Настройка Microsoft 365 для вашей среды

С помощью собственного приложения Microsoft Entra ваша организация может использовать одно и то же приложение для входа через Microsoft и для Outlook, Teams и SharePoint. Вы централизованно определяете, какие интеграции и операции записи доступны. Пользователи затем самостоятельно включают или отключают свои личные подключения в Настройки → Инструменты → Подключения.

Личные интеграции работают с поддерживаемыми моделями OpenAI, Claude, Gemini и Mistral. Выбранная модель должна уметь использовать инструменты. При личных подключениях доступ следует правам вошедшего пользователя Microsoft. Организационное согласие не автоматически регистрирует всех сотрудников и не даёт AI самостоятельного доступа ко всем почтовым ящикам. Центральная база знаний SharePoint использует отдельные права приложения и существующие права базы знаний, как описано далее в этой статье.

Что вам нужно?

• Организация Microsoft 365 с Microsoft Entra ID и учетными записями с доступом к нужным службам.
• Администратор, который может зарегистрировать приложение и предоставить разрешение организации для выбранных прав Microsoft Graph. Роль подписки Azure недостаточна; ваша роль Entra должна позволять это разрешение.
• Права администратора в нужной AI-среде для предоставления интеграций.
• Администратор платформы, который может настроить поставщика удостоверений Microsoft для этой AI-среды в Google Cloud Identity Platform.
• Регистрация приложения в вашем собственном каталоге Microsoft с секретом клиента и двумя URL-адресами перенаправления для соответствующего бренда.

Вход через Microsoft и доступ к данным Microsoft — это две отдельные функции. Только работающий вход Microsoft не означает, что Outlook, Teams или SharePoint настроены.

1. Зарегистрируйте одно организационное приложение

Откройте центр администрирования Microsoft Entra и перейдите в Регистрация приложений → Новая регистрация. Используйте узнаваемое имя, например AI-Public – название вашей организации. Для собственной организации выберите Учетные записи только в этом организационном каталоге (одиночный арендатор).

Сохраните следующие данные из Обзор:

Данные	Для чего?
Идентификатор каталога (тенанта)	Каталог Microsoft вашей организации; это поле заполняется в Microsoft ID AI-среды.
Идентификатор приложения (клиента)	Зарегистрированное приложение; это используется в поставщике удостоверений Microsoft.

Эти два идентификатора различны. Не вводите в поле Microsoft ID идентификатор клиента или идентификатор Firebase-арендатора.

2. Настройте правильные URL-адреса перенаправления

Перейдите в Аутентификация → Добавить платформу → Веб. Для вашего бренда добавьте оба указанных ниже URL-адреса, точно как показано. Первый обрабатывает вход, второй — разрешения для интеграций рабочей учетной записи.

Бренд	Вход через Microsoft	Интеграции рабочей учетной записи
AI-School	https://ai-school-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporate	https://ai-corporate.firebaseapp.com/__/auth/handler	https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Public	https://ai-public-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

Используйте URL-адреса бренда, на котором работает ваша среда. Ваше собственное название организации или идентификатор арендатора не нужно вставлять в эти URL. URL веб-сайта, панели управления и .web.app не заменяют эти обратные вызовы. Регистрируйте их как Веб, даже если используете интеграцию из браузера. Не нужно включать явную выдачу токенов или поток публичного клиента.

3. Создайте секрет клиента и назначьте права

Перейдите в Сертификаты и секреты → Секреты клиента → Новый секрет клиента. Выберите подходящий срок действия и сохраните Значение надежно, как только оно станет видимым. Передайте значение через согласованный защищенный канал администратору платформы; ID секрета — это не секрет клиента. Следите за сроком действия и заменяйте секрет до его истечения, также обновляя его в поставщике удостоверений.

Затем перейдите в Разрешения API → Добавить разрешение → Microsoft Graph → Делегированные разрешения. Добавляйте только права для интеграций и действий, которые ваша организация собирается предоставлять.

