Konfigurera Microsoft 365 för din miljö

Det finns två sätt att koppla Microsoft 365 till din AI-School-miljö. Välj först vilken väg som passar din organisation.

Väg	När	Vad du gör
AI-Schools centrala app (standard)	Personliga kopplingar med Outlook Mail, Outlook Kalender, Teams och SharePoint/OneDrive.	En Entra-administratör ger organisationssamtycke via Koppla Microsoft 365. Därefter aktiverar du integrationerna enligt steg 5 i den här artikeln. En egen app, client secret eller Identity Provider behövs inte.
Egen Entra-app	Du vill importera SharePoint-mappar centralt i kunskapsbanken, medarbetare loggar redan in med Microsoft via en egen app, eller du vill själv hantera appen.	Följ den här artikeln från steg 1.

Om din organisation redan loggar in med Microsoft via en egen app (fältet Microsoft ID för miljön är ifyllt), använder alla kopplingar den egna appen. Den centrala vägen gäller då inte.

Egen Entra-app

Med en egen Microsoft Entra-app kan din organisation använda samma app för inloggning med Microsoft och för Outlook, Teams och SharePoint. Du bestämmer centralt vilka integrationer och skrivåtgärder som är tillgängliga. Användarna slår sedan bara på eller av sina personliga kopplingar i Inställningar → Verktyg → Koppelingar.

De personliga integrationerna fungerar med modeller som stöds från OpenAI, Claude, Gemini och Mistral. Den valda modellen måste kunna använda verktyg. Vid personliga kopplingar följer åtkomsten den inloggade Microsoft-användarens rättigheter. Organisationssamtycke loggar inte automatiskt in alla medarbetare och ger inte AI:n självständig åtkomst till alla inkorgar. Den centrala SharePoint-kunskapsbanken använder separata applikationsrättigheter och de befintliga kunskapsbankrättigheterna, som beskrivs längre fram i den här artikeln.

Vad behöver du?

En Microsoft 365-organisation med Microsoft Entra ID och konton med åtkomst till de önskade tjänsterna.
En administratör som får registrera en app och ge organisationssamtycke för de valda Microsoft Graph-rättigheterna. En Azure-prenumerationsroll räcker inte för detta; din Entra-roll måste tillåta detta samtycke.
Administratörsrättigheter i rätt AI-miljö för att göra integrationerna tillgängliga.
En plattformsadministratör som kan konfigurera Microsoft Identity Provider för den här AI-miljön i Google Cloud Identity Platform.
En app registration i din egen Microsoft-katalog, med en client secret och de två omdirigerings-URL:erna för rätt varumärke.

Att logga in med Microsoft och få åtkomst till Microsoft-data är två separata funktioner. En fungerande Microsoft-inloggning betyder inte att Outlook, Teams eller SharePoint redan är konfigurerat.

1. Registrera en organisationsapp

Öppna Microsoft Entra-administrationscentret och gå till App registrations → New registration. Använd ett igenkännbart namn, till exempel AI-School – ditt organisationsnamn. Välj för en egen organisation Accounts in this organizational directory only (Single tenant).

Spara följande uppgifter från Overview:

Uppgift	Vad används den till?
Directory (tenant) ID	Microsoft-katalogen för din organisation; detta går in i fältet Microsoft ID i AI-miljön.
Application (client) ID	Den registrerade appen; detta går in i Microsoft Identity Provider.

Dessa två ID:n är olika. Ange inte client ID eller Firebase-tenant-ID i Microsoft ID.

2. Ställ in rätt omdirigerings-URL:er

Gå till Authentication → Add a platform → Web. Lägg till båda URL:erna nedan för ditt varumärke, exakt som de visas. Den första hanterar inloggningen; den andra hanterar samtycke för arbetskonto-integrationerna.

Varumärke	Inloggning med Microsoft	Arbetskonto-integrationer
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Använd URL:erna för det varumärke som din miljö körs på. Ditt eget organisationsnamn eller tenant-ID behöver inte anges i dessa URL:er. Webbplats-URL, dashboard-URL och .web.app-URL ersätter inte dessa callbacks. Registrera dem som Web, även om du använder integrationen från en webbläsare. Du behöver inte aktivera implicit tokenutgivning eller public client flow för detta.

3. Skapa en client secret och tilldela rättigheter

Gå till Certificates & secrets → Client secrets → New client secret. Välj en lämplig giltighetstid och spara Value säkert så snart den visas. Lämna värdet via den överenskomna säkra kanalen för plattformsadministration; Secret ID är inte client secret. Håll koll på utgångsdatumet och ersätt secret före det datumet, även i Identity Provider.

