Konfigurere Microsoft 365 for miljøet ditt

Det er to måter å koble Microsoft 365 til AI-School-miljøet ditt på. Velg først hvilken vei som passer for organisasjonen din.

Rute	Når	Hva du gjør
Sentral app fra AI-School (standard)	Personlige koblinger med Outlook Mail, Outlook Kalender, Teams og SharePoint/OneDrive.	En Entra-administrator gir organisasjonstillatelse via Koble til Microsoft 365. Deretter gir du integrasjonene tilgang slik som i trinn 5 i denne artikkelen. Du trenger ikke egen app, client secret eller Identity Provider.
Egen Entra-app	Du vil importere SharePoint-mapper sentralt i kunnskapsbasen, ansatte logger allerede inn med Microsoft via en egen app, eller du vil administrere appen selv.	Følg denne artikkelen fra trinn 1.

Hvis organisasjonen din allerede logger inn med Microsoft via en egen app (Microsoft ID-feltet i miljøet er fylt ut), bruker alle koblinger den egne appen. Den sentrale ruten gjelder da ikke.

Egen Entra-app

Med en egen Microsoft Entra-app kan organisasjonen din bruke samme app for pålogging med Microsoft og for Outlook, Teams og SharePoint. Du bestemmer sentralt hvilke integrasjoner og skrivehandlinger som er tilgjengelige. Brukerne slår deretter bare sine personlige koblinger av eller på i Innstillinger → Verktøy → Koblinger.

De personlige integrasjonene fungerer med støttede modeller fra OpenAI, Claude, Gemini og Mistral. Den valgte modellen må kunne bruke verktøy. Ved personlige koblinger følger tilgangen rettighetene til den innloggede Microsoft-brukeren. Organisasjonstillatelse logger ikke automatisk på alle ansatte og gir ikke AI-en selvstendig tilgang til alle postbokser. Den sentrale SharePoint-kunnskapsbasen bruker separate applikasjonsrettigheter og de eksisterende kunnskapsbaserettighetene, slik det er beskrevet senere i denne artikkelen.

Hva trenger du?

En Microsoft 365-organisasjon med Microsoft Entra ID og kontoer med tilgang til de ønskede tjenestene.
En administrator som kan registrere en app og gi organisasjonstillatelse for de valgte Microsoft Graph-rettighetene. En Azure-abonnementsrolle er ikke nok for dette; Entra-rollen din må tillate denne tillatelsen.
Administratorrettigheter i riktig AI-miljø for å gjøre integrasjonene tilgjengelige.
En plattformadministrator som kan konfigurere Microsoft Identity Provider for dette AI-miljøet i Google Cloud Identity Platform.
En app registration i din egen Microsoft-katalog, med en client secret og de to omdirigerings-URL-ene for riktig merke.

Pålogging med Microsoft og tilgang til Microsoft-data er to separate funksjoner. Bare en fungerende Microsoft-innlogging betyr ikke at Outlook, Teams eller SharePoint er satt opp.

1. Registrer én organisasjonsapp

Åpne Microsoft Entra-administrasjonssenteret og gå til App registrations → New registration. Bruk et gjenkjennelig navn, for eksempel AI-School – organisasjonsnavnet ditt. For en egen organisasjon velger du Accounts in this organizational directory only (Single tenant).

Lagre følgende data fra Overview:

Data	Hva brukes det til?
Directory (tenant) ID	Microsoft-katalogen til organisasjonen din; dette går inn i feltet Microsoft ID i AI-miljøet.
Application (client) ID	Den registrerte appen; dette går inn i Microsoft Identity Provider.

Disse to ID-ene er forskjellige. Ikke fyll inn client ID eller Firebase-tenant-ID i Microsoft ID.

2. Sett riktige omdirigerings-URL-er

Gå til Authentication → Add a platform → Web. Legg til begge URL-ene nedenfor for merket ditt, nøyaktig som vist. Den første håndterer pålogging; den andre håndterer samtykke for arbeidskonto-integrasjonene.

