راه‌اندازی Microsoft 365 برای محیط شما

دو راه برای اتصال Microsoft 365 به محیط AI-Corporate شما وجود دارد. ابتدا مشخص کنید کدام مسیر با سازمان شما سازگار است.

مسیر	چه زمانی	کاری که انجام می‌دهید
اپ مرکزی AI-Corporate (پیش‌فرض)	اتصال‌های شخصی با Outlook Mail، Outlook تقویم، Teams و SharePoint/OneDrive.	یک مدیر Entra اجازه سازمانی را از طریق اتصال Microsoft 365 می‌دهد. سپس یکپارچه‌سازی‌ها را همان‌طور که در مرحله ۵ این مقاله آمده فعال می‌کنید. نیازی به اپ اختصاصی، client secret یا Identity Provider نیست.
اپ Entra اختصاصی	می‌خواهید پوشه‌های SharePoint را به‌صورت مرکزی در پایگاه دانش وارد کنید، کارکنان از قبل با Microsoft و از طریق یک اپ اختصاصی وارد می‌شوند، یا می‌خواهید خودتان اپ را مدیریت کنید.	این مقاله را از مرحله ۱ دنبال کنید.

اگر سازمان شما از قبل با Microsoft و از طریق یک اپ اختصاصی وارد می‌شود (فیلد Microsoft ID محیط پر شده است)، همه اتصال‌ها از همان اپ اختصاصی استفاده می‌کنند. در این حالت مسیر مرکزی کاربرد ندارد.

اپ Entra اختصاصی

با یک اپ Microsoft Entra اختصاصی، سازمان شما می‌تواند از یک اپ واحد برای ورود با Microsoft و برای Outlook، Teams و SharePoint استفاده کند. شما به‌صورت مرکزی تعیین می‌کنید کدام یکپارچه‌سازی‌ها و اقدامات نوشتن در دسترس باشند. سپس کاربران فقط اتصال‌های شخصی خود را در Preferences → Tools → Connections روشن یا خاموش می‌کنند.

یکپارچه‌سازی‌های شخصی با مدل‌های پشتیبانی‌شده OpenAI، Claude، Gemini و Mistral کار می‌کنند. مدل انتخاب‌شده باید بتواند از ابزارها استفاده کند. در اتصال‌های شخصی، دسترسی مطابق با مجوزهای کاربر Microsoftِ واردشده است. رضایت سازمانی به‌صورت خودکار همه کارکنان را وارد نمی‌کند و به AI دسترسی مستقل به همه صندوق‌های ایمیل نمی‌دهد. پایگاه دانش مرکزی SharePoint از مجوزهای جداگانه اپ و مجوزهای موجود پایگاه دانش استفاده می‌کند، همان‌طور که در ادامه این مقاله توضیح داده شده است.

چه چیزهایی لازم دارید؟

• یک سازمان Microsoft 365 با Microsoft Entra ID و حساب‌هایی که به سرویس‌های موردنیاز دسترسی دارند.
• مدیری که مجاز باشد یک اپ را ثبت کند و رضایت سازمانی برای مجوزهای انتخاب‌شده Microsoft Graph بدهد. تنها داشتن نقش Azure subscription برای این کار کافی نیست؛ نقش Entra شما باید این رضایت را مجاز کند.
• دسترسی مدیریتی در محیط AI درست برای در دسترس قرار دادن یکپارچه‌سازی‌ها.
• یک مدیر پلتفرم که بتواند Microsoft Identity Provider را برای این محیط AI در Google Cloud Identity Platform تنظیم کند.
• یک app registration در دایرکتوری Microsoft خودتان، همراه با یک client secret و دو URL بازگشتِ مربوط به برند درست.

ورود با Microsoft و دسترسی به داده‌های Microsoft دو قابلیت جداگانه هستند. فقط داشتن یک ورود Microsoft که کار می‌کند به این معنی نیست که Outlook، Teams یا SharePoint هم تنظیم شده‌اند.

1. یک اپ سازمانی ثبت کنید

مرکز مدیریت Microsoft Entra را باز کنید و به App registrations → New registration بروید. یک نام قابل‌تشخیص انتخاب کنید، مثلاً AI-Corporate – نام سازمان شما. برای یک سازمان اختصاصی، Accounts in this organizational directory only (Single tenant) را انتخاب کنید.

اطلاعات زیر را از Overview ذخیره کنید:

داده	برای چه؟
Directory (tenant) ID	دایرکتوری Microsoft سازمان شما؛ این مقدار در فیلد Microsoft ID محیط AI قرار می‌گیرد.
Application (client) ID	اپ ثبت‌شده؛ این مقدار در Microsoft Identity Provider قرار می‌گیرد.