Gå sedan till API permissions → Add a permission → Microsoft Graph → Delegated permissions. Lägg bara till de rättigheter som behövs för de integrationer och åtgärder som din organisation ska erbjuda.

Integration	Läsrättigheter	Extra rättigheter för skrivning
Profil / grundläggande	`User.Read`; inloggningsflödet frågar också efter `openid`, `profile`, `email` och `offline_access`	Inga
Outlook Mail	`Mail.Read`	Utkast: `Mail.ReadWrite`. Skicka: `Mail.Send`.
Outlook Kalender	`Calendars.Read`	Skriv: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Publicera: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Denna arbetskonto-integration erbjuder inga skrivåtgärder här.

Mail.ReadWrite ger inte rätt att skicka; för det behövs separat Mail.Send. Teams-publicering skriver textmeddelanden i en vald kanal, inte privata chattmeddelanden. För denna integration använder du Delegated permissions, inte Application permissions. Även för rättigheter med All i namnet begränsas delegerad åtkomst av användarens åtkomst.

Klicka på Grant admin consent for din organisation och kontrollera att de valda rättigheterna visas som beviljade. Då kan medarbetarna använda den godkända åtkomsten utan att själva behöva ge organisationsrättigheter. Microsoft kan fortfarande be om inloggning, MFA eller förnyat samtycke, beroende på din policy.

4. Koppla appen på två ställen till AI-miljön

Låt plattformsadministratören välja rätt miljö och utföra dessa inställningar:

I Admin → Miljö → Tenant: aktivera inloggningsmetoden Microsoft och ange Directory (tenant) ID i fältet Microsoft ID.
I Google Cloud → Identity Platform → den aktuella tenant → Identity providers → Microsoft: aktivera providern och ange Application (client) ID och client secret Value från samma Entra-app.

Identity Provider hör till Firebase/Identity Platform-tenant för din AI-miljö, inte till en annan organisation eller den allmänna Admin-miljön. Arbetskonto-integrationen använder appen från denna provider på nytt. Client secret ska inte anges i användarinställningar, chattmeddelanden eller vanliga miljöfält.

Lämna till plattformsadministration organisationsnamnet, varumärket, Directory ID, client ID, secretvärdet via den säkra kanalen, utgångsdatumet och de önskade integrationerna/rättigheterna. Ett app-ID ensamt räcker inte.

5. Aktivera integrationerna och skrivåtgärderna

Öppna administrationsmiljön för din organisation → Tools → MCP. Slå på integrationen Microsoft 365 under Suite-snelkoppelingen. Microsoft-raderna blir synliga; när hela sviten är avstängd förblir dessa rader dolda.

Välj per integration om den ska vara tillgänglig. I kolumnen Skrivåtgärder väljer du separat:

Outlook Mail → Utkast: skapa och ändra utkast.
Outlook Mail → Skicka: skicka ett befintligt utkast.
Outlook Kalender → Skriv: skapa och ändra möten.
Microsoft Teams → Publicera: lägg textmeddelanden i en vald Teams-kanal.

Klicka på Spara. En skrivåtgärd fungerar bara om både integrationen och den tillhörande administrationsrättigheten är påslagna, Microsoft har beviljat de nödvändiga rättigheterna och användaren har slagit på kopplingen personligen. Användaren får inget extra formulär för skrivrättigheter för detta.

Tillgänglighet

Inställningarna måste också stödjas av backend för ditt varumärke. Den här skrivutökningen publicerades och testades den 7 oktober 2026 för OnderwijsSupport på AI-Corporate. Det betyder inte automatiskt att samma utökning redan har släppts för AI-School, AI-Public eller någon annan miljö. Be plattformsadministration om bekräftelse när skrivåtgärder saknas.

6. Kontrollera konfigurationen

Låt en användare logga in på rätt AI-miljö och aktivera den önskade integrationen enligt Använda Microsoft-integrationer. Kontrollera att Microsoft visar namnet på din egen Entra-app.

Testa först ett igenkännbart utkast och ett möte utan deltagare. Kontrollera de sparade objekten i Outlook. Testa sedan skicka med en avtalad testmottagare och Teams-publicering i en avtalad testkanal. Ett möte med deltagare kan skicka inbjudningar eller uppdateringar. Ett accepterat skicka-kommando är ännu inte en bekräftad leverans.

