Configurare Microsoft 365 per il tuo ambiente

Con una propria app Microsoft Entra, la tua organizzazione può utilizzare la stessa app per accedere con Microsoft e per Outlook, Teams e SharePoint. Puoi decidere centralmente quali integrazioni e azioni di scrittura sono disponibili. Gli utenti attivano o disattivano poi solo i loro collegamenti personali in Preferenze → Strumenti → Collegamenti.

Le integrazioni personali funzionano con modelli supportati di OpenAI, Claude, Gemini e Mistral. Il modello scelto deve poter usare strumenti. Nei collegamenti personali l'accesso segue i permessi dell'utente Microsoft autenticato. Il consenso organizzativo non autentica automaticamente tutti i dipendenti e non dà all'AI accesso autonomo a tutte le caselle di posta. La knowledge base centrale SharePoint usa permessi app separati e i diritti esistenti della knowledge base, come descritto più avanti in questo articolo.

Cosa ti serve?

• Un'organizzazione Microsoft 365 con Microsoft Entra ID e account con accesso ai servizi desiderati.
• Un amministratore che possa registrare un'app e concedere consenso organizzativo per i permessi Microsoft Graph scelti. Solo un ruolo di abbonamento Azure non è sufficiente; il tuo ruolo Entra deve consentire questo consenso.
• Diritti di amministrazione nell'ambiente AI corretto per rendere disponibili le integrazioni.
• Un amministratore di piattaforma che possa configurare il provider di identità Microsoft per questo ambiente AI in Google Cloud Identity Platform.
• Una registrazione app nella tua directory Microsoft, con un client secret e i due URL di reindirizzamento del marchio corretto.

L'accesso con Microsoft e l'accesso ai dati Microsoft sono due funzioni separate. Solo un login Microsoft funzionante non significa che Outlook, Teams o SharePoint siano configurati.

1. Registra un'app organizzativa

Apri il Centro di amministrazione Microsoft Entra e vai su Registrazioni app → Nuova registrazione. Usa un nome riconoscibile, ad esempio AI-Public – nome della tua organizzazione. Per un'organizzazione propria scegli Account in questa directory organizzativa solo (tenant singolo).

Salva i seguenti dati da Panoramica:

Dato	A cosa serve?
ID directory (tenant)	La directory Microsoft della tua organizzazione; questo va nel campo Microsoft ID dell'ambiente AI.
ID applicazione (client)	L'app registrata; questo va nel provider di identità Microsoft.

Questi due ID sono diversi. Non inserire l'ID client o l'ID tenant Firebase nel campo Microsoft ID.

2. Configura gli URL di reindirizzamento corretti

Vai su Autenticazione → Aggiungi una piattaforma → Web. Aggiungi per il tuo marchio entrambi gli URL sottostanti, esattamente come mostrato. Il primo gestisce il login; il secondo gestisce il consenso per le integrazioni con account di lavoro.

Marchio	Accesso con Microsoft	Integrazioni account di lavoro
AI-School	https://ai-school-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporate	https://ai-corporate.firebaseapp.com/__/auth/handler	https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Public	https://ai-public-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

Usa gli URL del marchio su cui gira il tuo ambiente. Non è necessario inserire il nome della tua organizzazione o l'ID tenant in questi URL. L'URL del sito web, del dashboard e .web.app non sostituiscono questi callback. Registrali come Web, anche se usi l'integrazione da un browser. Non è necessario abilitare il rilascio implicito di token o il flusso client pubblico.

3. Crea un client secret e assegna i permessi

Vai su Certificati e segreti → Segreti client → Nuovo segreto client. Scegli una durata appropriata e conserva la Valore in modo sicuro appena visibile. Fornisci il valore tramite il canale sicuro concordato per l'amministrazione della piattaforma; il Secret ID non è il client secret. Tieni traccia della scadenza e sostituisci il secret prima della data, anche nel provider di identità.

Poi vai su Permessi API → Aggiungi un permesso → Microsoft Graph → Permessi delegati. Aggiungi solo i permessi per le integrazioni e azioni che la tua organizzazione offrirà.

