为您的环境设置 Microsoft 365

通过自有的 Microsoft Entra 应用，您的组织可以使用同一个应用进行Microsoft 登录以及访问Outlook、Teams 和 SharePoint。您可以集中管理哪些集成和写入操作可用。用户随后只需在偏好设置 → 工具 → 连接中开启或关闭个人连接。

个人集成支持 OpenAI、Claude、Gemini 和 Mistral 的支持模型。所选模型必须能使用工具。个人关联的访问权限遵循已登录 Microsoft 用户的权限。组织同意不会自动为所有员工登录，也不会赋予 AI 独立访问所有邮箱的权限。中央 SharePoint 知识库使用独立的应用权限和现有知识库权限，如本文后文所述。

您需要什么？

拥有带有 Microsoft Entra ID 的 Microsoft 365 组织及可访问所需服务的账户。
一名管理员，能够注册应用并为所选 Microsoft Graph 权限授予组织授权。仅有 Azure 订阅角色不足以完成此操作；您的 Entra 角色必须允许此授权。
在正确的 AI 环境中拥有管理权限，以使集成可用。
一名平台管理员，能够在 Google Cloud Identity Platform 中为该 AI 环境设置 Microsoft 身份提供者。
在您自己的 Microsoft 目录中注册的应用程序注册，包含客户端密钥和对应品牌的两个重定向 URL。

Microsoft 登录和访问 Microsoft 数据是两个独立功能。仅有有效的 Microsoft 登录并不意味着 Outlook、Teams 或 SharePoint 已配置完成。

1. 注册一个组织应用

打开 Microsoft Entra 管理中心，进入应用注册 → 新注册。使用易识别的名称，例如 AI-Public – 您的组织名称。对于自有组织，选择仅此组织目录中的账户（单租户）。

保存概览中的以下信息：

信息	用途
目录（租户）ID	您组织的 Microsoft 目录；填写到 AI 环境的Microsoft ID字段。
应用程序（客户端）ID	注册的应用；填写到 Microsoft 身份提供者。

这两个 ID 不同。请勿在Microsoft ID字段填写客户端 ID 或 Firebase 租户 ID。

2. 设置正确的重定向 URL

前往身份验证 → 添加平台 → Web。为您的品牌添加下列两个 URL，完全按示例填写。第一个处理登录，第二个处理工作账户集成的授权。

品牌	Microsoft 登录	工作账户集成
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

请使用您环境所运行品牌的 URL。无需在这些 URL 中填写您自己的组织名称或租户 ID。网站 URL、仪表板 URL 和 .web.app URL 不替代这些回调。即使您从浏览器使用集成，也请注册为Web。无需启用隐式令牌颁发或公共客户端流程。

3. 创建客户端密钥并分配权限

进入证书和密钥 → 客户端密钥 → 新建客户端密钥。选择合适的有效期，密钥值显示后请妥善保存。通过约定的安全渠道将该值提供给平台管理员；密钥 ID 不是客户端密钥。请注意过期时间，并在到期前更换密钥，包括在身份提供者中更新。

随后进入API 权限 → 添加权限 → Microsoft Graph → 委托权限。仅添加您的组织将提供的集成和操作所需权限。

集成	读取权限	额外写入权限
个人资料 / 基础	`User.Read`；登录流程还请求 `openid`、`profile`、`email` 和 `offline_access`	无
Outlook 邮件	`Mail.Read`	草稿： `Mail.ReadWrite`。发送： `Mail.Send`。
Outlook 日历	`Calendars.Read`	写入： `Calendars.ReadWrite`。
Microsoft Teams	`Chat.Read`、`ChannelMessage.Read.All`	发布： `Team.ReadBasic.All`、`Channel.ReadBasic.All`、`ChannelMessage.Send`。
SharePoint / OneDrive	`Sites.Read.All`、`Files.Read.All`	此工作账户集成无写入操作。

Mail.ReadWrite 不包含发送权限；发送需单独添加 Mail.Send。Teams 发布指在选定频道发布文本消息，不包括私聊消息。此集成使用委托权限，非应用权限。即使权限名称含 All，委托访问仍受用户权限限制。

点击为您的组织授予管理员同意，确认所选权限显示为已授予。这样员工可使用批准的访问权限，无需自行授予组织权限。根据您的策略，Microsoft 可能仍要求登录、多因素认证或重新授权。