Vid utökning av rättigheter försöker kopplingen förnya tokens. Om Microsoft kräver ny inloggning eller nytt samtycke, låt användaren ansluta om den befintliga kopplingen. Det behöver inte skapas en andra app eller en separat användarinställning.

Felsökning

Problem	Kontroll
`AADSTS50011` / redirect mismatch	Båda callbacks exakt registrerade som Web, för rätt varumärke.
Ett annat appnamn visas vid samtycke	Rätt AI-miljö, Directory ID och tenant-specifik Microsoft Identity Provider; anslut sedan på nytt.
Inloggning fungerar, men inte integrationen	Kontrollera även connectorcallback, Graph-rättigheter och organisationssamtycke.
Läsning fungerar, skrivning inte	Kontrollera administrationsrättighet, tillhörande delegerad Graph-rättighet, beviljat samtycke och backend-tillgänglighet.
Client secret ogiltig eller utgången	Den Value, inte Secret ID; uppdatera den nya secret även i Identity Provider.
Integration saknas för användaren	Kontrollera tillgänglighet i Tools, användarrättigheter för kopplingar och den valda AI-miljön.

Mer information

Central SharePoint-kunskapsbank: konfigurera Microsoft

En centralt kopplad mapp fungerar via organisationsappen, utan att varje medarbetare aktiverar en personlig SharePoint-koppling. För detta krävs två separata samtycken: en applikationsrättighet med admin consent, samt ett read-grant på exakt den mapp (eller sajt) som appen får läsa. En fungerande Microsoft-inloggning eller bara admin consent ger ännu ingen åtkomst.

Det finns två sätt. Välj ett sätt per kopplad mapp; AI-miljön faller aldrig automatiskt tillbaka på det andra.

	Mappgrant (rekommenderas)	Sitegrant
Applikationsrättighet	`Files.SelectedOperations.Selected`	`Sites.Selected`
Grant på	Den valda mappen i ett dokumentbibliotek	Hela sajten
Vad appen kan läsa	Den här mappen och undermappar som ärver grantet	Alla bibliotek och mappar på sajten
Befintlig SharePoint-struktur	Behålls; ingen separat sajt behövs	Helst en separat sajt för delad kunskap
Följd i SharePoint	Mappens arv av rättigheter bryts (se nedan)	Ingen följd för arv

1. Kontrollera organisationsappen

Använd samma single-tenant app registration som för Microsoft-inloggning i din AI-miljö. En befintlig app kan utökas; en andra integrationsapp behövs inte. Kontrollera i Microsoft Entra → App registrations → din app → Overview Directory (tenant) ID och Application (client) ID. Använd client ID nedan, inte Object ID.

Directory ID måste stå i Admin → Miljö → Tenant → Microsoft ID. Client ID och Value för ett giltigt client secret måste finnas hos Microsoft Identity Provider för exakt den AI-miljön. Denna konfiguration underhålls av plattformsadministration. Ett utgånget secret förhindrar också den centrala importen; håll koll på utgångsdatumet och byt ut secret i god tid.

Den centrala serveranslutningen använder client_credentials och begär ingen extra redirect-URL. De befintliga Web-redirects för inloggning och personliga arbetskonto-integrationer behövs fortfarande; använd de varumärkesbundna URL:erna från tabellen tidigare i den här artikeln.

Öppna API permissions → Add a permission → Microsoft Graph → Application permissions.
Sök efter Files.SelectedOperations.Selected (mappgrant) eller Sites.Selected (sitegrant), välj rättigheten och klicka på Add permissions.
Låt en behörig Entra-administratör utföra Grant admin consent for din organisation.
Kontrollera att rättigheten, typ Application, visas som beviljad.

Kunskapsbankappen behöver bara läsrättigheter. Ge den ingen applikationsrättighet Sites.Read.All, Files.Read.All, Sites.ReadWrite.All, Files.ReadWrite.All eller Sites.FullControl.All. Sådana breda rättigheter ger åtkomst utanför den valda mappen och döljer ett saknat eller återkallat mappgrant. Väljer du mappgrant, ta då också bort ett tidigare tillagt Sites.Selected och tillhörande sitegrant, så att mappgrantet är den enda gränsen. Källistan i AI-School varnar när appen har sådana ytterligare rättigheter.

De delegerade rättigheterna för personliga Outlook-, Teams- och SharePoint-kopplingar kan ligga kvar på samma app. De ersätter inte applikationsrättigheten för den centrala kunskapsbanken.

