Microsoft 365 für Ihre Umgebung einrichten

Es gibt zwei Möglichkeiten, Microsoft 365 mit Ihrer AI-Corporate-Umgebung zu verbinden. Wählen Sie zuerst, welcher Weg zu Ihrer Organisation passt.

Weg	Wann	Was Sie tun
Zentrale App von AI-Corporate (Standard)	Persönliche Verknüpfungen mit Outlook Mail, Outlook Kalender, Teams und SharePoint/OneDrive.	Ein Entra-Administrator erteilt die Organisationszustimmung über Microsoft 365 verknüpfen. Danach geben Sie die Integrationen wie in Schritt 5 dieses Artikels frei. Eine eigene App, ein Client Secret oder ein Identity Provider ist nicht erforderlich.
Eigene Entra-App	Sie möchten SharePoint-Ordner zentral in die Wissensdatenbank importieren, Mitarbeitende melden sich bereits mit Microsoft über eine eigene App an, oder Sie möchten die App selbst verwalten.	Folgen Sie diesem Artikel ab Schritt 1.

Meldet sich Ihre Organisation bereits mit Microsoft über eine eigene App an (das Feld Microsoft ID der Umgebung ist ausgefüllt), dann verwenden alle Verknüpfungen diese eigene App. Der zentrale Weg ist dann nicht anwendbar.

Eigene Entra-App

Mit einer eigenen Microsoft-Entra-App kann Ihre Organisation dieselbe App für Anmelden mit Microsoft und für Outlook, Teams und SharePoint verwenden. Sie bestimmen zentral, welche Integrationen und Schreibaktionen verfügbar sind. Benutzer schalten danach nur ihre persönlichen Verknüpfungen in Einstellungen → Tools → Verknüpfungen ein oder aus.

Die persönlichen Integrationen funktionieren mit unterstützten Modellen von OpenAI, Claude, Gemini und Mistral. Das gewählte Modell muss Tools verwenden können. Bei persönlichen Verknüpfungen folgt der Zugriff den Rechten des angemeldeten Microsoft-Benutzers. Organisationszustimmung meldet nicht automatisch alle Mitarbeitenden an und gibt der KI keinen eigenständigen Zugriff auf alle Postfächer. Die zentrale SharePoint-Wissensdatenbank verwendet separate App-Rechte und die bestehenden Wissensdatenbankrechte, wie weiter unten in diesem Artikel beschrieben.

Was benötigen Sie?

• Eine Microsoft-365-Organisation mit Microsoft Entra ID und Konten mit Zugriff auf die gewünschten Dienste.
• Einen Administrator, der eine App registrieren und Organisationszustimmung für die gewählten Microsoft-Graph-Rechte erteilen darf. Eine Azure-Abonnementrolle allein reicht dafür nicht aus; Ihre Entra-Rolle muss diese Zustimmung erlauben.
• Administratorrechte in der richtigen AI-Umgebung, um Integrationen verfügbar zu machen.
• Einen Plattformadministrator, der den Microsoft Identity Provider für diese AI-Umgebung in Google Cloud Identity Platform einrichten kann.
• Eine App registration in Ihrem eigenen Microsoft-Verzeichnis, mit einem Client Secret und den zwei Umleitungs-URLs des richtigen Brands.

Anmelden mit Microsoft und Zugriff auf Microsoft-Daten sind zwei getrennte Funktionen. Nur eine funktionierende Microsoft-Anmeldung bedeutet noch nicht, dass Outlook, Teams oder SharePoint eingerichtet ist.

1. Registrieren Sie eine Organisations-App

Öffnen Sie das Microsoft Entra-Admincenter und gehen Sie zu App registrations → New registration. Verwenden Sie einen eindeutigen Namen, zum Beispiel AI-Corporate – Ihr Organisationsname. Wählen Sie für eine eigene Organisation Accounts in this organizational directory only (Single tenant).

Speichern Sie die folgenden Angaben aus Overview:

Angabe	Wofür?
Directory (tenant) ID	Das Microsoft-Verzeichnis Ihrer Organisation; dies kommt in das Feld Microsoft ID der AI-Umgebung.
Application (client) ID	Die registrierte App; dies kommt in den Microsoft Identity Provider.

Diese beiden IDs sind unterschiedlich. Tragen Sie bei Microsoft ID nicht die Client-ID oder die Firebase-Tenant-ID ein.