Integrazione	Permessi di lettura	Permessi extra per scrittura
Profilo / base	User.Read; il flusso di login richiede anche openid, profile, email e offline_access	Nessuno
Outlook Mail	Mail.Read	Bozze: Mail.ReadWrite. Invio: Mail.Send.
Outlook Calendario	Calendars.Read	Scrittura: Calendars.ReadWrite.
Microsoft Teams	Chat.Read, ChannelMessage.Read.All	Post: Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Send.
SharePoint / OneDrive	Sites.Read.All, Files.Read.All	Questa integrazione account di lavoro non offre azioni di scrittura qui.

Mail.ReadWrite non concede il permesso di invio; per quello serve separatamente Mail.Send. La pubblicazione in Teams scrive messaggi di testo in un canale scelto, non messaggi di chat privata. Per questa integrazione usa Permessi delegati, non Permessi applicazione. Anche per permessi con All nel nome, l'accesso delegato è limitato dall'accesso dell'utente.

Clicca su Concedi consenso amministrativo per la tua organizzazione e verifica che i permessi scelti siano mostrati come concessi. Così i dipendenti possono usare l'accesso approvato senza dover concedere diritti organizzativi da soli. Microsoft può comunque richiedere login, MFA o nuovo consenso, a seconda della tua policy.

4. Collega l'app in due posti all'ambiente AI

Fai selezionare all'amministratore di piattaforma l'ambiente corretto ed eseguire queste impostazioni:

1. In Admin → Ambiente → Tenant: attiva il metodo di login Microsoft e inserisci in Microsoft ID l'ID directory (tenant).
2. In Google Cloud → Identity Platform → tenant corrispondente → Provider di identità → Microsoft: attiva il provider e inserisci l'ID applicazione (client) e il valore client secret della stessa app Entra.

Il provider di identità appartiene al tenant Firebase/Identity Platform del tuo ambiente AI, non a un'altra organizzazione o all'ambiente Admin generale. L'integrazione account di lavoro riutilizza l'app di questo provider. Il client secret non deve essere nei preferiti utente, nei messaggi chat o nei normali campi ambiente.

Fornisci all'amministratore di piattaforma il nome organizzazione, il marchio, l'ID directory, l'ID client, il valore secret tramite canale sicuro, la data di scadenza e le integrazioni/permessi desiderati. Solo un app-ID non è sufficiente.

5. Abilita integrazioni e azioni di scrittura

Apri la console di amministrazione della tua organizzazione → Strumenti → MCP. Attiva l'integrazione Microsoft 365 in Collegamenti suite. Le righe Microsoft diventano visibili; se l'intera suite è disattivata, queste righe restano nascoste.

Scegli per ogni integrazione se è disponibile. Nella colonna Azioni di scrittura scegli separatamente:

• Outlook Mail → Bozze: creare e modificare bozze.
• Outlook Mail → Invio: inviare effettivamente una bozza esistente.
• Outlook Calendario → Scrittura: creare e modificare appuntamenti.
• Microsoft Teams → Post: pubblicare messaggi di testo in un canale Teams scelto.

Clicca su Salva. Un'azione di scrittura funziona solo se sia l'integrazione che il diritto di gestione corrispondente sono attivi, Microsoft ha concesso i permessi necessari e l'utente ha attivato personalmente il collegamento. L'utente non riceve un modulo di permessi di scrittura aggiuntivo.

Disponibilità

Le impostazioni devono essere supportate anche dal backend del tuo marchio. Questa estensione di scrittura è stata pubblicata e testata il 7 ottobre 2026 per OnderwijsSupport su AI-Corporate. Questo non significa automaticamente che la stessa estensione sia già stata rilasciata per AI-Public, AI-Public o altri ambienti. Chiedi conferma all'amministratore di piattaforma se mancano azioni di scrittura.

6. Verifica la configurazione

Fai accedere un utente all'ambiente AI corretto e attivare l'integrazione desiderata secondo Usare integrazioni Microsoft. Verifica che Microsoft mostri il nome della tua app Entra.

Testa prima una bozza riconoscibile e un appuntamento senza partecipanti. Controlla gli elementi salvati in Outlook. Poi prova a inviare con un destinatario di test concordato e a pubblicare in Teams in un canale di test concordato. Un appuntamento con partecipanti può inviare inviti o aggiornamenti. Un ordine di invio accettato non è una consegna confermata.

