Konfigurere Microsoft 365 for ditt miljø

Med en egen Microsoft Entra-app kan organisasjonen din bruke samme app for pålogging med Microsoft og for Outlook, Teams og SharePoint. Du bestemmer sentralt hvilke integrasjoner og skrivehandlinger som er tilgjengelige. Brukere slår deretter bare på eller av sine personlige koblinger under Preferanser → Verktøy → Koblinger.

De personlige integrasjonene fungerer med støttede modeller fra OpenAI, Claude, Gemini og Mistral. Den valgte modellen må kunne bruke verktøy. Ved personlige tilkoblinger følger tilgangen rettighetene til den påloggede Microsoft-brukeren. Organisasjonstillatelse logger ikke automatisk inn alle ansatte og gir ikke AI selvstendig tilgang til alle postbokser. Den sentrale SharePoint-kunnskapsbasen bruker separate app-rettigheter og eksisterende kunnskapsbaserettigheter, som beskrevet videre i denne artikkelen.

Hva trenger du?

En Microsoft 365-organisasjon med Microsoft Entra ID og kontoer med tilgang til ønskede tjenester.
En administrator som kan registrere en app og gi organisasjonstillatelse for de valgte Microsoft Graph-rettighetene. Kun en Azure-abonnementsrolle er ikke nok; din Entra-rolle må tillate denne tillatelsen.
Administrasjonsrettigheter i riktig AI-miljø for å gjøre integrasjoner tilgjengelige.
En plattformadministrator som kan konfigurere Microsoft Identity Provider for dette AI-miljøet i Google Cloud Identity Platform.
En app-registrering i din egen Microsoft-katalog, med en klienthemmelighet og de to omdirigerings-URL-ene for riktig merke.

Pålogging med Microsoft og tilgang til Microsoft-data er to separate funksjoner. Bare en fungerende Microsoft-pålogging betyr ikke at Outlook, Teams eller SharePoint er konfigurert.

1. Registrer én organisasjonsapp

Åpne Microsoft Entra-administrasjonssenter og gå til App registrations → New registration. Bruk et gjenkjennelig navn, for eksempel AI-Public – ditt organisasjonsnavn. Velg for egen organisasjon Accounts in this organizational directory only (Single tenant).

Lagre følgende data fra Oversikt:

Data	Hva brukes til?
Directory (tenant) ID	Microsoft-katalogen til organisasjonen din; dette settes i feltet Microsoft ID i AI-miljøet.
Application (client) ID	Den registrerte appen; dette settes i Microsoft Identity Provider.

Disse to ID-ene er forskjellige. Fyll ikke inn klient-ID eller Firebase-tenant-ID i Microsoft ID.

2. Konfigurer riktige omdirigerings-URL-er

Gå til Authentication → Add a platform → Web. Legg til begge URL-ene nedenfor for ditt merke, nøyaktig som vist. Den første håndterer pålogging; den andre håndterer tillatelse for arbeidskonto-integrasjoner.

Merke	Pålogging med Microsoft	Arbeidskonto-integrasjoner
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Bruk URL-ene for merket som miljøet ditt kjører på. Ditt eget organisasjonsnavn eller tenant-ID trenger ikke å fylles inn i disse URL-ene. Nettsted-URL, dashbord-URL og .web.app-URL erstatter ikke disse callbackene. Registrer dem som Web, selv om du bruker integrasjonen fra en nettleser. Du trenger ikke aktivere implicit tokenutstedelse eller public client flow.

3. Lag en klienthemmelighet og tildel rettigheter

Gå til Certificates & secrets → Client secrets → New client secret. Velg passende varighet og lagre Value sikkert så snart den vises. Lever verdien via avtalt sikkert kanal for plattformadministrasjon; Secret ID er ikke klienthemmeligheten. Følg med på utløpsdato og bytt ut hemmeligheten før den går ut, også i Identity Provider.

Gå deretter til API permissions → Add a permission → Microsoft Graph → Delegated permissions. Legg kun til rettigheter for de integrasjoner og handlinger organisasjonen skal tilby.

Integrasjon	Leserettigheter	Ekstra rettigheter for skriving
Profil / basis	`User.Read`; påloggingsflyten ber også om `openid`, `profile`, `email` og `offline_access`	Ingen
Outlook Mail	`Mail.Read`	Konsepter: `Mail.ReadWrite`. Send: `Mail.Send`.
Outlook Kalender	`Calendars.Read`	Skrive: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Post: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Denne arbeidskonto-integrasjonen tilbyr ingen skrivehandlinger her.

