Configurar Microsoft 365 para su entorno

Hay dos maneras de vincular Microsoft 365 a su entorno de AI-School. Primero elija qué ruta se adapta a su organización.

Ruta	Cuándo	Qué hace
App central de AI-School (predeterminada)	Conexiones personales con Outlook Mail, Outlook Calendario, Teams y SharePoint/OneDrive.	Un administrador de Entra concede el consentimiento organizativo mediante Vincular Microsoft 365. Después activa las integraciones como en el paso 5 de este artículo. No se necesita una app propia, un client secret ni un proveedor de identidad.
App propia de Entra	Quiere importar carpetas de SharePoint de forma central en la base de conocimientos, los empleados ya inician sesión con Microsoft mediante una app propia, o desea administrar la app usted mismo.	Siga este artículo desde el paso 1.

Si su organización ya inicia sesión con Microsoft mediante una app propia (el campo Microsoft ID del entorno está rellenado), entonces todas las conexiones usan esa app propia. La ruta central no aplica en ese caso.

App propia de Entra

Con una app propia de Microsoft Entra, su organización puede usar la misma app para iniciar sesión con Microsoft y para Outlook, Teams y SharePoint. Usted determina de forma central qué integraciones y acciones de escritura están disponibles. Después, los usuarios solo activan o desactivan sus conexiones personales en Preferencias → Herramientas → Conexiones.

Las integraciones personales funcionan con modelos compatibles de OpenAI, Claude, Gemini y Mistral. El modelo elegido debe poder usar herramientas. En las conexiones personales, el acceso sigue los permisos del usuario de Microsoft que ha iniciado sesión. El consentimiento organizativo no inicia sesión automáticamente en todos los empleados ni da a la IA acceso independiente a todos los buzones. La base de conocimientos central de SharePoint usa permisos de aplicación separados y los permisos de base de conocimientos existentes, como se describe más adelante en este artículo.

¿Qué necesita?

Una organización de Microsoft 365 con Microsoft Entra ID y cuentas con acceso a los servicios deseados.
Un administrador que pueda registrar una app y conceder consentimiento organizativo para los permisos de Microsoft Graph elegidos. Una rol de suscripción de Azure no es suficiente para esto; su rol de Entra debe permitir este consentimiento.
Derechos de administración en el entorno correcto de AI para poner integraciones a disposición.
Un administrador de plataforma que pueda configurar el proveedor de identidad de Microsoft para este entorno de AI en Google Cloud Identity Platform.
Un registro de aplicación en su propio directorio de Microsoft, con un client secret y las dos URL de redirección del branding correcto.

Iniciar sesión con Microsoft y acceder a datos de Microsoft son dos funciones separadas. Tener solo un inicio de sesión de Microsoft que funcione no significa que Outlook, Teams o SharePoint ya estén configurados.

1. Registre una sola app organizativa

Abra el Centro de administración de Microsoft Entra y vaya a App registrations → New registration. Use un nombre reconocible, por ejemplo AI-School – nombre de su organización. Para una organización propia, elija Accounts in this organizational directory only (Single tenant).

Guarde los siguientes datos de Overview:

Dato	¿Para qué?
Directory (tenant) ID	El directorio de Microsoft de su organización; va en el campo Microsoft ID del entorno de AI.
Application (client) ID	La app registrada; va en el Microsoft Identity Provider.

Estos dos ID son distintos. En Microsoft ID no introduzca el client ID ni el Firebase tenant ID.

2. Configure las URL de redirección correctas

Vaya a Authentication → Add a platform → Web. Añada para su marca ambas URL siguientes, exactamente como se muestran. La primera procesa el inicio de sesión; la segunda procesa el consentimiento para las integraciones de cuenta de trabajo.

Marca	Iniciar sesión con Microsoft	Integraciones de cuenta de trabajo
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Use las URL de la marca en la que se ejecuta su entorno. No es necesario introducir su propio nombre de organización o tenant ID en estas URL. La URL del sitio web, la URL del panel y la URL .web.app no sustituyen estos callbacks. Regístrelas como Web, aunque use la integración desde un navegador. No necesita activar la emisión implícita de tokens ni el flujo de cliente público para esto.

3. Cree un client secret y asigne permisos

Vaya a Certificates & secrets → Client secrets → New client secret. Elija una duración adecuada y guarde el Value de forma segura en cuanto sea visible. Entregue el valor por el canal seguro acordado para la gestión de plataforma; el Secret ID no es el client secret. Controle la fecha de expiración y sustituya el secret antes de esa fecha, también en el Identity Provider.