2. Richten Sie die richtigen Umleitungs-URLs ein

Gehen Sie zu Authentication → Add a platform → Web. Fügen Sie für Ihr Brand beide untenstehenden URLs hinzu, exakt wie dargestellt. Die erste verarbeitet die Anmeldung; die zweite verarbeitet die Zustimmung für die Work-Account-Integrationen.

Brand	Anmelden mit Microsoft	Work-Account-Integrationen
AI-School	https://ai-school-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporate	https://ai-corporate.firebaseapp.com/__/auth/handler	https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Public	https://ai-public-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

Verwenden Sie die URLs des Brands, auf dem Ihre Umgebung läuft. Ihr eigener Organisationsname oder Tenant-ID muss nicht in diesen URLs eingetragen werden. Die Website-URL, Dashboard-URL und die .web.app-URL ersetzen diese Callbacks nicht. Registrieren Sie sie als Web, auch wenn Sie die Integration aus einem Browser verwenden. Sie müssen dafür keine implizite Tokenausgabe oder Public-Client-Flow aktivieren.

3. Erstellen Sie ein Client Secret und weisen Sie Rechte zu

Gehen Sie zu Certificates & secrets → Client secrets → New client secret. Wählen Sie eine passende Laufzeit und bewahren Sie den Value sicher auf, sobald er sichtbar ist. Übergeben Sie den Wert über den vereinbarten sicheren Kanal für das Plattformmanagement; die Secret ID ist nicht das Client Secret. Behalten Sie das Ablaufdatum im Auge und ersetzen Sie das Secret vor diesem Datum, auch im Identity Provider.

Gehen Sie danach zu API permissions → Add a permission → Microsoft Graph → Delegated permissions. Fügen Sie nur die Rechte hinzu, die für die Integrationen und Aktionen benötigt werden, die Ihre Organisation anbieten wird.

Integration	Leserechte	Zusätzliche Rechte zum Schreiben
Profil / Basis	User.Read; der Anmeldeflow fragt auch openid, profile, email und offline_access ab	Keine
Outlook Mail	Mail.Read	Entwürfe: Mail.ReadWrite. Senden: Mail.Send.
Outlook Kalender	Calendars.Read	Schreiben: Calendars.ReadWrite.
Microsoft Teams	Chat.Read, ChannelMessage.Read.All	Posten: Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Send.
SharePoint / OneDrive	Sites.Read.All, Files.Read.All	Diese Work-Account-Integration bietet hier keine Schreibaktionen.

Mail.ReadWrite gibt kein Senderecht; dafür ist zusätzlich Mail.Send erforderlich. Teams-Posten schreibt Textnachrichten in einen ausgewählten Kanal, keine privaten Chatnachrichten. Für diese Integration verwenden Sie Delegated permissions, keine Application permissions. Auch bei Rechten mit All im Namen bleibt der delegierte Zugriff durch die Rechte des Benutzers begrenzt.

Klicken Sie auf Grant admin consent for uw organisatie und prüfen Sie, dass die ausgewählten Rechte als erteilt angezeigt werden. So können Mitarbeitende den genehmigten Zugriff verwenden, ohne selbst Organisationsrechte erteilen zu müssen. Microsoft kann dennoch um Anmeldung, MFA oder erneute Zustimmung bitten, abhängig von Ihrer Richtlinie.

4. Verknüpfen Sie die App an zwei Stellen mit der AI-Umgebung

Lassen Sie den Plattformadministrator die richtige Umgebung auswählen und diese Einstellungen vornehmen:

1. In Admin → Umgebung → Tenant: Aktivieren Sie die Anmeldemethode Microsoft und tragen Sie bei Microsoft ID die Directory (tenant) ID ein.
2. In Google Cloud → Identity Platform → der betreffende Tenant → Identity providers → Microsoft: Aktivieren Sie den Provider und tragen Sie die Application (client) ID und den client secret Value derselben Entra-App ein.

Der Identity Provider gehört zum Firebase/Identity-Platform-Tenant Ihrer AI-Umgebung, nicht zu einer anderen Organisation oder der allgemeinen Admin-Umgebung. Die Work-Account-Integration verwendet die App aus diesem Provider erneut. Das Client Secret gehört nicht in Benutzereinstellungen, Chatnachrichten oder normale Umgebungsfelder.

