Configurer Microsoft 365 pour votre environnement

Avec une application Microsoft Entra propre, votre organisation peut utiliser la même application pour se connecter avec Microsoft et pour Outlook, Teams et SharePoint. Vous déterminez centralement quelles intégrations et actions d’écriture sont disponibles. Les utilisateurs activent ensuite uniquement leurs connexions personnelles dans Préférences → Outils → Connexions.

Les intégrations personnelles fonctionnent avec des modèles supportés d'OpenAI, Claude, Gemini et Mistral. Le modèle choisi doit pouvoir utiliser des outils. Pour les liaisons personnelles, l'accès suit les droits de l'utilisateur Microsoft connecté. Le consentement organisationnel ne connecte pas automatiquement tous les employés et ne donne pas à l'IA un accès autonome à toutes les boîtes aux lettres. La base de connaissances centrale SharePoint utilise des droits d'application séparés et les droits base de connaissances existants, comme décrit plus loin dans cet article.

Ce dont vous avez besoin

• Une organisation Microsoft 365 avec Microsoft Entra ID et des comptes ayant accès aux services souhaités.
• Un administrateur autorisé à enregistrer une application et à accorder l’autorisation organisationnelle pour les droits Microsoft Graph choisis. Un simple rôle d’abonnement Azure ne suffit pas ; votre rôle Entra doit permettre cette autorisation.
• Des droits d’administration dans l’environnement AI approprié pour rendre les intégrations disponibles.
• Un administrateur de plateforme capable de configurer le fournisseur d’identité Microsoft pour cet environnement AI dans Google Cloud Identity Platform.
• Un enregistrement d’application dans votre propre annuaire Microsoft, avec un secret client et les deux URL de redirection de la marque appropriée.

Se connecter avec Microsoft et accéder aux données Microsoft sont deux fonctions distinctes. Une connexion Microsoft fonctionnelle ne signifie pas automatiquement qu’Outlook, Teams ou SharePoint sont configurés.

1. Enregistrez une application organisationnelle unique

Ouvrez le centre d’administration Microsoft Entra et allez dans App registrations → New registration. Utilisez un nom reconnaissable, par exemple AI-Public – nom de votre organisation. Pour une organisation propre, choisissez Accounts in this organizational directory only (Single tenant).

Conservez les informations suivantes depuis Overview :

Donnée	Usage
Directory (tenant) ID	L’annuaire Microsoft de votre organisation ; cela va dans le champ Microsoft ID de l’environnement AI.
Application (client) ID	L’application enregistrée ; cela va dans le fournisseur d’identité Microsoft.

Ces deux ID sont différents. Ne remplissez pas le champ Microsoft ID avec le client ID ou le tenant ID Firebase.

2. Configurez les URL de redirection correctes

Allez dans Authentication → Add a platform → Web. Ajoutez pour votre marque les deux URL ci-dessous, exactement comme indiquées. La première traite la connexion ; la seconde traite l’autorisation pour les intégrations de compte professionnel.

Marque	Connexion avec Microsoft	Intégrations compte professionnel
AI-School	https://ai-school-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporate	https://ai-corporate.firebaseapp.com/__/auth/handler	https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Public	https://ai-public-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

Utilisez les URL de la marque sur laquelle votre environnement fonctionne. Votre propre nom d’organisation ou tenant ID ne doit pas être inséré dans ces URL. L’URL du site web, du tableau de bord et .web.app ne remplacent pas ces callbacks. Enregistrez-les comme Web, même si vous utilisez l’intégration depuis un navigateur. Vous n’avez pas besoin d’activer l’émission implicite de jetons ou le flux client public.

3. Créez un secret client et attribuez des droits

Allez dans Certificates & secrets → Client secrets → New client secret. Choisissez une durée appropriée et conservez la Value en lieu sûr dès qu’elle est visible. Fournissez cette valeur via le canal sécurisé convenu pour la gestion de la plateforme ; le Secret ID n’est pas le secret client. Suivez la date d’expiration et remplacez le secret avant cette date, également dans le fournisseur d’identité.

Ensuite, allez dans API permissions → Add a permission → Microsoft Graph → Delegated permissions. Ajoutez uniquement les droits pour les intégrations et actions que votre organisation va proposer.

