Configurați Microsoft 365 pentru mediul dvs.

Există două moduri de a conecta Microsoft 365 la mediul dvs. AI-School. Alegeți mai întâi traseul potrivit pentru organizația dvs.

Traseu	Când	Ce faceți
Aplicația centrală AI-School (implicit)	Conexiuni personale cu Outlook Mail, Outlook Calendar, Teams și SharePoint/OneDrive.	Un administrator Entra acordă consimțământ organizațional prin Conectare Microsoft 365. Apoi activați integrările așa cum este descris la pasul 5 din acest articol. Nu este necesară o aplicație proprie, un client secret sau un Identity Provider.
Aplicație Entra proprie	Doriți să importați central foldere SharePoint în baza de cunoștințe, angajații se autentifică deja cu Microsoft printr-o aplicație proprie sau doriți să administrați singuri aplicația.	Urmați acest articol începând cu pasul 1.

Dacă organizația dvs. se autentifică deja cu Microsoft printr-o aplicație proprie (câmpul Microsoft ID al mediului este completat), atunci toate conexiunile folosesc acea aplicație proprie. Traseul central nu se aplică.

Aplicație Entra proprie

Cu o aplicație Microsoft Entra proprie, organizația dvs. poate folosi aceeași aplicație pentru autentificare cu Microsoft și pentru Outlook, Teams și SharePoint. Decideți central ce integrări și acțiuni de scriere sunt disponibile. Utilizatorii activează sau dezactivează ulterior doar conexiunile personale în Preferințe → Tools → Conexiuni.

Integrările personale funcționează cu modelele compatibile de la OpenAI, Claude, Gemini și Mistral. Modelul ales trebuie să poată folosi tool-uri. În cazul conexiunilor personale, accesul urmează drepturile utilizatorului Microsoft autentificat. Consimțământul organizațional nu conectează automat toți angajații și nu oferă AI-ului acces independent la toate căsuțele poștale. Baza de cunoștințe centrală SharePoint folosește drepturi separate ale aplicației și drepturile existente ale bazei de cunoștințe, așa cum este descris mai jos în acest articol.

Ce aveți nevoie?

O organizație Microsoft 365 cu Microsoft Entra ID și conturi cu acces la serviciile dorite.
Un administrator care poate înregistra o aplicație și poate acorda consimțământ organizațional pentru drepturile Microsoft Graph alese. Doar un rol din abonamentul Azure nu este suficient; rolul dvs. Entra trebuie să permită acest consimțământ.
Drepturi de administrare în mediul AI corect pentru a face integrările disponibile.
Un administrator de platformă care poate configura Microsoft Identity Provider pentru acest mediu AI în Google Cloud Identity Platform.
Un app registration în propriul dvs. director Microsoft, cu un client secret și cele două URL-uri de redirecționare ale brandului corect.

Autentificarea cu Microsoft și accesul la datele Microsoft sunt două funcții separate. Doar o autentificare Microsoft funcțională nu înseamnă încă faptul că Outlook, Teams sau SharePoint sunt configurate.

1. Înregistrați o singură aplicație organizațională

Deschideți Microsoft Entra admin center și mergeți la App registrations → New registration. Folosiți un nume ușor de recunoscut, de exemplu AI-School – numele organizației dvs.. Pentru o organizație proprie, alegeți Accounts in this organizational directory only (Single tenant).

Salvați următoarele date din Overview:

Dată	Pentru ce?
Directory (tenant) ID	Directorul Microsoft al organizației dvs.; acesta intră în câmpul Microsoft ID al mediului AI.
Application (client) ID	Aplicația înregistrată; aceasta intră în Microsoft Identity Provider.

Aceste două ID-uri sunt diferite. Nu introduceți client ID-ul sau Firebase tenant ID-ul în câmpul Microsoft ID.

2. Configurați URL-urile corecte de redirecționare

Mergeți la Authentication → Add a platform → Web. Adăugați pentru brandul dvs. ambele URL-uri de mai jos, exact așa cum sunt afișate. Primul procesează autentificarea; al doilea procesează consimțământul pentru integrările conturilor de lucru.