Интеграция	Права на чтение	Дополнительные права на запись
Профиль / базовые	User.Read; поток входа также запрашивает openid, profile, email и offline_access	Нет
Outlook Mail	Mail.Read	Черновики: Mail.ReadWrite. Отправка: Mail.Send.
Outlook Календарь	Calendars.Read	Запись: Calendars.ReadWrite.
Microsoft Teams	Chat.Read, ChannelMessage.Read.All	Публикация: Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Send.
SharePoint / OneDrive	Sites.Read.All, Files.Read.All	Эта интеграция рабочей учетной записи не предоставляет операций записи.

Mail.ReadWrite не дает права на отправку; для этого требуется отдельное Mail.Send. Публикация в Teams — это отправка текстовых сообщений в выбранный канал, а не в личные чаты. Для этой интеграции используйте Делегированные разрешения, а не Разрешения приложения. Даже права с All в названии ограничены доступом пользователя.

Нажмите Предоставить согласие администратора для вашей организации и убедитесь, что выбранные права отображаются как предоставленные. Это позволяет сотрудникам использовать одобренный доступ без необходимости самостоятельно предоставлять права организации. Microsoft может запрашивать вход, MFA или повторное согласие в зависимости от вашей политики.

4. Свяжите приложение в двух местах с AI-средой

Пусть администратор платформы выберет нужную среду и выполнит следующие настройки:

1. В Админ → Среда → Арендатор: включите метод входа Microsoft и введите Microsoft ID — Идентификатор каталога (тенанта).
2. В Google Cloud → Identity Platform → соответствующий арендатор → Поставщики удостоверений → Microsoft: включите поставщика и введите Идентификатор приложения (клиента) и значение секрета клиента того же приложения Entra.

Поставщик удостоверений относится к Firebase/Identity Platform-арендатору вашей AI-среды, а не к другой организации или общей админ-среде. Интеграция рабочей учетной записи повторно использует приложение из этого поставщика. Секрет клиента не должен храниться в пользовательских настройках, чатах или обычных переменных среды.

Передайте администратору платформы название организации, бренд, идентификатор каталога, идентификатор клиента, значение секрета через защищенный канал, срок действия и желаемые интеграции/права. Только ID приложения недостаточно.

5. Разрешите интеграции и операции записи

Откройте административную среду вашей организации → Инструменты → MCP. Включите интеграцию Microsoft 365 в разделе Ярлыки пакета. Строки Microsoft станут видимыми; если весь пакет отключен, эти строки скрыты.

Выберите для каждой интеграции, доступна ли она. В колонке Операции записи выберите отдельно:

• Outlook Mail → Черновики: создание и изменение черновиков.
• Outlook Mail → Отправка: фактическая отправка существующего черновика.
• Outlook Календарь → Запись: создание и изменение встреч.
• Microsoft Teams → Публикация: размещение текстовых сообщений в выбранном канале Teams.

Нажмите Сохранить. Операция записи работает только если включены интеграция и соответствующее право управления, Microsoft предоставил необходимые права, и пользователь лично включил подключение. Пользователь не получает отдельную форму прав на запись.

Доступность

Настройки должны поддерживаться бэкендом вашего бренда. Это расширение записи было официально опубликовано и протестировано 7 октября 2026 года для OnderwijsSupport на AI-Corporate. Это не означает, что такое же расширение уже доступно для AI-Public, AI-Public или других сред. Запросите подтверждение у администратора платформы, если операции записи отсутствуют.

6. Проверьте настройку

Пусть пользователь войдет в нужную AI-среду и включит желаемую интеграцию согласно Использование Microsoft-интеграций. Проверьте, что Microsoft отображает имя вашего собственного приложения Entra.

Сначала протестируйте узнаваемый черновик и встречу без участников. Проверьте сохранённые элементы в Outlook. Затем протестируйте отправку с согласованным тестовым получателем и публикацию в Teams в согласованном тестовом канале. Встреча с участниками может отправлять приглашения или обновления. Принятая команда на отправку не гарантирует доставку.