Mail.ReadWrite gir ikke sendetillatelse; det kreves separat Mail.Send. Teams-posting skriver tekstmeldinger i valgt kanal, ikke private chatmeldinger. For denne integrasjonen bruker du Delegated permissions, ikke Application permissions. Selv med rettigheter med All i navnet er delegert tilgang begrenset av brukerens tilgang.

Klikk på Grant admin consent for din organisasjon og kontroller at valgte rettigheter vises som gitt. Da kan ansatte bruke godkjent tilgang uten å måtte gi organisasjonstillatelse selv. Microsoft kan fortsatt be om pålogging, MFA eller fornyet tillatelse, avhengig av policy.

4. Koble appen til AI-miljøet på to steder

La plattformadministratoren velge riktig miljø og utføre disse innstillingene:

I Admin → Miljø → Tenant: aktiver påloggingsmetoden Microsoft og fyll inn Directory (tenant) ID.
I Google Cloud → Identity Platform → aktuell tenant → Identity providers → Microsoft: aktiver leverandøren og fyll inn Application (client) ID og client secret Value fra samme Entra-app.

Identity Provider hører til Firebase/Identity Platform-tenant for ditt AI-miljø, ikke en annen organisasjon eller generell Admin-miljø. Arbeidskonto-integrasjonen bruker appen fra denne leverandøren på nytt. Klienthemmeligheten skal ikke være i brukerpreferanser, chatmeldinger eller vanlige miljøvariabler.

Lever til plattformadministrasjon organisasjonsnavn, merke, Directory ID, klient-ID, hemmelighetsverdi via sikker kanal, utløpsdato og ønskede integrasjoner/rettigheter. Kun en app-ID er ikke nok.

5. Aktiver integrasjoner og skrivehandlinger

Åpne administrasjonsmiljøet for din organisasjon → Verktøy → MCP. Slå på integrasjonen Microsoft 365 under Suite-snarveier. Microsoft-radene blir synlige; hvis hele suiten er av, forblir radene skjult.

Velg per integrasjon om den skal være tilgjengelig. I kolonnen Skrivehandlinger velger du separat:

Outlook Mail → Konsepter: lage og endre konsepter.
Outlook Mail → Send: faktisk sende et eksisterende konsept.
Outlook Kalender → Skrive: lage og endre avtaler.
Microsoft Teams → Post: legge ut tekstmeldinger i valgt Teams-kanal.

Klikk på Lagre. En skrivehandling fungerer bare hvis både integrasjonen og tilhørende administrasjonsrett er aktivert, Microsoft har gitt nødvendige rettigheter, og brukeren har slått på koblingen personlig. Brukeren får ikke et ekstra skjema for skrivetillatelse.

Tilgjengelighet

Innstillingene må også støttes av backend for ditt merke. Denne skriveutvidelsen ble målrettet publisert og testet for UndervisningsSupport på AI-Corporate 7. oktober 2026. Det betyr ikke automatisk at samme utvidelse allerede er tilgjengelig for AI-Public, AI-Public eller andre miljøer. Spør plattformadministrasjon om bekreftelse hvis skrivehandlinger mangler.

6. Kontroller oppsettet

La en bruker logge inn på riktig AI-miljø og slå på ønsket integrasjon i henhold til Bruke Microsoft-integrasjoner. Kontroller at Microsoft viser navnet på din egen Entra-app.

Test først et gjenkjennelig konsept og en avtale uten deltakere. Kontroller lagrede elementer i Outlook. Test deretter sending med en avtalt testmottaker og Teams-posting i en avtalt testkanal. En avtale med deltakere kan sende invitasjoner eller oppdateringer. En akseptert sendeordre er ikke en bekreftet levering.

Ved utvidelse av rettigheter prøver koblingen å fornye tokens. Hvis Microsoft krever pålogging eller tillatelse på nytt, lar du brukeren koble til koblingen på nytt. Det trengs ikke en ny app eller separat brukerinnstilling.

