Configurare Microsoft 365 per il vostro ambiente

Ci sono due modi per collegare Microsoft 365 al vostro ambiente AI-School. Scegliete prima quale percorso si adatta alla vostra organizzazione.

Percorso	Quando	Cosa fare
App centrale di AI-School (predefinita)	Collegamenti personali con Outlook Mail, Outlook Calendario, Teams e SharePoint/OneDrive.	Un amministratore Entra concede il consenso organizzativo tramite Collegare Microsoft 365. Dopo di che attivate le integrazioni come descritto nel punto 5 di questo articolo. Non è necessaria un’app propria, un client secret o un Identity Provider.
App Entra propria	Volete importare centralmente cartelle SharePoint nella knowledge base, i dipendenti accedono già con Microsoft tramite una vostra app, oppure volete gestire voi stessi l’app.	Seguite questo articolo a partire dal punto 1.

Se la vostra organizzazione accede già con Microsoft tramite una vostra app (il campo Microsoft ID dell’ambiente è compilato), allora tutti i collegamenti usano quella app. Il percorso centrale non si applica in tal caso.

App Entra propria

Con una propria app Microsoft Entra, la vostra organizzazione può usare la stessa app per accedere con Microsoft e per Outlook, Teams e SharePoint. Decidete centralmente quali integrazioni e azioni di scrittura sono disponibili. Gli utenti poi attivano o disattivano solo i loro collegamenti personali in Preferenze → Tools → Collegamenti.

Le integrazioni personali funzionano con i modelli supportati di OpenAI, Claude, Gemini e Mistral. Il modello scelto deve poter usare tool. Nei collegamenti personali l’accesso segue i diritti dell’utente Microsoft connesso. Il consenso organizzativo non collega automaticamente tutti i dipendenti e non concede all’AI un accesso autonomo a tutte le caselle di posta. La knowledge base centrale di SharePoint utilizza diritti app separati e i diritti esistenti della knowledge base, come descritto più avanti in questo articolo.

Cosa vi serve?

Un’organizzazione Microsoft 365 con Microsoft Entra ID e account con accesso ai servizi desiderati.
Un amministratore che possa registrare un’app e concedere il consenso organizzativo per i diritti Microsoft Graph scelti. Una semplice role di sottoscrizione Azure non basta; il vostro ruolo Entra deve consentire questo consenso.
Diritti amministrativi nell’ambiente AI corretto per rendere disponibili le integrazioni.
Un amministratore di piattaforma che possa configurare il Microsoft Identity Provider per questo ambiente AI in Google Cloud Identity Platform.
Una app registration nel vostro directory Microsoft, con un client secret e i due URL di redirect del brand corretto.

Accedere con Microsoft e accedere ai dati Microsoft sono due funzioni separate. Avere solo un login Microsoft funzionante non significa ancora che Outlook, Teams o SharePoint siano configurati.

1. Registrate una sola app organizzativa

Apri il Microsoft Entra admin center e vai su App registrations → New registration. Usate un nome riconoscibile, ad esempio AI-School – nome della vostra organizzazione. Per una vostra organizzazione scegliete Accounts in this organizational directory only (Single tenant).

Salvate i seguenti dati da Overview:

Dato	A cosa serve?
Directory (tenant) ID	Il directory Microsoft della vostra organizzazione; va nel campo Microsoft ID dell’ambiente AI.
Application (client) ID	L’app registrata; va nel Microsoft Identity Provider.

Questi due ID sono diversi. Nel campo Microsoft ID non inserite il client ID né il Firebase tenant ID.

2. Impostate i corretti URL di redirect

Andate su Authentication → Add a platform → Web. Aggiungete per il vostro brand entrambi gli URL seguenti, esattamente come mostrati. Il primo gestisce l’accesso; il secondo gestisce il consenso per le integrazioni con l’account di lavoro.

