إعداد Microsoft 365 لبيئتكم

هناك طريقتان لربط Microsoft 365 ببيئة AI-Corporate الخاصة بكم. اختاروا أولًا المسار المناسب لمؤسستكم.

المسار	متى	ما الذي تفعلونه
تطبيق مركزي من AI-Corporate (افتراضي)	الارتباطات الشخصية مع Outlook Mail وOutlook Agenda وTeams وSharePoint/OneDrive.	يمنح مدير Entra موافقة المؤسسة عبر ربط Microsoft 365. بعد ذلك تفعّلون التكاملات كما في الخطوة 5 من هذا المقال. لا حاجة إلى تطبيق خاص أو client secret أو مزوّد هوية.
تطبيق Entra خاص	تريدون استيراد مجلدات SharePoint مركزيًا إلى قاعدة المعرفة، أو أن الموظفين يسجّلون دخولهم بالفعل عبر Microsoft باستخدام تطبيقكم الخاص، أو تريدون إدارة التطبيق بأنفسكم.	اتبعوا هذا المقال بدءًا من الخطوة 1.

إذا كانت مؤسستكم تسجّل الدخول بالفعل عبر Microsoft من خلال تطبيق خاص (حقل Microsoft ID في البيئة مُعبّأ)، فإن جميع الارتباطات تستخدم ذلك التطبيق الخاص. عندها لا ينطبق المسار المركزي.

تطبيق Entra خاص

باستخدام تطبيق Microsoft Entra خاص، يمكن لمؤسستكم استخدام التطبيق نفسه من أجل تسجيل الدخول عبر Microsoft ومن أجل Outlook وTeams وSharePoint. أنتم تحددون مركزيًا أي التكاملات وعمليات الكتابة متاحة. بعد ذلك يفعّل المستخدمون ارتباطاتهم الشخصية أو يعطّلونها فقط من التفضيلات → الأدوات → الارتباطات.

تعمل التكاملات الشخصية مع النماذج المدعومة من OpenAI وClaude وGemini وMistral. يجب أن يكون النموذج المختار قادرًا على استخدام الأدوات. في الارتباطات الشخصية تتبع الصلاحية حقوق مستخدم Microsoft الذي سجّل الدخول. موافقة المؤسسة لا تسجّل جميع الموظفين تلقائيًا ولا تمنح الذكاء الاصطناعي وصولًا مستقلًا إلى جميع صناديق البريد. تستخدم قاعدة المعرفة المركزية في SharePoint أذونات تطبيق منفصلة وحقوق قاعدة المعرفة الحالية، كما هو موضح لاحقًا في هذا المقال.

ما الذي تحتاجونه؟

• مؤسسة Microsoft 365 مع Microsoft Entra ID وحسابات لديها وصول إلى الخدمات المطلوبة.
• مدير يُسمح له بتسجيل تطبيق ومنح موافقة المؤسسة على أذونات Microsoft Graph المختارة. لا يكفي دور اشتراك Azure وحده لذلك؛ يجب أن يسمح دور Entra بهذه الموافقة.
• صلاحيات إدارة في بيئة AI المناسبة لجعل التكاملات متاحة.
• مدير منصة يمكنه إعداد موفر هوية Microsoft لهذه البيئة في Google Cloud Identity Platform.
• App registration في دليل Microsoft الخاص بكم، مع client secret وعنواني إعادة التوجيه الخاصين بالعلامة المناسبة.

تسجيل الدخول عبر Microsoft والوصول إلى بيانات Microsoft هما ميزتان منفصلتان. مجرد عمل تسجيل دخول Microsoft لا يعني أن Outlook أو Teams أو SharePoint قد تم إعدادها.

1. سجّل تطبيقًا تنظيميًا واحدًا

افتحوا مركز إدارة Microsoft Entra وانتقلوا إلى App registrations → New registration. استخدموا اسمًا واضحًا، مثل AI-Corporate – اسم مؤسستكم. لمؤسسة خاصة اختاروا Accounts in this organizational directory only (Single tenant).

احتفظوا بالبيانات التالية من Overview:

البيانات	لما تُستخدم؟
Directory (tenant) ID	دليل Microsoft الخاص بمؤسستكم؛ وهذا يذهب إلى حقل Microsoft ID في بيئة AI.
Application (client) ID	التطبيق المسجّل؛ وهذا يذهب إلى موفر هوية Microsoft.