4. 在两个位置将应用关联到 AI 环境

请平台管理员选择正确环境并执行以下设置：

在管理 → 环境 → 租户中：启用登录方式Microsoft，并在Microsoft ID填写目录（租户）ID。
在Google Cloud → Identity Platform → 对应租户 → 身份提供者 → Microsoft中：启用该提供者，填写同一 Entra 应用的应用程序（客户端）ID和客户端密钥值。

身份提供者属于您 AI 环境的 Firebase/Identity Platform 租户，不属于其他组织或通用管理环境。工作账户集成重复使用此提供者的应用。客户端密钥不应存储于用户偏好、聊天消息或普通环境变量中。

通过安全渠道向平台管理员提供组织名称、品牌、目录 ID、客户端 ID、密钥值、过期时间及所需集成/权限。仅提供应用 ID 不足。

5. 启用集成和写入操作

打开组织管理环境 → 工具 → MCP。在套件快捷方式中启用Microsoft 365集成。Microsoft 行显示出来；若整个套件关闭，则这些行隐藏。

针对每个集成选择是否可用。在写入操作列单独选择：

Outlook 邮件 → 草稿： 创建和修改草稿。
Outlook 邮件 → 发送： 实际发送现有草稿。
Outlook 日历 → 写入： 创建和修改日程。
Microsoft Teams → 发布： 在选定 Teams 频道发布文本消息。

点击保存。写入操作仅在集成和对应管理权限均启用、Microsoft 授权所需权限且用户个人开启连接时有效。用户无需额外填写写入权限表单。

可用性

设置还需您的品牌后端支持。此写入扩展于 2026 年 10 月 7 日针对 AI-Corporate 的 OnderwijsSupport 发布并测试。这不意味着 AI-Public、AI-Public 或其他环境已自动开放此扩展。如缺少写入操作，请向平台管理员确认。

6. 检查配置

请用户登录正确的 AI 环境并根据使用 Microsoft 集成开启所需集成。确认 Microsoft 显示您自有 Entra 应用名称。

先测试一个可识别的草稿和无参与者的日程。检查 Outlook 中的保存项。随后测试发送，使用约定的测试收件人，以及 Teams 发布到约定的测试频道。带参与者的日程可能发送邀请或更新。已接受的发送请求不等于邮件已送达。

权限扩展时，连接尝试刷新令牌。如 Microsoft 要求重新登录或授权，用户需重新连接现有连接。无需创建第二个应用或单独用户设置。

故障排除

问题	检查
`AADSTS50011` / 重定向不匹配	两个回调均准确注册为Web，对应正确品牌。
授权时显示其他应用名	确认正确 AI 环境、目录 ID 和租户专用 Microsoft 身份提供者；重新连接。
登录成功但集成无效	检查连接回调、Graph 权限和组织授权。
读取正常，写入失败	检查管理权限、对应委托 Graph 权限、已授予授权及后端支持。
客户端密钥无效或过期	使用值，非密钥 ID；更新密钥并同步身份提供者。
用户看不到集成	检查工具中的可用性、用户连接权限及所选 AI 环境。

中央 SharePoint 知识库：Microsoft 设置

中央关联文件夹通过组织应用程序工作，无需每位员工启用个人 SharePoint 关联。为此需要两个独立权限：应用权限 Sites.Selected 需管理员同意，以及所选 SharePoint 站点的 read 授权。有效的 Microsoft 登录或仅管理员同意不足以满足要求。

1. 检查组织应用

使用与 AI 环境中 Microsoft 登录相同的单租户应用注册。现有应用可扩展；无需第二个集成应用。在 Microsoft Entra → 应用注册 → 您的应用 → 概览 中检查 目录（租户）ID 和 应用程序（客户端）ID。下文使用客户端 ID，非对象 ID。

目录 ID 应填写在 管理员 → 环境 → 租户 → Microsoft ID 中。客户端 ID 和有效客户端密钥的值应在该 AI 环境的 Microsoft 身份提供者中配置。此配置由平台管理维护。过期的密钥也会阻止中央导入；请关注过期时间。

中央服务器连接使用 client_credentials，无需额外重定向 URL。现有的用于登录和个人工作账户集成的 Web 重定向仍然需要；请使用本文前表中的品牌相关 URL。

2. 添加应用权限并授予管理员同意

打开 API 权限 → 添加权限 → Microsoft Graph → 应用权限。
搜索 Sites.Selected，选择该权限并点击 添加权限。
由有权限的 Entra 管理员执行 为您的组织授予管理员同意。
确认 Sites.Selected，类型为 应用程序，显示为已授予。