Übergeben Sie an das Plattformmanagement den Organisationsnamen, das Brand, die Directory ID, die Client ID, den Secret-Wert über den sicheren Kanal, das Ablaufdatum und die gewünschten Integrationen/Rechte. Eine App-ID allein reicht nicht aus.

5. Geben Sie die Integrationen und Schreibaktionen frei

Öffnen Sie die Verwaltungsumgebung Ihrer Organisation → Tools → MCP. Schalten Sie unter Suite-Schnellzugriffe die Integration Microsoft 365 ein. Die Microsoft-Zeilen werden sichtbar; wenn die ganze Suite ausgeschaltet ist, bleiben diese Zeilen verborgen.

Wählen Sie pro Integration, ob sie verfügbar sein soll. In der Spalte Schreibaktionen wählen Sie einzeln:

• Outlook Mail → Entwürfe: Entwürfe erstellen und ändern.
• Outlook Mail → Senden: einen vorhandenen Entwurf tatsächlich senden.
• Outlook Kalender → Schreiben: Termine erstellen und ändern.
• Microsoft Teams → Posten: Textnachrichten in einem ausgewählten Teams-Kanal platzieren.

Klicken Sie auf Speichern. Eine Schreibaktion funktioniert nur, wenn sowohl die Integration als auch das zugehörige Verwaltungsrecht aktiviert sind, Microsoft die erforderlichen Rechte erteilt hat und der Benutzer die Verknüpfung persönlich aktiviert hat. Der Benutzer erhält dafür kein zusätzliches Formular für Schreibrechte.

Verfügbarkeit

Die Einstellungen müssen auch vom Backend Ihrer Marke unterstützt werden. Diese Schreib-Erweiterung wurde am 7. Oktober 2026 gezielt veröffentlicht und für OnderwijsSupport auf AI-Corporate getestet. Das bedeutet nicht automatisch, dass dieselbe Erweiterung bereits für AI-School, AI-Public oder jede andere Umgebung freigegeben ist. Bitten Sie das Plattformmanagement um Bestätigung, wenn Schreibaktionen fehlen.

6. Prüfen Sie die Einrichtung

Lassen Sie einen Benutzer sich bei der richtigen AI-Umgebung anmelden und die gewünschte Integration gemäß Microsoft-Integrationen verwenden aktivieren. Prüfen Sie, ob Microsoft den Namen Ihrer eigenen Entra-App anzeigt.

Testen Sie zuerst einen erkennbaren Entwurf und einen Termin ohne Teilnehmer. Prüfen Sie die gespeicherten Elemente in Outlook. Testen Sie anschließend das Senden mit einem vereinbarten Testempfänger und Teams-Posten in einem vereinbarten Testkanal. Ein Termin mit Teilnehmern kann Einladungen oder Aktualisierungen versenden. Ein akzeptierter Sendeauftrag ist noch keine bestätigte Zustellung.

Bei Erweiterung der Rechte versucht die Verknüpfung, Tokens zu erneuern. Wenn Microsoft erneute Anmeldung oder Zustimmung verlangt, soll der Benutzer die bestehende Verknüpfung erneut verbinden. Es muss keine zweite App oder separate Benutzereinstellung erstellt werden.

Fehlerbehebung

Problem	Kontrolle
AADSTS50011 / Redirect-Mismatch	Beide Callbacks exakt als Web registriert, für das richtige Brand.
Ein anderer App-Name erscheint bei Zustimmung	Die richtige AI-Umgebung, Directory ID und mandantenspezifischer Microsoft Identity Provider; danach erneut verbinden.
Anmeldung funktioniert, die Integration aber nicht	Auch die Connector-Callback-URL, Graph-Rechte und Organisationszustimmung prüfen.
Lesen klappt, Schreiben nicht	Verwaltungsrecht, zugehöriges delegiertes Graph-Recht, erteilte Zustimmung und Backend-Verfügbarkeit prüfen.
Client Secret ungültig oder abgelaufen	Den Value, nicht die Secret ID; neues Secret auch im Identity Provider aktualisieren.
Integration fehlt beim Benutzer	Verfügbarkeit in Tools, Benutzerrechte für Verknüpfungen und die ausgewählte AI-Umgebung prüfen.