Después vaya a API permissions → Add a permission → Microsoft Graph → Delegated permissions. Añada solo los permisos de las integraciones y acciones que su organización vaya a ofrecer.

Integración	Permisos de lectura	Permisos adicionales para escritura
Perfil / básico	`User.Read`; el flujo de inicio de sesión también solicita `openid`, `profile`, `email` y `offline_access`	Ninguno
Outlook Mail	`Mail.Read`	Borradores: `Mail.ReadWrite`. Enviar: `Mail.Send`.
Outlook Calendario	`Calendars.Read`	Escritura: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Publicar: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Esta integración de cuenta de trabajo no ofrece acciones de escritura aquí.

Mail.ReadWrite no concede permiso de envío; para ello se necesita Mail.Send por separado. La publicación en Teams escribe mensajes de texto en un canal elegido, no mensajes de chat privado. Para esta integración use Delegated permissions, no Application permissions. Incluso con permisos que incluyen All en el nombre, el acceso delegado sigue limitado por el acceso del usuario.

Haga clic en Grant admin consent for su organización y compruebe que los permisos elegidos se muestran como concedidos. Así los empleados pueden usar el acceso aprobado sin tener que conceder permisos organizativos por sí mismos. Microsoft aún puede pedir inicio de sesión, MFA o nuevo consentimiento, según su política.

4. Vincule la app en dos lugares al entorno de AI

Pida al administrador de plataforma que seleccione el entorno correcto y realice estos ajustes:

En Admin → Entorno → Tenant: active el método de inicio de sesión Microsoft y, en Microsoft ID, introduzca el Directory (tenant) ID.
En Google Cloud → Identity Platform → el tenant correspondiente → Identity providers → Microsoft: active el proveedor e introduzca el Application (client) ID y el client secret Value de la misma app de Entra.

El Identity Provider pertenece al tenant de Firebase/Identity Platform de su entorno de AI, no a otra organización ni al entorno general de Admin. La integración de cuenta de trabajo reutiliza la app de este proveedor. El client secret no debe aparecer en preferencias de usuario, mensajes de chat ni campos normales del entorno.

Proporcione a la administración de plataforma el nombre de la organización, la marca, el Directory ID, el client ID, el valor del secret por el canal seguro, la fecha de expiración y las integraciones/permisos deseados. Un ID de app por sí solo no basta.

5. Conceda las integraciones y acciones de escritura

Abra el entorno de administración de su organización → Tools → MCP. En Atajos de suite, active la integración Microsoft 365. Las filas de Microsoft se harán visibles; cuando la suite completa esté desactivada, esas filas permanecerán ocultas.

Elija por integración si debe estar disponible. En la columna Acciones de escritura elija por separado:

Outlook Mail → Borradores: crear y modificar borradores.
Outlook Mail → Enviar: enviar realmente un borrador existente.
Outlook Calendario → Escritura: crear y modificar citas.
Microsoft Teams → Publicar: colocar mensajes de texto en un canal de Teams elegido.

Haga clic en Guardar. Una acción de escritura solo funciona si la integración y el permiso de administración correspondiente están activados, Microsoft ha concedido los permisos necesarios y el usuario ha activado la conexión de forma personal. El usuario no recibe ningún formulario adicional de permisos de escritura.

Disponibilidad

Los ajustes también deben estar soportados por el backend de su marca. Esta extensión de escritura se publicó y probó de forma dirigida el 7 de octubre de 2026 para OnderwijsSupport en AI-Corporate. Eso no significa automáticamente que la misma extensión ya esté disponible para AI-School, AI-Public o cualquier otro entorno. Pida confirmación a la administración de plataforma cuando falten acciones de escritura.

6. Compruebe la configuración

Pida a un usuario que inicie sesión en el entorno de AI correcto y active la integración deseada siguiendo Usar integraciones de Microsoft. Compruebe que Microsoft muestre el nombre de su propia app de Entra.

Pruebe primero un borrador reconocible y una cita sin participantes. Compruebe los elementos guardados en Outlook. Después pruebe el envío con un destinatario de prueba acordado y la publicación en Teams en un canal de prueba acordado. Una cita con participantes puede enviar invitaciones o actualizaciones. Una orden de envío aceptada no es todavía una entrega confirmada.

Cuando se amplían los permisos, la conexión intenta renovar tokens. Si Microsoft requiere iniciar sesión de nuevo o volver a conceder consentimiento, pida al usuario que vuelva a conectar la conexión existente. No es necesario crear una segunda app ni una configuración de usuario aparte.