هاتان الـ ID مختلفتان. لا تُدخلوا client ID أو Firebase tenant ID في حقل Microsoft ID.

2. اضبطوا عناوين إعادة التوجيه الصحيحة

انتقلوا إلى Authentication → Add a platform → Web. أضيفوا لعلامتكم كِلتا الرابطين أدناه، تمامًا كما هو معروض. الأول يعالج تسجيل الدخول؛ والثاني يعالج الموافقة على تكاملات حساب العمل.

العلامة	تسجيل الدخول عبر Microsoft	تكاملات حساب العمل
AI-School	https://ai-school-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporate	https://ai-corporate.firebaseapp.com/__/auth/handler	https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Public	https://ai-public-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

استخدموا عناوين URL الخاصة بالعلامة التي تعمل عليها بيئتكم. لا حاجة إلى إدخال اسم مؤسستكم أو tenant ID داخل هذه العناوين. عنوان الموقع الإلكتروني، وعنوان لوحة التحكم، وعنوان .web.app لا تحل محل هذه callbacks. سجّلوها كـ Web، حتى لو كنتم تستخدمون التكامل من المتصفح. لا تحتاجون هنا إلى تفعيل الإصدار الضمني للرموز أو public-client-flow.

3. أنشئوا client secret ومنحوا الأذونات

انتقلوا إلى Certificates & secrets → Client secrets → New client secret. اختاروا مدة مناسبة واحفظوا Value بأمان بمجرد أن تصبح مرئية. سلّموا القيمة عبر القناة الآمنة المتفق عليها لإدارة المنصة؛ وSecret ID ليس هو client secret. تابعوا تاريخ الانتهاء واستبدلوا السر قبل ذلك التاريخ، وكذلك في Identity Provider.

بعد ذلك انتقلوا إلى API permissions → Add a permission → Microsoft Graph → Delegated permissions. أضيفوا فقط الأذونات الخاصة بالتكاملات والإجراءات التي ستقدّمها مؤسستكم.

التكامل	أذونات القراءة	أذونات إضافية للكتابة
الملف الشخصي / الأساسي	User.Read; تدفق تسجيل الدخول يطلب أيضًا openid وprofile وemail وoffline_access	لا شيء
Outlook Mail	Mail.Read	المسودات: Mail.ReadWrite. الإرسال: Mail.Send.
Outlook Agenda	Calendars.Read	الكتابة: Calendars.ReadWrite.
Microsoft Teams	Chat.Read, ChannelMessage.Read.All	النشر: Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Send.
SharePoint / OneDrive	Sites.Read.All, Files.Read.All	هذا التكامل لحساب العمل لا يوفّر عمليات كتابة هنا.

Mail.ReadWrite لا يمنح حق الإرسال؛ لذلك يلزم Mail.Send بشكل منفصل. النشر في Teams يكتب رسائل نصية في قناة مختارة، وليس رسائل دردشة خاصة. لهذا التكامل استخدموا Delegated permissions، وليس Application permissions. وحتى مع الأذونات التي تحتوي على All في الاسم، يبقى الوصول المفوَّض محدودًا بصلاحيات المستخدم.

انقروا Grant admin consent for مؤسستكم وتحققوا من أن الأذونات المختارة تظهر على أنها ممنوحة. هكذا يستطيع الموظفون استخدام الوصول المعتمد دون الحاجة إلى منح صلاحيات مؤسسة بأنفسهم. قد يطلب Microsoft مع ذلك تسجيل الدخول أو MFA أو إعادة الموافقة، وفقًا لسياساتكم.

4. اربطوا التطبيق بالبيئة في مكانين

ليقم مدير المنصة بتحديد البيئة الصحيحة وتنفيذ الإعدادات التالية:

1. في Admin → Omgeving → Tenant: فعّلوا طريقة تسجيل الدخول Microsoft وأدخلوا في Microsoft ID قيمة Directory (tenant) ID.
2. في Google Cloud → Identity Platform → المستأجر المعني → Identity providers → Microsoft: فعّلوا المزوّد وأدخلوا Application (client) ID وclient secret Value من التطبيق نفسه في Entra.

موفر الهوية يتبع مستأجر Firebase/Identity Platform الخاص ببيئة AI لديكم، وليس مؤسسة أخرى أو بيئة Admin العامة. يستخدم تكامل حساب العمل التطبيق الموجود في هذا المزوّد من جديد. لا ينبغي أن يكون client secret ضمن تفضيلات المستخدم أو رسائل الدردشة أو حقول البيئة العادية.