Feilsøking

Problem	Sjekk
`AADSTS50011` / redirect mismatch	Begge callback-URL-er registrert nøyaktig som Web, for riktig merke.
Et annet appnavn vises ved tillatelse	Riktig AI-miljø, Directory ID og tenant-spesifikk Microsoft Identity Provider; koble til på nytt.
Pålogging fungerer, men integrasjonen ikke	Sjekk også connector callback, Graph-rettigheter og organisasjonstillatelse.
Lesing fungerer, skriving ikke	Sjekk administrasjonsrett, tilhørende delegert Graph-rettighet, gitt tillatelse og backend-tilgjengelighet.
Klienthemmelighet ugyldig eller utløpt	Value, ikke Secret ID; oppdater ny hemmelighet også i Identity Provider.
Integrasjon mangler hos bruker	Sjekk tilgjengelighet i Verktøy, brukerrettigheter for koblinger og valgt AI-miljø.

Mer informasjon

Sentral SharePoint-kunnskapsbase: Microsoft-oppsett

En sentralt tilknyttet mappe fungerer via organisasjonsappen, uten at hver ansatt må aktivere en personlig SharePoint-tilkobling. Dette krever to separate tillatelser: applikasjonsrettigheten Sites.Selected med admin samtykke, og en read-tillatelse på den valgte SharePoint-nettstedet. En fungerende Microsoft-pålogging eller kun admin samtykke er ikke tilstrekkelig.

1. Kontroller organisasjonsappen

Bruk samme single-tenant app-registrering som for Microsoft-pålogging i ditt AI-miljø. En eksisterende app kan utvides; en andre integrasjonsapp er ikke nødvendig. Kontroller i Microsoft Entra → App registrations → din app → Oversikt Directory (tenant) ID og Application (client) ID. Bruk klient-ID nedenfor, ikke objekt-ID.

Directory ID må være i Admin → Miljø → Tenant → Microsoft ID. Klient-ID og Value for en gyldig klienthemmelighet må være hos Microsoft Identity Provider for akkurat det AI-miljøet. Denne konfigurasjonen vedlikeholdes av plattformadministrasjonen. En utløpt hemmelighet hindrer også sentral import; følg med på utløpsdato.

Den sentrale serverforbindelsen bruker client_credentials og krever ingen ekstra redirect-URL. Eksisterende web-redirects for pålogging og personlige arbeidskonto-integrasjoner forblir nødvendige; bruk merkevaretilknyttede URL-er fra tabellen tidligere i denne artikkelen.

2. Legg til applikasjonsrettighet og gi admin samtykke

Åpne API permissions → Add a permission → Microsoft Graph → Application permissions.
Søk etter Sites.Selected, velg denne rettigheten og klikk på Add permissions.
La en autorisert Entra-administrator utføre Grant admin consent for din organisasjon.
Kontroller at Sites.Selected, type Application, vises som innvilget.

De delegerte rettighetene for personlige Outlook-, Teams- og SharePoint-tilkoblinger kan forbli på samme app. De erstatter ikke applikasjonsrettigheten for den sentrale kunnskapsbasen. For denne sentrale importen er ikke applikasjonsrettighetene Sites.Read.All, Sites.ReadWrite.All eller Sites.FullControl.All nødvendig.

3. Gi appen separat lesetilgang til nettstedet

Denne administrasjonsoppgaven kan utføres med Microsoft Graph Explorer. Bruk en administratorkonto i samme Microsoft-katalog, med SharePoint Administrator eller en høyere passende administratorrolle og tilgang til det aktuelle nettstedet. En Azure-abonnementsrolle eller kun eierskap av appen er ikke tilstrekkelig.

Logg inn med administratorkontoen i Graph Explorer og kontroller den viste organisasjonen.
Åpne din profilmeny → Consent to permissions, søk etter Sites.FullControl.All og velg Consent for å gi nødvendig tillatelse til Graph Explorer i denne administrasjonskonteksten. For noen spørringer kan du også åpne hele rettighetspanelet via Modify Permissions → Open the permissions panel. Dette er en delegated administrasjonstillatelse for å administrere sitegrants; ikke legg den til som en bred applikasjonstillatelse på kunnskapsbaseappen. Bruk kontobasert tillatelse når organisasjonstillatelse for alle brukere ikke er nødvendig.
Finn nettsted-ID med følgende GET. Erstatt eksempelvertsnavn og nettstedsti med din egen mappe. Ved en URL med /teams/ bruker du den stien i stedet for /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

Verdien id i svaret er den fullstendige nettsted-ID-en, inkludert vertsnavn og to GUID-er. Kontroller også displayName og webUrl: tillatelsen må gis på nettstedet der mappen faktisk ligger.