3. Ge appen läsåtkomst till mappen eller siten

Den här administratörsåtgärden kan göras med Microsoft Graph Explorer. Använd ett administratörskonto i samma Microsoft-katalog, med SharePoint Administrator eller en högre lämplig administratörsroll och åtkomst till den aktuella sajten. En Azure-prenumerationsroll eller bara ägarskap av appen räcker inte för detta.

Logga in administratörskontot i Graph Explorer och kontrollera den visade organisationen.
Öppna din profilmeny → Consent to permissions, sök efter Sites.FullControl.All och välj Consent. Detta är en delegated administratörsrättighet som Graph Explorer använder för att hantera grants; lägg inte till den som applikationsrättighet på kunskapsbankappen. Använd kontobunden tillåtelse när organisationssamtycke för alla användare inte behövs.
Hitta mappens drive-ID och item-ID. I kopplingsformuläret i AI-School finns det färdiga GET-anropet så snart mapp-URL:en har fyllts i. Du kan också sätta ihop det själv: koda mapp-URL:en som base64url (utan = i slutet) och sätt u! framför.

GET https://graph.microsoft.com/v1.0/shares/u!GECODEERDE-MAP-URL/driveItem?$select=id,name,webUrl,parentReference

I svaret är id mappens item-ID och parentReference.driveId bibliotekets drive-ID (börjar med b!). Kontrollera name och webUrl: det ska vara den mapp du vill dela. Om share-anropet inte fungerar använder du biblioteket och sökvägen:

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite:/drives?$select=id,name,webUrl
GET https://graph.microsoft.com/v1.0/drives/DRIVE-ID/root:/Pad/Naar/Map?$select=id,name,webUrl

Kontrollera först befintliga grants på mappen. Om ditt client ID redan finns där med rollen read behöver du inte skapa ett andra grant.

GET https://graph.microsoft.com/v1.0/drives/DRIVE-ID/items/MAP-ID/permissions

Om grant saknas, välj POST på samma adress och fyll i följande JSON under Request Body. CLIENT-ID-VAN-UW-APP är Application (client) ID för din integrationsapp, inte Graph Explorer-appen. Använd enbart rollen read.

{
  "roles": ["read"],
  "grantedToV2": {
    "application": {
      "id": "CLIENT-ID-VAN-UW-APP"
    }
  }
}

Välj Run query. Ett lyckat tillägg ger 201 Created. Kontrollera i svaret rollen read och client ID och spara permission-ID (id) för senare kontroll eller återkallelse.
Upprepa detta endast för varje annan mapp som du medvetet vill koppla. Varje kopplad mapp har ett eget grant.

Mappgrant bryter arvet

Microsoft bryter arvet av rättigheter på den mapp där du lägger ett applikationsgrant. Mappens befintliga användarrättigheter kopieras i det ögonblicket, men senare ändringar i rättigheterna för den överordnade sajten eller biblioteket gäller inte längre automatiskt för den här mappen. Kontrollera därför mappens användarrättigheter efter tilldelningen och hantera dem fortsättningsvis på själva mappen. Ta hänsyn till Microsofts gräns för unika rättigheter per bibliotek. Återställ inte mappen till ärvda rättigheter: då försvinner också appens grant.

Undermappar och filer med egna rättigheter. Undermappar och filer som ärver rättigheterna från den valda mappen omfattas av grantet. Har en undermapp eller fil egna (brutna) rättigheter utan appen kan appen inte läsa den. AI-School hoppar helt över en sådan undermapp och visar antalet i källistan; tidigare importerade dokument därifrån dras tillbaka. En intilliggande mapp eller ett annat bibliotek kan aldrig läsas.

Sitegrant (alternativ)

Om du använder Sites.Selected, hitta site-ID med GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl, kontrollera befintliga grants med GET .../sites/SITE-ID/permissions och lägg vid behov till grantet med POST på samma adress:

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

Ett sitegrant ger appen läsåtkomst till hela sajten. AI-School importerar bara den valda mappen, men det filtret är ingen auktoriseringsgräns i Microsoft.

4. Koppla mappen och kontrollera resultatet

Öppna Administration → Kunskapsbank → Lägg till → SharePoint-mappar → Koppla mapp. Fyll i den verkliga mapp-URL:en från adressfältet i biblioteket eller i OneDrive (inte en inbjudningslänk) och välj mappgrant eller sitegrant under Organisationsappens Microsoft-åtkomst. Vid mappgrant fyller du i drive-ID och item-ID från steg 3. AI-School läser då bara den mappen och kontrollerar att mapp-URL:en hör till ID:na; vid en avvikelse avvisas kopplingen. En mapp i OneDrive for Business kan också kopplas, men den tillhör en enskild medarbetare: om medarbetaren slutar försvinner mappen och därmed kunskapskällan. Använd helst en SharePoint-site för bestående kunskap. Välj omfattning, målgrupp och publiceringsstatus enligt kunskapsbankguiden.