این دو ID متفاوت هستند. در Microsoft ID به‌جای client ID یا Firebase tenant ID، مقدار دیگری وارد نکنید.

2. URLهای بازگشت درست را تنظیم کنید

به Authentication → Add a platform → Web بروید. برای برند خودتان هر دو URL زیر را دقیقاً همان‌طور که نوشته شده اضافه کنید. اولی ورود را پردازش می‌کند؛ دومی رضایت برای یکپارچه‌سازی‌های work account را پردازش می‌کند.

برند	ورود با Microsoft	یکپارچه‌سازی‌های work account
AI-School	https://ai-school-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporate	https://ai-corporate.firebaseapp.com/__/auth/handler	https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Public	https://ai-public-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

از URLهای همان برندی استفاده کنید که محیط شما روی آن اجرا می‌شود. لازم نیست نام سازمان یا tenant ID خودتان را در این URLها وارد کنید. URL وب‌سایت، URL داشبورد و URL .web.app این callbackها را جایگزین نمی‌کنند. آن‌ها را به‌صورت Web ثبت کنید، حتی اگر یکپارچه‌سازی را از داخل مرورگر استفاده می‌کنید. برای این کار نیازی به فعال‌کردن implicit token issuance یا public-client-flow ندارید.

3. یک client secret بسازید و مجوزها را اختصاص دهید

به Certificates & secrets → Client secrets → New client secret بروید. یک مدت‌زمان مناسب انتخاب کنید و به‌محض نمایش، Value را به‌صورت امن ذخیره کنید. این مقدار را از طریق کانال امن توافق‌شده برای مدیریت پلتفرم تحویل دهید؛ Secret ID همان client secret نیست. تاریخ انقضا را پیگیری کنید و پیش از آن، secret را نیز در Identity Provider جایگزین کنید.

سپس به API permissions → Add a permission → Microsoft Graph → Delegated permissions بروید. فقط مجوزهایی را اضافه کنید که با یکپارچه‌سازی‌ها و اقداماتی که سازمان شما ارائه می‌دهد مطابقت دارند.

یکپارچه‌سازی	مجوزهای خواندن	مجوزهای اضافی برای نوشتن
پروفایل / پایه	User.Read; جریان ورود همچنین openid, profile, email و offline_access را درخواست می‌کند	هیچ‌کدام
Outlook Mail	Mail.Read	پیش‌نویس‌ها: Mail.ReadWrite. ارسال: Mail.Send.
Outlook تقویم	Calendars.Read	نوشتن: Calendars.ReadWrite.
Microsoft Teams	Chat.Read, ChannelMessage.Read.All	ارسال پست: Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Send.
SharePoint / OneDrive	Sites.Read.All, Files.Read.All	این یکپارچه‌سازی work account در اینجا عملیات نوشتن ارائه نمی‌دهد.

Mail.ReadWrite مجوز ارسال نمی‌دهد؛ برای آن به‌طور جداگانه Mail.Send لازم است. ارسال پست در Teams فقط پیام متنی را در یک کانال انتخاب‌شده می‌نویسد، نه پیام خصوصی را. برای این یکپارچه‌سازی از Delegated permissions استفاده کنید، نه Application permissions. حتی برای مجوزهایی که در نامشان All دارند، دسترسی delegated همچنان توسط دسترسی کاربر محدود می‌شود.

روی Grant admin consent for نام سازمان شما کلیک کنید و بررسی کنید که مجوزهای انتخاب‌شده به‌عنوان granted نمایش داده می‌شوند. به این ترتیب کارکنان می‌توانند بدون نیاز به اعطای مجوز سازمانی توسط خودشان، از دسترسی تأییدشده استفاده کنند. بسته به سیاست شما، Microsoft ممکن است همچنان درخواست ورود، MFA یا رضایت مجدد کند.

4. اپ را در دو مکان به محیط AI وصل کنید

از مدیر پلتفرم بخواهید محیط درست را انتخاب کرده و این تنظیمات را انجام دهد:

1. در Admin → Environment → Tenant: روش ورود Microsoft را فعال کنید و Directory (tenant) ID را در فیلد Microsoft ID وارد کنید.
2. در Google Cloud → Identity Platform → tenant مربوطه → Identity providers → Microsoft: provider را فعال کنید و Application (client) ID و client secret Value همان اپ Entra را وارد کنید.

Identity Provider مربوط به tenant Firebase/Identity Platform محیط AI شماست، نه سازمان دیگر یا محیط عمومی Admin. یکپارچه‌سازی work account دوباره از همان اپ موجود در این provider استفاده می‌کند. client secret نباید در ترجیحات کاربر، پیام‌های چت یا فیلدهای معمول محیط قرار بگیرد.

