Przejdź do głównej treści

Konfiguracja Microsoft 365 dla Twojego środowiska

Dzięki własnej aplikacji Microsoft Entra Twoja organizacja może korzystać z tej samej aplikacji do logowania się przez Microsoft oraz do Outlook, Teams i SharePoint. Centralnie określasz, które integracje i akcje zapisu są dostępne. Użytkownicy następnie włączają lub wyłączają swoje osobiste powiązania w Preferencje → Narzędzia → Powiązania.

Integracje osobiste działają z obsługiwanymi modelami OpenAI, Claude, Gemini i Mistral. Wybrany model musi mieć możliwość korzystania z narzędzi. W przypadku osobistych połączeń dostęp podlega uprawnieniom zalogowanego użytkownika Microsoft. Zgoda organizacji nie loguje automatycznie wszystkich pracowników i nie daje AI samodzielnego dostępu do wszystkich skrzynek pocztowych. Centralna baza wiedzy SharePoint używa oddzielnych praw aplikacji oraz istniejących praw bazy wiedzy, jak opisano dalej w tym artykule.

Co jest potrzebne?​

  • Organizacja Microsoft 365 z Microsoft Entra ID i kontami z dostępem do wymaganych usług.
  • Administrator, który może zarejestrować aplikację i udzielić zgody organizacji na wybrane uprawnienia Microsoft Graph. Sama rola subskrypcji Azure nie wystarczy; Twoja rola Entra musi pozwalać na tę zgodę.
  • Uprawnienia administracyjne w odpowiednim środowisku AI, aby udostępnić integracje.
  • Administrator platformy, który może skonfigurować dostawcę tożsamości Microsoft dla tego środowiska AI w Google Cloud Identity Platform.
  • Rejestracja aplikacji w Twoim własnym katalogu Microsoft, z sekretem klienta i dwoma adresami URL przekierowań dla odpowiedniej marki.

Logowanie przez Microsoft i dostęp do danych Microsoft to dwie oddzielne funkcje. Samo działające logowanie Microsoft nie oznacza, że Outlook, Teams lub SharePoint są skonfigurowane.

1. Zarejestruj jedną aplikację organizacyjną​

Otwórz centrum zarządzania Microsoft Entra i przejdź do Rejestracje aplikacji → Nowa rejestracja. Użyj rozpoznawalnej nazwy, np. AI-Public – nazwa Twojej organizacji. Dla własnej organizacji wybierz Konta tylko w tym katalogu organizacyjnym (Single tenant).

Zachowaj następujące dane z Przeglądu:

DaneDo czego?
Identyfikator katalogu (tenant ID)Katalog Microsoft Twojej organizacji; trafia do pola Microsoft ID w środowisku AI.
Identyfikator aplikacji (client ID)Zarejestrowana aplikacja; trafia do dostawcy tożsamości Microsoft.

Te dwa identyfikatory są różne. Nie wpisuj w polu Microsoft ID client ID ani Firebase tenant ID.

2. Skonfiguruj odpowiednie adresy URL przekierowań​

Przejdź do Uwierzytelnianie → Dodaj platformę → Web. Dodaj dla swojej marki oba poniższe adresy URL dokładnie tak, jak podano. Pierwszy obsługuje logowanie; drugi obsługuje zgodę na integracje konta służbowego.

MarkaLogowanie przez MicrosoftIntegracje konta służbowego
AI-Schoolhttps://ai-school-pro.firebaseapp.com/__/auth/handlerhttps://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporatehttps://ai-corporate.firebaseapp.com/__/auth/handlerhttps://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Publichttps://ai-public-pro.firebaseapp.com/__/auth/handlerhttps://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

Użyj adresów URL marki, na której działa Twoje środowisko. Nie musisz wpisywać własnej nazwy organizacji ani tenant ID w tych adresach URL. Adresy URL witryny, pulpitu nawigacyjnego i .web.app nie zastępują tych callbacków. Zarejestruj je jako Web, nawet jeśli korzystasz z integracji z przeglądarki. Nie musisz włączać wydawania tokenów implicit ani flow public client.

3. Utwórz sekret klienta i przypisz uprawnienia​

Przejdź do Certyfikaty i sekrety → Sekrety klienta → Nowy sekret klienta. Wybierz odpowiedni okres ważności i bezpiecznie zachowaj Wartość po jej wyświetleniu. Przekaż wartość przez uzgodniony bezpieczny kanał do zarządzania platformą; ID sekretu to nie jest sekret klienta. Monitoruj datę wygaśnięcia i wymień sekret przed tym terminem, także w dostawcy tożsamości.

Następnie przejdź do Uprawnienia API → Dodaj uprawnienie → Microsoft Graph → Uprawnienia delegowane. Dodaj tylko uprawnienia potrzebne dla integracji i akcji, które Twoja organizacja będzie oferować.