قدّموا لإدارة المنصة اسم المؤسسة، والعلامة، وDirectory ID، وclient ID، وقيمة السر عبر القناة الآمنة، وتاريخ الانتهاء، والتكاملات/الأذونات المطلوبة. لا يكفي معرف التطبيق وحده.

5. فعّلوا التكاملات وعمليات الكتابة

افتحوا beheeromgeving van uw organisatie → Tools → MCP. فعّلوا التكامل Microsoft 365 ضمن Suite-snelkoppelingen. ستظهر صفوف Microsoft؛ وإذا كانت الحزمة كلها متوقفة، فستبقى هذه الصفوف مخفية.

اختاروا لكل تكامل ما إذا كان متاحًا. في عمود Schrijfacties اختاروا بشكل منفصل:

• Outlook Mail → Concepten: إنشاء المسودات وتعديلها.
• Outlook Mail → Verzenden: إرسال مسودة موجودة فعليًا.
• Outlook Agenda → Schrijven: إنشاء المواعيد وتعديلها.
• Microsoft Teams → Posten: وضع رسائل نصية في قناة Teams مختارة.

انقروا Opslaan. تعمل عملية الكتابة فقط إذا كان كل من التكامل وأذونات الإدارة المرتبطة به مفعّلة، وكان Microsoft قد منح الأذونات اللازمة، وكان المستخدم قد فعّل الارتباط شخصيًا. لا يحصل المستخدم على نموذج صلاحيات كتابة إضافي لهذا.

التوفر

يجب أن تكون الإعدادات مدعومة أيضًا من الخلفية الخاصة بعلامتكم. تم نشر هذا التوسّع في الكتابة واختباره موجهًا في 7 أكتوبر 2026 لـ OnderwijsSupport على AI-Corporate. هذا لا يعني تلقائيًا أن التوسعة نفسها قد تم تفعيلها بالفعل لـ AI-School أو AI-Public أو أي بيئة أخرى. اطلبوا تأكيدًا من إدارة المنصة عندما تكون عمليات الكتابة مفقودة.

6. تحقّقوا من الإعداد

اطلبوا من مستخدم تسجيل الدخول إلى بيئة AI الصحيحة وتفعيل التكامل المطلوب وفق استخدام تكاملات Microsoft. تحقّقوا من أن Microsoft يعرض اسم تطبيق Entra الخاص بكم.

اختبروا أولًا مسودة معروفة وموعدًا بدون مشاركين. تحقّقوا من العناصر المحفوظة في Outlook. بعد ذلك اختبروا الإرسال باستخدام مستلم اختبار متفق عليه، ثم النشر في Teams داخل قناة اختبار متفق عليها. الموعد مع المشاركين قد يرسل دعوات أو تحديثات. أمر الإرسال المقبول ليس بعدُ تسليمًا مؤكدًا.

عند توسيع الأذونات تحاول الارتباطات تحديث الرموز. إذا طلب Microsoft تسجيل الدخول أو الموافقة مرة أخرى، فليعد المستخدم ربط الارتباط الحالي. لا حاجة لإنشاء تطبيق ثانٍ أو إعداد مستخدم منفصل.

استكشاف المشكلات

المشكلة	التحقق
AADSTS50011 / redirect mismatch	تم تسجيل كلا callbackين بدقة كـ Web، وللعلامة الصحيحة.
يظهر اسم تطبيق آخر عند الموافقة	بيئة AI الصحيحة، وDirectory ID، وموفر هوية Microsoft الخاص بالمستأجر؛ ثم أعيدوا الاتصال.
تسجيل الدخول يعمل، لكن التكامل لا يعمل	تحقّقوا أيضًا من callback الخاص بالموصل، وأذونات Graph، وموافقة المؤسسة.
القراءة تعمل، والكتابة لا تعمل	تحقّقوا من حق الإدارة، وحق Graph المفوَّض المرتبط، والموافقة الممنوحة، وتوفر الخلفية.
client secret غير صالح أو منتهي	Value، وليس Secret ID؛ حدّثوا السر الجديد أيضًا في Identity Provider.
التكامل غير ظاهر للمستخدم	تحقّقوا من التوفر في Tools، وصلاحيات المستخدم للارتباطات، وبيئة AI المختارة.