Brand	Accedere con Microsoft	Integrazioni account di lavoro
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Usate gli URL del brand su cui gira il vostro ambiente. Non è necessario inserire il nome della vostra organizzazione o il tenant ID in questi URL. L’URL del sito web, l’URL della dashboard e l’URL .web.app non sostituiscono questi callback. Registrateli come Web, anche se usate l’integrazione da un browser. Non è necessario attivare l’emissione implicita di token o il flusso public client.

3. Create un client secret e assegnate i permessi

Andate su Certificates & secrets → Client secrets → New client secret. Scegliete una durata adeguata e conservate in modo sicuro il Value non appena diventa visibile. Fornite il valore tramite il canale sicuro concordato per la gestione della piattaforma; il Secret ID non è il client secret. Tenete traccia della data di scadenza e sostituite il secret prima di tale data, anche nell’Identity Provider.

Poi andate su API permissions → Add a permission → Microsoft Graph → Delegated permissions. Aggiungete solo i permessi necessari per le integrazioni e le azioni che la vostra organizzazione offrirà.

Integrazione	Permessi di lettura	Permessi aggiuntivi per la scrittura
Profilo / base	`User.Read`; il flusso di accesso richiede anche `openid`, `profile`, `email` e `offline_access`	Nessuno
Outlook Mail	`Mail.Read`	Bozze: `Mail.ReadWrite`. Invio: `Mail.Send`.
Outlook Calendario	`Calendars.Read`	Scrittura: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Pubblicazione: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Questa integrazione con account di lavoro non offre azioni di scrittura.

Mail.ReadWrite non concede il diritto di invio; per quello serve separatamente Mail.Send. La pubblicazione su Teams scrive messaggi di testo in un canale scelto, non messaggi di chat privata. Per questa integrazione usate Delegated permissions, non Application permissions. Anche con permessi che contengono All nel nome, l’accesso delegato resta limitato dai diritti dell’utente.

Fate clic su Grant admin consent for your organization e verificate che i permessi scelti risultino concessi. In questo modo i dipendenti possono usare l’accesso approvato senza dover concedere personalmente i diritti organizzativi. Microsoft può comunque richiedere un nuovo accesso, MFA o un nuovo consenso, a seconda della vostra policy.

4. Collegate l’app in due punti all’ambiente AI

Fate in modo che l’amministratore della piattaforma selezioni l’ambiente corretto ed esegua queste impostazioni:

In Admin → Ambiente → Tenant: attivate il metodo di accesso Microsoft e inserite in Microsoft ID il Directory (tenant) ID.
In Google Cloud → Identity Platform → il tenant interessato → Identity providers → Microsoft: attivate il provider e inserite l’Application (client) ID e il client secret Value della stessa app Entra.

L’Identity Provider appartiene al tenant Firebase/Identity Platform del vostro ambiente AI, non a un’altra organizzazione o all’ambiente Admin generale. L’integrazione con account di lavoro riusa l’app di questo provider. Il client secret non deve finire nelle preferenze utente, nei messaggi di chat o nei normali campi ambiente.

Fornite all’amministratore della piattaforma il nome dell’organizzazione, il brand, il Directory ID, il client ID, il valore del secret tramite il canale sicuro, la data di scadenza e le integrazioni/permessi desiderati. Un solo app ID non basta.

5. Abilitate le integrazioni e le azioni di scrittura

Apri l’ambiente di amministrazione della vostra organizzazione → Tools → MCP. Nelle suite shortcut attivate l’integrazione Microsoft 365. Le righe Microsoft diventano visibili; quando l’intera suite è disattivata, quelle righe restano nascoste.

Scegliete per ogni integrazione se deve essere disponibile. Nella colonna Azioni di scrittura scegliete separatamente:

Outlook Mail → Bozze: creare e modificare bozze.
Outlook Mail → Invio: inviare effettivamente una bozza esistente.
Outlook Calendario → Scrittura: creare e modificare appuntamenti.
Microsoft Teams → Pubblicazione: inserire messaggi di testo in un canale Teams scelto.