Brand	Autentificare cu Microsoft	Integrări cont de lucru
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Folosiți URL-urile brandului pe care rulează mediul dvs. Numele organizației dvs. sau tenant ID-ul nu trebuie completate în aceste URL-uri. URL-ul site-ului, URL-ul dashboard-ului și URL-ul .web.app nu înlocuiesc aceste callback-uri. Înregistrați-le ca Web, chiar dacă folosiți integrarea dintr-un browser. Nu trebuie să activați implicit token issuance sau public client flow.

3. Creați un client secret și atribuiți drepturi

Mergeți la Certificates & secrets → Client secrets → New client secret. Alegeți o durată potrivită și salvați în siguranță Value imediat ce devine vizibilă. Furnizați valoarea prin canalul securizat convenit pentru administrarea platformei; Secret ID nu este client secret-ul. Urmăriți data de expirare și înlocuiți secretul înainte de acea dată, inclusiv în Identity Provider.

Apoi mergeți la API permissions → Add a permission → Microsoft Graph → Delegated permissions. Adăugați numai drepturile pentru integrările și acțiunile pe care organizația dvs. le va oferi.

Integrare	Drepturi de citire	Drepturi suplimentare pentru scriere
Profil / bază	`User.Read`; fluxul de autentificare solicită și `openid`, `profile`, `email` și `offline_access`	Niciunul
Outlook Mail	`Mail.Read`	Drafturi: `Mail.ReadWrite`. Trimitere: `Mail.Send`.
Outlook Calendar	`Calendars.Read`	Scriere: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Postare: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Această integrare pentru cont de lucru nu oferă aici acțiuni de scriere.

Mail.ReadWrite nu oferă drept de trimitere; pentru acesta este necesar separat Mail.Send. Postarea în Teams scrie mesaje text într-un canal ales, nu mesaje private de chat. Pentru această integrare folosiți Delegated permissions, nu Application permissions. Chiar și la drepturile cu All în nume, accesul delegat rămâne limitat de drepturile utilizatorului.

Faceți clic pe Grant admin consent for organizația dvs. și verificați că drepturile alese apar ca acordate. Astfel, angajații pot folosi accesul aprobat fără a trebui să acorde singuri drepturi organizaționale. Microsoft poate solicita totuși autentificare, MFA sau reconsimțământ, în funcție de politica dvs.

4. Conectați aplicația în două locuri la mediul AI

Rugați administratorul de platformă să selecteze mediul corect și să efectueze aceste setări:

În Admin → Mediu → Tenant: activați metoda de autentificare Microsoft și completați la Microsoft ID Directory (tenant) ID.
În Google Cloud → Identity Platform → tenantul relevant → Identity providers → Microsoft: activați providerul și completați Application (client) ID și client secret Value ale aceleiași aplicații Entra.

Identity Provider-ul aparține tenantului Firebase/Identity Platform al mediului dvs. AI, nu al altei organizații și nici mediului Admin general. Integrarea pentru cont de lucru folosește din nou aplicația din acest provider. Client secret-ul nu aparține preferințelor utilizatorilor, mesajelor de chat sau câmpurilor obișnuite ale mediului.

Furnizați administratorului de platformă numele organizației, brandul, Directory ID, client ID, valoarea secretului prin canalul securizat, data de expirare și integrările/drepturile dorite. Un simplu app ID nu este suficient.

5. Activați integrările și acțiunile de scriere

Deschideți mediul de administrare al organizației dvs. → Tools → MCP. La Suite shortcuts activați integrarea Microsoft 365. Rândurile Microsoft devin vizibile; când întreaga suită este oprită, aceste rânduri rămân ascunse.

Alegeți pentru fiecare integrare dacă este disponibilă. În coloana Write actions alegeți separat:

Outlook Mail → Drafts: creați și modificați drafturi.
Outlook Mail → Send: trimiteți efectiv un draft existent.
Outlook Calendar → Write: creați și modificați întâlniri.
Microsoft Teams → Post: publicați mesaje text într-un canal Teams ales.

