Ställ in Microsoft 365 för din miljö

Med en egen Microsoft Entra-app kan din organisation använda samma app för inloggning med Microsoft och för Outlook, Teams och SharePoint. Du bestämmer centralt vilka integrationer och skrivåtgärder som är tillgängliga. Användare aktiverar sedan endast sina personliga kopplingar under Inställningar → Verktyg → Kopplingar.

De personliga integrationerna fungerar med stödda modeller från OpenAI, Claude, Gemini och Mistral. Den valda modellen måste kunna använda verktyg. Vid personliga kopplingar följer åtkomsten rättigheterna för den inloggade Microsoft-användaren. Organisationssamtycke loggar inte automatiskt in alla medarbetare och ger inte AI självständig åtkomst till alla postlådor. Den centrala SharePoint-kunskapsbanken använder separata apprättigheter och befintliga kunskapsbanksrättigheter, som beskrivs senare i denna artikel.

Vad behöver du?

En Microsoft 365-organisation med Microsoft Entra ID och konton med åtkomst till önskade tjänster.
En administratör som får registrera en app och ge organisationssamtycke för de valda Microsoft Graph-behörigheterna. Endast en Azure-prenumerationsroll räcker inte; din Entra-roll måste tillåta detta samtycke.
Administratörsrättigheter i rätt AI-miljö för att göra integrationer tillgängliga.
En plattformsadministratör som kan konfigurera Microsoft Identity Provider för denna AI-miljö i Google Cloud Identity Platform.
En appregistrering i din egen Microsoft-katalog, med en klienthemlighet och de två omdirigerings-URL:erna för rätt märke.

Inloggning med Microsoft och åtkomst till Microsoft-data är två separata funktioner. Endast en fungerande Microsoft-inloggning innebär inte automatiskt att Outlook, Teams eller SharePoint är konfigurerade.

1. Registrera en organisationsapp

Öppna Microsoft Entra administrationscenter och gå till App registrations → New registration. Använd ett igenkännbart namn, till exempel AI-Public – ditt organisationsnamn. Välj för en egen organisation Accounts in this organizational directory only (Single tenant).

Spara följande uppgifter från Overview:

Uppgift	Vad används för?
Directory (tenant) ID	Microsoft-katalogen för din organisation; detta fylls i fältet Microsoft ID i AI-miljön.
Application (client) ID	Den registrerade appen; detta fylls i Microsoft Identity Provider.

Dessa två ID:n är olika. Fyll inte i klient-ID eller Firebase-tenant-ID i Microsoft ID.

2. Ställ in rätt omdirigerings-URL:er

Gå till Authentication → Add a platform → Web. Lägg till båda nedanstående URL:er för ditt märke, exakt som de visas. Den första hanterar inloggning; den andra hanterar samtycke för arbetskontointegrationerna.

Märke	Inloggning med Microsoft	Arbetskontointegrationer
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Använd URL:erna för det märke som din miljö körs på. Ditt eget organisationsnamn eller tenant-ID behöver inte fyllas i dessa URL:er. Webbplats-URL, dashboard-URL och .web.app-URL ersätter inte dessa callbacks. Registrera dem som Web, även om du använder integrationen från en webbläsare. Du behöver inte aktivera implicit tokenutfärdande eller public client flow.

3. Skapa en klienthemlighet och tilldela rättigheter

Gå till Certificates & secrets → Client secrets → New client secret. Välj en lämplig giltighetstid och spara Value säkert när den visas. Leverera värdet via den överenskomna säkra kanalen för plattformsadministration; Secret ID är inte klienthemligheten. Håll koll på utgångsdatum och byt ut hemligheten innan dess, även i Identity Provider.

Gå sedan till API permissions → Add a permission → Microsoft Graph → Delegated permissions. Lägg endast till rättigheter för de integrationer och åtgärder som din organisation ska erbjuda.

Integration	Läsa-rättigheter	Extra rättigheter för skrivning
Profil / grundläggande	`User.Read`; inloggningsflödet begär även `openid`, `profile`, `email` och `offline_access`	Ingen
Outlook Mail	`Mail.Read`	Utkast: `Mail.ReadWrite`. Skicka: `Mail.Send`.
Outlook Kalender	`Calendars.Read`	Skriv: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Posta: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Denna arbetskontointegration erbjuder inga skrivåtgärder här.