Merke	Pålogging med Microsoft	Arbeidskonto-integrasjoner
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Bruk URL-ene for merket som miljøet ditt kjører på. Organisasjonsnavnet ditt eller tenant-ID-en trenger ikke fylles inn i disse URL-ene. Nettsted-URL, dashboard-URL og .web.app-URL erstatter ikke disse callback-ene. Registrer dem som Web, selv om du bruker integrasjonen fra en nettleser. Du trenger ikke å slå på implicit tokenutstedelse eller public-client flow for dette.

3. Opprett en client secret og tildel rettigheter

Gå til Certificates & secrets → Client secrets → New client secret. Velg en passende gyldighetsperiode og lagre Value trygt så snart den er synlig. Lever verdien via den avtalte sikre kanalen for plattformadministrasjon; Secret ID er ikke client secret. Følg med på utløpsdatoen og bytt ut secreten før den datoen, også i Identity Provider.

Gå deretter til API permissions → Add a permission → Microsoft Graph → Delegated permissions. Legg bare til rettighetene for de integrasjonene og handlingene organisasjonen din skal tilby.

Integrasjon	Lesetilgang	Ekstra rettigheter for skriving
Profil / basis	`User.Read`; påloggingsflyten spør også om `openid`, `profile`, `email` og `offline_access`	Ingen
Outlook Mail	`Mail.Read`	Utkast: `Mail.ReadWrite`. Sende: `Mail.Send`.
Outlook Kalender	`Calendars.Read`	Skrive: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Publisere: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Denne arbeidskonto-integrasjonen tilbyr ingen skrivehandlinger her.

Mail.ReadWrite gir ikke sendetillatelse; for det trengs separat Mail.Send. Teams-publisering skriver tekstmeldinger i en valgt kanal, ikke private chatmeldinger. For denne integrasjonen bruker du Delegated permissions, ikke Application permissions. Også for rettigheter med All i navnet er delegert tilgang fortsatt begrenset av brukerens tilgang.

Klikk Grant admin consent for organisasjonen din og kontroller at de valgte rettighetene vises som gitt. Slik kan ansatte bruke den godkjente tilgangen uten selv å måtte gi organisasjonsrettigheter. Microsoft kan fortsatt be om innlogging, MFA eller ny samtykke, avhengig av policyen din.

4. Koble appen til AI-miljøet på to steder

La plattformadministratoren velge riktig miljø og utføre disse innstillingene:

I Admin → Miljø → Tenant: slå på påloggingsmetoden Microsoft og fyll inn Directory (tenant) ID i feltet Microsoft ID.
I Google Cloud → Identity Platform → den aktuelle tenant-en → Identity providers → Microsoft: slå på leverandøren og fyll inn Application (client) ID og client secret Value for den samme Entra-appen.

Identity Provider hører til Firebase/Identity Platform-tenant-en til AI-miljøet ditt, ikke til en annen organisasjon eller det generelle Admin-miljøet. Arbeidskonto-integrasjonen bruker appen fra denne provider-en på nytt. Client secret hører ikke hjemme i brukerinnstillinger, chatmeldinger eller vanlige miljøfelter.

Lever organisasjonsnavn, merke, Directory ID, client ID, secret-verdi via den sikre kanalen, utløpsdatoen og de ønskede integrasjonene/rettighetene til plattformadministrasjon. En app-ID alene er ikke nok.

5. Gi integrasjonene og skrivehandlingene tilgang

Åpne administrasjonsmiljøet til organisasjonen din → Tools → MCP. Slå på integrasjonen Microsoft 365 under Suite-snarveier. Microsoft-radene blir synlige; når hele suiten er av, forblir disse radene skjult.

