Configurar Microsoft 365 para seu ambiente

Com um aplicativo Microsoft Entra próprio, sua organização pode usar o mesmo aplicativo para login com Microsoft e para Outlook, Teams e SharePoint. Você determina centralmente quais integrações e ações de escrita estão disponíveis. Os usuários então apenas ativam ou desativam suas conexões pessoais em Preferências → Ferramentas → Conexões.

As integrações pessoais funcionam com modelos suportados da OpenAI, Claude, Gemini e Mistral. O modelo escolhido deve ser capaz de usar ferramentas. Nas conexões pessoais, o acesso segue os direitos do usuário Microsoft autenticado. O consentimento organizacional não autentica automaticamente todos os colaboradores e não dá à IA acesso independente a todas as caixas de correio. A base de conhecimento central do SharePoint usa direitos de aplicativo separados e os direitos existentes da base de conhecimento, conforme descrito mais adiante neste artigo.

O que você precisa?

Uma organização Microsoft 365 com Microsoft Entra ID e contas com acesso aos serviços desejados.
Um administrador que possa registrar um aplicativo e conceder permissão organizacional para os direitos Microsoft Graph escolhidos. Apenas uma função de assinatura Azure não é suficiente; sua função Entra deve permitir essa permissão.
Direitos administrativos no ambiente AI correto para disponibilizar integrações.
Um administrador de plataforma que possa configurar o Provedor de Identidade Microsoft para este ambiente AI no Google Cloud Identity Platform.
Um registro de aplicativo em seu próprio diretório Microsoft, com um segredo de cliente e as duas URLs de redirecionamento da marca correta.

Login com Microsoft e acesso a dados Microsoft são duas funções separadas. Apenas um login Microsoft funcional não significa que Outlook, Teams ou SharePoint estejam configurados.

1. Registre um aplicativo organizacional

Abra o Centro de Administração Microsoft Entra e vá para App registrations → New registration. Use um nome reconhecível, por exemplo AI-Public – nome da sua organização. Para uma organização própria, escolha Accounts in this organizational directory only (Single tenant).

Salve os seguintes dados da Visão Geral:

Dado	Para quê?
Directory (tenant) ID	O diretório Microsoft da sua organização; este vai no campo Microsoft ID do ambiente AI.
Application (client) ID	O aplicativo registrado; este vai no Provedor de Identidade Microsoft.

Esses dois IDs são diferentes. Não preencha o campo Microsoft ID com o client ID ou o tenant ID do Firebase.

2. Configure as URLs de redirecionamento corretas

Vá para Authentication → Add a platform → Web. Adicione para sua marca ambas as URLs abaixo, exatamente como mostradas. A primeira processa o login; a segunda processa a permissão para as integrações da conta de trabalho.

Marca	Login com Microsoft	Integrações da conta de trabalho
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Use as URLs da marca na qual seu ambiente está rodando. Seu próprio nome organizacional ou tenant ID não precisa ser inserido nessas URLs. A URL do site, URL do painel e URL .web.app não substituem esses callbacks. Registre-os como Web, mesmo que você use a integração a partir de um navegador. Não é necessário ativar emissão implícita de tokens ou fluxo de cliente público.

3. Crie um segredo de cliente e atribua permissões

Vá para Certificates & secrets → Client secrets → New client secret. Escolha um período adequado e guarde o Value com segurança assim que estiver visível. Forneça o valor pelo canal seguro acordado para administração da plataforma; o Secret ID não é o segredo do cliente. Acompanhe a data de expiração e substitua o segredo antes dessa data, também no Provedor de Identidade.

Depois, vá para API permissions → Add a permission → Microsoft Graph → Delegated permissions. Adicione apenas os direitos para as integrações e ações que sua organização vai oferecer.

Integração	Permissões de leitura	Permissões extras para escrita
Perfil / básico	`User.Read`; o fluxo de login também solicita `openid`, `profile`, `email` e `offline_access`	Nenhuma
Outlook Mail	`Mail.Read`	Rascunhos: `Mail.ReadWrite`. Enviar: `Mail.Send`.
Outlook Agenda	`Calendars.Read`	Escrita: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Postar: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Esta integração da conta de trabalho não oferece ações de escrita aqui.