Intégration	Droits lecture	Droits supplémentaires pour écriture
Profil / de base	User.Read ; le flux de connexion demande aussi openid, profile, email et offline_access	Aucun
Outlook Mail	Mail.Read	Brouillons : Mail.ReadWrite. Envoi : Mail.Send.
Outlook Agenda	Calendars.Read	Écriture : Calendars.ReadWrite.
Microsoft Teams	Chat.Read, ChannelMessage.Read.All	Publication : Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Send.
SharePoint / OneDrive	Sites.Read.All, Files.Read.All	Cette intégration de compte professionnel n’offre pas d’actions d’écriture ici.

Mail.ReadWrite ne donne pas le droit d’envoi ; Mail.Send est nécessaire séparément. La publication Teams écrit des messages texte dans un canal choisi, pas des messages de chat privé. Pour cette intégration, utilisez Delegated permissions, pas Application permissions. Même avec des droits contenant All, l’accès délégué reste limité par l’accès de l’utilisateur.

Cliquez sur Grant admin consent for your organization et vérifiez que les droits choisis sont affichés comme accordés. Ainsi, les employés peuvent utiliser l’accès approuvé sans devoir accorder eux-mêmes des droits organisationnels. Microsoft peut toutefois demander une connexion, MFA ou une nouvelle autorisation selon votre politique.

4. Connectez l’application à deux endroits dans l’environnement AI

Laissez l’administrateur de plateforme sélectionner l’environnement approprié et effectuer ces réglages :

1. Dans Admin → Environnement → Tenant : activez la méthode de connexion Microsoft et remplissez Microsoft ID avec le Directory (tenant) ID.
2. Dans Google Cloud → Identity Platform → le tenant concerné → Identity providers → Microsoft : activez le fournisseur et remplissez le Application (client) ID et la Value du secret client de la même application Entra.

Le fournisseur d’identité appartient au tenant Firebase/Identity Platform de votre environnement AI, pas à une autre organisation ou à l’environnement Admin général. L’intégration de compte professionnel réutilise l’application de ce fournisseur. Le secret client ne doit pas être dans les préférences utilisateur, messages de chat ou champs d’environnement ordinaires.

Fournissez à l’administration de la plateforme le nom de l’organisation, la marque, le Directory ID, le client ID, la valeur du secret via le canal sécurisé, la date d’expiration et les intégrations/droits souhaités. Un simple ID d’application ne suffit pas.

5. Activez les intégrations et actions d’écriture

Ouvrez l’environnement d’administration de votre organisation → Outils → MCP. Activez l’intégration Microsoft 365 dans Raccourcis suite. Les lignes Microsoft deviennent visibles ; si toute la suite est désactivée, ces lignes restent cachées.

Choisissez par intégration si elle est disponible. Dans la colonne Actions d’écriture, choisissez séparément :

• Outlook Mail → Brouillons : créer et modifier des brouillons.
• Outlook Mail → Envoi : envoyer effectivement un brouillon existant.
• Outlook Agenda → Écriture : créer et modifier des rendez-vous.
• Microsoft Teams → Publication : poster des messages texte dans un canal Teams choisi.

Cliquez sur Enregistrer. Une action d’écriture fonctionne uniquement si l’intégration et le droit d’administration correspondant sont activés, Microsoft a accordé les droits nécessaires et l’utilisateur a activé la connexion personnellement. L’utilisateur ne reçoit pas de formulaire de droits d’écriture supplémentaire.

Disponibilité

Les réglages doivent aussi être pris en charge par le backend de votre marque. Cette extension d’écriture a été publiée et testée le 7 octobre 2026 pour OnderwijsSupport sur AI-Corporate. Cela ne signifie pas automatiquement que la même extension est déjà disponible pour AI-Public, AI-Public ou tout autre environnement. Demandez confirmation à l’administration de la plateforme si des actions d’écriture manquent.

6. Vérifiez la configuration

Faites connecter un utilisateur sur l’environnement AI approprié et activez l’intégration souhaitée selon Utiliser les intégrations Microsoft. Vérifiez que Microsoft affiche le nom de votre propre application Entra.

Testez d’abord un brouillon reconnaissable et un rendez-vous sans participants. Vérifiez les éléments enregistrés dans Outlook. Testez ensuite l’envoi avec un destinataire de test convenu et la publication Teams dans un canal de test convenu. Un rendez-vous avec participants peut envoyer des invitations ou mises à jour. Une commande d’envoi acceptée n’est pas une confirmation de livraison.