نام سازمان، برند، Directory ID، client ID، مقدار secret، تاریخ انقضا و یکپارچه‌سازی‌ها/مجوزهای موردنیاز را از طریق کانال امن به مدیریت پلتفرم تحویل دهید. فقط داشتن app ID کافی نیست.

5. یکپارچه‌سازی‌ها و اقدامات نوشتن را فعال کنید

محیط مدیریت سازمان خودتان را باز کنید → Tools → MCP. در Suite-snelkoppelingen یکپارچه‌سازی Microsoft 365 را روشن کنید. ردیف‌های Microsoft قابل مشاهده می‌شوند؛ وقتی کل suite خاموش باشد، آن ردیف‌ها پنهان می‌مانند.

برای هر یکپارچه‌سازی مشخص کنید که در دسترس باشد یا نه. در ستون Schrijfacties به‌صورت جداگانه انتخاب کنید:

• Outlook Mail → Concepten: ساخت و ویرایش پیش‌نویس‌ها.
• Outlook Mail → Verzenden: ارسال واقعی یک پیش‌نویس موجود.
• Outlook Agenda → Schrijven: ساخت و ویرایش قرارها.
• Microsoft Teams → Posten: قرار دادن پیام‌های متنی در یک کانال Teams انتخاب‌شده.

روی Opslaan کلیک کنید. یک اقدام نوشتن فقط زمانی کار می‌کند که هم خود یکپارچه‌سازی و هم مجوز مدیریتی مربوط به آن روشن باشد، Microsoft مجوزهای لازم را داده باشد و کاربر اتصال را شخصاً فعال کرده باشد. کاربر برای این کار فرم مجوز نوشتن اضافی دریافت نمی‌کند.

در دسترس بودن

تنظیمات باید توسط backend برند شما نیز پشتیبانی شوند. این توسعه نوشتن در ۷ اکتبر ۲۰۲۶ به‌طور هدفمند برای OnderwijsSupport در AI-Corporate منتشر و آزمایش شده است. این به‌صورت خودکار به این معنی نیست که همین توسعه برای AI-School، AI-Public یا هر محیط دیگری نیز در دسترس است. وقتی اقدامات نوشتن وجود ندارند، از مدیریت پلتفرم تأیید بخواهید.

6. پیکربندی را بررسی کنید

از یک کاربر بخواهید در محیط درست AI وارد شود و یکپارچه‌سازی موردنظر را طبق استفاده از یکپارچه‌سازی‌های Microsoft فعال کند. بررسی کنید که Microsoft نام اپ Entra خودتان را نشان می‌دهد.

ابتدا یک پیش‌نویس قابل‌شناسایی و یک قرار بدون شرکت‌کننده را آزمایش کنید. آیتم‌های ذخیره‌شده را در Outlook بررسی کنید. سپس ارسال را با یک گیرنده آزمایشی توافق‌شده و ارسال پست در Teams را در یک کانال آزمایشی توافق‌شده تست کنید. یک قرار با شرکت‌کنندگان ممکن است دعوت‌نامه یا به‌روزرسانی ارسال کند. یک دستور ارسال که پذیرفته شده، هنوز به معنی تحویل قطعی نیست.

در صورت گسترش مجوزها، اتصال تلاش می‌کند توکن‌ها را تازه کند. اگر Microsoft ورود یا رضایت مجدد بخواهد، از کاربر بخواهید اتصال موجود را دوباره متصل کند. نیازی به ساخت اپ دوم یا تنظیم کاربر جداگانه نیست.

رفع مشکل

مشکل	بررسی
AADSTS50011 / عدم تطابق redirect	هر دو callback دقیقاً به‌صورت Web و برای برند درست ثبت شده باشند.
هنگام رضایت، نام اپ دیگری نمایش داده می‌شود	محیط AI درست، Directory ID و Microsoft Identity Provider مخصوص tenant؛ سپس دوباره اتصال برقرار کنید.
ورود کار می‌کند، اما یکپارچه‌سازی نه	callback کانکتور، مجوزهای Graph و رضایت سازمانی را نیز بررسی کنید.
خواندن انجام می‌شود، اما نوشتن نه	مجوز مدیریتی، مجوز delegated Graph مربوطه، رضایت اعطاشده و در دسترس بودن backend را بررسی کنید.
client secret نامعتبر یا منقضی شده	Value را، نه Secret ID را؛ و secret جدید را در Identity Provider هم به‌روزرسانی کنید.
یکپارچه‌سازی برای کاربر وجود ندارد	در Tools، مجوزهای کاربر برای connections و محیط AI انتخاب‌شده را بررسی کنید.

