Configurarea Microsoft 365 pentru mediul dumneavoastră

Cu o aplicație Microsoft Entra proprie, organizația dumneavoastră poate folosi aceeași aplicație pentru autentificare cu Microsoft și pentru Outlook, Teams și SharePoint. Puteți controla central ce integrări și acțiuni de scriere sunt disponibile. Utilizatorii vor activa sau dezactiva apoi doar legăturile personale în Preferințe → Instrumente → Legături.

Integrările personale funcționează cu modelele suportate de OpenAI, Claude, Gemini și Mistral. Modelul ales trebuie să poată folosi instrumente. La conexiunile personale accesul urmează drepturile utilizatorului Microsoft autentificat. Consimțământul organizației nu autentifică automat toți angajații și nu oferă AI acces independent la toate căsuțele poștale. Baza centrală de cunoștințe SharePoint folosește drepturi separate ale aplicației și drepturile existente ale bazei de cunoștințe, așa cum este descris mai jos în acest articol.

Ce aveți nevoie?

O organizație Microsoft 365 cu Microsoft Entra ID și conturi cu acces la serviciile dorite.
Un administrator care poate înregistra o aplicație și poate acorda permisiunea organizației pentru drepturile Microsoft Graph alese. Doar un rol de abonament Azure nu este suficient; rolul Entra trebuie să permită această permisiune.
Drepturi de administrare în mediul AI corespunzător pentru a face integrările disponibile.
Un administrator de platformă care poate configura furnizorul de identitate Microsoft pentru acest mediu AI în Google Cloud Identity Platform.
O înregistrare a aplicației în propriul director Microsoft, cu un secret client și cele două URL-uri de redirecționare ale mărcii potrivite.

Autentificarea cu Microsoft și accesul la date Microsoft sunt două funcții separate. Doar o autentificare Microsoft funcțională nu înseamnă că Outlook, Teams sau SharePoint sunt configurate.

1. Înregistrați o singură aplicație organizațională

Deschideți centrul de administrare Microsoft Entra și accesați App registrations → New registration. Folosiți un nume recognoscibil, de exemplu AI-Public – numele organizației dumneavoastră. Pentru o organizație proprie alegeți Accounts in this organizational directory only (Single tenant).

Salvați următoarele date din Overview:

Date	Pentru ce?
Directory (tenant) ID	Directorul Microsoft al organizației dumneavoastră; acesta se introduce în câmpul Microsoft ID al mediului AI.
Application (client) ID	Aplicația înregistrată; aceasta se introduce în furnizorul de identitate Microsoft.

Aceste două ID-uri sunt diferite. Nu introduceți client ID sau Firebase tenant ID în câmpul Microsoft ID.

2. Configurați URL-urile corecte de redirecționare

Accesați Authentication → Add a platform → Web. Adăugați pentru marca dumneavoastră ambele URL-uri de mai jos, exact așa cum sunt afișate. Primul procesează autentificarea; al doilea procesează permisiunea pentru integrările contului de lucru.

Marcă	Autentificare cu Microsoft	Integrări cont de lucru
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Folosiți URL-urile mărcii pe care rulează mediul dumneavoastră. Numele organizației proprii sau tenant ID nu trebuie completate în aceste URL-uri. URL-ul site-ului web, URL-ul dashboard-ului și URL-ul .web.app nu înlocuiesc aceste callback-uri. Înregistrați-le ca Web, chiar dacă folosiți integrarea dintr-un browser. Nu trebuie să activați emiterea implicită a token-ului sau fluxul client public.

3. Creați un secret client și atribuiți permisiuni

Accesați Certificates & secrets → Client secrets → New client secret. Alegeți o durată potrivită și păstrați Value în siguranță imediat ce este vizibilă. Furnizați această valoare prin canalul securizat convenit pentru administrarea platformei; Secret ID nu este secretul clientului. Monitorizați data de expirare și înlocuiți secretul înainte de această dată, inclusiv în furnizorul de identitate.

Apoi accesați API permissions → Add a permission → Microsoft Graph → Delegated permissions. Adăugați doar drepturile pentru integrările și acțiunile pe care organizația le va oferi.