Fate clic su Salva. Un’azione di scrittura funziona solo se sia l’integrazione sia il relativo permesso amministrativo sono attivi, Microsoft ha concesso i permessi necessari e l’utente ha attivato personalmente il collegamento. L’utente non riceve alcun modulo aggiuntivo per i permessi di scrittura.

Disponibilità

Le impostazioni devono essere supportate anche dal backend del vostro brand. Questa estensione di scrittura è stata pubblicata e testata in modo mirato il 7 ottobre 2026 per OnderwijsSupport su AI-Corporate. Ciò non significa automaticamente che la stessa estensione sia già stata rilasciata per AI-School, AI-Public o qualsiasi altro ambiente. Chiedete conferma all’amministratore della piattaforma se mancano le azioni di scrittura.

6. Verificate la configurazione

Fate accedere un utente nell’ambiente AI corretto e attivare l’integrazione desiderata secondo Usare le integrazioni Microsoft. Verificate che Microsoft mostri il nome della vostra app Entra.

Testate prima una bozza riconoscibile e un appuntamento senza partecipanti. Controllate gli elementi salvati in Outlook. Poi testate l’invio con un destinatario di prova concordato e la pubblicazione su Teams in un canale di prova concordato. Un appuntamento con partecipanti può inviare inviti o aggiornamenti. Un’azione di invio accettata non è ancora una consegna confermata.

In caso di ampliamento dei permessi, il collegamento tenta di rinnovare i token. Se Microsoft richiede nuovamente l’accesso o il consenso, fate ricollegare all’utente il collegamento esistente. Non è necessario creare una seconda app o una configurazione utente separata.

Risoluzione dei problemi

Problema	Controllo
`AADSTS50011` / redirect non corrispondente	Entrambi i callback registrati esattamente come Web, per il brand corretto.
App diversa visibile durante il consenso	Verificare il corretto ambiente AI, Directory ID e Microsoft Identity Provider specifico del tenant; poi ricollegare.
Il login funziona, ma l’integrazione no	Controllare anche il callback del connector, i permessi Graph e il consenso organizzativo.
La lettura funziona, la scrittura no	Controllare il permesso amministrativo, il corrispondente permesso Graph delegato, il consenso concesso e la disponibilità backend.
Client secret non valido o scaduto	Aggiornare il Value, non il Secret ID; aggiornare il nuovo secret anche nell’Identity Provider.
L’integrazione manca per l’utente	Controllare la disponibilità in Tools, i diritti utente per i collegamenti e l’ambiente AI selezionato.

Ulteriori informazioni

Knowledge base SharePoint centrale: configurare Microsoft

Una cartella collegata centralmente funziona tramite l’app dell’organizzazione, senza che ogni dipendente attivi un collegamento SharePoint personale. A tal fine sono necessarie due autorizzazioni separate: un permesso applicativo con admin consent, e un grant read esattamente sulla cartella (o sulla site) che l’app può leggere. Un login Microsoft funzionante o il solo admin consent non danno ancora accesso.

Esistono due modalità. Scegliete una modalità per ogni cartella collegata; l’ambiente AI non ripiega mai automaticamente sull’altra.

	Grant di cartella (consigliato)	Site grant
Permesso applicativo	`Files.SelectedOperations.Selected`	`Sites.Selected`
Grant su	La cartella scelta in una document library	L’intera site
Cosa può leggere l’app	Questa cartella e le sottocartelle che ereditano il grant	Tutte le library e le cartelle della site
Struttura SharePoint esistente	Resta invariata; non serve una site separata	Preferibilmente una site separata per la conoscenza condivisa
Conseguenza in SharePoint	L’ereditarietà delle autorizzazioni della cartella viene interrotta (vedi sotto)	Nessuna conseguenza sull’ereditarietà

1. Controllate l’app organizzativa

Usate la stessa single-tenant app registration utilizzata per l’accesso Microsoft nel vostro ambiente AI. Un’app esistente può essere estesa; non è necessaria una seconda app di integrazione. Controllate in Microsoft Entra → App registrations → la vostra app → Overview il Directory (tenant) ID e l’Application (client) ID. Usate qui sotto il client ID, non l’Object ID.

