Налаштування Microsoft 365 для вашого середовища

За допомогою власного додатку Microsoft Entra ваша організація може використовувати той самий додаток для входу через Microsoft та для Outlook, Teams і SharePoint. Ви централізовано визначаєте, які інтеграції та дії запису доступні. Користувачі потім лише вмикають або вимикають свої особисті підключення в Налаштування → Інструменти → Підключення.

Особисті інтеграції працюють з підтримуваними моделями OpenAI, Claude, Gemini та Mistral. Обрана модель має підтримувати використання інструментів. Для особистих підключень доступ відповідає правам зареєстрованого користувача Microsoft. Організаційна згода не автоматично реєструє всіх співробітників і не надає AI самостійного доступу до всіх поштових скриньок. Центральна база знань SharePoint використовує окремі права додатку та існуючі права бази знань, як описано далі в цій статті.

Що вам потрібно?

• Організація Microsoft 365 з Microsoft Entra ID та обліковими записами з доступом до потрібних служб.
• Адміністратор, який може зареєструвати додаток і надати дозвіл організації для обраних прав Microsoft Graph. Роль лише в підписці Azure недостатня; ваша роль Entra має дозволяти цей дозвіл.
• Права адміністратора у відповідному AI-середовищі для надання інтеграцій.
• Адміністратор платформи, який може налаштувати постачальника ідентичності Microsoft для цього AI-середовища в Google Cloud Identity Platform.
• Реєстрація додатку у вашому власному каталозі Microsoft з клієнтським секретом і двома URL-адресами перенаправлення відповідного бренду.

Вхід через Microsoft і доступ до даних Microsoft — це дві окремі функції. Лише робочий вхід Microsoft не означає, що Outlook, Teams або SharePoint налаштовані.

1. Зареєструйте один додаток організації

Відкрийте центр адміністрування Microsoft Entra і перейдіть до App registrations → New registration. Використовуйте впізнаване ім’я, наприклад AI-Public – назва вашої організації. Для власної організації виберіть Accounts in this organizational directory only (Single tenant).

Збережіть наступні дані з Overview:

Дані	Для чого?
Directory (tenant) ID	Каталог Microsoft вашої організації; це поле заповнюється у Microsoft ID AI-середовища.
Application (client) ID	Зареєстрований додаток; це використовується в постачальнику ідентичності Microsoft.

Ці два ID різні. Не вводьте у поле Microsoft ID client ID або Firebase tenant ID.

2. Налаштуйте правильні URL-адреси перенаправлення

Перейдіть до Authentication → Add a platform → Web. Для вашого бренду додайте обидві наведені нижче URL-адреси точно так, як показано. Перша обробляє вхід, друга — дозвіл для інтеграцій робочого облікового запису.

Бренд	Вхід через Microsoft	Інтеграції робочого облікового запису
AI-School	https://ai-school-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporate	https://ai-corporate.firebaseapp.com/__/auth/handler	https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Public	https://ai-public-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

Використовуйте URL-адреси бренду, на якому працює ваше середовище. Назва вашої організації або tenant ID не потрібно вставляти в ці URL. URL вебсайту, панелі керування та .web.app не замінюють ці callback-адреси. Реєструйте їх як Web, навіть якщо інтеграція використовується з браузера. Не потрібно вмикати імпліцитний випуск токенів або потік public client.

3. Створіть клієнтський секрет і призначте права

Перейдіть до Certificates & secrets → Client secrets → New client secret. Виберіть відповідний термін дії і збережіть Value безпечно, коли вона стане видимою. Передайте значення через узгоджений захищений канал адміністратору платформи; Secret ID — це не клієнтський секрет. Відстежуйте дату закінчення і замініть секрет до цієї дати, також у постачальнику ідентичності.

Потім перейдіть до API permissions → Add a permission → Microsoft Graph → Delegated permissions. Додайте лише права для інтеграцій і дій, які ваша організація планує надавати.