Lors d’une extension des droits, la connexion tente de renouveler les jetons. Si Microsoft demande une reconnexion ou une autorisation, l’utilisateur doit reconnecter la connexion existante. Il n’est pas nécessaire de créer une seconde application ou un paramètre utilisateur séparé.

Résolution des problèmes

Problème	Vérification
AADSTS50011 / redirection non correspondante	Les deux callbacks sont enregistrés exactement comme Web, pour la bonne marque.
Un autre nom d’application apparaît lors de l’autorisation	Le bon environnement AI, Directory ID et fournisseur d’identité Microsoft spécifique au tenant ; reconnectez ensuite.
Connexion fonctionne, mais intégration non	Vérifiez aussi le callback du connecteur, les droits Graph et l’autorisation organisationnelle.
Lecture fonctionne, écriture non	Vérifiez le droit d’administration, le droit Graph délégué associé, l’autorisation accordée et la disponibilité backend.
Secret client invalide ou expiré	La Value, pas le Secret ID ; mettez aussi à jour le nouveau secret dans le fournisseur d’identité.
Intégration absente chez l’utilisateur	Vérifiez la disponibilité dans Outils, les droits utilisateur pour les connexions et l’environnement AI sélectionné.

Plus d’informations

• Gérer les outils
• Utiliser les intégrations Microsoft
• Microsoft : enregistrer une application
• Microsoft : URL de redirection
• Microsoft Graph : référence des droits

Base de connaissances centrale SharePoint : Configuration Microsoft

Un dossier lié centralement fonctionne via l'application organisation, sans que chaque employé active une liaison SharePoint personnelle. Cela nécessite deux autorisations distinctes : le droit d'application Sites.Selected avec consentement admin, et une autorisation read sur le site SharePoint choisi. Une connexion Microsoft fonctionnelle ou seulement un consentement admin ne suffisent pas.

1. Vérifiez l'application organisation

Utilisez le même enregistrement d'application mono-locataire que pour la connexion Microsoft dans votre environnement IA. Une application existante peut être étendue ; une seconde application d'intégration n'est pas nécessaire. Vérifiez dans Microsoft Entra → Enregistrements d'applications → votre application → Vue d'ensemble l'ID de répertoire (locataire) et l'ID d'application (client). Utilisez ci-dessous l'ID client, pas l'ID d'objet.

L'ID de répertoire doit être dans Admin → Environnement → Locataire → ID Microsoft. L'ID client et la Valeur d'un secret client valide doivent être configurés dans le fournisseur d'identité Microsoft de précisément cet environnement IA. Cette configuration est maintenue par la gestion de la plateforme. Un secret expiré empêche aussi l'import central ; surveillez la date d'expiration.

La connexion serveur centrale utilise client_credentials et ne demande pas d'URL de redirection supplémentaire. Les redirections Web existantes pour la connexion et les intégrations de comptes de travail personnels restent nécessaires ; utilisez les URL de marque du tableau plus haut dans cet article.

2. Ajoutez le droit d'application et accordez le consentement admin

1. Ouvrez Autorisations API → Ajouter une autorisation → Microsoft Graph → Autorisations d'application.
2. Recherchez Sites.Selected, sélectionnez ce droit et cliquez sur Ajouter des autorisations.
3. Faites exécuter par un administrateur Entra compétent la commande Accorder le consentement admin pour votre organisation.
4. Vérifiez que Sites.Selected, type Application, est affiché comme accordé.

Les droits délégués pour les liaisons personnelles Outlook, Teams et SharePoint peuvent rester sur la même application. Ils ne remplacent pas le droit d'application pour la base de connaissances centrale. Pour cet import central, aucun droit d'application Sites.Read.All, Sites.ReadWrite.All ou Sites.FullControl.All n'est nécessaire.

3. Accordez séparément à l'application un accès en lecture au site

Cette opération d'administration peut être réalisée avec Microsoft Graph Explorer. Utilisez un compte administrateur dans le même annuaire Microsoft, avec le rôle Administrateur SharePoint ou un rôle d'administrateur supérieur approprié et accès au site concerné. Un rôle d'abonnement Azure ou seulement la propriété de l'application ne suffisent pas.