Velg per integrasjon om den skal være tilgjengelig. I kolonnen Skrivehandlinger velger du separat:

Outlook Mail → Utkast: opprette og endre utkast.
Outlook Mail → Sende: faktisk sende et eksisterende utkast.
Outlook Kalender → Skrive: opprette og endre avtaler.
Microsoft Teams → Publisere: legge tekstmeldinger i en valgt Teams-kanal.

Klikk Lagre. En skrivehandling fungerer bare hvis både integrasjonen og den tilhørende administrasjonsrettigheten er slått på, Microsoft har gitt de nødvendige rettighetene, og brukeren har slått på koblingen personlig. Brukeren får ikke et ekstra skjema for skriverettigheter.

Tilgjengelighet

Innstillingene må også støttes av backend-en til merket ditt. Denne skriveutvidelsen ble målrettet publisert og testet 7. oktober 2026 for OnderwijsSupport på AI-Corporate. Det betyr ikke automatisk at den samme utvidelsen allerede er tilgjengelig for AI-School, AI-Public eller et hvilket som helst annet miljø. Be plattformadministrasjon bekrefte dette når skrivehandlinger mangler.

6. Kontroller oppsettet

La en bruker logge inn på riktig AI-miljø og slå på ønsket integrasjon i henhold til Bruke Microsoft-integrasjoner. Kontroller at Microsoft viser navnet på din egen Entra-app.

Test først et gjenkjennelig utkast og en avtale uten deltakere. Kontroller de lagrede elementene i Outlook. Test deretter sending med en avtalt testmottaker og Teams-publisering i en avtalt testkanal. En avtale med deltakere kan sende invitasjoner eller oppdateringer. En akseptert sendeoppgave er ikke det samme som bekreftet levering.

Ved utvidelse av rettigheter prøver koblingen å fornye tokenene. Hvis Microsoft krever ny innlogging eller nytt samtykke, må brukeren koble til den eksisterende koblingen på nytt. Det trenger ikke opprettes en annen app eller en separat brukerinnstilling.

Feilsøking

Problem	Kontroll
`AADSTS50011` / redirect mismatch	Begge callback-ene må være nøyaktig registrert som Web, for riktig merke.
Et annet appnavn vises ved samtykke	Riktig AI-miljø, Directory ID og tenant-spesifikk Microsoft Identity Provider; koble til på nytt etterpå.
Innlogging virker, men integrasjonen ikke	Kontroller også connector-callback, Graph-rettigheter og organisasjonstillatelse.
Lesing fungerer, skriving ikke	Kontroller administrasjonsrettighet, tilhørende delegert Graph-rettighet, gitt tillatelse og backend-tilgjengelighet.
Client secret ugyldig eller utløpt	Value, ikke Secret ID; oppdater ny secret også i Identity Provider.
Integrasjon mangler for brukeren	Kontroller tilgjengelighet i Tools, brukertillatelser for koblinger og valgt AI-miljø.

Mer informasjon

Sentral SharePoint-kunnskapsbase: konfigurere Microsoft

En sentralt koblet mappe fungerer via organisasjonsappen, uten at hver ansatt slår på en personlig SharePoint-kobling. For dette trengs to separate tillatelser: en applikasjonsrettighet med admin consent, og en read-grant på nøyaktig den mappen (eller siden) appen får lese. En fungerende Microsoft-innlogging eller bare admin consent gir ennå ikke tilgang.

Det finnes to måter. Velg én måte per koblet mappe; AI-miljøet faller aldri automatisk tilbake på den andre.