مزيد من المعلومات

• إدارة الأدوات
• استخدام تكاملات Microsoft
• Microsoft: تسجيل تطبيق
• Microsoft: عناوين إعادة التوجيه
• Microsoft Graph: مرجع الأذونات

قاعدة معرفة SharePoint المركزية: إعداد Microsoft

يعمل مجلد مرتبط مركزيًا عبر التطبيق التنظيمي، دون أن يفعّل كل موظف رابط SharePoint شخصيًا. لهذا يلزم تفويضان منفصلان: إذن التطبيق Sites.Selected مع admin consent، وread-grant على موقع SharePoint المختار. لا يكفي تسجيل دخول Microsoft يعمل أو admin consent فقط.

1. تحقّقوا من التطبيق التنظيمي

استخدموا نفس single-tenant app registration المستخدم لتسجيل الدخول عبر Microsoft في بيئة AI لديكم. يمكن توسيع تطبيق موجود؛ ولا حاجة إلى تطبيق تكامل ثانٍ. تحقّقوا في Microsoft Entra → App registrations → تطبيقكم → Overview من Directory (tenant) ID وApplication (client) ID. استخدموا client ID أدناه، وليس Object ID.

يجب أن تكون Directory ID داخل Admin → Omgeving → Tenant → Microsoft ID. يجب أن يكون client ID وValue الخاصة بـ client secret صالح موجودين لدى موفر هوية Microsoft الخاص بتلك البيئة تحديدًا. تتم إدارة هذا الإعداد بواسطة إدارة المنصة. السر المنتهي يمنع أيضًا الاستيراد المركزي؛ تابعوا تاريخ الانتهاء.

يستخدم الاتصال المركزي بالخادم client_credentials ولا يطلب عنوان إعادة توجيه إضافيًا. تبقى عمليات إعادة التوجيه Web الحالية لتسجيل الدخول وتكاملات حساب العمل الشخصية مطلوبة؛ استخدموا عناوين URL الخاصة بالعلامة من الجدول السابق في هذا المقال.

2. أضيفوا إذن التطبيق وامنحوا admin consent

1. افتحوا API permissions → Add a permission → Microsoft Graph → Application permissions.
2. ابحثوا عن Sites.Selected، وحددوا هذا الحق وانقروا Add permissions.
3. اطلبوا من مدير Entra المخوّل تنفيذ Grant admin consent for مؤسستكم.
4. تحقّقوا من أن Sites.Selected، بنوع Application، يظهر على أنه ممنوح.

يمكن أن تبقى الأذونات المفوَّضة لارتباطات Outlook وTeams وSharePoint الشخصية على التطبيق نفسه. وهي لا تستبدل إذن التطبيق لقاعدة المعرفة المركزية. لهذا الاستيراد المركزي لا يلزم إذن تطبيق Sites.Read.All أو Sites.ReadWrite.All أو Sites.FullControl.All.

3. امنحوا التطبيق وصول قراءة منفصلًا إلى الموقع

يمكن تنفيذ هذا الإجراء الإداري عبر Microsoft Graph Explorer. استخدموا حسابًا إداريًا في دليل Microsoft نفسه، مع دور SharePoint Administrator أو دور إداري مناسب أعلى، وبوصول إلى الموقع المعني. لا يكفي دور اشتراك Azure أو مجرد ملكية التطبيق لذلك.

1. سجّلوا دخول الحساب الإداري في Graph Explorer وتحققوا من المؤسسة المعروضة.
2. افتحوا profile menu → Consent to permissions، وابحثوا عن Sites.FullControl.All واختروا Consent لمنح الإذن المطلوب لـ Graph Explorer في هذا السياق الإداري. في بعض الاستعلامات يمكنكم أيضًا فتح لوحة الأذونات الكاملة عبر Modify Permissions → Open the permissions panel. هذا delegated beheerecht لإدارة sitegrants؛ لا تضيفوه كإذن تطبيق واسع على تطبيق قاعدة المعرفة. استخدموا موافقة مرتبطة بالحساب عندما لا تكون موافقة المؤسسة لجميع المستخدمين مطلوبة.
3. ابحثوا عن site-ID باستخدام GET أدناه. استبدلوا المضيف المثال ومسار الموقع بما يناسب مجلدكم. عند وجود URL يحتوي على /teams/ استخدموا هذا المسار بدلًا من /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

القيمة id في الرد هي site-ID الكامل، بما في ذلك اسم المضيف وGUIDان. تحقّقوا أيضًا من displayName وwebUrl: يجب أن تكون المنحة على الموقع الذي يوجد فيه مجلدكم بالفعل.

