Konfigurer Microsoft 365 til dit miljø

Der er to måder at forbinde Microsoft 365 til dit AI-Corporate-miljø på. Vælg først den løsning, der passer til din organisation.

Løsning	Hvornår	Hvad du gør
AI-Corporates centrale app (standard)	Personlige forbindelser til Outlook Mail, Outlook Kalender, Teams og SharePoint/OneDrive.	En Entra-administrator giver organisationstilladelse via Forbind Microsoft 365. Derefter aktiverer du integrationerne som i trin 5 i denne artikel. Der er ikke behov for en egen app, client secret eller Identity Provider.
Egen Entra-app	Du vil centralt importere SharePoint-mapper i vidensbanken, medarbejdere logger allerede ind med Microsoft via en egen app, eller du vil selv administrere appen.	Følg denne artikel fra trin 1.

Logger jeres organisation allerede ind med Microsoft via en egen app (feltet Microsoft ID i miljøet er udfyldt), så bruger alle forbindelser den egen app. Den centrale løsning er i så fald ikke relevant.

Egen Entra-app

Med en egen Microsoft Entra-app kan jeres organisation bruge den samme app til log ind med Microsoft og til Outlook, Teams og SharePoint. Du bestemmer centralt, hvilke integrationer og skrivehandlinger der er tilgængelige. Brugerne slår derefter kun deres personlige forbindelser til eller fra i Indstillinger → Tools → Forbindelser.

De personlige integrationer fungerer med understøttede modeller fra OpenAI, Claude, Gemini og Mistral. Den valgte model skal kunne bruge tools. Ved personlige forbindelser følger adgangen den loggede Microsoft-brugers rettigheder. Organisationstilladelse logger ikke automatisk alle medarbejdere ind og giver ikke AI selvstændig adgang til alle postkasser. Den centrale SharePoint-vidensbank bruger separate app-rettigheder og de eksisterende vidensbankrettigheder, som beskrevet længere nede i denne artikel.

Hvad har du brug for?

En Microsoft 365-organisation med Microsoft Entra ID og konti med adgang til de ønskede tjenester.
En administrator, der må registrere en app og må give organisationstilladelse til de valgte Microsoft Graph-rettigheder. En Azure-abonnementsrolle er ikke nok til dette; din Entra-rolle skal tillade denne tilladelse.
Administratorrettigheder i det rigtige AI-miljø til at gøre integrationer tilgængelige.
En platformadministrator, der kan konfigurere Microsoft Identity Provider til dette AI-miljø i Google Cloud Identity Platform.
En app registration i din egen Microsoft-directory med en client secret og de to omdirigerings-URL'er for det korrekte brand.

Log ind med Microsoft og adgang til Microsoft-data er to separate funktioner. Bare en fungerende Microsoft-login betyder ikke, at Outlook, Teams eller SharePoint er sat op.

1. Registrer én organisationsapp

Åbn Microsoft Entra-administrationscentret og gå til App registrations → New registration. Brug et genkendeligt navn, f.eks. AI-Corporate – jeres organisationsnavn. Vælg for en egen organisation Accounts in this organizational directory only (Single tenant).

Gem følgende oplysninger fra Overview:

Oplysning	Hvad bruges den til?
Directory (tenant) ID	Microsoft-directory for jeres organisation; dette skal i feltet Microsoft ID i AI-miljøet.
Application (client) ID	Den registrerede app; dette skal i Microsoft Identity Provider.

Disse to ID'er er forskellige. Indtast ikke client ID eller Firebase-tenant-ID i Microsoft ID.

2. Angiv de korrekte omdirigerings-URL'er

Gå til Authentication → Add a platform → Web. Tilføj for jeres brand begge nedenstående URL'er, præcis som de står. Den første håndterer login; den anden håndterer tilladelse til arbejdskonto-integrationerne.

Brand	Log ind med Microsoft	Arbejdskonto-integrationer
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Brug URL'erne for det brand, som jeres miljø kører på. Jeres eget organisationsnavn eller tenant-ID behøver ikke at blive indtastet i disse URL'er. Website-URL'en, dashboard-URL'en og .web.app-URL'en erstatter ikke disse callbacks. Registrer dem som Web, også selvom du bruger integrationen fra en browser. Du behøver ikke at slå implicit tokenudstedelse eller public-client-flow til for dette.