Kontrollera med Uppdatera om dokumenten har bearbetats utan fel. Använd Synkronisera nu för en ny kontroll och ställ sedan en konkret chattfråga om ett importerat dokument. Kontrollera att svaret nämner rätt central kunskapskälla.

Microsoft-åtkomst och kunskapsbankrättigheter är två olika saker

Grantet avgör vilken mapp appen får läsa. Vilka användare som får de importerade dokumenten avgörs av kunskapsbankrättigheterna i AI-School (skola, målgrupp, avdelningar). Individuella SharePoint-rättigheter följer inte med. Koppla därför slutet sektions- eller teaminnehåll endast med en lika sluten målgrupp i kunskapsbanken.

5. Återkalla grantet

Ta bort grantet med DELETE på https://graph.microsoft.com/v1.0/drives/DRIVE-ID/items/MAP-ID/permissions/PERMISSION-ID (sitegrant: .../sites/SITE-ID/permissions/PERMISSION-ID). Att återkalla admin consent blockerar appen för alla grants samtidigt.

Vid nästa kontroll får AI-School inte längre åtkomst till mappen. Inga dokument från den källan erbjuds då längre, inte heller i chattsvar, och källistan visar att Microsoft nekar åtkomsten. Det sker inte direkt: den automatiska kontrollen körs var 15:e minut för högst 20 källor per omgång, så med fler källor tar det längre tid. Använd Synkronisera nu eller Koppla från för omedelbar effekt. Detsamma gäller för en flyttad eller borttagen mapp.

Problem	Kontroll på Microsoft-sidan
Inloggning fungerar, men den centrala mappen inte	Applikationsrättigheten måste vara av typen Application och ha admin consent; kontrollera dessutom det separata grantet på mappen eller sajten.
"Microsoft nekar åtkomst till mappen"	Rätt Microsoft-katalog, drive-ID, mapp-ID, client ID och `read`-grant; har mappen flyttats, tagits bort eller återställts till ärvda rättigheter?
Koppling avvisad trots att grantet finns	Mapp-URL:en hör inte till de ifyllda ID:na. Kopiera URL:en på nytt från biblioteket och kontrollera `webUrl` i Graph-svaret.
Varning om ytterligare rättigheter	Ta bort breda applikationsrättigheter och, vid mappgrant, `Sites.Selected` med sitegrantet.
Undermappar överhoppade	Dessa undermappar har egna rättigheter utan appen. Låt dem ärva rättigheterna eller ge dem medvetet ett eget `read`-grant.
`403` vid administratörsåtgärden i Graph Explorer	Delegated `Sites.FullControl.All`, beviljat samtycke, administratörsroll och åtkomst till sajten. Lägg inte till en bred rättighet på integrationsappen som lösning.
"Organisationens app kunde inte logga in hos Microsoft"	Låt plattformsadministration uppdatera det nya secret Value i rätt Microsoft Identity Provider; kontrollera admin consent.

För OnderwijsSupport på AI-Corporate publicerades och testades den centrala kopplingen med sitegrant den 14 oktober 2026. Mappgrant är tillgängligt så snart den aktuella releasen har publicerats. Tillgänglighet på AI-School, AI-Public eller en annan miljö måste bekräftas av plattformsadministration.

Microsoft-dokumentation: Selected permissions, lägg till grant på en mapp, koda share-URL och lägg till sitegrant.

Egen Entra-app​

Vad behöver du?​

1. Registrera en organisationsapp​

2. Ställ in rätt omdirigerings-URL:er​

3. Skapa en client secret och tilldela rättigheter​

4. Koppla appen på två ställen till AI-miljön​

5. Aktivera integrationerna och skrivåtgärderna​

6. Kontrollera konfigurationen​

Felsökning​

Mer information​

Central SharePoint-kunskapsbank: konfigurera Microsoft​

1. Kontrollera organisationsappen​

2. Lägg till applikationsrättigheten och ge admin consent​

3. Ge appen läsåtkomst till mappen eller siten​

Sitegrant (alternativ)​

4. Koppla mappen och kontrollera resultatet​

5. Återkalla grantet​