Integrare	Drepturi de citire	Drepturi suplimentare pentru scriere
Profil / bază	`User.Read`; fluxul de autentificare solicită și `openid`, `profile`, `email` și `offline_access`	Niciunul
Outlook Mail	`Mail.Read`	Concepte: `Mail.ReadWrite`. Trimitere: `Mail.Send`.
Outlook Calendar	`Calendars.Read`	Scriere: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Postare: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Această integrare cont de lucru nu oferă acțiuni de scriere aici.

Mail.ReadWrite nu oferă drept de trimitere; pentru aceasta este necesar separat Mail.Send. Postările Teams scriu mesaje text într-un canal ales, nu mesaje de chat privat. Pentru această integrare folosiți Delegated permissions, nu Application permissions. Chiar și pentru drepturile cu All în nume, accesul delegat este limitat de accesul utilizatorului.

Faceți clic pe Grant admin consent for your organization și verificați că drepturile alese sunt afișate ca acordate. Astfel, angajații pot folosi accesul aprobat fără a trebui să acorde ei înșiși drepturi organizaționale. Microsoft poate solicita totuși autentificare, MFA sau reautorizare, în funcție de politica dumneavoastră.

4. Conectați aplicația în două locuri la mediul AI

Permiteți administratorului platformei să selecteze mediul corect și să efectueze aceste setări:

În Admin → Mediu → Tenant: activați metoda de autentificare Microsoft și introduceți Directory (tenant) ID la Microsoft ID.
În Google Cloud → Identity Platform → tenantul respectiv → Identity providers → Microsoft: activați furnizorul și introduceți Application (client) ID și client secret Value ale aceleiași aplicații Entra.

Furnizorul de identitate aparține tenantului Firebase/Identity Platform al mediului AI, nu al altei organizații sau al mediului general Admin. Integrarea contului de lucru folosește din nou aplicația din acest furnizor. Secretul client nu trebuie să fie în preferințele utilizatorului, mesajele chat sau câmpurile obișnuite de mediu.

Furnizați administratorului platformei numele organizației, marca, Directory ID, client ID, valoarea secretului prin canal securizat, data de expirare și integrările/drepturile dorite. Doar un ID de aplicație nu este suficient.

5. Eliberați integrările și acțiunile de scriere

Deschideți mediul de administrare al organizației dumneavoastră → Instrumente → MCP. Activați integrarea Microsoft 365 la Suite-scurtături. Rândurile Microsoft devin vizibile; dacă întreaga suită este dezactivată, aceste rânduri rămân ascunse.

Alegeți pentru fiecare integrare dacă este disponibilă. În coloana Acțiuni de scriere selectați separat:

Outlook Mail → Concepte: crearea și modificarea conceptelor.
Outlook Mail → Trimitere: trimiterea efectivă a unui concept existent.
Outlook Calendar → Scriere: crearea și modificarea întâlnirilor.
Microsoft Teams → Postare: plasarea mesajelor text într-un canal Teams ales.

Faceți clic pe Salvare. O acțiune de scriere funcționează doar dacă atât integrarea, cât și dreptul de administrare aferent sunt activate, Microsoft a acordat drepturile necesare și utilizatorul a activat personal legătura. Utilizatorul nu primește un formular suplimentar pentru drepturi de scriere.

Disponibilitate

Setările trebuie să fie susținute și de backend-ul mărcii dumneavoastră. Această extensie de scriere a fost publicată și testată țintit pe 7 octombrie 2026 pentru OnderwijsSupport pe AI-Corporate. Aceasta nu înseamnă automat că aceeași extensie este deja disponibilă pentru AI-Public, AI-Public sau orice alt mediu. Solicitați confirmare administratorului platformei dacă lipsesc acțiuni de scriere.

6. Verificați configurarea

Permiteți unui utilizator să se autentifice în mediul AI corect și să activeze integrarea dorită conform Utilizarea integrărilor Microsoft. Verificați dacă Microsoft afișează numele aplicației Entra proprii.

Testați mai întâi un concept recognoscibil și o întâlnire fără participanți. Verificați elementele salvate în Outlook. Testați apoi trimiterea cu un destinatar de test convenit și postarea în Teams într-un canal de test convenit. O întâlnire cu participanți poate trimite invitații sau actualizări. O comandă de trimitere acceptată nu este o confirmare a livrării.

La extinderea drepturilor, legătura încearcă să reînnoiască token-urile. Dacă Microsoft solicită reautentificare sau permisiune, utilizatorul trebuie să reconecteze legătura existentă. Nu este necesară o a doua aplicație sau o setare separată a utilizatorului.