Weitere Informationen

• Tools verwalten
• Microsoft-Integrationen verwenden
• Microsoft: Eine App registrieren
• Microsoft: Umleitungs-URLs
• Microsoft Graph: Rechteübersicht

Zentrale SharePoint-Wissensdatenbank: Microsoft einrichten

Ein zentral angebundener Ordner funktioniert über die Organisations-App, ohne dass jeder Mitarbeitende eine persönliche SharePoint-Verknüpfung aktiviert. Dafür sind zwei getrennte Zustimmungen erforderlich: das Anwendungsrecht Sites.Selected mit Admin-Consent und ein read-Grant für die ausgewählte SharePoint-Site. Eine funktionierende Microsoft-Anmeldung oder nur Admin-Consent reicht nicht aus.

1. Prüfen Sie die Organisations-App

Verwenden Sie dieselbe Single-Tenant-App-Registrierung wie für die Microsoft-Anmeldung in Ihrer AI-Umgebung. Eine bestehende App kann erweitert werden; eine zweite Integrations-App ist nicht nötig. Prüfen Sie in Microsoft Entra → App registrations → Ihre App → Overview die Directory (tenant) ID und die Application (client) ID. Verwenden Sie unten die Client-ID, nicht die Object ID.

Die Directory ID muss in Admin → Umgebung → Tenant → Microsoft ID stehen. Die Client-ID und der Value eines gültigen Client Secrets müssen beim Microsoft Identity Provider genau dieser AI-Umgebung eingetragen sein. Diese Konfiguration wird vom Plattformmanagement gepflegt. Ein abgelaufenes Secret verhindert auch den zentralen Import; behalten Sie das Ablaufdatum im Blick.

Die zentrale Serververbindung verwendet client_credentials und benötigt keine zusätzliche Redirect-URL. Die vorhandenen Web-Redirects für Anmeldung und persönliche Work-Account-Integrationen bleiben erforderlich; verwenden Sie die markengebundenen URLs aus der Tabelle weiter oben in diesem Artikel.

2. Fügen Sie das Anwendungsrecht hinzu und erteilen Sie Admin-Consent

1. Öffnen Sie API permissions → Add a permission → Microsoft Graph → Application permissions.
2. Suchen Sie Sites.Selected, wählen Sie dieses Recht und klicken Sie auf Add permissions.
3. Lassen Sie einen zuständigen Entra-Administrator Grant admin consent for uw organisatie ausführen.
4. Prüfen Sie, dass Sites.Selected, Typ Application, als erteilt angezeigt wird.

Die delegierten Rechte für persönliche Outlook-, Teams- und SharePoint-Verknüpfungen können auf derselben App bleiben. Sie ersetzen das Anwendungsrecht für die zentrale Wissensdatenbank nicht. Für diesen zentralen Import ist kein Anwendungsrecht Sites.Read.All, Sites.ReadWrite.All oder Sites.FullControl.All erforderlich.

3. Geben Sie der App separat Leszugriff auf die Site

Diese Verwaltungsaktion kann mit Microsoft Graph Explorer durchgeführt werden. Verwenden Sie ein Administratorkonto in derselben Microsoft-Domäne, mit SharePoint Administrator oder einer höheren geeigneten Administratorrolle und Zugriff auf die betreffende Site. Eine Azure-Abonnementrolle oder nur der Besitz der App reicht dafür nicht aus.

1. Melden Sie das Administratorkonto bei Graph Explorer an und prüfen Sie die angezeigte Organisation.
2. Öffnen Sie Ihr Profilmenü → Consent to permissions, suchen Sie Sites.FullControl.All und wählen Sie Consent, um die erforderliche Zustimmung für Graph Explorer in diesem Verwaltungskontext zu erteilen. Bei einigen Abfragen können Sie das vollständige Berechtigungsfenster auch über Modify Permissions → Open the permissions panel öffnen. Dies ist eine delegated Verwaltungsberechtigung, um Site-Grants zu verwalten; fügen Sie sie nicht als breites Anwendungsrecht auf der Wissensdatenbank-App hinzu. Verwenden Sie kontoabhängige Zustimmung, wenn Organisationszustimmung für alle Benutzer nicht erforderlich ist.
3. Suchen Sie die Site-ID mit dem folgenden GET. Ersetzen Sie den Beispielhost und den Site-Pfad durch die Ihrer eigenen Map. Bei einer URL mit /teams/ verwenden Sie diesen Pfad statt /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

Der Wert id in der Antwort ist die vollständige Site-ID, einschließlich Hostname und zwei GUIDs. Prüfen Sie auch displayName und webUrl: Der Grant muss auf die Site gesetzt werden, in der sich Ihr Ordner tatsächlich befindet.

