Configurar Microsoft 365 para su entorno

Hay dos maneras de conectar Microsoft 365 a su entorno de AI-Corporate. Primero, elija qué ruta se adapta a su organización.

Ruta	Cuándo	Qué hace
App central de AI-Corporate (predeterminada)	Conexiones personales con Outlook Mail, Calendario de Outlook, Teams y SharePoint/OneDrive.	Un administrador de Entra concede consentimiento organizacional mediante Conectar Microsoft 365. Después, habilita las integraciones como en el paso 5 de este artículo. No se necesita una app propia, client secret ni Identity Provider.
App propia de Entra	Desea importar carpetas de SharePoint de forma centralizada en la base de conocimientos, el personal ya inicia sesión con Microsoft mediante una app propia, o desea administrar la app usted mismo.	Siga este artículo desde el paso 1.

Si su organización ya inicia sesión con Microsoft mediante una app propia (el campo Microsoft ID del entorno está rellenado), entonces todas las conexiones usarán esa app propia. La ruta central no se aplica.

App propia de Entra

Con una app propia de Microsoft Entra, su organización puede usar la misma app para iniciar sesión con Microsoft y para Outlook, Teams y SharePoint. Usted decide de forma central qué integraciones y acciones de escritura están disponibles. Después, los usuarios solo activan o desactivan sus conexiones personales en Preferencias → Tools → Conexiones.

Las integraciones personales funcionan con modelos compatibles de OpenAI, Claude, Gemini y Mistral. El modelo elegido debe poder usar herramientas. En las conexiones personales, el acceso sigue los permisos del usuario de Microsoft que ha iniciado sesión. El consentimiento organizacional no inicia sesión automáticamente a todo el personal ni da a la IA acceso autónomo a todos los buzones. La base de conocimientos central de SharePoint usa permisos de aplicación separados y los permisos existentes de la base de conocimientos, como se describe más adelante en este artículo.

¿Qué necesita?

Una organización de Microsoft 365 con Microsoft Entra ID y cuentas con acceso a los servicios deseados.
Un administrador que pueda registrar una app y conceder consentimiento organizacional para los permisos de Microsoft Graph elegidos. Un rol de suscripción de Azure por sí solo no es suficiente; su rol de Entra debe permitir este consentimiento.
Derechos de administrador en el entorno correcto de AI para poner integraciones a disposición.
Un administrador de plataforma que pueda configurar el Microsoft Identity Provider para este entorno de AI en Google Cloud Identity Platform.
Un app registration en su propio directorio de Microsoft, con un client secret y las dos URL de redirección de la marca correcta.

Iniciar sesión con Microsoft y acceder a los datos de Microsoft son dos funciones distintas. Tener solo un inicio de sesión de Microsoft operativo no significa que Outlook, Teams o SharePoint estén configurados.

1. Registre una sola app de organización

Abra el centro de administración de Microsoft Entra y vaya a App registrations → New registration. Use un nombre reconocible, por ejemplo AI-Corporate – el nombre de su organización. Para una organización propia, elija Accounts in this organizational directory only (Single tenant).

Guarde los siguientes datos de Overview:

Dato	¿Para qué?
Directory (tenant) ID	El directorio de Microsoft de su organización; esto va en el campo Microsoft ID del entorno AI.
Application (client) ID	La app registrada; esto va en el Microsoft Identity Provider.

Estos dos ID son diferentes. No introduzca el client ID ni el Firebase-tenant-ID en Microsoft ID.

2. Configure las URL de redirección correctas

Vaya a Authentication → Add a platform → Web. Añada para su marca ambas URL siguientes, exactamente como se muestran. La primera procesa el inicio de sesión; la segunda procesa el consentimiento para las integraciones de la cuenta de trabajo.

Marca	Iniciar sesión con Microsoft	Integraciones de cuenta de trabajo
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Use las URL de la marca en la que se ejecuta su entorno. No es necesario introducir el nombre de su propia organización ni el tenant-ID en estas URL. La URL del sitio web, la URL del panel y la URL .web.app no sustituyen estos callbacks. Regístrelas como Web, aunque use la integración desde un navegador. No necesita habilitar la emisión implícita de tokens ni el flujo de public client.