Depanare

Problemă	Verificare
`AADSTS50011` / nepotrivire redirect	Ambele callback-uri înregistrate exact ca Web, pentru marca corectă.
Apare un alt nume de aplicație la permisiune	Mediul AI corect, Directory ID și furnizorul de identitate Microsoft specific tenantului; reconectați apoi.
Autentificarea funcționează, dar integrarea nu	Verificați și callback-ul conectorului, drepturile Graph și permisiunea organizației.
Citirea funcționează, scrierea nu	Verificați dreptul de administrare, dreptul delegat Graph aferent, permisiunea acordată și disponibilitatea backend-ului.
Secret client invalid sau expirat	Valoarea Value, nu Secret ID; actualizați secretul și în furnizorul de identitate.
Integrarea lipsește pentru utilizator	Verificați disponibilitatea în Instrumente, drepturile utilizatorului pentru legături și mediul AI selectat.

Mai multe informații

Bază de cunoștințe centrală SharePoint: Configurarea Microsoft

Un folder conectat central funcționează prin aplicația organizației, fără ca fiecare angajat să activeze o conexiune personală SharePoint. Pentru aceasta sunt necesare două permisiuni separate: dreptul aplicației Sites.Selected cu consimțământ de administrator și o concesiune read pe site-ul SharePoint ales. Un login Microsoft funcțional sau doar consimțământul de administrator nu sunt suficiente.

1. Verificați aplicația organizației

Folosiți aceeași înregistrare aplicație single-tenant ca pentru autentificarea Microsoft în mediul dvs. AI. O aplicație existentă poate fi extinsă; o a doua aplicație de integrare nu este necesară. Verificați în Microsoft Entra → App registrations → aplicația dvs. → Overview Directory (tenant) ID și Application (client) ID. Folosiți mai jos client ID, nu Object ID.

Directory ID trebuie să fie în Admin → Mediu → Tenant → Microsoft ID. Client ID și Value a unui secret client valid trebuie să fie în Microsoft Identity Provider exact pentru acel mediu AI. Această configurare este gestionată de administrarea platformei. Un secret expirat împiedică și importul central; urmăriți data de expirare.

Conexiunea serverului central folosește client_credentials și nu solicită URL de redirect suplimentar. Redirect-urile Web existente pentru autentificare și integrările conturilor de lucru personale rămân necesare; folosiți URL-urile de marcă din tabelul anterior din acest articol.

2. Adăugați dreptul aplicației și acordați consimțământ de administrator

Deschideți API permissions → Add a permission → Microsoft Graph → Application permissions.
Căutați Sites.Selected, selectați acest drept și faceți clic pe Add permissions.
Un administrator Entra autorizat trebuie să execute Grant admin consent for organizația dvs.
Verificați că Sites.Selected, tip Application, este afișat ca acordat.

Drepturile delegate pentru conexiunile personale Outlook, Teams și SharePoint pot rămâne pe aceeași aplicație. Ele nu înlocuiesc dreptul aplicației pentru baza de cunoștințe centrală. Pentru acest import central nu este necesar dreptul aplicației Sites.Read.All, Sites.ReadWrite.All sau Sites.FullControl.All.

3. Acordați aplicației acces separat de citire la site

Această operațiune de administrare poate fi făcută cu Microsoft Graph Explorer. Folosiți un cont de administrator în aceeași directoare Microsoft, cu rol SharePoint Administrator sau un rol superior adecvat și acces la site-ul respectiv. Un rol de abonament Azure sau doar proprietatea aplicației nu sunt suficiente.

Autentificați contul de administrator în Graph Explorer și verificați organizația afișată.
Deschideți meniul profilului → Consent to permissions, căutați Sites.FullControl.All și selectați Consent pentru a acorda permisiunea necesară pentru Graph Explorer în acest context de administrare. Pentru unele interogări, puteți deschide panoul complet de permisiuni și prin Modify Permissions → Open the permissions panel. Aceasta este o permisiune de administrare delegated pentru gestionarea granturilor site-urilor; nu o adăuga ca permisiune largă de aplicație pe aplicația de cunoștințe. Utilizați permisiunea legată de cont atunci când permisiunea organizației pentru toți utilizatorii nu este necesară.
Găsiți ID-ul site-ului cu următorul GET. Înlocuiți gazda exemplu și calea site-ului cu cele ale folderului dvs. Dacă URL-ul conține /teams/, folosiți acea cale în loc de /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

Valoarea id din răspuns este ID-ul complet al site-ului, inclusiv numele gazdei și două GUID-uri. Verificați și displayName și webUrl: concesiunea trebuie să fie pe site-ul în care folderul dvs. este efectiv.