个人 Outlook、Teams 和 SharePoint 关联的委托权限可继续保留在同一应用上。它们不替代中央知识库的应用权限。此中央导入不需要应用权限 Sites.Read.All、Sites.ReadWrite.All 或 Sites.FullControl.All。

3. 单独授予应用对站点的读取权限

此管理操作可通过 Microsoft Graph Explorer 完成。使用同一 Microsoft 目录中的管理员账户，需具备 SharePoint 管理员 或更高级别的适当管理员角色，并有权访问相关站点。仅有 Azure 订阅角色或应用所有权不足以完成此操作。

使用管理员账户登录 Graph Explorer，确认显示的组织。
打开您的个人资料菜单 → Consent to permissions，搜索Sites.FullControl.All并选择Consent以在此管理上下文中授予Graph Explorer所需的权限。在某些查询中，您也可以通过Modify Permissions → Open the permissions panel打开完整权限面板。这是一个用于管理站点授权的delegated管理权限；不要将其作为知识库应用的广泛应用权限添加。当不需要为所有用户授予组织权限时，请使用基于账户的权限。
使用以下 GET 查询站点 ID。将示例主机和站点路径替换为您自己的文件夹路径。若 URL 中包含 /teams/，请使用该路径替代 /sites/。

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

响应中的 id 值即为完整站点 ID，包含主机名和两个 GUID。请同时核对 displayName 和 webUrl：授权必须针对实际存放您的文件夹的站点。

先用以下 GET 查询现有授权。若您的客户端 ID 已以 read 角色存在，则无需创建第二个授权。请让您的 Microsoft 管理员评估现有更广泛或不同的授权。

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

若缺少授权，选择 POST，使用相同地址，并在 请求正文 中填写以下 JSON。替换两个示例值；CLIENT-ID-VAN-UW-APP 是您集成应用的应用程序（客户端）ID，非 Graph Explorer 应用。

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

点击 运行查询。成功添加返回 201 Created。请在响应中确认 read 角色和客户端 ID；Graph 可能显示在 grantedToIdentitiesV2 下。随后再次用 GET 确认。保存权限 ID 以便管理和后续撤销。
仅对您有意关联的其他站点重复此操作。

站点授权与知识库权限

Microsoft 授权赋予应用对整个选定站点的读取权限。AI 环境仅导入所选文件夹及其子文件夹。建议使用独立站点集中共享知识。现有知识库权限决定哪些用户可访问导入文档；不会继承个人 SharePoint 权限。

4. 关联文件夹并检查结果

打开 管理 → 知识库 → 添加 → SharePoint 文件夹 → 关联文件夹，使用真实文件夹 URL，非邀请链接或 OneDrive 概览地址。根据知识库指南选择范围、目标群体和发布状态。中央资源无需在用户偏好中设置个人连接器。

使用刷新检查文档是否无误处理。使用 立即同步 进行新检查，然后针对导入文档提出具体聊天问题。确认回答中引用了正确的中央知识源。

问题	Microsoft 端检查
登录正常，但中央文件夹无效	`Sites.Selected` 必须为应用程序类型且已管理员同意；同时检查单独的站点授权。
访问文件夹时出现 `403 Forbidden`	确认 Microsoft 目录、站点 ID、客户端 ID 和 `read` 授权；仅管理员同意不授予站点访问权限。
Graph Explorer 管理操作出现 `403`	委托权限 `Sites.FullControl.All` 已授予，管理员角色和目标站点访问权限。不要通过给集成应用添加广泛权限解决。
站点可用，文件夹未找到	检查真实文件夹 URL、文档库和站点路径；OneDrive 快捷方式可能指向其他站点。
密钥过期或无效	请平台管理更新正确 Microsoft 身份提供者中的新密钥值。

该中央关联于 2026 年 10 月 14 日在 AI-Corporate 的OnderwijsSupport环境发布并测试。AI-School、AI-Public 或其他环境的可用性需平台管理确认。

Microsoft 文档：Selected permissions、添加站点授权和检查站点授权。

您需要什么？​

1. 注册一个组织应用​

2. 设置正确的重定向 URL​

3. 创建客户端密钥并分配权限​

4. 在两个位置将应用关联到 AI 环境​

5. 启用集成和写入操作​

6. 检查配置​

故障排除​

更多信息​

中央 SharePoint 知识库：Microsoft 设置​

1. 检查组织应用​

2. 添加应用权限并授予管理员同意​

3. 单独授予应用对站点的读取权限​

4. 关联文件夹并检查结果​