Mail.ReadWrite ger inte rätt att skicka; för det krävs separat Mail.Send. Teams-postning skriver textmeddelanden i en vald kanal, inte privata chattmeddelanden. För denna integration använder du Delegated permissions, inte Application permissions. Även rättigheter med All i namnet begränsas av användarens åtkomst.

Klicka på Grant admin consent for din organisation och kontrollera att de valda rättigheterna visas som beviljade. Då kan medarbetare använda den godkända åtkomsten utan att själva behöva ge organisationsrättigheter. Microsoft kan dock fortfarande kräva inloggning, MFA eller förnyat samtycke beroende på din policy.

4. Koppla appen på två ställen till AI-miljön

Låt plattformsadministratören välja rätt miljö och utföra dessa inställningar:

I Admin → Miljö → Tenant: aktivera inloggningsmetoden Microsoft och fyll i Microsoft ID med Directory (tenant) ID.
I Google Cloud → Identity Platform → aktuell tenant → Identity providers → Microsoft: aktivera leverantören och fyll i Application (client) ID och klienthemlighetens Value från samma Entra-app.

Identity Provider hör till Firebase/Identity Platform-tenanten för din AI-miljö, inte till en annan organisation eller den allmänna Admin-miljön. Arbetskontointegrationen använder appen från denna provider igen. Klienthemligheten ska inte finnas i användarinställningar, chattmeddelanden eller vanliga miljövariabler.

Leverera till plattformsadministratören organisationsnamn, märke, Directory ID, klient-ID, hemlighetsvärde via säker kanal, utgångsdatum och önskade integrationer/rättigheter. Ett app-ID ensam räcker inte.

5. Aktivera integrationer och skrivåtgärder

Öppna administrationsmiljön för din organisation → Verktyg → MCP. Aktivera integrationen Microsoft 365 under Suite-snarvägar. Microsoft-raderna blir synliga; om hela sviten är avstängd förblir dessa rader dolda.

Välj per integration om den ska vara tillgänglig. I kolumnen Skrivåtgärder väljer du separat:

Outlook Mail → Utkast: skapa och ändra utkast.
Outlook Mail → Skicka: skicka ett befintligt utkast.
Outlook Kalender → Skriv: skapa och ändra möten.
Microsoft Teams → Posta: placera textmeddelanden i en vald Teams-kanal.

Klicka på Spara. En skrivåtgärd fungerar endast om både integrationen och tillhörande administratörsrätt är aktiverade, Microsoft har beviljat nödvändiga rättigheter och användaren personligen har aktiverat kopplingen. Användaren får ingen extra formulär för skrivbehörighet.

Tillgänglighet

Inställningarna måste också stödjas av backend för ditt märke. Denna skrivutökning publicerades och testades riktat den 7 oktober 2026 för OnderwijsSupport på AI-Corporate. Det betyder inte automatiskt att samma utökning redan är tillgänglig för AI-Public, AI-Public eller andra miljöer. Be plattformsadministratören bekräfta om skrivåtgärder saknas.

6. Kontrollera konfigurationen

Låt en användare logga in på rätt AI-miljö och aktivera önskad integration enligt Använda Microsoft-integrationer. Kontrollera att Microsoft visar namnet på din egen Entra-app.

Testa först ett igenkännbart utkast och ett möte utan deltagare. Kontrollera de sparade objekten i Outlook. Testa sedan att skicka med en överenskommen testmottagare och Teams-postning i en överenskommen testkanal. Ett möte med deltagare kan skicka inbjudningar eller uppdateringar. En accepterad sändningsorder är inte en bekräftad leverans.

Vid utökning av rättigheter försöker kopplingen förnya tokens. Om Microsoft kräver ny inloggning eller samtycke, låt användaren återansluta den befintliga kopplingen. Det behövs ingen andra app eller separat användarinställning.