	Mappegrant (anbefalt)	Site-grant
Applikasjonsrettighet	`Files.SelectedOperations.Selected`	`Sites.Selected`
Grant på	Den valgte mappen i et dokumentbibliotek	Hele siden
Hva appen kan lese	Denne mappen og undermapper som arver grant-en	Alle biblioteker og mapper på siden
Eksisterende SharePoint-oppsett	Beholdes; ingen egen side nødvendig	Helst en egen side for delt kunnskap
Konsekvens i SharePoint	Mappens arv av rettigheter brytes (se nedenfor)	Ingen konsekvens for arv

1. Kontroller organisasjonsappen

Bruk samme single-tenant app registration som for Microsoft-innlogging i AI-miljøet ditt. En eksisterende app kan utvides; du trenger ikke en annen integrasjonsapp. Kontroller i Microsoft Entra → App registrations → appen din → Overview Directory (tenant) ID og Application (client) ID. Bruk client ID nedenfor, ikke Object ID.

Directory ID må stå i Admin → Miljø → Tenant → Microsoft ID. Client ID og Value fra en gyldig client secret må stå i Microsoft Identity Provider for akkurat det AI-miljøet. Denne konfigurasjonen vedlikeholdes av plattformadministrasjon. En utløpt secret hindrer også den sentrale importen; følg med på utløpsdatoen og bytt ut secret-en i god tid.

Den sentrale serverkoblingen bruker client_credentials og krever ingen ekstra redirect-URL. De eksisterende Web-redirect-ene for innlogging og personlige arbeidskonto-integrasjoner er fortsatt nødvendige; bruk merke-URL-ene fra tabellen tidligere i denne artikkelen.

Åpne API permissions → Add a permission → Microsoft Graph → Application permissions.
Søk etter Files.SelectedOperations.Selected (mappegrant) eller Sites.Selected (site-grant), velg rettigheten og klikk Add permissions.
La en autorisert Entra-administrator kjøre Grant admin consent for organisasjonen din.
Kontroller at rettigheten, type Application, vises som gitt.

Kunnskapsbaseappen trenger bare leserettigheter. Ikke gi den applikasjonsrettighetene Sites.Read.All, Files.Read.All, Sites.ReadWrite.All, Files.ReadWrite.All eller Sites.FullControl.All. Slike brede rettigheter gir tilgang utenfor den valgte mappen og skjuler en manglende eller tilbakekalt mappegrant. Velger du mappegrant, fjern også en tidligere lagt til Sites.Selected og den tilhørende site-grant-en, slik at mappegrant-en er den eneste grensen. Kildelisten i AI-School varsler når appen har slike tilleggsrettigheter.

De delegerte rettighetene for personlige Outlook-, Teams- og SharePoint-koblinger kan bli liggende på samme app. De erstatter ikke applikasjonsrettigheten for den sentrale kunnskapsbasen.

3. Gi appen lesetilgang til mappen eller nettstedet

Denne administrasjonshandlingen kan utføres med Microsoft Graph Explorer. Bruk en administratorkonto i samme Microsoft-katalog, med SharePoint Administrator eller en høyere passende administratorrolle og tilgang til den aktuelle siden. En Azure-abonnementsrolle eller bare eierskap til appen er ikke nok.

Logg inn administratorkontoen i Graph Explorer og kontroller organisasjonen som vises.
Åpne profilmenyen → Consent to permissions, finn Sites.FullControl.All og velg Consent. Dette er en delegated administrasjonsrettighet som Graph Explorer bruker for å administrere grants; ikke legg den til som applikasjonsrettighet på kunnskapsbaseappen. Bruk kontobasert samtykke når organisasjonstillatelse for alle brukere ikke er nødvendig.
Finn drive-ID-en og item-ID-en til mappen. I koblingsskjemaet i AI-School står den ferdige GET-spørringen så snart mappe-URL-en er fylt inn. Du kan også sette den sammen selv: kod mappe-URL-en som base64url (uten = på slutten) og sett u! foran.