Il Directory ID deve essere in Admin → Ambiente → Tenant → Microsoft ID. Il client ID e il Value di un client secret valido devono trovarsi nel Microsoft Identity Provider di esattamente quell’ambiente AI. Questa configurazione è gestita dall’amministratore della piattaforma. Un secret scaduto impedisce anche l’import centrale; tenete sotto controllo la data di scadenza e sostituite il secret per tempo.

La connessione centrale al server usa client_credentials e non richiede un ulteriore URL di redirect. I Web redirect esistenti per l’accesso e le integrazioni personali con account di lavoro restano necessari; usate gli URL brandizzati della tabella precedente in questo articolo.

Aprite API permissions → Add a permission → Microsoft Graph → Application permissions.
Cercate Files.SelectedOperations.Selected (grant di cartella) o Sites.Selected (site grant), selezionate il permesso e fate clic su Add permissions.
Fate eseguire a un amministratore Entra autorizzato Grant admin consent for your organization.
Verificate che il permesso, tipo Application, risulti concesso.

L’app della knowledge base ha bisogno solo di permessi di lettura. Non assegnatele il permesso applicativo Sites.Read.All, Files.Read.All, Sites.ReadWrite.All, Files.ReadWrite.All o Sites.FullControl.All. Permessi così ampi danno accesso al di fuori della cartella scelta e mascherano un grant di cartella mancante o revocato. Se scegliete il grant di cartella, rimuovete anche un Sites.Selected aggiunto in precedenza e il relativo site grant, in modo che il grant di cartella sia l’unico limite. L’elenco delle fonti in AI-School avvisa quando l’app dispone di tali permessi aggiuntivi.

I permessi delegati per i collegamenti personali Outlook, Teams e SharePoint possono restare sulla stessa app. Non sostituiscono il permesso applicativo per la knowledge base centrale.

3. Concedete all’app l’accesso in lettura alla cartella o alla site

Questa azione amministrativa può essere eseguita con Microsoft Graph Explorer. Usate un account amministrativo nello stesso directory Microsoft, con ruolo SharePoint Administrator o un ruolo amministrativo superiore adeguato, e accesso alla site interessata. Un ruolo di sottoscrizione Azure o la sola proprietà dell’app non bastano.

Accedete a Graph Explorer con l’account amministrativo e controllate l’organizzazione mostrata.
Aprite il vostro menu profilo → Consent to permissions, cercate Sites.FullControl.All e scegliete Consent. Si tratta di un permesso di gestione delegated con cui Graph Explorer gestisce i grant; non aggiungetelo come permesso applicativo sull’app della knowledge base. Usate il consenso legato all’account quando il consenso organizzativo per tutti gli utenti non è necessario.
Cercate il drive ID e l’item ID della cartella. Non appena è stato inserito l’URL della cartella, il modulo di collegamento di AI-School mostra la richiesta GET già pronta. Potete anche comporla voi stessi: codificate l’URL della cartella in base64url (senza = alla fine) e anteponete u!.

GET https://graph.microsoft.com/v1.0/shares/u!GECODEERDE-MAP-URL/driveItem?$select=id,name,webUrl,parentReference

Nella risposta, id è l’item ID della cartella e parentReference.driveId è il drive ID della library (inizia con b!). Controllate name e webUrl: deve essere la cartella che volete condividere. Se la richiesta di condivisione non funziona, usate la library e il percorso:

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite:/drives?$select=id,name,webUrl
GET https://graph.microsoft.com/v1.0/drives/DRIVE-ID/root:/Pad/Naar/Map?$select=id,name,webUrl

Controllate prima i grant esistenti sulla cartella. Se il vostro client ID è già presente con ruolo read, non dovete creare un secondo grant.