При расширении прав подключение пытается обновить токены. Если Microsoft требует повторного входа или разрешения, пользователь должен повторно подключить существующее подключение. Не нужно создавать второе приложение или отдельную пользовательскую настройку.

Устранение неполадок

Проблема	Проверка
AADSTS50011 / несоответствие перенаправления	Оба обратных вызова точно зарегистрированы как Веб для правильного бренда.
При разрешении отображается другое имя приложения	Правильная AI-среда, идентификатор каталога и поставщик удостоверений Microsoft, специфичный для арендатора; затем переподключитесь.
Вход работает, но интеграция нет	Проверьте обратный вызов коннектора, права Graph и разрешение организации.
Чтение работает, запись нет	Проверьте право управления, соответствующее делегированное право Graph, предоставленное разрешение и доступность бэкенда.
Секрет клиента недействителен или истек	Используйте Значение, а не ID секрета; обновите новый секрет в поставщике удостоверений.
Интеграция отсутствует у пользователя	Проверьте доступность в Инструментах, права пользователя на подключения и выбранную AI-среду.

Дополнительная информация

• Управление инструментами
• Использование Microsoft-интеграций
• Microsoft: регистрация приложения
• Microsoft: URL-адреса перенаправления
• Microsoft Graph: обзор прав

Центральная база знаний SharePoint: настройка Microsoft

Центрально связанная папка работает через организационное приложение, без необходимости, чтобы каждый сотрудник включал личное подключение SharePoint. Для этого требуются две отдельные разрешения: право приложения Sites.Selected с администраторским согласием и read-разрешение на выбранный сайт SharePoint. Рабочий вход Microsoft или только администраторское согласие недостаточны.

1. Проверьте организационное приложение

Используйте ту же регистрацию приложения с одним арендатором (single-tenant app registration), что и для входа Microsoft в вашей AI-среде. Существующее приложение можно расширить; второе интеграционное приложение не требуется. Проверьте в Microsoft Entra → Регистрация приложений → ваше приложение → Обзор Directory (tenant) ID и Application (client) ID. Используйте ниже client ID, а не Object ID.

Directory ID должен быть указан в Админ → Среда → Арендатор → Microsoft ID. Client ID и Value действительного client secret должны быть в Microsoft Identity Provider именно этой AI-среды. Эта конфигурация поддерживается администратором платформы. Истекший секрет также блокирует центральный импорт; следите за сроком действия.

Центральное серверное соединение использует client_credentials и не требует дополнительного redirect-URL. Существующие веб-редиректы для входа и личных интеграций рабочего аккаунта остаются необходимыми; используйте брендированные URL из таблицы ранее в этой статье.

2. Добавьте право приложения и предоставьте администраторское согласие

1. Откройте API permissions → Add a permission → Microsoft Graph → Application permissions.
2. Найдите Sites.Selected, выберите это право и нажмите Add permissions.
3. Уполномоченный администратор Entra должен выполнить Grant admin consent for your organization.
4. Проверьте, что Sites.Selected, тип Application, отображается как предоставленное.

Делегированные права для личных подключений Outlook, Teams и SharePoint могут оставаться в том же приложении. Они не заменяют право приложения для центральной базы знаний. Для этого центрального импорта не требуется право приложения Sites.Read.All, Sites.ReadWrite.All или Sites.FullControl.All.

3. Предоставьте приложению отдельный доступ на чтение к сайту

Это действие администрирования можно выполнить с помощью Microsoft Graph Explorer. Используйте учетную запись администратора в той же директории Microsoft с ролью SharePoint Administrator или более высокой подходящей ролью и доступом к соответствующему сайту. Роль подписки Azure или только владение приложением недостаточны.