Інтеграція	Права на читання	Додаткові права на запис
Профіль / базові	User.Read; потік входу також запитує openid, profile, email і offline_access	Немає
Outlook Mail	Mail.Read	Чернетки: Mail.ReadWrite. Відправка: Mail.Send.
Outlook Календар	Calendars.Read	Запис: Calendars.ReadWrite.
Microsoft Teams	Chat.Read, ChannelMessage.Read.All	Публікація: Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Send.
SharePoint / OneDrive	Sites.Read.All, Files.Read.All	Ця інтеграція робочого облікового запису не надає дій запису.

Mail.ReadWrite не дає права на відправку; для цього потрібен окремий Mail.Send. Публікація в Teams — це розміщення текстових повідомлень у вибраному каналі, а не приватних чатах. Для цієї інтеграції використовуйте Delegated permissions, а не Application permissions. Навіть права з All у назві залишаються обмеженими доступом користувача.

Натисніть Grant admin consent for your organization і перевірте, що вибрані права відображаються як надані. Це дозволяє співробітникам використовувати затверджений доступ без надання власних прав організації. Microsoft може вимагати вхід, MFA або повторний дозвіл залежно від вашої політики.

4. Підключіть додаток у двох місцях до AI-середовища

Нехай адміністратор платформи вибере правильне середовище і виконає ці налаштування:

1. У Admin → Environment → Tenant: увімкніть метод входу Microsoft і введіть у поле Microsoft ID значення Directory (tenant) ID.
2. У Google Cloud → Identity Platform → відповідний tenant → Identity providers → Microsoft: увімкніть провайдера і введіть Application (client) ID та client secret Value того самого додатку Entra.

Постачальник ідентичності належить до Firebase/Identity Platform tenant вашого AI-середовища, а не до іншої організації чи загального адміністративного середовища. Інтеграція робочого облікового запису повторно використовує додаток із цього провайдера. Клієнтський секрет не повинен зберігатися в налаштуваннях користувача, чатах або звичайних змінних середовища.

Передайте адміністратору платформи назву організації, бренд, Directory ID, client ID, значення секрету через захищений канал, дату закінчення та бажані інтеграції/права. Лише app ID недостатньо.

5. Активуйте інтеграції та дії запису

Відкрийте адміністративне середовище вашої організації → Інструменти → MCP. Увімкніть інтеграцію Microsoft 365 у Suite shortcuts. Рядки Microsoft стануть видимими; якщо весь пакет вимкнено, ці рядки залишаються прихованими.

Для кожної інтеграції виберіть, чи вона доступна. У стовпці Дії запису виберіть окремо:

• Outlook Mail → Чернетки: створення та редагування чернеток.
• Outlook Mail → Відправка: фактична відправка існуючої чернетки.
• Outlook Календар → Запис: створення та редагування зустрічей.
• Microsoft Teams → Публікація: розміщення текстових повідомлень у вибраному каналі Teams.

Натисніть Зберегти. Дія запису працює лише якщо і інтеграція, і відповідне право адміністратора увімкнені, Microsoft надала потрібні права, а користувач особисто ввімкнув підключення. Користувач не отримує додаткової форми прав запису.

Доступність

Налаштування також мають підтримуватися бекендом вашого бренду. Це розширення запису було цілеспрямовано опубліковане та протестоване 7 жовтня 2026 року для OnderwijsSupport на AI-Corporate. Це не означає автоматично, що таке саме розширення вже доступне для AI-Public, AI-Public або будь-якого іншого середовища. Запитайте адміністратора платформи для підтвердження, якщо дії запису відсутні.

6. Перевірте налаштування

Нехай користувач увійде в правильне AI-середовище і ввімкне потрібну інтеграцію згідно з Використанням Microsoft-інтеграцій. Перевірте, чи Microsoft показує назву вашого власного додатку Entra.

Спочатку протестуйте впізнавану чернетку і зустріч без учасників. Перевірте збережені елементи в Outlook. Потім протестуйте відправку з узгодженим тестовим отримувачем і публікацію в Teams у узгодженому тестовому каналі. Зустріч з учасниками може надсилати запрошення або оновлення. Прийняте завдання на відправку не гарантує підтверджену доставку.