Felsökning

Problem	Kontrollera
`AADSTS50011` / redirect mismatch	Båda callbacks exakt registrerade som Web, för rätt märke.
Ett annat appnamn visas vid samtycke	Rätt AI-miljö, Directory ID och tenant-specifik Microsoft Identity Provider; anslut sedan igen.
Inloggning fungerar men inte integrationen	Kontrollera även connector callback, Graph-rättigheter och organisationssamtycke.
Läsa fungerar, skriva inte	Kontrollera administratörsrätt, tillhörande delegerad Graph-rätt, beviljat samtycke och backend-tillgänglighet.
Klienthemlighet ogiltig eller utgången	Value, inte Secret ID; uppdatera även i Identity Provider.
Integration saknas för användaren	Kontrollera tillgänglighet i Verktyg, användarrättigheter för kopplingar och vald AI-miljö.

Mer information

Central SharePoint-kunskapsbank: Microsoft-inställning

En centralt kopplad mapp fungerar via organisationsappen, utan att varje medarbetare behöver aktivera en personlig SharePoint-koppling. För detta krävs två separata behörigheter: applikationsrätten Sites.Selected med administratörssamtycke, och en read-behörighet på den valda SharePoint-webbplatsen. En fungerande Microsoft-inloggning eller endast administratörssamtycke är inte tillräckligt.

1. Kontrollera organisationsappen

Använd samma single-tenant app-registrering som för Microsoft-inloggning i din AI-miljö. En befintlig app kan utökas; en andra integrationsapp behövs inte. Kontrollera i Microsoft Entra → App registrations → din app → Overview Directory (tenant) ID och Application (client) ID. Använd klient-ID nedan, inte objekt-ID.

Directory ID måste finnas i Admin → Miljö → Tenant → Microsoft ID. Klient-ID och Value för en giltig klienthemlighet måste finnas hos Microsoft Identity Provider för just den AI-miljön. Denna konfiguration hanteras av plattformsadministratören. En utgången hemlighet förhindrar även central import; håll koll på utgångsdatum.

Den centrala serveranslutningen använder client_credentials och kräver ingen extra redirect-URL. Befintliga webbredirekt för inloggning och personliga arbetskontointegrationer behövs fortfarande; använd de varumärkesbundna URL:erna från tabellen tidigare i denna artikel.

2. Lägg till applikationsrätten och ge administratörssamtycke

Öppna API permissions → Add a permission → Microsoft Graph → Application permissions.
Sök efter Sites.Selected, välj denna rättighet och klicka på Add permissions.
Låt en behörig Entra-administratör utföra Grant admin consent for din organisation.
Kontrollera att Sites.Selected, typ Application, visas som beviljad.

De delegerade rättigheterna för personliga Outlook-, Teams- och SharePoint-kopplingar kan finnas kvar på samma app. De ersätter inte applikationsrätten för den centrala kunskapsbanken. För denna centrala import krävs ingen applikationsrätt Sites.Read.All, Sites.ReadWrite.All eller Sites.FullControl.All.

3. Ge appen separat läsrättighet till webbplatsen

Denna administrationsåtgärd kan göras med Microsoft Graph Explorer. Använd ett administratörskonto i samma Microsoft-directory, med SharePoint Administrator eller en högre lämplig administratörsroll och åtkomst till den aktuella webbplatsen. En Azure-prenumerationsroll eller endast ägarskap av appen räcker inte.

Logga in med administratörskontot i Graph Explorer och kontrollera den visade organisationen.
Öppna din profilmeny → Consent to permissions, sök efter Sites.FullControl.All och välj Consent för att ge den nödvändiga behörigheten för Graph Explorer i denna administrationskontext. För vissa frågor kan du också öppna hela behörighetspanelen via Modify Permissions → Open the permissions panel. Detta är en delegated administratörsrättighet för att hantera sitegrants; lägg inte till den som en bred applikationsrättighet på kunskapsbankappen. Använd kontobaserad behörighet när organisationsbehörighet för alla användare inte behövs.
Hitta webbplats-ID med nedanstående GET. Byt ut exempelvärdena för värd och webbplatsväg mot din egen mapps värd och väg. Vid en URL med /teams/ använder du den vägen istället för /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

Värdet id i svaret är det fullständiga webbplats-ID:t, inklusive värdnamn och två GUID:ar. Kontrollera även displayName och webUrl: behörigheten måste ges på den webbplats där din mapp faktiskt finns.