Faceți clic pe Save. O acțiune de scriere funcționează numai dacă atât integrarea, cât și dreptul de administrare asociat sunt activate, Microsoft a acordat drepturile necesare și utilizatorul a activat personal conexiunea. Utilizatorul nu primește pentru aceasta un formular suplimentar de drepturi de scriere.

Disponibilitate

Setările trebuie să fie susținute și de backend-ul brandului dvs. Această extensie de scriere a fost publicată și testată la 7 octombrie 2026 pentru OnderwijsSupport pe AI-Corporate. Aceasta nu înseamnă automat că aceeași extensie a fost deja lansată pentru AI-School, AI-Public sau orice alt mediu. Cereți confirmare de la administrarea platformei dacă acțiunile de scriere lipsesc.

6. Verificați configurarea

Rugați un utilizator să se autentifice în mediul AI corect și să activeze integrarea dorită conform Folosirea integrărilor Microsoft. Verificați dacă Microsoft afișează numele propriei dvs. aplicații Entra.

Testați mai întâi un draft recognoscibil și o întâlnire fără participanți. Verificați elementele salvate în Outlook. Apoi testați trimiterea cu un destinatar de test convenit și postarea în Teams într-un canal de test convenit. O întâlnire cu participanți poate trimite invitații sau actualizări. O comandă de trimitere acceptată nu este încă o livrare confirmată.

La extinderea drepturilor, conexiunea încearcă să reînnoiască token-urile. Dacă Microsoft solicită din nou autentificare sau consimțământ, rugați utilizatorul să reconecteze conexiunea existentă. Nu este nevoie să creați o a doua aplicație sau o setare separată pentru utilizator.

Rezolvarea problemelor

Problemă	Verificare
`AADSTS50011` / redirect mismatch	Ambele callback-uri înregistrate exact ca Web, pentru brandul corect.
Apare un alt nume de aplicație la consimțământ	Mediu AI corect, Directory ID și Microsoft Identity Provider specific tenantului; apoi reconectați.
Login funcționează, dar integrarea nu	Verificați și callback-ul connectorului, drepturile Graph și consimțământul organizațional.
Citirea merge, scrierea nu	Verificați dreptul de administrare, dreptul Graph delegat corespunzător, consimțământul acordat și disponibilitatea backend-ului.
Client secret invalid sau expirat	Value, nu Secret ID; actualizați noul secret și în Identity Provider.
Integrarea lipsește la utilizator	Verificați disponibilitatea în Tools, drepturile utilizatorului pentru conexiuni și mediul AI selectat.

Mai multe informații

Baza de cunoștințe centrală SharePoint: configurarea Microsoft

Un folder conectat central funcționează prin aplicația organizațională, fără ca fiecare angajat să activeze o conexiune personală SharePoint. Pentru aceasta sunt necesare două consimțăminte separate: un drept al aplicației cu admin consent, și un grant read exact pe folderul (sau site-ul) pe care aplicația îl poate citi. O autentificare Microsoft funcțională sau doar admin consent nu oferă încă acces.

Există două variante. Alegeți o singură variantă pentru fiecare folder conectat; mediul AI nu trece niciodată automat la cealaltă.

	Grant pe folder (recomandat)	Grant pe site
Dreptul aplicației	`Files.SelectedOperations.Selected`	`Sites.Selected`
Grant pe	Folderul ales dintr-o bibliotecă de documente	Întregul site
Ce poate citi aplicația	Acest folder și subfolderele care moștenesc grantul	Toate bibliotecile și folderele site-ului
Structura SharePoint existentă	Rămâne neschimbată; nu este nevoie de un site separat	De preferat un site separat pentru cunoștințe partajate
Efect în SharePoint	Moștenirea permisiunilor folderului este întreruptă (vezi mai jos)	Niciun efect asupra moștenirii

1. Verificați aplicația organizațională

Folosiți aceeași single-tenant app registration ca pentru autentificarea Microsoft în mediul dvs. AI. O aplicație existentă poate fi extinsă; nu este necesară o a doua aplicație de integrare. Verificați în Microsoft Entra → App registrations → aplicația dvs. → Overview Directory (tenant) ID și Application (client) ID. Folosiți mai jos client ID-ul, nu Object ID.