4. Prüfen Sie zuerst bestehende Grants mit GET an der folgenden Adresse. Wenn Ihre Client-ID dort bereits mit der Rolle read steht, müssen Sie keinen zweiten Grant anlegen. Lassen Sie bestehende breitere oder abweichende Grants von Ihrem Microsoft-Administrator prüfen.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

5. Fehlt der Grant, wählen Sie POST, verwenden Sie dieselbe Adresse und tragen Sie unter Request Body das folgende JSON ein. Ersetzen Sie die beiden Beispielwerte; CLIENT-ID-VAN-UW-APP ist die Application (client) ID Ihrer Integrations-App, nicht die Graph-Explorer-App.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

6. Wählen Sie Run query. Ein erfolgreicher Eintrag gibt 201 Created zurück. Prüfen Sie in der Antwort die Rolle read und die Client-ID; Graph kann diese unter grantedToIdentitiesV2 anzeigen. Prüfen Sie danach erneut mit GET. Bewahren Sie die Permission-ID für die Verwaltung und eine eventuelle spätere Widerrufung auf.
7. Wiederholen Sie dies nur für jede weitere Site, von der Sie bewusst Wissensdatenbank-Ordner anbinden möchten.

Site-Grant und Wissensdatenbankrechte

Der Microsoft-Grant gibt der App Leszugriff auf die gesamte ausgewählte Site. Die AI-Umgebung importiert nur den ausgewählten Ordner und seine Unterordner. Verwenden Sie nach Möglichkeit eine separate Site für zentral geteiltes Wissen. Die bestehenden Wissensdatenbankrechte bestimmen, welche Benutzer die importierten Dokumente erhalten; individuelle SharePoint-Rechte werden nicht übernommen.

4. Binden Sie den Ordner an und prüfen Sie das Ergebnis

Öffnen Sie Verwaltung → Wissensdatenbank → Hinzufügen → SharePoint-Ordner → Ordner verknüpfen und verwenden Sie die echte Ordner-URL, keinen Einladungslink oder eine OneDrive-Übersichtsadresse. Wählen Sie Umfang, Zielgruppe und Veröffentlichungsstatus gemäß dem Wissensdatenbank-Handbuch. Eine zentrale Quelle benötigt keine persönliche Connector-Verknüpfung in den Benutzereinstellungen.

Prüfen Sie mit Aktualisieren, ob die Dokumente ohne Fehler verarbeitet wurden. Verwenden Sie Jetzt synchronisieren für eine neue Kontrolle und stellen Sie anschließend eine konkrete Chatfrage zu einem importierten Dokument. Prüfen Sie, dass die Antwort die richtige zentrale Wissensquelle erwähnt.

Problem	Kontrolle auf Microsoft-Seite
Anmeldung funktioniert, aber der zentrale Ordner nicht	Sites.Selected muss vom Typ Application sein und Admin-Consent haben; prüfen Sie außerdem den separaten Site-Grant.
403 Forbidden beim Ordnerzugriff	Richtige Microsoft-Domäne, Site-ID, Client-ID und read-Grant; Admin-Consent allein gewährt keinen Sitezugriff.
403 bei der Verwaltungsaktion in Graph Explorer	Delegated Sites.FullControl.All, erteilte Zustimmung, Administratorrolle und Zugriff auf die Ziel-Site. Fügen Sie der Integrations-App nicht einfach ein breites Recht als Lösung hinzu.
Site funktioniert, Ordner nicht gefunden	Prüfen Sie die echte Ordner-URL, die Dokumentbibliothek und den Site-Pfad; ein OneDrive-Schnellzugriff kann auf eine andere Site verweisen.
Secret abgelaufen oder ungültig	Lassen Sie das Plattformmanagement den neuen Secret-Value im richtigen Microsoft Identity Provider aktualisieren.

Für OnderwijsSupport auf AI-Corporate wurde diese zentrale Verknüpfung am 14. Oktober 2026 veröffentlicht und getestet. Die Verfügbarkeit auf AI-School, AI-Public oder einer anderen Umgebung muss vom Plattformmanagement bestätigt werden.

Microsoft-Dokumentation: Selected permissions, Site-Grant hinzufügen und Site-Grants prüfen.