Solución de problemas

Problema	Comprobación
`AADSTS50011` / desajuste de redirect	Ambos callbacks registrados exactamente como Web, para la marca correcta.
Aparece otro nombre de app al dar permiso	El entorno de AI correcto, el Directory ID y el Microsoft Identity Provider específico del tenant; vuelva a conectar después.
El inicio de sesión funciona, pero la integración no	Compruebe también el callback del conector, los permisos de Graph y el consentimiento organizativo.
La lectura funciona, la escritura no	Compruebe el permiso de administración, el permiso delegado de Graph correspondiente, el consentimiento concedido y la disponibilidad del backend.
Client secret no válido o caducado	El Value, no el Secret ID; actualice el nuevo secret también en el Identity Provider.
La integración no aparece para el usuario	Compruebe la disponibilidad en Tools, los permisos de usuario para conexiones y el entorno de AI seleccionado.

Más información

Base de conocimientos central de SharePoint: configurar Microsoft

Una carpeta vinculada de forma central funciona a través de la app de organización, sin que cada empleado active una conexión personal de SharePoint. Para ello se necesitan dos consentimientos separados: un permiso de aplicación con admin consent, y un grant read sobre exactamente la carpeta (o el sitio) que la app puede leer. Un inicio de sesión de Microsoft que funcione o solo admin consent todavía no da acceso.

Hay dos métodos. Elija un método por cada carpeta vinculada; el entorno de AI nunca recurre automáticamente al otro.

	Grant de carpeta (recomendado)	Grant de sitio
Permiso de aplicación	`Files.SelectedOperations.Selected`	`Sites.Selected`
Grant sobre	La carpeta elegida en una biblioteca de documentos	Todo el sitio
Qué puede leer la app	Esta carpeta y las subcarpetas que heredan el grant	Todas las bibliotecas y carpetas del sitio
Organización existente de SharePoint	Se mantiene; no hace falta un sitio aparte	Preferiblemente un sitio aparte para conocimientos compartidos
Consecuencia en SharePoint	Se rompe la herencia de permisos de la carpeta (véase más abajo)	Sin consecuencias para la herencia

1. Compruebe la app de organización

Use el mismo registro de aplicación de tenant único que para iniciar sesión con Microsoft en su entorno de AI. Se puede ampliar una app existente; no hace falta una segunda app de integración. Compruebe en Microsoft Entra → App registrations → su app → Overview el Directory (tenant) ID y el Application (client) ID. Use abajo el client ID, no el Object ID.

El Directory ID debe estar en Admin → Entorno → Tenant → Microsoft ID. El client ID y el Value de un client secret válido deben estar en el Microsoft Identity Provider de exactamente ese entorno de AI. Esta configuración la mantiene la administración de plataforma. Un secret caducado también impide la importación central; controle la fecha de expiración y sustituya el secret a tiempo.

La conexión central del servidor usa client_credentials y no solicita una URL de redirección adicional. Las redirecciones Web existentes para el inicio de sesión y las integraciones personales de cuenta de trabajo siguen siendo necesarias; use las URL con marca de la tabla anterior de este artículo.

Abra API permissions → Add a permission → Microsoft Graph → Application permissions.
Busque Files.SelectedOperations.Selected (grant de carpeta) o Sites.Selected (grant de sitio), seleccione el permiso y haga clic en Add permissions.
Pida a un administrador de Entra con autoridad que realice Grant admin consent for su organización.
Compruebe que el permiso, tipo Application, se muestra como concedido.

La app de la base de conocimientos solo necesita permisos de lectura. No le asigne el permiso de aplicación Sites.Read.All, Files.Read.All, Sites.ReadWrite.All, Files.ReadWrite.All ni Sites.FullControl.All. Estos permisos amplios dan acceso fuera de la carpeta elegida y ocultan un grant de carpeta ausente o revocado. Si elige el grant de carpeta, elimine también un Sites.Selected añadido anteriormente y el grant de sitio correspondiente, para que el grant de carpeta sea el único límite. La lista de fuentes de AI-School avisa cuando la app tiene estos permisos adicionales.

Los permisos delegados para las conexiones personales de Outlook, Teams y SharePoint pueden permanecer en la misma app. No sustituyen el permiso de aplicación para la base de conocimientos central.

3. Conceda a la app acceso de lectura a la carpeta o al sitio

Esta acción de administración puede hacerse con Microsoft Graph Explorer. Use una cuenta de administrador en el mismo directorio de Microsoft, con rol SharePoint Administrator o un rol administrativo adecuado superior y acceso al sitio correspondiente. Un rol de suscripción de Azure o solo ser propietario de la app no es suficiente para esto.