Directory ID trebuie să fie în Admin → Mediu → Tenant → Microsoft ID. Client ID-ul și Value unui client secret valid trebuie să fie la Microsoft Identity Provider al exact acelui mediu AI. Această configurare este administrată de platformă. Un secret expirat împiedică și importul central; urmăriți data de expirare și înlocuiți secretul la timp.

Conexiunea centrală cu server folosește client_credentials și nu solicită URL de redirecționare suplimentar. Redirecturile Web existente pentru autentificare și integrările personale pentru cont de lucru rămân necesare; folosiți URL-urile specifice brandului din tabelul de mai sus din acest articol.

Deschideți API permissions → Add a permission → Microsoft Graph → Application permissions.
Căutați Files.SelectedOperations.Selected (grant pe folder) sau Sites.Selected (grant pe site), selectați dreptul și faceți clic pe Add permissions.
Rugați un administrator Entra autorizat să efectueze Grant admin consent for organizația dvs..
Verificați că dreptul, tip Application, apare ca acordat.

Aplicația bazei de cunoștințe are nevoie doar de drepturi de citire. Nu îi atribuiți dreptul de aplicație Sites.Read.All, Files.Read.All, Sites.ReadWrite.All, Files.ReadWrite.All sau Sites.FullControl.All. Astfel de drepturi largi oferă acces în afara folderului ales și maschează un grant pe folder lipsă sau revocat. Dacă alegeți grantul pe folder, eliminați și un Sites.Selected adăugat anterior și grantul pe site aferent, astfel încât grantul pe folder să fie singura limită. Lista de surse din AI-School avertizează atunci când aplicația are astfel de drepturi suplimentare.

Drepturile delegate pentru conexiunile personale Outlook, Teams și SharePoint pot rămâne pe aceeași aplicație. Ele nu înlocuiesc dreptul aplicației pentru baza de cunoștințe centrală.

3. Oferiți aplicației acces de citire la folder sau la site

Această acțiune de administrare se poate face cu Microsoft Graph Explorer. Folosiți un cont de administrator în același director Microsoft, cu rolul SharePoint Administrator sau un rol administrativ potrivit superior și acces la site-ul relevant. Un rol din abonamentul Azure sau doar proprietatea aplicației nu este suficient.

Autentificați contul de administrator în Graph Explorer și verificați organizația afișată.
Deschideți meniul de profil → Consent to permissions, căutați Sites.FullControl.All și alegeți Consent. Acesta este un drept administrativ delegat prin care Graph Explorer gestionează granturile; nu îl adăugați ca drept de aplicație pe aplicația bazei de cunoștințe. Folosiți consimțământul legat de cont atunci când consimțământul organizațional pentru toți utilizatorii nu este necesar.
Găsiți drive ID-ul și item ID-ul folderului. De îndată ce URL-ul folderului a fost completat, formularul de conectare din AI-School afișează cererea GET gata pregătită. O puteți compune și singuri: codificați URL-ul folderului ca base64url (fără = la final) și adăugați u! în față.

GET https://graph.microsoft.com/v1.0/shares/u!GECODEERDE-MAP-URL/driveItem?$select=id,name,webUrl,parentReference

În răspuns, id este item ID-ul folderului, iar parentReference.driveId este drive ID-ul bibliotecii (începe cu b!). Verificați name și webUrl: acesta trebuie să fie folderul pe care doriți să îl partajați. Dacă cererea de partajare nu funcționează, folosiți biblioteca și calea:

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite:/drives?$select=id,name,webUrl
GET https://graph.microsoft.com/v1.0/drives/DRIVE-ID/root:/Pad/Naar/Map?$select=id,name,webUrl

Verificați mai întâi granturile existente pe folder. Dacă client ID-ul dvs. apare deja cu rol read, nu trebuie să creați un al doilea grant.