Verificați mai întâi concesiunile existente cu GET la adresa de mai jos. Dacă client ID-ul dvs. este deja acolo cu rolul read, nu trebuie să creați o a doua concesiune. Lăsați concesiunile existente mai largi sau diferite să fie evaluate de administratorul Microsoft.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Dacă lipsește concesiunea, alegeți POST, folosiți aceeași adresă și completați în Request Body următorul JSON. Înlocuiți cele două valori exemplu; CLIENT-ID-AL-APLICATIEI-DVS este Application (client) ID al aplicației dvs. de integrare, nu al aplicației Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

Alegeți Run query. O adăugare reușită returnează 201 Created. Verificați în răspuns rolul read și client ID; Graph poate afișa acestea sub grantedToIdentitiesV2. Verificați din nou cu GET. Păstrați ID-ul permisiunii pentru administrare și eventuală revocare ulterioară.
Repetați doar pentru fiecare alt site pentru care doriți în mod conștient să conectați foldere de cunoștințe.

Concesiune site și drepturi bază de cunoștințe

Concesiunea Microsoft oferă aplicației acces de citire la întregul site selectat. Mediul AI importă doar folderul ales și subfolderele. Folosiți preferabil un site separat pentru cunoștințe partajate central. Drepturile existente ale bazei de cunoștințe determină ce utilizatori primesc documentele importate; drepturile individuale SharePoint nu sunt preluate.

4. Conectați folderul și verificați rezultatul

Deschideți Administrare → Bază de cunoștințe → Adăugare → Foldere SharePoint → Conectare folder și folosiți URL-ul real al folderului, nu un link de invitație sau o adresă de vizualizare OneDrive. Alegeți domeniul, publicul țintă și starea publicării conform ghidului bazei de cunoștințe. O sursă centrală nu necesită un conector personal în preferințele utilizatorului.

Verificați cu Reîmprospătare dacă documentele au fost procesate fără erori. Folosiți Sincronizare acum pentru o verificare nouă și apoi puneți o întrebare concretă în chat despre un document importat. Verificați că răspunsul menționează sursa centrală corectă de cunoștințe.

Problemă	Verificare la Microsoft
Autentificarea funcționează, dar folderul central nu	`Sites.Selected` trebuie să fie de tip Application și să aibă consimțământ de administrator; verificați și concesiunea site-ului separată.
`403 Forbidden` la accesul folderului	Directorul Microsoft corect, ID-ul site-ului, client ID și concesiunea `read`; consimțământul de administrator singur nu acordă acces la site.
`403` la operațiunea de administrare în Graph Explorer	`Sites.FullControl.All` delegat, permisiune acordată, rol de administrator și acces la site-ul țintă. Nu adăugați drept larg aplicației de integrare ca soluție.
Site-ul funcționează, folderul nu este găsit	Verificați URL-ul real al folderului, biblioteca de documente și calea site-ului; un shortcut OneDrive poate indica un alt site.
Secret expirat sau invalid	Rugați administrarea platformei să actualizeze noul secret Value în Microsoft Identity Provider corect.

Pentru OnderwijsSupport pe AI-Corporate această conexiune centrală a fost publicată și testată la 14 octombrie 2026. Disponibilitatea pe AI-School, AI-Public sau alt mediu trebuie confirmată de administrarea platformei.

Documentație Microsoft: Selected permissions, adăugare concesiune site și verificare concesiuni site.

Ce aveți nevoie?​

1. Înregistrați o singură aplicație organizațională​

2. Configurați URL-urile corecte de redirecționare​

3. Creați un secret client și atribuiți permisiuni​

4. Conectați aplicația în două locuri la mediul AI​

5. Eliberați integrările și acțiunile de scriere​

6. Verificați configurarea​

Depanare​

Mai multe informații​

Bază de cunoștințe centrală SharePoint: Configurarea Microsoft​

1. Verificați aplicația organizației​

2. Adăugați dreptul aplicației și acordați consimțământ de administrator​

3. Acordați aplicației acces separat de citire la site​

4. Conectați folderul și verificați rezultatul​