌شود	URL واقعی پوشه، کتابخانه اسناد و مسیر سایت را بررسی کنید؛ یک میانبر OneDrive ممکن است به سایت دیگری اشاره کند.
کلید مخفی منقضی یا نامعتبر است	از مدیریت پلتفرم بخواهید مقدار جدید کلید مخفی را در ارائه‌دهنده هویت مایکروسافت مربوطه به‌روزرسانی کند.

برای OnderwijsSupport در AI-Corporate این اتصال مرکزی در 14 اکتبر 2026 منتشر و آزمایش شده است. در دسترس بودن در AI-School، AI-Public یا محیط دیگر باید توسط مدیریت پلتفرم تأیید شود.

مستندات مایکروسافت: Selected permissions، افزودن مجوز سایت و بررسی مجوزهای سایت.