Kontroller først eksisterende tillatelser med GET på følgende adresse. Hvis klient-ID-en din allerede finnes der med rollen read, trenger du ikke opprette en ny tillatelse. La eksisterende bredere eller avvikende tillatelser vurderes av din Microsoft-administrator.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Mangler tillatelsen, velg POST, bruk samme adresse og fyll inn følgende JSON i Request Body. Erstatt de to eksempelverdiene; CLIENT-ID-VAN-UW-APP er Application (client) ID for din integrasjonsapp, ikke Graph Explorer-appen.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

Velg Run query. En vellykket tillegg gir 201 Created. Kontroller i svaret rollen read og klient-ID; Graph kan vise disse under grantedToIdentitiesV2. Kontroller deretter på nytt med GET. Lagre permission-ID for administrasjon og eventuell senere tilbakekalling.
Gjenta dette kun for hvert annet nettsted du bevisst ønsker å koble kunnskapsbasemapper fra.

Nettstedstillatelse og kunnskapsbaserettigheter

Microsoft-tillatelsen gir appen lesetilgang til hele det valgte nettstedet. AI-miljøet importerer kun den valgte mappen og undermapper. Bruk helst et separat nettsted for sentralt delte kunnskaper. Eksisterende kunnskapsbaserettigheter bestemmer hvilke brukere som får tilgang til de importerte dokumentene; individuelle SharePoint-rettigheter overføres ikke.

4. Koble mappen og kontroller resultatet

Åpne Administrasjon → Kunnskapsbase → Legg til → SharePoint-mapper → Koble mappe og bruk den ekte mappe-URL-en, ikke en invitasjonslenke eller OneDrive-oversiktsadresse. Velg omfang, målgruppe og publiseringsstatus i henhold til kunnskapsbaseveiledningen. En sentral kilde krever ingen personlig tilkobler i brukerpreferanser.

Kontroller med Oppdater om dokumentene er behandlet uten feil. Bruk Synkroniser nå for en ny sjekk og still deretter et konkret chat-spørsmål om et importert dokument. Kontroller at svaret nevner riktig sentral kunnskapskilde.

Problem	Kontroll på Microsoft-siden
Pålogging fungerer, men ikke den sentrale mappen	`Sites.Selected` må være av typen Application og ha admin samtykke; kontroller også separat nettstedstillatelse.
`403 Forbidden` ved mappetilgang	Riktig Microsoft-katalog, nettsted-ID, klient-ID og `read`-tillatelse; admin samtykke alene gir ikke nettstedstilgang.
`403` ved administrasjonsoperasjon i Graph Explorer	Delegerte `Sites.FullControl.All`, gitt tillatelse, administratorrolle og tilgang til mål-nettstedet. Ikke legg til bred rettighet på integrasjonsappen som løsning.
Nettsted fungerer, men mappe ikke funnet	Kontroller ekte mappe-URL, dokumentbibliotek og nettstedsti; en OneDrive-snarvei kan peke til et annet nettsted.
Hemmelighet utløpt eller ugyldig	La plattformadministrasjonen oppdatere ny hemmelighets Value i riktig Microsoft Identity Provider.

For OnderwijsSupport på AI-Corporate ble denne sentrale tilkoblingen publisert og testet 14. oktober 2026. Tilgjengelighet på AI-School, AI-Public eller et annet miljø må bekreftes av plattformadministrasjonen.

Microsoft-dokumentasjon: Selected permissions, legg til nettstedstillatelse og kontroller nettstedstillatelser.

Hva trenger du?​

1. Registrer én organisasjonsapp​

2. Konfigurer riktige omdirigerings-URL-er​

3. Lag en klienthemmelighet og tildel rettigheter​

4. Koble appen til AI-miljøet på to steder​

5. Aktiver integrasjoner og skrivehandlinger​

6. Kontroller oppsettet​

Feilsøking​

Mer informasjon​

Sentral SharePoint-kunnskapsbase: Microsoft-oppsett​

1. Kontroller organisasjonsappen​

2. Legg til applikasjonsrettighet og gi admin samtykke​

3. Gi appen separat lesetilgang til nettstedet​

4. Koble mappen og kontroller resultatet​