Quando si ampliano i permessi, il collegamento tenta di rinnovare i token. Se Microsoft richiede di nuovo login o consenso, fai riconnettere l'utente al collegamento esistente. Non serve creare una seconda app o una configurazione utente separata.

Risoluzione problemi

Problema	Controllo
AADSTS50011 / redirect mismatch	Entrambi i callback registrati esattamente come Web, per il marchio corretto.
Compare un altro nome app al consenso	Ambiente AI corretto, ID directory e provider Microsoft Identity specifico per tenant; riconnetti dopo.
Login funziona, ma integrazione no	Controlla anche callback connettore, permessi Graph e consenso organizzativo.
Lettura funziona, scrittura no	Controlla diritto di gestione, permesso Graph delegato corrispondente, consenso concesso e disponibilità backend.
Client secret non valido o scaduto	La Valore, non il Secret ID; aggiorna il nuovo secret anche nel provider di identità.
Integrazione mancante per l'utente	Controlla disponibilità in Strumenti, diritti utente per collegamenti e ambiente AI selezionato.

Ulteriori informazioni

• Gestire strumenti
• Usare integrazioni Microsoft
• Microsoft: registrare un'app
• Microsoft: URL di reindirizzamento
• Microsoft Graph: panoramica permessi

Knowledge base centrale SharePoint: configurare Microsoft

Una cartella collegata centralmente funziona tramite l'app dell'organizzazione, senza che ogni dipendente debba attivare un collegamento personale a SharePoint. Per questo sono necessari due permessi separati: il diritto applicativo Sites.Selected con consenso amministrativo, e una concessione read sul sito SharePoint scelto. Un login Microsoft funzionante o solo il consenso amministrativo non sono sufficienti.

1. Verificare l'app dell'organizzazione

Usare la stessa registrazione app single-tenant utilizzata per l'accesso Microsoft nel vostro ambiente AI. Un'app esistente può essere estesa; non è necessaria una seconda app di integrazione. Controllare in Microsoft Entra → Registrazioni app → la vostra app → Panoramica l'ID Directory (tenant) e l'ID Applicazione (client). Usare qui l'ID client, non l'ID oggetto.

L'ID Directory deve essere presente in Admin → Ambiente → Tenant → Microsoft ID. L'ID client e il Valore di un client secret valido devono essere configurati nel Microsoft Identity Provider di quell'ambiente AI specifico. Questa configurazione è gestita dall'amministrazione della piattaforma. Un secret scaduto impedisce anche l'importazione centrale; tenere sotto controllo la data di scadenza.

La connessione server centrale usa client_credentials e non richiede URL di redirect aggiuntivi. I redirect Web esistenti per l'accesso e le integrazioni con account di lavoro personali rimangono necessari; usare gli URL brandizzati dalla tabella all'inizio di questo articolo.

2. Aggiungere il diritto applicativo e concedere il consenso amministrativo

1. Aprire Permessi API → Aggiungi un permesso → Microsoft Graph → Permessi applicazione.
2. Cercare Sites.Selected, selezionare questo diritto e cliccare su Aggiungi permessi.
3. Far eseguire a un amministratore Entra autorizzato il comando Concedi consenso amministrativo per la vostra organizzazione.
4. Verificare che Sites.Selected, tipo Applicazione, sia mostrato come concesso.

I permessi delegati per i collegamenti personali a Outlook, Teams e SharePoint possono rimanere sulla stessa app. Essi non sostituiscono il diritto applicativo per la knowledge base centrale. Per questa importazione centrale non è necessario il diritto applicativo Sites.Read.All, Sites.ReadWrite.All o Sites.FullControl.All.

3. Concedere separatamente all'app l'accesso in lettura al sito

Questa operazione di amministrazione può essere eseguita con Microsoft Graph Explorer. Usare un account amministratore nella stessa directory Microsoft, con ruolo Amministratore SharePoint o un ruolo amministrativo superiore adeguato e accesso al sito interessato. Un ruolo di abbonamento Azure o solo la proprietà dell'app non sono sufficienti.