3. Cree un client secret y asigne permisos

Vaya a Certificates & secrets → Client secrets → New client secret. Elija una duración adecuada y guarde el Value de forma segura en cuanto sea visible. Entregue el valor por el canal seguro acordado para la administración de la plataforma; el Secret ID no es el client secret. Haga seguimiento de la fecha de caducidad y sustituya el secret antes de esa fecha, también en el Identity Provider.

Después vaya a API permissions → Add a permission → Microsoft Graph → Delegated permissions. Añada solo los permisos correspondientes a las integraciones y acciones que su organización vaya a ofrecer.

Integración	Permisos de lectura	Permisos extra para escritura
Perfil / básico	`User.Read`; el flujo de inicio de sesión también solicita `openid`, `profile`, `email` y `offline_access`	Ninguno
Outlook Mail	`Mail.Read`	Borradores: `Mail.ReadWrite`. Enviar: `Mail.Send`.
Calendario de Outlook	`Calendars.Read`	Escritura: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Publicar: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Esta integración de cuenta de trabajo no ofrece acciones de escritura aquí.

Mail.ReadWrite no da permiso de envío; para eso se necesita Mail.Send por separado. La publicación en Teams escribe mensajes de texto en un canal elegido, no mensajes de chat privado. Para esta integración use Delegated permissions, no Application permissions. Incluso con permisos que incluyen All en el nombre, el acceso delegado sigue limitado por el acceso del usuario.

Haga clic en Grant admin consent for su organización y compruebe que los permisos elegidos aparezcan como concedidos. Así, los empleados pueden usar el acceso aprobado sin tener que conceder ellos mismos permisos organizacionales. Microsoft todavía puede solicitar inicio de sesión, MFA o nuevo consentimiento, según su política.

4. Vincule la app en dos lugares al entorno AI

Pida al administrador de la plataforma que seleccione el entorno correcto y realice estos ajustes:

En Admin → Entorno → Tenant: active el método de inicio de sesión Microsoft y, en Microsoft ID, introduzca el Directory (tenant) ID.
En Google Cloud → Identity Platform → el tenant correspondiente → Identity providers → Microsoft: active el proveedor e introduzca el Application (client) ID y el client secret Value de la misma app de Entra.

El Identity Provider pertenece al tenant de Firebase/Identity Platform de su entorno AI, no a otra organización ni al entorno general de Admin. La integración de cuenta de trabajo reutiliza la app de este proveedor. El client secret no debe estar en preferencias de usuario, mensajes del chat ni campos normales de entorno.

Entregue a la administración de la plataforma el nombre de la organización, la marca, el Directory ID, el client ID, el valor del secret mediante el canal seguro, la fecha de caducidad y las integraciones/permisos deseados. Un ID de app por sí solo no es suficiente.

5. Active las integraciones y acciones de escritura

Abra el entorno de administración de su organización → Tools → MCP. En Suite-snelkoppelingen, active la integración Microsoft 365. Las filas de Microsoft se harán visibles; cuando toda la suite esté desactivada, esas filas permanecerán ocultas.

Elija por integración si debe estar disponible. En la columna Schrijfacties elija por separado:

Outlook Mail → Concepten: crear y modificar borradores.
Outlook Mail → Verzenden: enviar realmente un borrador existente.
Outlook Agenda → Schrijven: crear y modificar citas.
Microsoft Teams → Posten: publicar mensajes de texto en un canal de Teams elegido.

Haga clic en Opslaan. Una acción de escritura solo funciona si la integración y el permiso de administrador correspondiente están activados, Microsoft ha concedido los permisos necesarios y el usuario ha activado personalmente la conexión. El usuario no necesita un formulario adicional de permisos de escritura.

Disponibilidad

Los ajustes también deben ser compatibles con el backend de su marca. Esta extensión de escritura se publicó y probó de forma dirigida el 7 de octubre de 2026 para OnderwijsSupport en AI-Corporate. Eso no significa automáticamente que la misma extensión ya esté disponible para AI-School, AI-Public o cualquier otro entorno. Pida confirmación a la administración de la plataforma cuando falten acciones de escritura.

6. Compruebe la configuración

Haga que un usuario inicie sesión en el entorno AI correcto y active la integración deseada según usar integraciones de Microsoft. Compruebe si Microsoft muestra el nombre de su propia app de Entra.