Kontrollera först befintliga behörigheter med GET på nedanstående adress. Om ditt klient-ID redan finns där med rollen read behöver du inte skapa en ny behörighet. Låt din Microsoft-administratör granska befintliga bredare eller avvikande behörigheter.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Saknas behörigheten, välj POST, använd samma adress och fyll i följande JSON i Request Body. Byt ut de två exempelvärdena; CLIENT-ID-VAN-UW-APP är Application (client) ID för din integrationsapp, inte Graph Explorer-appen.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

Välj Run query. En lyckad tillägg ger 201 Created. Kontrollera i svaret rollen read och klient-ID; Graph kan visa detta under grantedToIdentitiesV2. Kontrollera sedan igen med GET. Spara permission-ID för administration och eventuell senare återkallelse.
Upprepa detta endast för varje annan webbplats vars kunskapsbankmappar du medvetet vill koppla.

Webbplatsbehörighet och kunskapsbanksrättigheter

Microsoft-behörigheten ger appen läsrätt till hela den valda webbplatsen. AI-miljön importerar endast den valda mappen och undermappar. Använd helst en separat webbplats för centralt delad kunskap. De befintliga kunskapsbanksrättigheterna avgör vilka användare som får de importerade dokumenten; individuella SharePoint-rättigheter överförs inte.

4. Koppla mappen och kontrollera resultatet

Öppna Administration → Kunskapsbank → Lägg till → SharePoint-mappar → Koppla mapp och använd den riktiga mapp-URL:en, inte en inbjudningslänk eller OneDrive-översiktsadress. Välj räckvidd, målgrupp och publiceringsstatus enligt kunskapsbankens manual. En central källa kräver ingen personlig connector i användarinställningarna.

Kontrollera med Uppdatera om dokumenten har bearbetats utan fel. Använd Synkronisera nu för en ny kontroll och ställ sedan en konkret chattfråga om ett importerat dokument. Kontrollera att svaret anger rätt central kunskapskälla.

Problem	Kontroll på Microsoft-sidan
Inloggning fungerar, men inte den centrala mappen	`Sites.Selected` måste vara av typen Application och ha administratörssamtycke; kontrollera även den separata webbplatsbehörigheten.
`403 Forbidden` vid mappåtkomst	Rätt Microsoft-directory, webbplats-ID, klient-ID och `read`-behörighet; administratörssamtycke ger inte webbplatsåtkomst ensam.
`403` vid administrationsåtgärd i Graph Explorer	Delegerad `Sites.FullControl.All`, beviljad behörighet, administratörsroll och åtkomst till målwebbplatsen. Lägg inte till bred rättighet på integrationsappen som lösning.
Webbplats fungerar, mapp hittas inte	Kontrollera den riktiga mapp-URL:en, dokumentbiblioteket och webbplatsvägen; en OneDrive-genväg kan peka på en annan webbplats.
Hemlighet utgången eller ogiltig	Låt plattformsadministratören uppdatera den nya hemlighetens Value i rätt Microsoft Identity Provider.

För OnderwijsSupport på AI-Corporate publicerades och testades denna centrala koppling den 14 oktober 2026. Tillgänglighet på AI-School, AI-Public eller annan miljö måste bekräftas av plattformsadministratören.

Microsoft-dokumentation: Selected permissions, lägg till webbplatsbehörighet och kontrollera webbplatsbehörigheter.

Vad behöver du?​

1. Registrera en organisationsapp​

2. Ställ in rätt omdirigerings-URL:er​

3. Skapa en klienthemlighet och tilldela rättigheter​

4. Koppla appen på två ställen till AI-miljön​

5. Aktivera integrationer och skrivåtgärder​

6. Kontrollera konfigurationen​

Felsökning​

Mer information​

Central SharePoint-kunskapsbank: Microsoft-inställning​

1. Kontrollera organisationsappen​

2. Lägg till applikationsrätten och ge administratörssamtycke​

3. Ge appen separat läsrättighet till webbplatsen​

4. Koppla mappen och kontrollera resultatet​