3. Opret en client secret og tildel rettigheder

Gå til Certificates & secrets → Client secrets → New client secret. Vælg en passende levetid og gem Value sikkert, så snart den er synlig. Overdrag værdien via den aftalte sikre kanal til platformadministration; Secret ID er ikke client secret. Hold øje med udløbsdatoen og udskift secret før den dato, også i Identity Provider.

Gå derefter til API permissions → Add a permission → Microsoft Graph → Delegated permissions. Tilføj kun de rettigheder, der svarer til de integrationer og handlinger, jeres organisation vil tilbyde.

Integration	Læserettigheder	Ekstra rettigheder til skrivning
Profil / basis	`User.Read`; loginflowet anmoder også om `openid`, `profile`, `email` og `offline_access`	Ingen
Outlook Mail	`Mail.Read`	Kladder: `Mail.ReadWrite`. Send: `Mail.Send`.
Outlook Kalender	`Calendars.Read`	Skriv: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Post: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Denne arbejdskonto-integration tilbyder ikke skrivehandlinger her.

Mail.ReadWrite giver ikke sendetilladelse; det kræver særskilt Mail.Send. Teams-posting skriver tekstbeskeder i en valgt kanal, ikke private chatbeskeder. Til denne integration bruger du Delegated permissions, ikke Application permissions. Selv for rettigheder med All i navnet er delegeret adgang stadig begrænset af brugerens adgang.

Klik på Grant admin consent for jeres organisation, og kontrollér, at de valgte rettigheder vises som granted. På den måde kan medarbejdere bruge den godkendte adgang uden selv at skulle give organisationstilladelser. Microsoft kan stadig bede om login, MFA eller fornyet samtykke afhængigt af jeres politik.

4. Knyt appen til AI-miljøet på to steder

Lad platformadministratoren vælge det rigtige miljø og udføre disse indstillinger:

I Admin → Miljø → Tenant: slå loginmetoden Microsoft til og indtast Directory (tenant) ID i Microsoft ID.
I Google Cloud → Identity Platform → den pågældende tenant → Identity providers → Microsoft: slå provider til og indtast Application (client) ID og client secret Value fra den samme Entra-app.

Identity Provider hører til Firebase-/Identity Platform-tenantet for dit AI-miljø, ikke til en anden organisation eller den generelle Admin-omgeving. Arbejdskonto-integrationerne bruger appen fra denne provider igen. Client secret skal ikke stå i brugerindstillinger, chatbeskeder eller almindelige miljøfelter.

Send organisationsnavn, brand, Directory ID, client ID, secret-værdien via den sikre kanal, udløbsdatoen og de ønskede integrationer/rettigheder til platformadministration. Et app-ID alene er ikke nok.

5. Giv integrationer og skrivehandlinger adgang

Åbn adminmiljøet for jeres organisation → Tools → MCP. Slå integrationen Microsoft 365 til under Suite-snelkoppelingen. Microsoft-rækkerne bliver synlige; når hele suite er slået fra, forbliver disse rækker skjulte.

Vælg for hver integration, om den skal være tilgængelig. I kolonnen Skrivehandlinger vælger du separat:

Outlook Mail → Kladder: opret og redigér kladder.
Outlook Mail → Send: send en eksisterende kladde.
Outlook Kalender → Skriv: opret og redigér aftaler.
Microsoft Teams → Post: placer tekstbeskeder i en valgt Teams-kanal.

Klik på Gem. En skrivehandling virker kun, hvis både integrationen og den tilhørende administratorrettighed er slået til, Microsoft har givet de nødvendige rettigheder, og brugeren personligt har aktiveret forbindelsen. Brugeren får ikke et ekstra formular til skriveadgang.

Tilgængelighed

Indstillingerne skal også understøttes af backend for jeres brand. Denne skriveudvidelse blev målrettet udgivet og testet den 7. oktober 2026 for OnderwijsSupport på AI-Corporate. Det betyder ikke automatisk, at den samme udvidelse allerede er frigivet til AI-School, AI-Public eller et andet miljø. Bed platformadministration om bekræftelse, når skrivehandlinger mangler.

6. Kontrollér opsætningen

Lad en bruger logge ind på det rigtige AI-miljø og slå den ønskede integration til i henhold til Brug Microsoft-integrationer. Kontrollér, at Microsoft viser navnet på jeres egen Entra-app.

Test først en genkendelig kladde og en aftale uden deltagere. Kontrollér de gemte elementer i Outlook. Test derefter send med en aftalt testmodtager og Teams-posting i en aftalt testkanal. En aftale med deltagere kan sende invitationer eller opdateringer. En accepteret sendehandling er ikke det samme som bekræftet levering.