Mail.ReadWrite não concede permissão para envio; para isso é necessário Mail.Send separadamente. Postar no Teams escreve mensagens de texto em um canal escolhido, não mensagens de chat privado. Para esta integração, use Delegated permissions, não Application permissions. Mesmo para permissões com All no nome, o acesso delegado é limitado pelo acesso do usuário.

Clique em Grant admin consent for sua organização e verifique se os direitos escolhidos aparecem como concedidos. Assim, os colaboradores podem usar o acesso aprovado sem precisar conceder permissões organizacionais por conta própria. A Microsoft ainda pode solicitar login, MFA ou consentimento renovado, dependendo da sua política.

4. Vincule o aplicativo em dois locais ao ambiente AI

Peça ao administrador da plataforma para selecionar o ambiente correto e executar estas configurações:

Em Admin → Ambiente → Tenant: ative o método de login Microsoft e preencha o Microsoft ID com o Directory (tenant) ID.
Em Google Cloud → Identity Platform → o tenant correspondente → Identity providers → Microsoft: ative o provedor e preencha o Application (client) ID e o client secret Value do mesmo aplicativo Entra.

O Provedor de Identidade pertence ao tenant Firebase/Identity Platform do seu ambiente AI, não a outra organização ou ao ambiente Admin geral. A integração da conta de trabalho reutiliza o aplicativo deste provedor. O segredo do cliente não deve estar em preferências do usuário, mensagens de chat ou campos comuns do ambiente.

Forneça ao administrador da plataforma o nome da organização, a marca, o Directory ID, o client ID, o valor do segredo pelo canal seguro, a data de expiração e as integrações/direitos desejados. Apenas um app ID não é suficiente.

5. Liberte as integrações e ações de escrita

Abra o ambiente administrativo da sua organização → Ferramentas → MCP. Ative a integração Microsoft 365 em Atalhos da suíte. As linhas da Microsoft ficarão visíveis; quando toda a suíte estiver desativada, essas linhas permanecem ocultas.

Escolha por integração se está disponível. Na coluna Ações de escrita, escolha separadamente:

Outlook Mail → Rascunhos: criar e modificar rascunhos.
Outlook Mail → Enviar: enviar um rascunho existente.
Outlook Agenda → Escrever: criar e modificar compromissos.
Microsoft Teams → Postar: postar mensagens de texto em um canal Teams escolhido.

Clique em Salvar. Uma ação de escrita funciona apenas se tanto a integração quanto o direito administrativo correspondente estiverem ativados, a Microsoft tiver concedido os direitos necessários e o usuário tiver ativado pessoalmente a conexão. O usuário não recebe um formulário extra de direitos de escrita.

Disponibilidade

As configurações também devem ser suportadas pelo backend da sua marca. Esta extensão de escrita foi publicada e testada em 7 de outubro de 2026 para OnderwijsSupport no AI-Corporate. Isso não significa automaticamente que a mesma extensão já foi liberada para AI-Public, AI-Public ou qualquer outro ambiente. Peça confirmação ao administrador da plataforma se ações de escrita estiverem faltando.

6. Verifique a configuração

Peça a um usuário para fazer login no ambiente AI correto e ativar a integração desejada conforme Usar integrações Microsoft. Verifique se a Microsoft mostra o nome do seu próprio aplicativo Entra.

Teste primeiro um rascunho reconhecível e um compromisso sem participantes. Verifique os itens salvos no Outlook. Depois teste o envio com um destinatário de teste acordado e postagem no Teams em um canal de teste acordado. Um compromisso com participantes pode enviar convites ou atualizações. Uma ordem de envio aceita não é uma confirmação de entrega.

Ao ampliar direitos, a conexão tenta renovar tokens. Se a Microsoft exigir novo login ou permissão, peça ao usuário para reconectar a conexão existente. Não é necessário criar um segundo aplicativo ou configuração de usuário separada.