1. Accedere con l'account amministratore a Graph Explorer e verificare l'organizzazione mostrata.
2. Apri il tuo menu profilo → Consent to permissions, cerca Sites.FullControl.All e seleziona Consent per concedere il permesso richiesto per Graph Explorer in questo contesto di amministrazione. Per alcune query puoi anche aprire il pannello completo dei permessi tramite Modify Permissions → Open the permissions panel. Questo è un permesso di amministrazione delegated per gestire le autorizzazioni del sito; non aggiungerlo come permesso applicativo ampio nell'app della knowledge base. Usa il permesso legato all'account quando il consenso organizzativo per tutti gli utenti non è necessario.
3. Cercare l'ID del sito con il seguente GET. Sostituire l'host di esempio e il percorso del sito con quelli della vostra cartella. Per un URL con /teams/ usare quel percorso invece di /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

Il valore id nella risposta è l'ID completo del sito, inclusi nome host e due GUID. Verificare anche displayName e webUrl: la concessione deve essere sul sito in cui si trova realmente la vostra cartella.

4. Verificare prima le concessioni esistenti con un GET all'indirizzo sottostante. Se il vostro client ID è già presente con ruolo read, non è necessario creare una seconda concessione. Far valutare eventuali concessioni più ampie o diverse dal vostro amministratore Microsoft.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

5. Se manca la concessione, scegliere POST, usare lo stesso indirizzo e inserire nel Request Body il seguente JSON. Sostituire i due valori di esempio; CLIENT-ID-DEL-VOSTRO-APP è l'Application (client) ID della vostra app di integrazione, non dell'app Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

6. Selezionare Esegui query. Un'aggiunta riuscita restituisce 201 Created. Verificare nella risposta il ruolo read e il client ID; Graph può mostrarli sotto grantedToIdentitiesV2. Verificare nuovamente con GET. Conservare l'ID del permesso per la gestione e un'eventuale revoca futura.
7. Ripetere solo per ogni altro sito di cui si desidera collegare consapevolmente cartelle della knowledge base.

Concessione sito e diritti knowledge base

La concessione Microsoft dà all'app l'accesso in lettura a tutto il sito selezionato. L'ambiente AI importa solo la cartella scelta e le sottocartelle. Preferibilmente usare un sito separato per la conoscenza condivisa centralmente. I diritti esistenti della knowledge base determinano quali utenti ricevono i documenti importati; i diritti SharePoint individuali non vengono ereditati.

4. Collegare la cartella e verificare il risultato

Aprire Amministrazione → Knowledge base → Aggiungi → Cartelle SharePoint → Collega cartella e usare l'URL reale della cartella, non un link di invito o un indirizzo di panoramica OneDrive. Scegliere ambito, destinatari e stato di pubblicazione secondo la guida della knowledge base. Una fonte centrale non richiede un connettore personale nelle preferenze utente.

Verificare con Aggiorna se i documenti sono stati elaborati senza errori. Usare Sincronizza ora per un nuovo controllo e quindi porre una domanda concreta in chat su un documento importato. Verificare che la risposta citi la corretta fonte centrale di conoscenza.

Problema	Verifica lato Microsoft
Login funziona, ma la cartella centrale no	Sites.Selected deve essere di tipo Applicazione e avere consenso amministrativo; verificare inoltre la concessione separata sul sito.
403 Forbidden all'accesso cartella	Directory Microsoft corretta, ID sito, client ID e concessione read; solo consenso amministrativo non concede accesso al sito.
403 durante l'operazione di amministrazione in Graph Explorer	Permesso delegato Sites.FullControl.All, consenso concesso, ruolo amministratore e accesso al sito di destinazione. Non aggiungere un permesso ampio all'app di integrazione come soluzione.
Sito funziona, cartella non trovata	Verificare l'URL reale della cartella, la libreria documenti e il percorso del sito; un collegamento rapido OneDrive può puntare a un altro sito.
Secret scaduto o non valido	Far aggiornare all'amministrazione piattaforma il nuovo valore Value del secret nel Microsoft Identity Provider corretto.

Per OnderwijsSupport su AI-Corporate questo collegamento centrale è stato pubblicato e testato il 14 ottobre 2026. La disponibilità su AI-School, AI-Public o altri ambienti deve essere confermata dall'amministrazione piattaforma.

Documentazione Microsoft: Permessi selezionati, aggiungere concessione sito e verificare concessioni sito.