GET https://graph.microsoft.com/v1.0/drives/DRIVE-ID/items/MAP-ID/permissions

Se il grant manca, scegliete POST sullo stesso indirizzo e inserite il seguente JSON in Request Body. CLIENT-ID-VAN-UW-APP è l’Application (client) ID della vostra app di integrazione, non l’app Graph Explorer. Usate esclusivamente il ruolo read.

{
  "roles": ["read"],
  "grantedToV2": {
    "application": {
      "id": "CLIENT-ID-VAN-UW-APP"
    }
  }
}

Scegliete Run query. Un’aggiunta riuscita restituisce 201 Created. Controllate nella risposta il ruolo read e il client ID e conservate l’ID del permission (id) per controlli o una revoca successivi.
Ripetete questa procedura solo per ogni altra cartella che volete collegare consapevolmente. Ogni cartella collegata ha un proprio grant.

Il grant di cartella interrompe l’ereditarietà

Microsoft interrompe l’ereditarietà delle autorizzazioni sulla cartella su cui impostate un grant applicativo. Le autorizzazioni utente esistenti della cartella vengono copiate in quel momento, ma le modifiche successive alle autorizzazioni della site o della library superiore non valgono più automaticamente per questa cartella. Dopo la concessione controllate quindi le autorizzazioni utente della cartella e d’ora in poi gestitele sulla cartella stessa. Tenete conto del limite Microsoft per le autorizzazioni univoche per library. Non ripristinate l’ereditarietà delle autorizzazioni sulla cartella: in questo modo scomparirebbe anche il grant dell’app.

Sottocartelle e file con autorizzazioni proprie. Le sottocartelle e i file che ereditano le autorizzazioni della cartella scelta rientrano nel grant. Se una sottocartella o un file ha autorizzazioni proprie (ereditarietà interrotta) senza l’app, l’app non può leggerli. AI-School salta completamente una sottocartella di questo tipo e ne indica il numero nell’elenco delle fonti; i documenti importati in precedenza da essa vengono ritirati. Una cartella vicina o un’altra library non sono mai leggibili.

Site grant (alternativa)

Se usate Sites.Selected, cercate l’ID della site con GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl, controllate i grant esistenti con GET .../sites/SITE-ID/permissions e, se necessario, aggiungete il grant con POST sullo stesso indirizzo:

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

Un site grant concede all’app l’accesso in lettura all’intera site. AI-School importa solo la cartella scelta, ma questo filtro non è un limite di autorizzazione di Microsoft.

4. Collegate la cartella e controllate il risultato

Aprite Gestione → Knowledge base → Aggiungi → Cartelle SharePoint → Collega cartella. Inserite l’URL reale della cartella, dalla barra degli indirizzi della raccolta o di OneDrive (non un link di invito), e in Accesso Microsoft dell’app dell’organizzazione scegliete l’autorizzazione cartella (grant di cartella) o l’autorizzazione sito (site grant). Con un grant di cartella, inserite il drive ID e l’item ID del passaggio 3. AI-School legge quindi solo quella cartella e verifica che l’URL della cartella corrisponda agli ID; in caso di differenza il collegamento viene rifiutato. È possibile collegare anche una cartella in OneDrive for Business, ma appartiene a un singolo collaboratore: se quel collaboratore se ne va, la cartella scompare e con essa la fonte di conoscenza. Per conoscenze durature usate preferibilmente una site SharePoint. Scegliete ambito, pubblico e stato di pubblicazione secondo la guida della knowledge base.

Controllate con Aggiorna se i documenti sono stati elaborati senza errori. Usate Sincronizza ora per un nuovo controllo e poi formulate una domanda concreta in chat su un documento importato. Verificate che la risposta indichi la corretta fonte di conoscenza centrale.