1. Войдите в Graph Explorer под учетной записью администратора и проверьте отображаемую организацию.
2. Откройте ваше профильное меню → Consent to permissions, найдите Sites.FullControl.All и выберите Consent, чтобы предоставить необходимое разрешение для Graph Explorer в этом контексте управления. Для некоторых запросов вы также можете открыть полную панель разрешений через Modify Permissions → Open the permissions panel. Это delegated право управления для sitegrants; не добавляйте его как широкое разрешение приложения на базе знаний. Используйте разрешения, привязанные к учетной записи, если организационное разрешение для всех пользователей не требуется.
3. Найдите ID сайта с помощью следующего GET. Замените пример хоста и путь сайта на ваш собственный. Если в URL есть /teams/, используйте этот путь вместо /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

Значение id в ответе — это полный ID сайта, включая имя хоста и два GUID. Также проверьте displayName и webUrl: разрешение должно быть на сайте, где действительно находится ваша папка.

4. Сначала проверьте существующие разрешения с помощью GET по следующему адресу. Если ваш client ID уже там с ролью read, создавать второе разрешение не нужно. Попросите администратора Microsoft оценить существующие более широкие или отличающиеся разрешения.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

5. Если разрешение отсутствует, выберите POST, используйте тот же адрес и в Request Body вставьте следующий JSON. Замените два примера значений; CLIENT-ID-ВАШЕГО-ПРИЛОЖЕНИЯ — это Application (client) ID вашего интеграционного приложения, а не приложения Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

6. Нажмите Run query. Успешное добавление возвращает 201 Created. Проверьте в ответе роль read и client ID; Graph может отображать их под grantedToIdentitiesV2. Затем проверьте снова с помощью GET. Сохраните permission-ID для управления и возможного последующего отзыва.
7. Повторите это только для каждого другого сайта, к которому вы сознательно хотите подключить папки базы знаний.

Разрешение сайта и права базы знаний

Разрешение Microsoft предоставляет приложению доступ на чтение ко всему выбранному сайту. AI-среда импортирует только выбранную папку и подпапки. Предпочтительно использовать отдельный сайт для централизованного общего знания. Существующие права базы знаний определяют, какие пользователи получают импортированные документы; индивидуальные права SharePoint не наследуются.

4. Подключите папку и проверьте результат

Откройте Администрирование → База знаний → Добавить → Папки SharePoint → Подключить папку и используйте реальный URL папки, а не ссылку-приглашение или адрес обзора OneDrive. Выберите область, целевую аудиторию и статус публикации согласно руководству по базе знаний. Центральный источник не требует личного коннектора в пользовательских настройках.

Проверьте с помощью Обновить, были ли документы обработаны без ошибок. Используйте Синхронизировать сейчас для новой проверки и затем задайте конкретный вопрос в чате по импортированному документу. Убедитесь, что ответ указывает правильный центральный источник знаний.

Проблема	Проверка на стороне Microsoft
Вход работает, но центральная папка нет	Sites.Selected должен быть типа Application и иметь администраторское согласие; дополнительно проверьте отдельное разрешение сайта.
403 Forbidden при доступе к папке	Правильная директория Microsoft, ID сайта, client ID и read-разрешение; только администраторское согласие не предоставляет доступ к сайту.
403 при администрировании в Graph Explorer	Делегированное право Sites.FullControl.All, предоставленное разрешение, роль администратора и доступ к целевому сайту. Не добавляйте широкое право в интеграционное приложение как решение.
Сайт работает, папка не найдена	Проверьте реальный URL папки, библиотеку документов и путь сайта; ярлык OneDrive может указывать на другой сайт.
Секрет истек или недействителен	Попросите администратора платформы обновить новое значение Value секрета в соответствующем Microsoft Identity Provider.

Для OnderwijsSupport на AI-Corporate это центральное подключение опубликовано и протестировано 14 октября 2026 года. Доступность на AI-School, AI-Public или другой среде должна быть подтверждена администратором платформы.

Документация Microsoft: Selected permissions, добавление разрешения сайта и проверка разрешений сайта.