IntegracjaUprawnienia do odczytuDodatkowe uprawnienia do zapisu
Profil / podstawoweUser.Read; flow logowania wymaga też openid, profile, email i offline_accessBrak
Outlook MailMail.ReadKoncepty: Mail.ReadWrite. Wysyłanie: Mail.Send.
Outlook KalendarzCalendars.ReadZapis: Calendars.ReadWrite.
Microsoft TeamsChat.Read, ChannelMessage.Read.AllPublikowanie: Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Send.
SharePoint / OneDriveSites.Read.All, Files.Read.AllTa integracja konta służbowego nie oferuje akcji zapisu.

Mail.ReadWrite nie daje prawa do wysyłania; do tego potrzebne jest osobne Mail.Send. Publikowanie w Teams oznacza pisanie wiadomości tekstowych w wybranym kanale, nie w prywatnych czatach. Dla tej integracji używaj Uprawnień delegowanych, nie Uprawnień aplikacji. Nawet uprawnienia z All w nazwie są ograniczone przez dostęp użytkownika.

Kliknij Udziel zgody administratora dla Twojej organizacji i sprawdź, czy wybrane uprawnienia są wyświetlane jako przyznane. Dzięki temu pracownicy mogą korzystać z zatwierdzonego dostępu bez konieczności samodzielnego udzielania zgody organizacji. Microsoft może jednak wymagać ponownego logowania, MFA lub odnowienia zgody, w zależności od polityki.

4. Powiąż aplikację w dwóch miejscach ze środowiskiem AI​

Niech administrator platformy wybierze odpowiednie środowisko i wykona następujące ustawienia:

  1. W Admin → Środowisko → Tenant: włącz metodę logowania Microsoft i wpisz w Microsoft ID Identyfikator katalogu (tenant ID).
  2. W Google Cloud → Identity Platform → odpowiedni tenant → Dostawcy tożsamości → Microsoft: włącz dostawcę i wpisz Identyfikator aplikacji (client ID) oraz wartość sekretu klienta tej samej aplikacji Entra.

Dostawca tożsamości należy do tenant Firebase/Identity Platform Twojego środowiska AI, nie do innej organizacji ani ogólnego środowiska Admin. Integracja konta służbowego ponownie używa aplikacji z tego dostawcy. Sekret klienta nie powinien być przechowywany w preferencjach użytkownika, wiadomościach czatu ani zwykłych polach środowiska.

Przekaż administratorowi platformy nazwę organizacji, markę, Directory ID, client ID, wartość sekretu przez bezpieczny kanał, datę wygaśnięcia i wymagane integracje/uprawnienia. Sam identyfikator aplikacji nie wystarczy.

5. Udostępnij integracje i akcje zapisu​

Otwórz środowisko zarządzania Twojej organizacji → Narzędzia → MCP. Włącz integrację Microsoft 365 w Szybkich skrótach pakietu. Wiersze Microsoft staną się widoczne; jeśli cały pakiet jest wyłączony, te wiersze pozostaną ukryte.

Wybierz dla każdej integracji, czy jest dostępna. W kolumnie Akcje zapisu wybierz osobno:

  • Outlook Mail → Koncepty: tworzenie i edycja konceptów.
  • Outlook Mail → Wysyłanie: faktyczne wysyłanie istniejącego konceptu.
  • Outlook Kalendarz → Zapis: tworzenie i edycja spotkań.
  • Microsoft Teams → Publikowanie: umieszczanie wiadomości tekstowych w wybranym kanale Teams.

Kliknij Zapisz. Akcja zapisu działa tylko wtedy, gdy zarówno integracja, jak i odpowiednie uprawnienie administracyjne są włączone, Microsoft udzielił wymaganych uprawnień, a użytkownik osobiście włączył powiązanie. Użytkownik nie otrzymuje dodatkowego formularza uprawnień zapisu.

Dostępność

Ustawienia muszą być również obsługiwane przez backend Twojej marki. To rozszerzenie zapisu zostało opublikowane i przetestowane 7 października 2026 dla OnderwijsSupport na AI-Corporate. Nie oznacza to automatycznie, że to samo rozszerzenie jest już dostępne dla AI-Public, AI-Public lub innych środowisk. Poproś administratora platformy o potwierdzenie, jeśli brakuje akcji zapisu.

6. Sprawdź konfigurację​

Niech użytkownik zaloguje się do odpowiedniego środowiska AI i włączy wybraną integrację zgodnie z Korzystaniem z integracji Microsoft. Sprawdź, czy Microsoft wyświetla nazwę Twojej własnej aplikacji Entra.