Inicie sesión en Graph Explorer con la cuenta de administración y compruebe la organización mostrada.
Abra su menú de perfil → Consent to permissions, busque Sites.FullControl.All y elija Consent. Este es un permiso de administración delegated para que Graph Explorer gestione grants; no lo añada como permiso de aplicación en la app de la base de conocimientos. Use consentimiento ligado a la cuenta cuando no se necesite consentimiento organizativo para todos los usuarios.
Busque el drive ID y el item ID de la carpeta. En cuanto se haya introducido la URL de la carpeta, el formulario de vinculación de AI-School muestra la consulta GET ya preparada. También puede componerla usted mismo: codifique la URL de la carpeta como base64url (sin = al final) y antepóngale u!.

GET https://graph.microsoft.com/v1.0/shares/u!GECODEERDE-MAP-URL/driveItem?$select=id,name,webUrl,parentReference

En la respuesta, id es el item ID de la carpeta y parentReference.driveId es el drive ID de la biblioteca (empieza por b!). Compruebe name y webUrl: debe ser la carpeta que desea compartir. Si la consulta de uso compartido no funciona, use la biblioteca y la ruta:

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite:/drives?$select=id,name,webUrl
GET https://graph.microsoft.com/v1.0/drives/DRIVE-ID/root:/Pad/Naar/Map?$select=id,name,webUrl

Compruebe primero los grants existentes en la carpeta. Si su client ID ya aparece con rol read, no necesita crear un segundo grant.

GET https://graph.microsoft.com/v1.0/drives/DRIVE-ID/items/MAP-ID/permissions

Si falta el grant, elija POST en la misma dirección y en Request Body introduzca el siguiente JSON. CLIENT-ID-VAN-UW-APP es el Application (client) ID de su app de integración, no la app de Graph Explorer. Use exclusivamente el rol read.

{
  "roles": ["read"],
  "grantedToV2": {
    "application": {
      "id": "CLIENT-ID-VAN-UW-APP"
    }
  }
}

Elija Run query. Una adición correcta devuelve 201 Created. Compruebe en la respuesta el rol read y el client ID, y guarde el permission ID (id) para una comprobación o revocación posterior.
Repita esto solo para cada otra carpeta que desee vincular de forma consciente. Cada carpeta vinculada tiene su propio grant.

El grant de carpeta rompe la herencia

Microsoft rompe la herencia de permisos en la carpeta sobre la que coloca un grant de aplicación. En ese momento se copian los permisos de usuario existentes de la carpeta, pero los cambios posteriores en los permisos del sitio o la biblioteca superior ya no se aplican automáticamente a esta carpeta. Por eso, después de conceder el grant, compruebe los permisos de usuario de la carpeta y gestiónelos en adelante en la propia carpeta. Tenga en cuenta el límite de Microsoft de permisos únicos por biblioteca. No vuelva a configurar la carpeta para heredar permisos: con ello también desaparece el grant de la app.

Subcarpetas y archivos con permisos propios. Las subcarpetas y los archivos que heredan los permisos de la carpeta elegida quedan cubiertos por el grant. Si una subcarpeta o un archivo tiene permisos propios (herencia rota) sin la app, la app no puede leerlo. AI-School omite por completo esa subcarpeta e indica el número en la lista de fuentes; los documentos importados anteriormente desde ella se retiran. Una carpeta vecina u otra biblioteca nunca es legible.

Grant de sitio (alternativa)

Si usa Sites.Selected, busque el ID del sitio con GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl, compruebe los grants existentes con GET .../sites/SITE-ID/permissions y, si es necesario, añada el grant con POST en la misma dirección:

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

Un grant de sitio concede a la app acceso de lectura a todo el sitio. AI-School solo importa la carpeta elegida, pero ese filtro no es un límite de autorización de Microsoft.

4. Vincule la carpeta y compruebe el resultado

Abra Administración → Base de conocimientos → Añadir → Carpetas de SharePoint → Vincular carpeta. Introduzca la URL real de la carpeta, tomada de la barra de direcciones de la biblioteca o de OneDrive (no un enlace de invitación), y en Acceso de Microsoft de la aplicación de la organización elija el permiso de carpeta (grant de carpeta) o el permiso de sitio (grant de sitio). Con un grant de carpeta, introduzca el drive ID y el item ID del paso 3. AI-School solo lee entonces esa carpeta y comprueba que la URL de la carpeta corresponde a los ID; si no coinciden, se rechaza la vinculación. También se puede vincular una carpeta de OneDrive for Business, pero pertenece a un solo empleado: si ese empleado se va, la carpeta desaparece y con ella la fuente de conocimiento. Para conocimiento duradero, utilice preferiblemente un sitio de SharePoint. Elija alcance, público objetivo y estado de publicación según la guía de la base de conocimientos.