L’accesso Microsoft e i diritti della knowledge base sono due cose diverse

Il grant determina quale cartella può leggere l’app. Quali utenti ricevono i documenti importati lo determinano i diritti della knowledge base in AI-School (scuola, pubblico, reparti). I diritti individuali di SharePoint non vengono ereditati. Collegate quindi contenuti riservati di una sezione o di un team solo con un pubblico della knowledge base altrettanto riservato.

5. Revocare il grant

Rimuovete il grant con DELETE su https://graph.microsoft.com/v1.0/drives/DRIVE-ID/items/MAP-ID/permissions/PERMISSION-ID (site grant: .../sites/SITE-ID/permissions/PERMISSION-ID). La revoca dell’admin consent blocca l’app per tutti i grant contemporaneamente.

Al controllo successivo AI-School non ha più accesso alla cartella. Tutti i documenti di quella fonte non vengono più proposti, nemmeno nelle risposte della chat, e l’elenco delle fonti mostra che Microsoft nega l’accesso. Ciò non avviene immediatamente: il controllo automatico viene eseguito ogni 15 minuti per un massimo di 20 fonti per ciclo, quindi con più fonti ci vuole più tempo. Usate Sincronizza ora o Scollega per un effetto immediato. Lo stesso vale per una cartella spostata o eliminata.

Problema	Controllo lato Microsoft
Il login funziona, ma la cartella centrale no	Il permesso applicativo deve essere di tipo Application e avere admin consent; controllate inoltre il grant separato sulla cartella o sulla site.
"Microsoft nega l’accesso alla cartella"	Directory Microsoft corretta, drive ID, ID della cartella, client ID e grant `read`; la cartella è stata spostata, eliminata o riportata all’ereditarietà delle autorizzazioni?
Collegamento rifiutato anche se il grant esiste	L’URL della cartella non corrisponde agli ID inseriti. Copiate di nuovo l’URL dalla library e controllate `webUrl` nella risposta di Graph.
Avviso su permessi aggiuntivi	Rimuovete i permessi applicativi ampi e, con un grant di cartella, `Sites.Selected` insieme al site grant.
Sottocartelle saltate	Quelle sottocartelle hanno autorizzazioni proprie senza l’app. Fate in modo che ereditino le autorizzazioni o concedete consapevolmente un proprio grant `read`.
`403` nell’azione amministrativa in Graph Explorer	Delegated `Sites.FullControl.All`, consenso concesso, ruolo amministrativo e accesso alla site. Non aggiungete un permesso ampio all’app di integrazione come soluzione.
"L’app dell’organizzazione non è riuscita ad accedere a Microsoft"	Fate aggiornare all’amministratore della piattaforma il nuovo secret Value nel Microsoft Identity Provider corretto; controllate l’admin consent.

Per OnderwijsSupport su AI-Corporate la connessione centrale con site grant è stata pubblicata e testata il 14 ottobre 2026. Il grant di cartella è disponibile non appena viene pubblicata la release corrispondente. La disponibilità su AI-School, AI-Public o un altro ambiente deve essere confermata dall’amministratore della piattaforma.

Documentazione Microsoft: Selected permissions, aggiungere un grant su una cartella, codificare un URL di condivisione e aggiungere un site grant.

App Entra propria​

Cosa vi serve?​

1. Registrate una sola app organizzativa​

2. Impostate i corretti URL di redirect​

3. Create un client secret e assegnate i permessi​

4. Collegate l’app in due punti all’ambiente AI​

5. Abilitate le integrazioni e le azioni di scrittura​

6. Verificate la configurazione​

Risoluzione dei problemi​

Ulteriori informazioni​

Knowledge base SharePoint centrale: configurare Microsoft​

1. Controllate l’app organizzativa​

2. Aggiungete il permesso applicativo e concedete l’admin consent​

3. Concedete all’app l’accesso in lettura alla cartella o alla site​

Site grant (alternativa)​

4. Collegate la cartella e controllate il risultato​

5. Revocare il grant​