Configurer Microsoft 365 pour votre environnement

Il existe deux façons de relier Microsoft 365 à votre environnement AI-Corporate. Choisissez d’abord la méthode qui convient à votre organisation.

Méthode	Quand	Ce que vous faites
Application centrale AI-Corporate (par défaut)	Connexions personnelles à Outlook Mail, Calendrier Outlook, Teams et SharePoint/OneDrive.	Un administrateur Entra accorde le consentement organisationnel via Connecter Microsoft 365. Ensuite, vous activez les intégrations comme indiqué à l’étape 5 de cet article. Aucune application propre, secret client ni Identity Provider n’est nécessaire.
Application Entra propre	Vous voulez importer centralement des dossiers SharePoint dans la base de connaissances, les collaborateurs se connectent déjà avec Microsoft via une application propre, ou vous souhaitez gérer vous-même l’application.	Suivez cet article à partir de l’étape 1.

Si votre organisation se connecte déjà avec Microsoft via une application propre (le champ Microsoft ID de l’environnement est renseigné), alors toutes les connexions utilisent cette application propre. La voie centrale ne s’applique pas dans ce cas.

Application Entra propre

Avec une application Microsoft Entra propre, votre organisation peut utiliser la même application pour se connecter avec Microsoft et pour Outlook, Teams et SharePoint. Vous décidez de manière centralisée quelles intégrations et quelles actions d’écriture sont disponibles. Les utilisateurs activent ensuite seulement leurs connexions personnelles dans Préférences → Outils → Connexions.

Les intégrations personnelles fonctionnent avec les modèles pris en charge d’OpenAI, Claude, Gemini et Mistral. Le modèle choisi doit pouvoir utiliser des outils. Avec les connexions personnelles, l’accès suit les droits de l’utilisateur Microsoft connecté. Le consentement organisationnel ne connecte pas automatiquement tous les employés et ne donne pas à l’IA un accès autonome à toutes les boîtes mail. La base de connaissances SharePoint centrale utilise des droits d’application distincts et les droits de base de connaissances existants, comme décrit plus loin dans cet article.

De quoi avez-vous besoin ?

Une organisation Microsoft 365 avec Microsoft Entra ID et des comptes ayant accès aux services souhaités.
Un administrateur autorisé à enregistrer une application et à accorder le consentement organisationnel pour les droits Microsoft Graph choisis. Un rôle d’abonnement Azure seul ne suffit pas ; votre rôle Entra doit autoriser ce consentement.
Des droits d’administration dans le bon environnement AI pour rendre les intégrations disponibles.
Un administrateur de plateforme capable de configurer le Microsoft Identity Provider pour cet environnement AI dans Google Cloud Identity Platform.
Une app registration dans votre propre annuaire Microsoft, avec un secret client et les deux URL de redirection du bon marque.

La connexion avec Microsoft et l’accès aux données Microsoft sont deux fonctions distinctes. Une connexion Microsoft opérationnelle ne signifie pas encore que Outlook, Teams ou SharePoint est configuré.

1. Enregistrez une seule application d’organisation

Ouvrez le centre d’administration Microsoft Entra et allez dans App registrations → New registration. Utilisez un nom reconnaissable, par exemple AI-Corporate – le nom de votre organisation. Pour une organisation propre, choisissez Accounts in this organizational directory only (Single tenant).

Conservez les informations suivantes depuis Overview :

Donnée	À quoi cela sert-il ?
Directory (tenant) ID	L’annuaire Microsoft de votre organisation ; il va dans le champ Microsoft ID de l’environnement AI.
Application (client) ID	L’application enregistrée ; elle va dans le Microsoft Identity Provider.

Ces deux ID sont différents. Dans Microsoft ID, ne saisissez pas le client ID ni l’ID de tenant Firebase.

2. Configurez les bonnes URL de redirection

Allez dans Authentication → Add a platform → Web. Ajoutez pour votre marque les deux URL ci-dessous, exactement comme affichées. La première gère la connexion ; la seconde gère le consentement pour les intégrations de compte de travail.

Marque	Se connecter avec Microsoft	Intégrations de compte de travail
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Utilisez les URL de la marque sur laquelle votre environnement s’exécute. Le nom de votre organisation ou l’ID de tenant n’a pas besoin d’être ajouté dans ces URL. L’URL du site web, l’URL du tableau de bord et l’URL .web.app ne remplacent pas ces callbacks. Enregistrez-les comme Web, même si vous utilisez l’intégration depuis un navigateur. Vous n’avez pas besoin d’activer l’émission implicite de jetons ni le flux de client public.