Pruebe primero un borrador reconocible y una cita sin participantes. Compruebe los elementos guardados en Outlook. Después pruebe el envío con un destinatario de prueba acordado y la publicación en Teams en un canal de prueba acordado. Una cita con participantes puede enviar invitaciones o actualizaciones. Una orden de envío aceptada todavía no es una entrega confirmada.

Al ampliar permisos, la conexión intenta renovar tokens. Si Microsoft requiere iniciar sesión de nuevo o volver a consentir, haga que el usuario vuelva a conectar la conexión existente. No es necesario crear una segunda app ni un ajuste de usuario aparte.

Solución de problemas

Problema	Comprobación
`AADSTS50011` / redirect mismatch	Ambos callbacks registrados exactamente como Web, para la marca correcta.
Aparece otro nombre de app al dar consentimiento	El entorno AI correcto, el Directory ID y el Microsoft Identity Provider específico del tenant; después, reconectar.
El inicio de sesión funciona, pero la integración no	Comprobar también el callback del connector, los permisos Graph y el consentimiento organizacional.
La lectura funciona, la escritura no	Comprobar el permiso de administrador, el permiso Graph delegado correspondiente, el consentimiento concedido y la disponibilidad en el backend.
Client secret inválido o caducado	El Value, no el Secret ID; actualizar el nuevo secret también en el Identity Provider.
Falta la integración para el usuario	Comprobar la disponibilidad en Tools, los permisos de usuario para conexiones y el entorno AI seleccionado.

Más información

Base de conocimientos central de SharePoint: configurar Microsoft

Una carpeta conectada de forma central funciona mediante la app de la organización, sin que cada empleado active una conexión personal de SharePoint. Para ello se necesitan dos consentimientos separados: el permiso de aplicación Sites.Selected con admin consent, y un read-grant en el sitio de SharePoint elegido. Un inicio de sesión de Microsoft que funcione o solo admin consent no es suficiente.

1. Compruebe la app de la organización

Use el mismo single-tenant app registration que para el inicio de sesión de Microsoft en su entorno AI. Se puede ampliar una app existente; no hace falta una segunda app de integración. Compruebe en Microsoft Entra → App registrations → su app → Overview el Directory (tenant) ID y el Application (client) ID. Use abajo el client ID, no el Object ID.

El Directory ID debe estar en Admin → Entorno → Tenant → Microsoft ID. El client ID y el Value de un client secret válido deben estar en el Microsoft Identity Provider de exactamente ese entorno AI. Esta configuración la mantiene la administración de la plataforma. Un secret caducado también impide la importación central; haga seguimiento de la fecha de caducidad.

La conexión central del servidor usa client_credentials y no solicita ninguna URL de redirección adicional. Las redirecciones Web existentes para iniciar sesión y las integraciones personales de cuenta de trabajo siguen siendo necesarias; use las URL específicas de la marca de la tabla anterior de este artículo.

Abra API permissions → Add a permission → Microsoft Graph → Application permissions.
Busque Sites.Selected, seleccione este permiso y haga clic en Add permissions.
Haga que un administrador de Entra autorizado ejecute Grant admin consent for su organización.
Compruebe que Sites.Selected, tipo Application, aparezca como concedido.

Los permisos delegados para las conexiones personales de Outlook, Teams y SharePoint pueden permanecer en la misma app. No sustituyen al permiso de aplicación para la base de conocimientos central. Para esta importación central no se necesitan los permisos de aplicación Sites.Read.All, Sites.ReadWrite.All ni Sites.FullControl.All.

3. Conceda a la app acceso de lectura aparte al sitio

Esta acción administrativa puede realizarse con Microsoft Graph Explorer. Use una cuenta de administrador en el mismo directorio de Microsoft, con rol de SharePoint Administrator o un rol de administrador adecuado superior y acceso al sitio correspondiente. Un rol de suscripción de Azure o solo ser propietario de la app no es suficiente para esto.

Inicie sesión en Graph Explorer con la cuenta de administrador y compruebe la organización mostrada.
Abra su menu de perfil → Consent to permissions, busque Sites.FullControl.All y elija Consent para conceder el permiso necesario para Graph Explorer en este contexto administrativo. En algunas consultas también puede abrir el panel completo de permisos mediante Modify Permissions → Open the permissions panel. Este es un permiso administrativo delegated para gestionar sitegrants; no lo añada como permiso de aplicación amplio en la app de la base de conocimientos. Use consentimiento vinculado a la cuenta cuando no se necesite consentimiento organizacional para todos los usuarios.
Busque el ID del sitio con el siguiente GET. Sustituya el host y la ruta del sitio de ejemplo por los de su propia carpeta. Con una URL que contenga /teams/ use esa ruta en lugar de /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

El valor id de la respuesta es el ID completo del sitio, incluido el nombre de host y dos GUID. Compruebe también displayName y webUrl: el grant debe ir al sitio en el que realmente está su carpeta.