GET https://graph.microsoft.com/v1.0/shares/u!GECODEERDE-MAP-URL/driveItem?$select=id,name,webUrl,parentReference

I svaret er id mappens item-ID og parentReference.driveId bibliotekets drive-ID (begynner med b!). Kontroller name og webUrl: dette må være mappen du vil dele. Fungerer ikke share-spørringen, bruk biblioteket og stien:

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite:/drives?$select=id,name,webUrl
GET https://graph.microsoft.com/v1.0/drives/DRIVE-ID/root:/Pad/Naar/Map?$select=id,name,webUrl

Kontroller først eksisterende grants på mappen. Hvis client ID-en din allerede står der med rollen read, trenger du ikke opprette en ny grant.

GET https://graph.microsoft.com/v1.0/drives/DRIVE-ID/items/MAP-ID/permissions

Hvis grant-en mangler, velg POST på samme adresse og fyll inn følgende JSON under Request Body. CLIENT-ID-VAN-UW-APP er Application (client) ID for integrasjonsappen din, ikke Graph Explorer-appen. Bruk utelukkende rollen read.

{
  "roles": ["read"],
  "grantedToV2": {
    "application": {
      "id": "CLIENT-ID-VAN-UW-APP"
    }
  }
}

Velg Run query. Et vellykket tillegg gir 201 Created. Kontroller i svaret rollen read og client ID-en, og lagre permission-ID-en (id) for senere kontroll eller tilbakekalling.
Gjenta dette bare for hver annen mappe du bevisst vil koble til. Hver koblet mappe har sin egen grant.

Mappegrant bryter arven

Microsoft bryter arven av rettigheter på mappen der du setter en applikasjonsgrant. Mappens eksisterende brukerrettigheter kopieres i det øyeblikket, men senere endringer i rettighetene på den overordnede siden eller biblioteket gjelder ikke lenger automatisk for denne mappen. Kontroller derfor mappens brukerrettigheter etter tildelingen, og administrer dem heretter på selve mappen. Ta hensyn til Microsofts grense for unike rettigheter per bibliotek. Ikke sett mappen tilbake til arvede rettigheter: da forsvinner også appens grant.

Undermapper og filer med egne rettigheter. Undermapper og filer som arver rettighetene fra den valgte mappen, omfattes av grant-en. Har en undermappe eller fil egne (brutte) rettigheter uten appen, kan appen ikke lese den. AI-School hopper helt over en slik undermappe og viser antallet i kildelisten; tidligere importerte dokumenter derfra trekkes tilbake. En nabomappe eller et annet bibliotek kan aldri leses.

Site-grant (alternativ)

Bruker du Sites.Selected, finn site-ID-en med GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl, kontroller eksisterende grants med GET .../sites/SITE-ID/permissions og legg om nødvendig til grant-en med POST på samme adresse:

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

En site-grant gir appen lesetilgang til hele siden. AI-School importerer bare den valgte mappen, men det filteret er ingen autorisasjonsgrense i Microsoft.

4. Koble til mappen og kontroller resultatet

Åpne Administrasjon → Kunnskapsbase → Legg til → SharePoint-mapper → Koble mappe. Fyll inn den faktiske mappe-URL-en, fra adresselinjen i biblioteket eller i OneDrive (ikke en invitasjonslenke), og velg mappegrant eller site-grant under Organisasjonsappens Microsoft-tilgang. Ved mappegrant fyller du inn drive-ID og item-ID fra trinn 3. AI-School leser da bare den mappen og kontrollerer at mappe-URL-en hører til ID-ene; ved avvik avvises koblingen. En mappe i OneDrive for Business kan også kobles til, men den tilhører én enkelt ansatt: slutter den ansatte, forsvinner mappen og dermed kunnskapskilden. Bruk helst et SharePoint-nettsted for varig kunnskap. Velg omfang, målgruppe og publiseringsstatus i henhold til kunnskapsbasemanualen.

Kontroller med Oppdater om dokumentene er behandlet uten feil. Bruk Synkroniser nå for en ny kontroll og still deretter et konkret chatspørsmål om et importert dokument. Kontroller at svaret nevner riktig sentral kunnskapskilde.