GET https://graph.microsoft.com/v1.0/drives/DRIVE-ID/items/MAP-ID/permissions

Dacă lipsește grantul, alegeți POST pe aceeași adresă și completați la Request Body următorul JSON. CLIENT-ID-VAN-UW-APP este Application (client) ID al aplicației dvs. de integrare, nu aplicația Graph Explorer. Folosiți exclusiv rolul read.

{
  "roles": ["read"],
  "grantedToV2": {
    "application": {
      "id": "CLIENT-ID-VAN-UW-APP"
    }
  }
}

Alegeți Run query. O adăugare reușită returnează 201 Created. Verificați în răspuns rolul read și client ID-ul și păstrați permission ID-ul (id) pentru verificări sau revocări ulterioare.
Repetați acest lucru doar pentru fiecare alt folder pe care doriți în mod conștient să îl conectați. Fiecare folder conectat are propriul grant.

Grantul pe folder întrerupe moștenirea

Microsoft întrerupe moștenirea permisiunilor pe folderul pe care setați un grant de aplicație. Permisiunile existente ale utilizatorilor pentru folder sunt copiate în acel moment, dar modificările ulterioare ale permisiunilor site-ului sau bibliotecii părinte nu se mai aplică automat acestui folder. De aceea, după acordare verificați permisiunile utilizatorilor pentru folder și gestionați-le de acum înainte direct pe folder. Țineți cont de limita Microsoft pentru permisiuni unice per bibliotecă. Nu readuceți folderul la permisiuni moștenite: astfel dispare și grantul aplicației.

Subfoldere și fișiere cu permisiuni proprii. Subfolderele și fișierele care moștenesc permisiunile folderului ales sunt acoperite de grant. Dacă un subfolder sau un fișier are permisiuni proprii (moștenire întreruptă) fără aplicație, aplicația nu îl poate citi. AI-School omite complet un astfel de subfolder și raportează numărul în lista de surse; documentele importate anterior din el sunt retrase. Un folder vecin sau o altă bibliotecă nu pot fi citite niciodată.

Grant pe site (alternativă)

Dacă folosiți Sites.Selected, găsiți ID-ul site-ului cu GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl, verificați granturile existente cu GET .../sites/SITE-ID/permissions și, dacă este necesar, adăugați grantul cu POST pe aceeași adresă:

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

Un grant pe site oferă aplicației acces de citire la întregul site. AI-School importă doar folderul ales, dar acest filtru nu este o limită de autorizare Microsoft.

4. Conectați folderul și verificați rezultatul

Deschideți Administrare → Bază de cunoștințe → Adăugare → Foldere SharePoint → Conectare folder. Completați URL-ul real al folderului, din bara de adrese a bibliotecii sau din OneDrive (nu un link de invitație), și la Accesul Microsoft al aplicației organizației alegeți permisiunea pe folder (grant pe folder) sau permisiunea pe site (grant pe site). Pentru un grant pe folder, completați drive ID-ul și item ID-ul de la pasul 3. AI-School citește apoi doar acel folder și verifică dacă URL-ul folderului corespunde ID-urilor; în caz de diferență, conectarea este refuzată. Poate fi conectat și un folder din OneDrive for Business, dar acesta aparține unui singur angajat: dacă angajatul pleacă, folderul dispare și, odată cu el, sursa de cunoștințe. Pentru cunoștințe de durată, folosiți de preferință un site SharePoint. Alegeți domeniul, audiența și starea publicării conform manualului bazei de cunoștințe.

Verificați cu Reîmprospătați dacă documentele au fost procesate fără erori. Folosiți Sincronizați acum pentru o nouă verificare și apoi adresați o întrebare concretă în chat despre un document importat. Verificați că răspunsul menționează sursa corectă de cunoștințe centrală.