Najpierw przetestuj rozpoznawalny koncept i spotkanie bez uczestników. Sprawdź zapisane elementy w Outlook. Następnie przetestuj wysyłanie z umówionym odbiorcą testowym oraz publikowanie w Teams na umówionym kanale testowym. Spotkanie z uczestnikami może wysyłać zaproszenia lub aktualizacje. Zaakceptowane polecenie wysłania nie oznacza potwierdzonego dostarczenia.

Przy rozszerzaniu uprawnień powiązanie próbuje odświeżyć tokeny. Jeśli Microsoft wymaga ponownego logowania lub zgody, użytkownik powinien ponownie połączyć istniejące powiązanie. Nie trzeba tworzyć drugiej aplikacji ani osobnej konfiguracji użytkownika.

Rozwiązywanie problemów​

ProblemSprawdź
AADSTS50011 / niezgodność przekierowaniaOba callbacki dokładnie zarejestrowane jako Web, dla właściwej marki.
Inna nazwa aplikacji przy zgodzieWłaściwe środowisko AI, Directory ID i tenant-specyficzny dostawca tożsamości Microsoft; połącz ponownie.
Logowanie działa, ale integracja nieSprawdź callback łącznika, uprawnienia Graph i zgodę organizacji.
Odczyt działa, zapis nieSprawdź uprawnienia administracyjne, odpowiadające uprawnienia delegowane Graph, udzieloną zgodę i dostępność backendu.
Sekret klienta nieprawidłowy lub wygasłWartość Value, nie ID sekretu; zaktualizuj nowy sekret także w dostawcy tożsamości.
Integracja nie jest widoczna dla użytkownikaSprawdź dostępność w Narzędziach, uprawnienia użytkownika do powiązań i wybrane środowisko AI.

Więcej informacji​

Centralna baza wiedzy SharePoint: Konfiguracja Microsoft​

Centralnie powiązany folder działa za pomocą aplikacji organizacyjnej, bez konieczności aktywowania osobistego połączenia SharePoint przez każdego pracownika. Wymagane są dwa oddzielne uprawnienia: prawo aplikacji Sites.Selected z zgodą administratora oraz przyznanie uprawnienia read na wybranej witrynie SharePoint. Działające logowanie Microsoft lub sama zgoda administratora nie są wystarczające.

1. Sprawdź aplikację organizacyjną​

Użyj tej samej rejestracji aplikacji single-tenant co do logowania Microsoft w środowisku AI. Istniejącą aplikację można rozszerzyć; nie jest potrzebna druga aplikacja integracyjna. Sprawdź w Microsoft Entra → Rejestracje aplikacji → Twoja aplikacja → Przegląd Directory (tenant) ID oraz Application (client) ID. Poniżej użyj client ID, nie Object ID.

Directory ID musi być wpisany w Admin → Środowisko → Tenant → Microsoft ID. Client ID oraz Wartość ważnego client secret muszą znajdować się w dostawcy tożsamości Microsoft tej konkretnej przestrzeni AI. Konfiguracja ta jest zarządzana przez administratora platformy. Wygasły secret uniemożliwia również centralny import; należy monitorować datę ważności.

Centralne połączenie serwera używa client_credentials i nie wymaga dodatkowego adresu redirect URL. Istniejące przekierowania Web dla logowania i osobistych integracji kont roboczych pozostają potrzebne; używaj adresów URL powiązanych z marką z tabeli wcześniej w tym artykule.

2. Dodaj prawo aplikacji i udziel zgody administratora​

  1. Otwórz Uprawnienia API → Dodaj uprawnienie → Microsoft Graph → Uprawnienia aplikacji.
  2. Znajdź Sites.Selected, wybierz to prawo i kliknij Dodaj uprawnienia.
  3. Uprawniony administrator Entra powinien wykonać Udziel zgody administratora dla Twojej organizacji.
  4. Sprawdź, czy Sites.Selected, typ Application, jest wyświetlane jako przyznane.

Delegowane uprawnienia dla osobistych połączeń Outlook, Teams i SharePoint mogą pozostać na tej samej aplikacji. Nie zastępują one prawa aplikacji dla centralnej bazy wiedzy. Do tego centralnego importu nie jest potrzebne prawo aplikacji Sites.Read.All, Sites.ReadWrite.All ani Sites.FullControl.All.

3. Przyznaj aplikacji osobne uprawnienie do odczytu witryny​

To działanie administracyjne można wykonać za pomocą Microsoft Graph Explorer. Użyj konta administratora w tej samej katalogu Microsoft, z rolą Administrator SharePoint lub wyższą odpowiednią rolą administracyjną oraz dostępem do danej witryny. Rola subskrypcji Azure lub samo posiadanie właścicielstwa aplikacji nie wystarczy.