اطلاعات بیشتر

• مدیریت Tools
• استفاده از یکپارچه‌سازی‌های Microsoft
• Microsoft: ثبت یک app
• Microsoft: URLهای بازگشت
• Microsoft Graph: نمای کلی مجوزها

پایگاه دانش مرکزی SharePoint: تنظیم Microsoft

یک پوشه متصل‌شده به‌صورت مرکزی از طریق اپ سازمانی کار می‌کند، بدون اینکه هر کارمند یک اتصال شخصی SharePoint را فعال کند. برای این کار دو رضایت جداگانه لازم است: مجوز اپلیکیشن Sites.Selected با admin consent، و یک grant نوع read روی سایت SharePoint انتخاب‌شده. فقط یک ورود Microsoft که کار می‌کند یا صرفاً admin consent کافی نیست.

1. اپ سازمانی را بررسی کنید

از همان single-tenant app registration که برای ورود Microsoft در محیط AI خودتان استفاده می‌کنید، بهره ببرید. یک اپ موجود را می‌توان گسترش داد؛ نیازی به اپ یکپارچه‌سازی دوم نیست. در Microsoft Entra → App registrations → app شما → Overview، Directory (tenant) ID و Application (client) ID را بررسی کنید. در ادامه، از client ID استفاده کنید، نه Object ID.

Directory ID باید در Admin → Environment → Tenant → Microsoft ID قرار داشته باشد. client ID و Value یک client secret معتبر باید در Microsoft Identity Provider همان محیط AI قرار داشته باشند. این پیکربندی توسط مدیریت پلتفرم نگهداری می‌شود. secret منقضی‌شده همچنین import مرکزی را متوقف می‌کند؛ تاریخ انقضا را پیگیری کنید.

اتصال مرکزی سرور از client_credentials استفاده می‌کند و به URL بازگشت اضافی نیاز ندارد. Web redirectهای موجود برای ورود و یکپارچه‌سازی‌های شخصی work account همچنان لازم هستند؛ از URLهای مخصوص برند موجود در جدول قبلی این مقاله استفاده کنید.

2. مجوز اپلیکیشن را اضافه کنید و admin consent بدهید

1. API permissions → Add a permission → Microsoft Graph → Application permissions را باز کنید.
2. Sites.Selected را پیدا کنید، این مجوز را انتخاب کنید و روی Add permissions کلیک کنید.
3. از یک مدیر مجاز Entra بخواهید Grant admin consent for نام سازمان شما را انجام دهد.
4. بررسی کنید که Sites.Selected با نوع Application به‌عنوان granted نمایش داده می‌شود.

مجوزهای delegated برای اتصال‌های شخصی Outlook، Teams و SharePoint می‌توانند روی همان اپ باقی بمانند. آن‌ها مجوز اپلیکیشن برای پایگاه دانش مرکزی را جایگزین نمی‌کنند. برای این import مرکزی به مجوزهای اپلیکیشن Sites.Read.All، Sites.ReadWrite.All یا Sites.FullControl.All نیاز نیست.

3. به‌طور جداگانه به سایت دسترسی خواندن بدهید

این اقدام مدیریتی را می‌توان با Microsoft Graph Explorer انجام داد. از یک حساب مدیریتی در همان دایرکتوری Microsoft استفاده کنید، با نقش SharePoint Administrator یا یک نقش مدیریتی مناسب‌تر و دسترسی به سایت مربوطه. داشتن نقش اشتراک Azure یا صرفاً مالکیت اپ برای این کار کافی نیست.

1. حساب مدیریتی را در Graph Explorer وارد کنید و سازمان نمایش‌داده‌شده را بررسی کنید.
2. profile menu → Consent to permissions را باز کنید، Sites.FullControl.All را پیدا کنید و Consent را انتخاب کنید تا مجوز لازم برای Graph Explorer در این زمینه مدیریتی داده شود. در بعضی پرس‌وجوها می‌توانید پنل کامل مجوزها را نیز از طریق Modify Permissions → Open the permissions panel باز کنید. این یک مجوز مدیریتی delegated برای مدیریت site grantهاست؛ آن را به‌صورت مجوز اپلیکیشن گسترده روی اپ پایگاه دانش اضافه نکنید. وقتی رضایت سازمانی برای همه کاربران لازم نیست، از رضایت مبتنی بر حساب استفاده کنید.
3. با GET زیر، site ID را پیدا کنید. host نمونه و مسیر سایت را با موارد مربوط به پوشه خودتان جایگزین کنید. اگر URL شامل /teams/ است، از آن مسیر به‌جای /sites/ استفاده کنید.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

مقدار id در پاسخ، site ID کامل است، شامل نام host و دو GUID. displayName و webUrl را نیز بررسی کنید: grant باید روی همان سایتی قرار بگیرد که پوشه شما واقعاً در آن قرار دارد.