Når rettigheder udvides, forsøger forbindelsen at forny tokens. Hvis Microsoft kræver login eller tilladelse igen, skal brugeren forbinde den eksisterende forbindelse igen. Der behøver ikke at blive oprettet en anden app eller en separat brugerindstilling.

Problemløsning

Problem	Kontrol
`AADSTS50011` / redirect mismatch	Begge callbacks er registreret præcist som Web, for det rigtige brand.
Et andet appnavn vises ved samtykke	Den korrekte AI-omgeving, Directory ID og tenant-specifikke Microsoft Identity Provider; forbind derefter igen.
Login virker, men integrationen gør ikke	Kontrollér også connector-callback, Graph-rettigheder og organisationstilladelse.
Læsning virker, skrivning gør ikke	Kontrollér administratorrettighed, den tilhørende delegerede Graph-rettighed, givet tilladelse og backend-tilgængelighed.
Client secret ugyldig eller udløbet	Value, ikke Secret ID; opdatér også den nye secret i Identity Provider.
Integration mangler for brugeren	Kontrollér tilgængelighed i Tools, brugerrettigheder til forbindelser og det valgte AI-miljø.

Mere information

Central SharePoint-vidensbank: Konfigurer Microsoft

En centralt tilknyttet mappe fungerer via organisationsappen, uden at hver medarbejder slår en personlig SharePoint-forbindelse til. Dette kræver to separate tilladelser: applikationsretten Sites.Selected med admin consent, samt en read-grant på den valgte SharePoint-side. En fungerende Microsoft-login eller kun admin consent er ikke nok.

1. Kontrollér organisationsappen

Brug den samme single-tenant app registration som til Microsoft-login i dit AI-miljø. En eksisterende app kan udvides; der er ikke behov for en anden integrationsapp. Kontrollér i Microsoft Entra → App registrations → din app → Overview Directory (tenant) ID og Application (client) ID. Brug client ID nedenfor, ikke Object ID.

Directory ID skal stå i Admin → Miljø → Tenant → Microsoft ID. Client ID og Value for en gyldig client secret skal stå hos Microsoft Identity Provider for netop dette AI-miljø. Denne konfiguration vedligeholdes af platformadministration. En udløbet secret forhindrer også den centrale import; hold øje med udløbsdatoen.

Den centrale serverforbindelse bruger client_credentials og kræver ingen ekstra redirect-URL. De eksisterende Web-redirects til login og personlige arbejdskonto-integrationer er stadig nødvendige; brug de brandede URL'er fra tabellen tidligere i denne artikel.

Åbn API permissions → Add a permission → Microsoft Graph → Application permissions.
Find Sites.Selected, vælg denne rettighed, og klik på Add permissions.
Lad en kompetent Entra-administrator udføre Grant admin consent for jeres organisation.
Kontrollér, at Sites.Selected, type Application, vises som granted.

De delegerede rettigheder til personlige Outlook-, Teams- og SharePoint-forbindelser kan blive på den samme app. De erstatter ikke applikationsretten til den centrale vidensbank. Til denne centrale import er der ikke behov for applikationsrettighederne Sites.Read.All, Sites.ReadWrite.All eller Sites.FullControl.All.

3. Giv appen separat læseadgang til sitet

Denne administrative handling kan udføres med Microsoft Graph Explorer. Brug en administratorkonto i samme Microsoft-directory med SharePoint Administrator eller en højere passende administratorrolle og adgang til det pågældende site. En Azure-abonnementsrolle eller blot ejerskab af appen er ikke nok.

Log administratorkontoen ind i Graph Explorer, og kontrollér den viste organisation.
Åbn profilmenu → Consent to permissions, find Sites.FullControl.All, og vælg Consent for at give den nødvendige tilladelse til Graph Explorer i denne administrative kontekst. Ved nogle forespørgsler kan du også åbne det fulde rettighedspanel via Modify Permissions → Open the permissions panel. Dette er en delegated administratorrettighed til at administrere sitegrants; tilføj den ikke som bred applikationsrettighed på vidensbankappen. Brug kontobundet tilladelse, når organisationstilladelse for alle brugere ikke er nødvendig.
Find site-ID'et med nedenstående GET. Erstat eksempelhost og site-sti med jeres egen mappes. Ved en URL med /teams/ bruger du den sti i stedet for /sites/.