Accesul Microsoft și drepturile bazei de cunoștințe sunt două lucruri diferite

Grantul determină ce folder poate citi aplicația. Ce utilizatori primesc documentele importate determină drepturile bazei de cunoștințe din AI-School (școală, audiență, departamente). Drepturile individuale SharePoint nu sunt preluate. De aceea, conectați conținut restricționat al unei secții sau echipe doar cu o audiență a bazei de cunoștințe la fel de restricționată.

5. Revocarea grantului

Eliminați grantul cu DELETE pe https://graph.microsoft.com/v1.0/drives/DRIVE-ID/items/MAP-ID/permissions/PERMISSION-ID (grant pe site: .../sites/SITE-ID/permissions/PERMISSION-ID). Revocarea admin consent blochează aplicația pentru toate granturile deodată.

La următoarea verificare, AI-School nu mai are acces la folder. Toate documentele din acea sursă nu mai sunt oferite, nici în răspunsurile din chat, iar lista de surse arată că Microsoft refuză accesul. Acest lucru nu se întâmplă imediat: verificarea automată rulează la fiecare 15 minute pentru cel mult 20 de surse pe rundă, deci cu mai multe surse durează mai mult. Folosiți Sincronizați acum sau Deconectați pentru un efect imediat. Același lucru este valabil pentru un folder mutat sau șters.

Problemă	Verificare în partea Microsoft
Login funcționează, dar folderul central nu	Dreptul aplicației trebuie să fie de tip Application și să aibă admin consent; verificați și grantul separat pe folder sau site.
„Microsoft refuză accesul la folder”	Director Microsoft corect, drive ID, ID-ul folderului, client ID și grant `read`; a fost folderul mutat, șters sau readus la permisiuni moștenite?
Conectare refuzată deși grantul există	URL-ul folderului nu corespunde ID-urilor completate. Copiați din nou URL-ul din bibliotecă și verificați `webUrl` în răspunsul Graph.
Avertisment despre drepturi suplimentare	Eliminați drepturile largi de aplicație și, la un grant pe folder, `Sites.Selected` împreună cu grantul pe site.
Subfoldere omise	Acele subfoldere au permisiuni proprii fără aplicație. Lăsați-le să moștenească permisiunile sau acordați-le în mod conștient un grant `read` propriu.
`403` la acțiunea de administrare în Graph Explorer	Delegated `Sites.FullControl.All`, permisiunea acordată, rolul de administrator și accesul la site. Nu adăugați un drept larg aplicației de integrare ca soluție.
„Aplicația organizației nu s-a putut conecta la Microsoft”	Rugați administrarea platformei să actualizeze noua valoare Value a secretului în Microsoft Identity Provider-ul corect; verificați admin consent.

Pentru OnderwijsSupport pe AI-Corporate, conexiunea centrală cu grant pe site a fost publicată și testată la 14 octombrie 2026. Grantul pe folder este disponibil imediat ce versiunea respectivă este publicată. Disponibilitatea pe AI-School, AI-Public sau un alt mediu trebuie confirmată de administrarea platformei.

Documentație Microsoft: Selected permissions, adăugare grant pe un folder, codificarea unui URL de partajare și adăugare grant pe site.

Aplicație Entra proprie​

Ce aveți nevoie?​

1. Înregistrați o singură aplicație organizațională​

2. Configurați URL-urile corecte de redirecționare​

3. Creați un client secret și atribuiți drepturi​

4. Conectați aplicația în două locuri la mediul AI​

5. Activați integrările și acțiunile de scriere​

6. Verificați configurarea​

Rezolvarea problemelor​

Mai multe informații​

Baza de cunoștințe centrală SharePoint: configurarea Microsoft​

1. Verificați aplicația organizațională​

2. Adăugați dreptul aplicației și acordați admin consent​

3. Oferiți aplicației acces de citire la folder sau la site​

Grant pe site (alternativă)​

4. Conectați folderul și verificați rezultatul​

5. Revocarea grantului​