При розширенні прав підключення намагається оновити токени. Якщо Microsoft вимагає повторного входу або дозволу, користувач має повторно підключити існуюче підключення. Не потрібно створювати другий додаток або окреме налаштування користувача.

Вирішення проблем

Проблема	Перевірка
AADSTS50011 / redirect mismatch	Обидва callback-URL точно зареєстровані як Web для правильного бренду.
Під час дозволу з’являється інша назва додатку	Правильне AI-середовище, Directory ID і tenant-специфічний Microsoft Identity Provider; потім повторіть підключення.
Вхід працює, але інтеграція ні	Перевірте callback конектора, права Graph і дозвіл організації.
Читання працює, запис ні	Перевірте право адміністратора, відповідне делеговане право Graph, наданий дозвіл і доступність бекенду.
Клієнтський секрет недійсний або прострочений	Перевірте Value, а не Secret ID; оновіть секрет також у постачальнику ідентичності.
Інтеграція відсутня у користувача	Перевірте доступність у Інструменти, права користувача на підключення та вибране AI-середовище.

Додаткова інформація

• Керування інструментами
• Використання Microsoft-інтеграцій
• Microsoft: реєстрація додатку
• Microsoft: URL-адреси перенаправлення
• Microsoft Graph: огляд прав

Центральна база знань SharePoint: налаштування Microsoft

Центрально пов’язана папка працює через організаційний додаток, без необхідності, щоб кожен співробітник активував особисте підключення SharePoint. Для цього потрібні два окремі дозволи: право застосунку Sites.Selected з адміністративною згодою, а також read-дозвіл на обраному сайті SharePoint. Робочий вхід Microsoft або лише адміністративна згода недостатні.

1. Перевірте організаційний додаток

Використовуйте той самий реєстраційний додаток для одного орендаря (single-tenant app registration), що й для входу Microsoft у вашому AI-середовищі. Існуючий додаток можна розширити; другий інтеграційний додаток не потрібен. Перевірте в Microsoft Entra → App registrations → ваш додаток → Overview Directory (tenant) ID та Application (client) ID. Використовуйте нижче client ID, а не Object ID.

Directory ID має бути вказаний у Admin → Omgeving → Tenant → Microsoft ID. Client ID та Value дійсного client secret мають бути у Microsoft Identity Provider саме цього AI-середовища. Цю конфігурацію підтримує адміністрування платформи. Прострочений secret також блокує центральний імпорт; слідкуйте за датою закінчення.

Центральне серверне з’єднання використовує client_credentials і не потребує додаткової redirect-URL. Існуючі веб-redirect для входу та особистих інтеграцій робочих акаунтів залишаються потрібними; використовуйте брендовані URL з таблиці раніше в цій статті.

2. Додайте право застосунку та надайте адміністративну згоду

1. Відкрийте API permissions → Add a permission → Microsoft Graph → Application permissions.
2. Знайдіть Sites.Selected, виберіть це право та натисніть Add permissions.
3. Нехай уповноважений адміністратор Entra виконає Grant admin consent for your organization.
4. Перевірте, що Sites.Selected, тип Application, відображається як наданий.

Делеговані права для особистих підключень Outlook, Teams і SharePoint можуть залишатися на тому ж додатку. Вони не замінюють право застосунку для центральної бази знань. Для цього центрального імпорту не потрібні права застосунку Sites.Read.All, Sites.ReadWrite.All або Sites.FullControl.All.

3. Надання додатку окремого права читання сайту

Цю адміністративну дію можна виконати за допомогою Microsoft Graph Explorer. Використовуйте обліковий запис адміністратора в тій самій директорії Microsoft, з роллю SharePoint Administrator або вищою відповідною роллю адміністратора та доступом до відповідного сайту. Роль підписки Azure або лише власність додатку для цього недостатні.