GET https://graph.microsoft.com/v1.0/sites/jeresorganisation.sharepoint.com:/sites/jeressite?$select=id,displayName,webUrl

Værdien id i svaret er det fulde site-ID, inklusive værtsnavn og to GUID'er. Kontrollér også displayName og webUrl: grantet skal placeres på det site, hvor jeres mappe faktisk ligger.

Kontrollér først eksisterende grants med GET på nedenstående adresse. Hvis jeres client ID allerede står der med rollen read, behøver du ikke oprette et andet grant. Lad eksisterende bredere eller afvigende grants blive vurderet af jeres Microsoft-administrator.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Mangler grantet, vælg POST, brug samme adresse og udfyld følgende JSON under Request Body. Erstat de to eksempelværdier; CLIENT-ID-FOR-JERES-APP er Application (client) ID for jeres integrationsapp, ikke Graph Explorer-appen.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-FOR-JERES-APP",
        "displayName": "NAVN-PÅ-JERES-INTEGRATIONSAPP"
      }
    }
  ]
}

Vælg Run query. En vellykket tilføjelse giver 201 Created. Kontrollér i svaret rollen read og client ID; Graph kan vise dette under grantedToIdentitiesV2. Kontrollér derefter igen med GET. Gem permission-ID'et til administration og eventuel senere tilbagekaldelse.
Gentag kun dette for hver anden site, som I bevidst vil koble vidensbankmapper til.

Sitegrant og vidensbankrettigheder

Microsoft-grantet giver appen læseadgang til hele det valgte site. AI-miljøet importerer kun den valgte mappe og undermapper. Brug helst et separat site til fælles central viden. De eksisterende vidensbankrettigheder afgør, hvilke brugere der får de importerede dokumenter; individuelle SharePoint-rettigheder overføres ikke.

4. Knyt mappen til og kontrollér resultatet

Åbn Administrer → Vidensbank → Tilføj → SharePoint-mapper → Knyt mappe og brug den rigtige mappe-URL, ikke et invitationslink eller en OneDrive-oversigtsadresse. Vælg omfang, målgruppe og publiceringsstatus i henhold til vidensbankvejledningen. En central kilde kræver ingen personlig connector i brugerindstillinger.

Kontrollér med Opdater, at dokumenterne er behandlet uden fejl. Brug Synkroniser nu til en ny kontrol, og stil derefter et konkret chatspørgsmål om et importeret dokument. Kontrollér, at svaret nævner den rigtige centrale videnskilde.

Problem	Kontrol på Microsoft-siden
Login virker, men den centrale mappe gør ikke	`Sites.Selected` skal være af typen Application og have admin consent; kontrollér også den separate sitegrant.
`403 Forbidden` ved mappeadgang	Korrekt Microsoft-directory, site-ID, client ID og `read`-grant; admin consent giver ikke i sig selv siteadgang.
`403` ved administrationen i Graph Explorer	Delegated `Sites.FullControl.All`, givet tilladelse, administratorrolle og adgang til målsitet. Tilføj ikke en bred rettighed til integrationsappen som løsning.
Site virker, mappen findes ikke	Kontrollér den rigtige mappe-URL, dokumentbibliotek og site-sti; en OneDrive-genvej kan pege til et andet site.
Secret udløbet eller ugyldig	Lad platformadministration opdatere den nye secret Value i den korrekte Microsoft Identity Provider.

For OnderwijsSupport på AI-Corporate blev denne centrale tilknytning udgivet og testet den 14. oktober 2026. Tilgængelighed på AI-School, AI-Public eller et andet miljø skal bekræftes af platformadministration.

Microsoft-dokumentation: Selected permissions, tilføj sitegrant og kontrollér sitegrants.

Egen Entra-app​

Hvad har du brug for?​

1. Registrer én organisationsapp​

2. Angiv de korrekte omdirigerings-URL'er​

3. Opret en client secret og tildel rettigheder​

4. Knyt appen til AI-miljøet på to steder​

5. Giv integrationer og skrivehandlinger adgang​

6. Kontrollér opsætningen​

Problemløsning​

Mere information​

Central SharePoint-vidensbank: Konfigurer Microsoft​

1. Kontrollér organisationsappen​

2. Tilføj applikationsretten og giv admin consent​

3. Giv appen separat læseadgang til sitet​

4. Knyt mappen til og kontrollér resultatet​