Solução de problemas

Problema	Verificação
`AADSTS50011` / incompatibilidade de redirecionamento	Ambos os callbacks registrados exatamente como Web, para a marca correta.
Outro nome de aplicativo aparece na permissão	O ambiente AI correto, Directory ID e Provedor de Identidade Microsoft específico do tenant; reconecte depois.
Login funciona, mas integração não	Verifique também o callback do conector, permissões Graph e permissão organizacional.
Leitura funciona, escrita não	Verifique direito administrativo, permissão Graph delegada correspondente, consentimento concedido e disponibilidade do backend.
Segredo do cliente inválido ou expirado	O Value, não o Secret ID; atualize o segredo também no Provedor de Identidade.
Integração ausente para o usuário	Verifique disponibilidade em Ferramentas, direitos do usuário para conexões e o ambiente AI selecionado.

Mais informações

Base de Conhecimento Central do SharePoint: Configuração da Microsoft

Uma pasta vinculada centralmente funciona através do aplicativo da organização, sem que cada colaborador ative uma conexão pessoal do SharePoint. Para isso, são necessárias duas permissões separadas: o direito de aplicativo Sites.Selected com consentimento de administrador, e uma concessão de read no site SharePoint escolhido. Um login Microsoft funcional ou apenas o consentimento de administrador não são suficientes.

1. Verifique o aplicativo da organização

Use o mesmo registro de aplicativo single-tenant usado para login Microsoft no seu ambiente AI. Um aplicativo existente pode ser estendido; não é necessário um segundo aplicativo de integração. Verifique em Microsoft Entra → Registros de aplicativos → seu app → Visão geral o ID do Diretório (tenant) e o ID do Aplicativo (cliente). Use abaixo o client ID, não o Object ID.

O ID do Diretório deve estar em Admin → Ambiente → Tenant → Microsoft ID. O client ID e o Valor de um segredo de cliente válido devem estar no Provedor de Identidade Microsoft daquela exata instância AI. Essa configuração é mantida pela administração da plataforma. Um segredo expirado também impede a importação central; acompanhe a data de validade.

A conexão do servidor central usa client_credentials e não requer URL de redirecionamento adicional. Os redirecionamentos Web existentes para login e integrações de conta de trabalho pessoal permanecem necessários; use as URLs de marca da tabela anterior neste artigo.

2. Adicione o direito de aplicativo e conceda consentimento de administrador

Abra Permissões de API → Adicionar uma permissão → Microsoft Graph → Permissões de aplicativo.
Procure Sites.Selected, selecione esse direito e clique em Adicionar permissões.
Um administrador Entra autorizado deve executar Conceder consentimento de administrador para sua organização.
Verifique se Sites.Selected, tipo Application, aparece como concedido.

Os direitos delegados para conexões pessoais do Outlook, Teams e SharePoint podem permanecer no mesmo app. Eles não substituem o direito de aplicativo para a base de conhecimento central. Para essa importação central, não é necessário o direito de aplicativo Sites.Read.All, Sites.ReadWrite.All ou Sites.FullControl.All.

3. Conceda acesso de leitura separado ao site para o app

Essa ação administrativa pode ser feita com o Microsoft Graph Explorer. Use uma conta administrativa no mesmo diretório Microsoft, com Administrador do SharePoint ou uma função administrativa superior adequada e acesso ao site em questão. Uma função de assinatura Azure ou apenas propriedade do app não são suficientes.

Faça login com a conta administrativa no Graph Explorer e verifique a organização exibida.
Abra seu menu de perfil → Consent to permissions, procure Sites.FullControl.All e escolha Consent para conceder a permissão necessária para o Graph Explorer neste contexto de administração. Em algumas consultas, você também pode abrir o painel completo de permissões através de Modify Permissions → Open the permissions panel. Esta é uma permissão de administração delegated para gerenciar concessões de sites; não a adicione como uma permissão ampla de aplicativo no aplicativo de base de conhecimento. Use permissão vinculada à conta quando a permissão organizacional para todos os usuários não for necessária.
Procure o ID do site com o GET abaixo. Substitua o host de exemplo e o caminho do site pelo da sua própria pasta. Para uma URL com /teams/, use esse caminho em vez de /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

O valor id na resposta é o ID completo do site, incluindo nome do host e dois GUIDs. Verifique também displayName e webUrl: a concessão deve ser feita no site onde sua pasta realmente está.