Compruebe con Actualizar si los documentos se han procesado sin errores. Use Sincronizar ahora para una nueva comprobación y luego haga una pregunta concreta en el chat sobre un documento importado. Compruebe que la respuesta menciona la fuente central correcta de conocimiento.

El acceso de Microsoft y los permisos de la base de conocimientos son dos cosas distintas

El grant determina qué carpeta puede leer la app. Qué usuarios reciben los documentos importados lo determinan los permisos de la base de conocimientos en AI-School (centro, público objetivo, departamentos). No se heredan los permisos individuales de SharePoint. Por eso, vincule contenido restringido de una sección o un equipo solo con un público objetivo de la base de conocimientos igual de restringido.

5. Revocar el grant

Elimine el grant con DELETE en https://graph.microsoft.com/v1.0/drives/DRIVE-ID/items/MAP-ID/permissions/PERMISSION-ID (grant de sitio: .../sites/SITE-ID/permissions/PERMISSION-ID). Revocar el admin consent bloquea la app para todos los grants a la vez.

En la siguiente comprobación, AI-School deja de tener acceso a la carpeta. Todos los documentos de esa fuente dejan de ofrecerse, tampoco en las respuestas del chat, y la lista de fuentes muestra que Microsoft deniega el acceso. Esto no ocurre de inmediato: la comprobación automática se ejecuta cada 15 minutos para un máximo de 20 fuentes por ronda, así que con más fuentes tarda más. Use Sincronizar ahora o Desconectar para un efecto inmediato. Lo mismo se aplica a una carpeta movida o eliminada.

Problema	Comprobación del lado de Microsoft
El inicio de sesión funciona, pero la carpeta central no	El permiso de aplicación debe ser de tipo Application y tener admin consent; compruebe además el grant separado sobre la carpeta o el sitio.
«Microsoft deniega el acceso a la carpeta»	Directorio de Microsoft correcto, drive ID, ID de la carpeta, client ID y grant `read`; ¿se ha movido o eliminado la carpeta, o se ha vuelto a configurar para heredar permisos?
Vinculación rechazada aunque el grant existe	La URL de la carpeta no corresponde a los ID introducidos. Copie de nuevo la URL desde la biblioteca y compruebe `webUrl` en la respuesta de Graph.
Aviso sobre permisos adicionales	Elimine los permisos de aplicación amplios y, con un grant de carpeta, `Sites.Selected` junto con el grant de sitio.
Subcarpetas omitidas	Esas subcarpetas tienen permisos propios sin la app. Haga que hereden los permisos o concédales de forma consciente su propio grant `read`.
`403` en la acción de administración en Graph Explorer	`Sites.FullControl.All` delegado, permiso concedido, rol de administrador y acceso al sitio. No añada un permiso amplio a la app de integración como solución.
«La aplicación de la organización no pudo iniciar sesión en Microsoft»	Pida a la administración de plataforma que actualice el nuevo secret Value en el Microsoft Identity Provider correcto; compruebe el admin consent.

Para OnderwijsSupport en AI-Corporate, la conexión central con grant de sitio se publicó y probó el 14 de octubre de 2026. El grant de carpeta está disponible en cuanto se publique la versión correspondiente. La disponibilidad en AI-School, AI-Public u otro entorno debe ser confirmada por la administración de plataforma.

Documentación de Microsoft: Selected permissions, añadir un grant sobre una carpeta, codificar una URL de uso compartido y añadir un grant de sitio.

App propia de Entra​

¿Qué necesita?​

1. Registre una sola app organizativa​

2. Configure las URL de redirección correctas​

3. Cree un client secret y asigne permisos​

4. Vincule la app en dos lugares al entorno de AI​

5. Conceda las integraciones y acciones de escritura​

6. Compruebe la configuración​

Solución de problemas​

Más información​

Base de conocimientos central de SharePoint: configurar Microsoft​

1. Compruebe la app de organización​

2. Añada el permiso de aplicación y conceda admin consent​

3. Conceda a la app acceso de lectura a la carpeta o al sitio​

Grant de sitio (alternativa)​

4. Vincule la carpeta y compruebe el resultado​

5. Revocar el grant​