Compruebe primero los grants existentes con GET en la dirección siguiente. Si su client ID ya aparece allí con rol read, no necesita crear un segundo grant. Pida a su administrador de Microsoft que revise los grants existentes más amplios o diferentes.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Si falta el grant, elija POST, use la misma dirección y, en Request Body, introduzca el siguiente JSON. Sustituya los dos valores de ejemplo; CLIENT-ID-VAN-UW-APP es el Application (client) ID de su app de integración, no la app de Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

Elija Run query. Una adición correcta devuelve 201 Created. Compruebe en la respuesta el rol read y el client ID; Graph puede mostrarlo bajo grantedToIdentitiesV2. Después vuelva a comprobar con GET. Guarde el permission ID para la administración y una posible revocación futura.
Repítalo solo para cada otro sitio cuya carpeta de base de conocimientos desee vincular conscientemente.

Grant del sitio y permisos de la base de conocimientos

El grant de Microsoft concede a la app acceso de lectura a todo el sitio seleccionado. El entorno AI solo importa la carpeta elegida y las subcarpetas. Preferiblemente, use un sitio aparte para el conocimiento compartido centralmente. Los permisos existentes de la base de conocimientos determinan qué usuarios reciben los documentos importados; los permisos individuales de SharePoint no se heredan.

4. Vincule la carpeta y compruebe el resultado

Abra Beheer → Kennisbank → Toevoegen → SharePoint-mappen → Map koppelen y use la URL real de la carpeta, no un enlace de invitación ni una dirección de vista general de OneDrive. Elija alcance, público objetivo y estado de publicación según el manual de la base de conocimientos. Una fuente central no necesita un conector personal en las preferencias de usuario.

Compruebe con Vernieuwen que los documentos se hayan procesado sin errores. Use Nu synchroniseren para una nueva comprobación y luego haga una pregunta concreta en el chat sobre un documento importado. Compruebe que la respuesta mencione la fuente central de conocimiento correcta.

Problema	Comprobación del lado de Microsoft
El inicio de sesión funciona, pero la carpeta central no	`Sites.Selected` debe ser de tipo Application y tener admin consent; además, compruebe el grant individual del sitio.
`403 Forbidden` al acceder a la carpeta	Directorio de Microsoft correcto, ID del sitio, client ID y grant `read`; el admin consent por sí solo no concede acceso al sitio.
`403` en la acción administrativa en Graph Explorer	Delegated `Sites.FullControl.All`, consentimiento concedido, rol de administrador y acceso al sitio de destino. No añada un permiso amplio a la app de integración como solución.
El sitio funciona, la carpeta no se encuentra	Compruebe la URL real de la carpeta, la biblioteca de documentos y la ruta del sitio; un acceso directo de OneDrive puede apuntar a otro sitio.
Secret caducado o inválido	Pida a la administración de la plataforma que actualice el nuevo secret Value en el Microsoft Identity Provider correcto.

Para OnderwijsSupport en AI-Corporate, esta conexión central se publicó y probó el 14 de octubre de 2026. La disponibilidad en AI-School, AI-Public o cualquier otro entorno debe ser confirmada por la administración de la plataforma.

Documentación de Microsoft: Selected permissions, añadir sitegrant y comprobar sitegrants.

App propia de Entra​

¿Qué necesita?​

1. Registre una sola app de organización​

2. Configure las URL de redirección correctas​

3. Cree un client secret y asigne permisos​

4. Vincule la app en dos lugares al entorno AI​

5. Active las integraciones y acciones de escritura​

6. Compruebe la configuración​

Solución de problemas​

Más información​

Base de conocimientos central de SharePoint: configurar Microsoft​

1. Compruebe la app de la organización​

2. Añada el permiso de aplicación y conceda admin consent​

3. Conceda a la app acceso de lectura aparte al sitio​

4. Vincule la carpeta y compruebe el resultado​