  1. Zaloguj konto administratora w Graph Explorer i sprawdź wyświetlaną organizację.
  2. Otwórz swoje menu profilu → Consent to permissions, wyszukaj Sites.FullControl.All i wybierz Consent, aby udzielić wymaganej zgody dla Graph Explorer w tym kontekście administracyjnym. W przypadku niektórych zapytań możesz również otworzyć pełny panel uprawnień przez Modify Permissions → Open the permissions panel. Jest to uprawnienie administracyjne delegated do zarządzania uprawnieniami witryn; nie dodawaj go jako szerokiego uprawnienia aplikacji w aplikacji bazy wiedzy. Używaj uprawnień powiązanych z kontem, gdy zgoda organizacji dla wszystkich użytkowników nie jest wymagana.
  3. Znajdź ID witryny za pomocą poniższego GET. Zamień przykładowy host i ścieżkę witryny na własny folder. Przy adresie URL z /teams/ użyj tej ścieżki zamiast /sites/.
GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

Wartość id w odpowiedzi to pełne ID witryny, zawierające nazwę hosta i dwie GUID. Sprawdź także displayName i webUrl: przyznanie musi dotyczyć witryny, w której faktycznie znajduje się Twój folder.

  1. Najpierw sprawdź istniejące przyznania za pomocą GET pod poniższym adresem. Jeśli Twój client ID jest już tam z rolą read, nie musisz tworzyć drugiego przyznania. Niech administrator Microsoft oceni istniejące szersze lub różniące się przyznania.
GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions
  1. Jeśli przyznanie brak, wybierz POST, użyj tego samego adresu i w Request Body wprowadź poniższy JSON. Zamień dwie przykładowe wartości; CLIENT-ID-VAN-UW-APP to Application (client) ID Twojej aplikacji integracyjnej, nie aplikacji Graph Explorer.
{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}
  1. Wybierz Uruchom zapytanie. Udane dodanie zwraca 201 Created. Sprawdź w odpowiedzi rolę read i client ID; Graph może je pokazać pod grantedToIdentitiesV2. Następnie ponownie sprawdź za pomocą GET. Zachowaj ID uprawnienia do zarządzania i ewentualnego późniejszego cofnięcia.
  2. Powtórz to tylko dla każdej innej witryny, z której świadomie chcesz powiązać foldery bazy wiedzy.
Przyznanie witryny i prawa bazy wiedzy

Przyznanie Microsoft daje aplikacji dostęp do odczytu całej wybranej witryny. Środowisko AI importuje tylko wybrany folder i podfoldery. Preferuj osobną witrynę do centralnego udostępniania wiedzy. Istniejące prawa bazy wiedzy określają, którzy użytkownicy otrzymują zaimportowane dokumenty; indywidualne prawa SharePoint nie są przenoszone.

4. Powiąż folder i sprawdź wynik​

Otwórz Zarządzanie → Baza wiedzy → Dodaj → Foldery SharePoint → Powiąż folder i użyj rzeczywistego adresu URL folderu, nie linku zaproszenia ani adresu przeglądu OneDrive. Wybierz zakres, grupę docelową i status publikacji zgodnie z instrukcją bazy wiedzy. Centralne źródło nie wymaga osobistego konektora w preferencjach użytkownika.

Sprawdź za pomocą Odśwież czy dokumenty zostały przetworzone bez błędów. Użyj Synchronizuj teraz do ponownej kontroli i następnie zadaj konkretne pytanie czatu dotyczące zaimportowanego dokumentu. Sprawdź, czy odpowiedź podaje właściwe centralne źródło wiedzy.

ProblemKontrola po stronie Microsoft
Logowanie działa, ale folder centralny nieSites.Selected musi być typu Application i mieć zgodę administratora; sprawdź także osobne przyznanie witryny.
403 Forbidden przy dostępie do folderuPoprawny katalog Microsoft, ID witryny, client ID i przyznanie read; sama zgoda administratora nie daje dostępu do witryny.
403 przy działaniu administracyjnym w Graph ExplorerDelegowane Sites.FullControl.All, przyznane uprawnienie, rola administratora i dostęp do docelowej witryny. Nie dodawaj szerokiego prawa do aplikacji integracyjnej jako rozwiązania.
Witryna działa, folder nie znalezionySprawdź rzeczywisty adres URL folderu, bibliotekę dokumentów i ścieżkę witryny; skrót OneDrive może wskazywać na inną witrynę.
Secret wygasł lub jest nieprawidłowyNiech administrator platformy zaktualizuje nową wartość secret w odpowiednim dostawcy tożsamości Microsoft.

Dla OnderwijsSupport na AI-Corporate to centralne powiązanie zostało opublikowane i przetestowane 14 października 2026. Dostępność na AI-School, AI-Public lub innym środowisku musi potwierdzić administrator platformy.

Dokumentacja Microsoft: Wybrane uprawnienia, dodawanie przyznania witryny oraz sprawdzanie przyznań witryny.

Na tej stronie