1. Увійдіть адміністраторським обліковим записом у Graph Explorer і перевірте показану організацію.
2. Відкрийте ваше профільне меню → Consent to permissions, знайдіть Sites.FullControl.All і виберіть Consent, щоб надати необхідний дозвіл для Graph Explorer у цьому контексті адміністрування. Для деяких запитів ви також можете відкрити повну панель дозволів через Modify Permissions → Open the permissions panel. Це delegated право адміністратора для керування дозволами сайту; не додавайте його як широке право застосунку в базі знань. Використовуйте дозвіл, прив’язаний до облікового запису, коли організаційний дозвіл для всіх користувачів не потрібен.
3. Знайдіть ID сайту за допомогою наведеного нижче GET. Замініть приклад хоста та шлях сайту на ваш власний. Якщо URL містить /teams/, використовуйте цей шлях замість /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

Значення id у відповіді — це повний ID сайту, включно з ім’ям хоста та двома GUID. Також перевірте displayName і webUrl: дозвіл має бути на сайті, де фактично знаходиться ваша папка.

4. Спочатку перевірте існуючі дозволи за допомогою GET за наступною адресою. Якщо ваш client ID вже є з роллю read, створювати другий дозвіл не потрібно. Нехай ваш адміністратор Microsoft оцінить існуючі ширші або відмінні дозволи.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

5. Якщо дозвіл відсутній, виберіть POST, використайте ту ж адресу і вкажіть у Request Body наступний JSON. Замініть два приклади значень; CLIENT-ID-VAN-UW-APP — це Application (client) ID вашого інтеграційного додатку, а не додатку Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

6. Натисніть Run query. Успішне додавання поверне 201 Created. Перевірте у відповіді роль read та client ID; Graph може показати їх під grantedToIdentitiesV2. Потім перевірте знову за допомогою GET. Збережіть permission ID для адміністрування та можливого подальшого відкликання.
7. Повторіть це лише для кожного іншого сайту, до якого ви свідомо хочете підключити папки бази знань.

Sitegrant і права бази знань

Microsoft-грант надає додатку право читання всього вибраного сайту. AI-середовище імпортує лише обрану папку та підпапки. Рекомендується використовувати окремий сайт для централізованого спільного знання. Існуючі права бази знань визначають, які користувачі отримують імпортовані документи; індивідуальні права SharePoint не передаються.

4. Підключіть папку та перевірте результат

Відкрийте Адміністрування → База знань → Додати → SharePoint-папки → Підключити папку і використовуйте реальний URL папки, а не запрошення або адресу огляду OneDrive. Виберіть охоплення, цільову аудиторію та статус публікації відповідно до інструкції бази знань. Центральне джерело не потребує особистого конектора в налаштуваннях користувача.

Перевірте за допомогою Оновити, чи документи оброблені без помилок. Використовуйте Синхронізувати зараз для повторної перевірки та поставте конкретне чат-запитання про імпортований документ. Переконайтеся, що відповідь містить правильне центральне джерело знань.

Проблема	Перевірка на боці Microsoft
Вхід працює, але центральна папка ні	Sites.Selected має бути типу Application та мати адміністративну згоду; також перевірте окремий sitegrant.
403 Forbidden при доступі до папки	Правильна директорія Microsoft, site-ID, client ID та read-дозвіл; лише адміністративна згода не надає доступу до сайту.
403 при адміністративній дії в Graph Explorer	Делеговане право Sites.FullControl.All, наданий дозвіл, роль адміністратора та доступ до цільового сайту. Не додавайте широке право на інтеграційний додаток як рішення.
Сайт працює, папку не знайдено	Перевірте реальний URL папки, бібліотеку документів і шлях сайту; швидке посилання OneDrive може вказувати на інший сайт.
Secret прострочений або недійсний	Нехай адміністрування платформи оновить нове значення secret Value у відповідному Microsoft Identity Provider.

Для OnderwijsSupport на AI-Corporate це центральне підключення опубліковане та протестоване 14 жовтня 2026 року. Доступність на AI-School, AI-Public або іншому середовищі має підтвердити адміністрування платформи.

Документація Microsoft: Selected permissions, додавання sitegrant та перевірка sitegrants.