4. تحقّقوا أولًا من المنح الموجودة عبر GET على العنوان أدناه. إذا كان client ID الخاص بكم موجودًا هناك بالفعل مع الدور read, فلا حاجة لإنشاء grant ثانٍ. دعوا أي منح أوسع أو مختلفة موجودة يراجعها مسؤول Microsoft لديكم.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

5. إذا كانت المنحة مفقودة، اختاروا POST، واستخدموا نفس العنوان واملؤوا Request Body بـ JSON التالي. استبدلوا القيمتين المثاليتين؛ CLIENT-ID-VAN-UW-APP هو Application (client) ID لتطبيق التكامل لديكم، وليس تطبيق Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

6. اختاروا Run query. إضافة ناجحة تعطي 201 Created. تحقّقوا في الرد من الدور read وclient ID؛ قد يعرض Graph ذلك تحت grantedToIdentitiesV2. بعد ذلك تحقّقوا مرة أخرى عبر GET. احتفظوا بمعرّف الأذونات للإدارة وأي سحب لاحق محتمل.
7. كرروا ذلك فقط لكل موقع آخر تريدون ربط مجلدات قاعدة معرفة به عن قصد.

sitegrant وحقوق قاعدة المعرفة

تمنح منحة Microsoft التطبيق وصول قراءة إلى كامل الموقع المختار. تستورد بيئة AI فقط المجلد المختار والمجلدات الفرعية. يُفضَّل استخدام موقع منفصل للمعرفة المراد مشاركتها مركزيًا. تحدد حقوق قاعدة المعرفة الحالية أي المستخدمين يحصلون على المستندات المستوردة؛ ولا تُنقل حقوق SharePoint الفردية.

4. اربطوا المجلد وتحققوا من النتيجة

افتحوا Beheer → Kennisbank → Toevoegen → SharePoint-mappen → Map koppelen واستخدموا عنوان URL الحقيقي للمجلد، وليس رابط دعوة أو عنوان نظرة عامة على OneDrive. اختاروا النطاق، والجمهور المستهدف، وحالة النشر وفق دليل قاعدة المعرفة. لا تتطلب مصدرًا مركزيًا موصلًا شخصيًا في تفضيلات المستخدم.

تحقّقوا عبر Vernieuwen من معالجة المستندات دون أخطاء. استخدموا Nu synchroniseren لفحص جديد، ثم اطرحوا سؤالًا محددًا في الدردشة حول مستند مستورد. تحقّقوا من أن الرد يذكر مصدر المعرفة المركزي الصحيح.

المشكلة	التحقق من جهة Microsoft
تسجيل الدخول يعمل، لكن المجلد المركزي لا يعمل	يجب أن يكون Sites.Selected من نوع Application وأن تكون لديه موافقة admin consent؛ وتحققوا أيضًا من sitegrant المنفصل.
403 Forbidden عند الوصول إلى المجلد	دليل Microsoft الصحيح، وsite-ID، وclient ID، وread-grant؛ admin consent وحده لا يمنح وصولًا إلى الموقع.
403 أثناء الإجراء الإداري في Graph Explorer	Sites.FullControl.All المفوَّض، والموافقة الممنوحة، ودور الإدارة، والوصول إلى الموقع الهدف. لا تضيفوا حقًا واسعًا إلى تطبيق التكامل كحل.
الموقع يعمل، لكن المجلد غير موجود	تحقّقوا من عنوان URL الحقيقي للمجلد، ومكتبة المستندات، ومسار الموقع؛ قد يشير اختصار OneDrive إلى موقع آخر.
السر منتهي أو غير صالح	اطلبوا من إدارة المنصة تحديث Value للسر الجديد في موفر هوية Microsoft الصحيح.

بالنسبة إلى OnderwijsSupport على AI-Corporate، تم نشر هذا الارتباط المركزي واختباره في 14 أكتوبر 2026. يجب أن تؤكد إدارة المنصة التوفر على AI-School أو AI-Public أو أي بيئة أخرى.

توثيق Microsoft: Selected permissions، إضافة sitegrant، والتحقق من sitegrants.