Microsoft-tilgang og kunnskapsbaserettigheter er to forskjellige ting

Grant-en avgjør hvilken mappe appen får lese. Hvilke brukere som får de importerte dokumentene, avgjøres av kunnskapsbaserettighetene i AI-School (skole, målgruppe, avdelinger). Individuelle SharePoint-rettigheter overføres ikke. Koble derfor lukket seksjons- eller teaminnhold bare til en like lukket målgruppe i kunnskapsbasen.

5. Tilbakekall grant-en

Slett grant-en med DELETE på https://graph.microsoft.com/v1.0/drives/DRIVE-ID/items/MAP-ID/permissions/PERMISSION-ID (site-grant: .../sites/SITE-ID/permissions/PERMISSION-ID). Tilbakekalling av admin consent blokkerer appen for alle grants samtidig.

Ved neste kontroll får AI-School ikke lenger tilgang til mappen. Ingen dokumenter fra den kilden tilbys da lenger, heller ikke i chatsvar, og kildelisten viser at Microsoft nekter tilgang. Dette skjer ikke umiddelbart: den automatiske kontrollen kjører hvert 15. minutt for maksimalt 20 kilder per runde, så med flere kilder tar det lengre tid. Bruk Synkroniser nå eller Koble fra for umiddelbar effekt. Det samme gjelder for en flyttet eller slettet mappe.

Problem	Kontroll på Microsoft-siden
Innlogging virker, men den sentrale mappen ikke	Applikasjonsrettigheten må være av typen Application og ha admin consent; kontroller i tillegg den separate grant-en på mappen eller siden.
"Microsoft nekter tilgang til mappen"	Riktig Microsoft-katalog, drive-ID, mappe-ID, client ID og `read`-grant; er mappen flyttet, slettet eller satt tilbake til arvede rettigheter?
Kobling avvist selv om grant-en finnes	Mappe-URL-en hører ikke til ID-ene som er fylt inn. Kopier URL-en på nytt fra biblioteket og kontroller `webUrl` i Graph-svaret.
Varsel om tilleggsrettigheter	Fjern brede applikasjonsrettigheter og, ved mappegrant, `Sites.Selected` med site-grant-en.
Undermapper hoppet over	Disse undermappene har egne rettigheter uten appen. La dem arve rettighetene, eller gi dem bevisst en egen `read`-grant.
`403` ved administrasjonshandlingen i Graph Explorer	Delegated `Sites.FullControl.All`, gitt tillatelse, administratorrolle og tilgang til siden. Ikke legg til en bred rettighet på integrasjonsappen som løsning.
"Organisasjonens app kunne ikke logge på Microsoft"	La plattformadministrasjon oppdatere den nye secret Value i riktig Microsoft Identity Provider; kontroller admin consent.

For OnderwijsSupport på AI-Corporate ble den sentrale koblingen med site-grant publisert og testet 14. oktober 2026. Mappegrant er tilgjengelig så snart den aktuelle releasen er publisert. Tilgjengelighet på AI-School, AI-Public eller et annet miljø må bekreftes av plattformadministrasjon.

Microsoft-dokumentasjon: Selected permissions, legge til grant på en mappe, kode share-URL og legge til site-grant.

Egen Entra-app​

Hva trenger du?​

1. Registrer én organisasjonsapp​

2. Sett riktige omdirigerings-URL-er​

3. Opprett en client secret og tildel rettigheter​

4. Koble appen til AI-miljøet på to steder​

5. Gi integrasjonene og skrivehandlingene tilgang​

6. Kontroller oppsettet​

Feilsøking​

Mer informasjon​

Sentral SharePoint-kunnskapsbase: konfigurere Microsoft​

1. Kontroller organisasjonsappen​

2. Legg til applikasjonsrettigheten og gi admin consent​

3. Gi appen lesetilgang til mappen eller nettstedet​

Site-grant (alternativ)​

4. Koble til mappen og kontroller resultatet​

5. Tilbakekall grant-en​