Primeiro verifique concessões existentes com GET no endereço abaixo. Se seu client ID já estiver lá com a função read, não é necessário criar uma segunda concessão. Solicite ao administrador Microsoft que avalie concessões existentes mais amplas ou divergentes.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Se a concessão estiver ausente, escolha POST, use o mesmo endereço e preencha o Request Body com o JSON abaixo. Substitua os dois valores de exemplo; CLIENT-ID-DO-SEU-APP é o Application (client) ID do seu app de integração, não do app Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

Escolha Executar consulta. Uma adição bem-sucedida retorna 201 Created. Verifique na resposta a função read e o client ID; o Graph pode mostrar isso em grantedToIdentitiesV2. Verifique novamente com GET. Guarde o ID da permissão para administração e possível revogação futura.
Repita isso apenas para cada outro site do qual você conscientemente deseja vincular pastas da base de conhecimento.

Concessão de site e direitos da base de conhecimento

A concessão Microsoft dá ao app acesso de leitura a todo o site selecionado. O ambiente AI importa apenas a pasta escolhida e suas subpastas. Prefira usar um site separado para conhecimento compartilhado centralmente. Os direitos existentes da base de conhecimento determinam quais usuários recebem os documentos importados; direitos individuais do SharePoint não são transferidos.

4. Vincule a pasta e verifique o resultado

Abra Administração → Base de Conhecimento → Adicionar → Pastas SharePoint → Vincular pasta e use a URL real da pasta, não um link de convite ou endereço de visão geral do OneDrive. Escolha o escopo, público-alvo e status de publicação conforme o manual da base de conhecimento. Uma fonte central não requer conector pessoal nas preferências do usuário.

Verifique com Atualizar se os documentos foram processados sem erros. Use Sincronizar agora para uma nova verificação e depois faça uma pergunta concreta no chat sobre um documento importado. Verifique se a resposta menciona a fonte central correta.

Problema	Verificação no lado Microsoft
Login funciona, mas a pasta central não	`Sites.Selected` deve ser do tipo Application e ter consentimento de administrador; verifique também a concessão separada do site.
`403 Forbidden` ao acessar a pasta	Diretório Microsoft correto, ID do site, client ID e concessão `read`; consentimento de administrador sozinho não concede acesso ao site.
`403` na ação administrativa no Graph Explorer	`Sites.FullControl.All` delegado, permissão concedida, função administrativa e acesso ao site alvo. Não adicione permissão ampla ao app de integração como solução.
Site funciona, pasta não encontrada	Verifique a URL real da pasta, biblioteca de documentos e caminho do site; um atalho do OneDrive pode apontar para outro site.
Segredo expirado ou inválido	Peça à administração da plataforma para atualizar o novo valor do segredo no Provedor de Identidade Microsoft correto.

Para o OnderwijsSupport no AI-Corporate, essa conexão central foi publicada e testada em 14 de outubro de 2026. A disponibilidade no AI-School, AI-Public ou outro ambiente deve ser confirmada pela administração da plataforma.

Documentação Microsoft: Permissões selecionadas, adicionar concessão de site e verificar concessões de site.

O que você precisa?​

1. Registre um aplicativo organizacional​

2. Configure as URLs de redirecionamento corretas​

3. Crie um segredo de cliente e atribua permissões​

4. Vincule o aplicativo em dois locais ao ambiente AI​

5. Liberte as integrações e ações de escrita​

6. Verifique a configuração​

Solução de problemas​

Mais informações​

Base de Conhecimento Central do SharePoint: Configuração da Microsoft​

1. Verifique o aplicativo da organização​

2. Adicione o direito de aplicativo e conceda consentimento de administrador​

3. Conceda acesso de leitura separado ao site para o app​

4. Vincule a pasta e verifique o resultado​