4. ابتدا grantهای موجود را با GET در آدرس زیر بررسی کنید. اگر client ID شما از قبل با role read آنجا هست، نیازی به ساخت grant دوم ندارید. grantهای موجود با دسترسی گسترده‌تر یا متفاوت را مدیر Microsoft شما باید بررسی کند.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

5. اگر grant وجود ندارد، POST را انتخاب کنید، همان آدرس را استفاده کنید و در Request Body JSON زیر را وارد کنید. دو مقدار نمونه را جایگزین کنید؛ CLIENT-ID-VAN-UW-APP همان Application (client) ID اپ یکپارچه‌سازی شماست، نه اپ Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

6. Run query را انتخاب کنید. افزودن موفق 201 Created برمی‌گرداند. در پاسخ، role read و client ID را بررسی کنید؛ Graph ممکن است این را زیر grantedToIdentitiesV2 نشان دهد. سپس دوباره با GET بررسی کنید. شناسه permission را برای مدیریت و هرگونه لغو بعدی نگه دارید.
7. این کار را فقط برای هر سایت دیگری که آگاهانه می‌خواهید پوشه‌های پایگاه دانش را به آن متصل کنید، تکرار کنید.

site grant و مجوزهای پایگاه دانش

Grant مایکروسافت به اپ دسترسی خواندن به کل سایت انتخاب‌شده می‌دهد. محیط AI فقط پوشه انتخاب‌شده و زیرپوشه‌ها را import می‌کند. در صورت امکان از یک سایت جداگانه برای دانش قابل‌اشتراک مرکزی استفاده کنید. مجوزهای موجود پایگاه دانش تعیین می‌کنند کدام کاربران اسناد import‌شده را دریافت می‌کنند؛ مجوزهای فردی SharePoint منتقل نمی‌شوند.

4. پوشه را متصل کنید و نتیجه را بررسی کنید

Beheer → Kennisbank → Toevoegen → SharePoint-mappen → Map koppelen را باز کنید و از URL واقعی پوشه استفاده کنید، نه لینک دعوت یا آدرس نمای کلی OneDrive. دامنه، مخاطب و وضعیت انتشار را مطابق راهنمای پایگاه دانش انتخاب کنید. یک منبع مرکزی نیازی به connector شخصی در ترجیحات کاربر ندارد.

با Vernieuwen بررسی کنید که اسناد بدون خطا پردازش شده‌اند. برای یک بررسی جدید از Nu synchroniseren استفاده کنید و سپس یک پرسش چت مشخص درباره یک سند واردشده بپرسید. بررسی کنید که پاسخ، منبع دانش مرکزی درست را ذکر می‌کند.

مشکل	بررسی در سمت Microsoft
ورود کار می‌کند، اما پوشه مرکزی نه	Sites.Selected باید از نوع Application باشد و admin consent داشته باشد؛ علاوه بر آن، site grant جداگانه را هم بررسی کنید.
403 Forbidden هنگام دسترسی به پوشه	دایرکتوری Microsoft درست، site ID، client ID و read-grant؛ admin consent به‌تنهایی دسترسی به سایت نمی‌دهد.
403 در اقدام مدیریتی در Graph Explorer	delegated Sites.FullControl.All، رضایت داده‌شده، نقش مدیریتی و دسترسی به سایت مقصد. برای حل مشکل، مجوز گسترده را به اپ یکپارچه‌سازی اضافه نکنید.
سایت کار می‌کند، اما پوشه پیدا نمی‌شود	URL واقعی پوشه، کتابخانه اسناد و مسیر سایت را بررسی کنید؛ یک میان‌بر OneDrive ممکن است به سایت دیگری اشاره کند.
secret منقضی یا نامعتبر است	از مدیریت پلتفرم بخواهید Value جدید secret را در Microsoft Identity Provider درست به‌روزرسانی کند.

برای OnderwijsSupport در AI-Corporate، این اتصال مرکزی در ۱۴ اکتبر ۲۰۲۶ منتشر و آزمایش شده است. در دسترس بودن در AI-School، AI-Public یا هر محیط دیگر باید توسط مدیریت پلتفرم تأیید شود.

مستندات Microsoft: Selected permissions، افزودن site grant و بررسی site grantها.