1. Connectez le compte administrateur à Graph Explorer et vérifiez l'organisation affichée.
2. Ouvrez votre menu profil → Consent to permissions, recherchez Sites.FullControl.All et choisissez Consent pour accorder l'autorisation requise pour Graph Explorer dans ce contexte d'administration. Pour certaines requêtes, vous pouvez également ouvrir le panneau complet des autorisations via Modify Permissions → Open the permissions panel. Il s'agit d'une autorisation de gestion delegated pour gérer les attributions de site ; ne l'ajoutez pas en tant qu'autorisation d'application large sur l'application de la base de connaissances. Utilisez une autorisation liée au compte lorsque l'autorisation organisationnelle pour tous les utilisateurs n'est pas nécessaire.
3. Recherchez l'ID du site avec la GET ci-dessous. Remplacez l'hôte d'exemple et le chemin du site par ceux de votre propre dossier. Pour une URL avec /teams/, utilisez ce chemin au lieu de /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

La valeur id dans la réponse est l'ID complet du site, incluant le nom d'hôte et deux GUID. Vérifiez aussi displayName et webUrl : l'autorisation doit être sur le site où votre dossier est réellement situé.

4. Vérifiez d'abord les autorisations existantes avec GET à l'adresse ci-dessous. Si votre ID client y figure déjà avec le rôle read, vous n'avez pas besoin de créer une seconde autorisation. Faites évaluer par votre administrateur Microsoft les autorisations existantes plus larges ou différentes.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

5. Si l'autorisation manque, choisissez POST, utilisez la même adresse et remplissez dans le Corps de la requête le JSON suivant. Remplacez les deux valeurs d'exemple ; CLIENT-ID-DE-VOTRE-APP est l'ID d'application (client) de votre application d'intégration, pas celle de Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

6. Choisissez Exécuter la requête. Une addition réussie renvoie 201 Created. Vérifiez dans la réponse le rôle read et l'ID client ; Graph peut les afficher sous grantedToIdentitiesV2. Vérifiez ensuite à nouveau avec GET. Conservez l'ID de permission pour la gestion et une éventuelle révocation ultérieure.
7. Répétez cela uniquement pour chaque autre site dont vous souhaitez consciemment lier des dossiers de base de connaissances.

Autorisation de site et droits base de connaissances

L'autorisation Microsoft donne à l'application un accès en lecture à l'ensemble du site sélectionné. L'environnement IA importe uniquement le dossier choisi et ses sous-dossiers. Préférez un site séparé pour le partage centralisé des connaissances. Les droits base de connaissances existants déterminent quels utilisateurs reçoivent les documents importés ; les droits SharePoint individuels ne sont pas transférés.

4. Liez le dossier et vérifiez le résultat

Ouvrez Administration → Base de connaissances → Ajouter → Dossiers SharePoint → Lier un dossier et utilisez l'URL réelle du dossier, pas un lien d'invitation ni une adresse de vue OneDrive. Choisissez la portée, le public cible et le statut de publication selon le guide de la base de connaissances. Une source centrale ne nécessite pas de connecteur personnel dans les préférences utilisateur.

Vérifiez avec Actualiser si les documents ont été traités sans erreurs. Utilisez Synchroniser maintenant pour un nouveau contrôle puis posez une question concrète en chat sur un document importé. Vérifiez que la réponse mentionne la bonne source centrale de connaissances.

Problème	Vérification côté Microsoft
Connexion fonctionne, mais pas le dossier central	Sites.Selected doit être de type Application et avoir un consentement admin ; vérifiez aussi l'autorisation de site séparée.
403 Forbidden à l'accès au dossier	Annuaire Microsoft correct, ID du site, ID client et autorisation read ; le consentement admin seul ne donne pas accès au site.
403 lors de l'opération d'administration dans Graph Explorer	Sites.FullControl.All délégué, autorisation accordée, rôle d'administrateur et accès au site cible. N'ajoutez pas un droit large à l'application d'intégration comme solution.
Site fonctionne, dossier non trouvé	Vérifiez l'URL réelle du dossier, la bibliothèque de documents et le chemin du site ; un raccourci OneDrive peut pointer vers un autre site.
Secret expiré ou invalide	Demandez à la gestion de la plateforme de mettre à jour la nouvelle Valeur du secret dans le fournisseur d'identité Microsoft approprié.

Pour OnderwijsSupport sur AI-Corporate, cette liaison centrale a été publiée et testée le 14 octobre 2026. La disponibilité sur AI-School, AI-Public ou un autre environnement doit être confirmée par la gestion de la plateforme.

Documentation Microsoft : Autorisations sélectionnées, ajouter une autorisation de site et vérifier les autorisations de site.