3. Créez un secret client et attribuez les droits

Allez dans Certificates & secrets → Client secrets → New client secret. Choisissez une durée appropriée et conservez la Value en lieu sûr dès qu’elle est visible. Transmettez la valeur via le canal sécurisé convenu pour l’administration de la plateforme ; le Secret ID n’est pas le secret client. Surveillez la date d’expiration et remplacez le secret avant cette date, y compris dans l’Identity Provider.

Ensuite, allez dans API permissions → Add a permission → Microsoft Graph → Delegated permissions. Ajoutez uniquement les droits correspondant aux intégrations et actions que votre organisation va proposer.

Intégration	Droits de lecture	Droits supplémentaires pour l’écriture
Profil / base	`User.Read`; le flux de connexion demande aussi `openid`, `profile`, `email` et `offline_access`	Aucun
Outlook Mail	`Mail.Read`	Brouillons : `Mail.ReadWrite`. Envoi : `Mail.Send`.
Calendrier Outlook	`Calendars.Read`	Écriture : `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Publication : `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Cette intégration de compte de travail n’offre pas d’actions d’écriture ici.

Mail.ReadWrite ne donne pas le droit d’envoi ; Mail.Send est requis séparément. La publication Teams écrit des messages texte dans un canal choisi, pas des messages de chat privés. Pour cette intégration, utilisez des Delegated permissions, pas des Application permissions. Même avec des droits comportant All dans le nom, l’accès délégué reste limité par les droits de l’utilisateur.

Cliquez sur Grant admin consent for votre organisation et vérifiez que les droits choisis apparaissent comme accordés. Ainsi, les collaborateurs peuvent utiliser l’accès approuvé sans devoir accorder eux-mêmes des droits organisationnels. Microsoft peut néanmoins demander une connexion, une MFA ou un nouveau consentement selon votre politique.

4. Reliez l’application à l’environnement AI à deux endroits

Demandez à l’administrateur de plateforme de sélectionner le bon environnement et d’effectuer ces réglages :

Dans Admin → Environnement → Tenant : activez la méthode de connexion Microsoft et renseignez le Directory (tenant) ID dans Microsoft ID.
Dans Google Cloud → Identity Platform → le tenant concerné → Identity providers → Microsoft : activez le fournisseur et renseignez le Application (client) ID et la client secret Value de la même application Entra.

L’Identity Provider appartient au tenant Firebase/Identity Platform de votre environnement AI, pas à une autre organisation ni à l’environnement Admin général. L’intégration de compte de travail réutilise l’application de ce fournisseur. Le secret client ne doit pas être placé dans les préférences utilisateur, les messages de chat ou les champs d’environnement ordinaires.

Transmettez à l’administration de la plateforme le nom de l’organisation, la marque, l’ID de répertoire, le client ID, la valeur du secret via le canal sécurisé, la date d’expiration et les intégrations/droits souhaités. Un simple ID d’application ne suffit pas.

5. Autorisez les intégrations et actions d’écriture

Ouvrez l’environnement d’administration de votre organisation → Tools → MCP. Activez l’intégration Microsoft 365 sous Suite-snelkoppelingen. Les lignes Microsoft deviennent visibles ; lorsque toute la suite est désactivée, ces lignes restent cachées.

Choisissez pour chaque intégration si elle est disponible. Dans la colonne Schrijfacties, choisissez séparément :

Outlook Mail → Concepten : créer et modifier des brouillons.
Outlook Mail → Verzenden : envoyer effectivement un brouillon existant.
Outlook Agenda → Schrijven : créer et modifier des rendez-vous.
Microsoft Teams → Posten : placer des messages texte dans un canal Teams choisi.

Cliquez sur Opslaan. Une action d’écriture ne fonctionne que si l’intégration et le droit de gestion correspondant sont tous deux activés, si Microsoft a accordé les droits nécessaires et si l’utilisateur a activé personnellement la connexion. L’utilisateur ne reçoit pas de formulaire supplémentaire de droits d’écriture pour cela.

Disponibilité

Les réglages doivent également être pris en charge par le backend de votre marque. Cette extension d’écriture a été publiée et testée de manière ciblée le 7 octobre 2026 pour OnderwijsSupport sur AI-Corporate. Cela ne signifie pas automatiquement que la même extension est déjà disponible pour AI-School, AI-Public ou tout autre environnement. Demandez une confirmation à l’administration de la plateforme lorsque les actions d’écriture sont absentes.

6. Vérifiez la configuration

Demandez à un utilisateur de se connecter au bon environnement AI et d’activer l’intégration souhaitée conformément à Utiliser les intégrations Microsoft. Vérifiez que Microsoft affiche le nom de votre propre application Entra.

Testez d’abord un brouillon reconnaissable et un rendez-vous sans participants. Vérifiez les éléments enregistrés dans Outlook. Testez ensuite l’envoi avec un destinataire de test convenu et la publication Teams dans un canal de test convenu. Un rendez-vous avec participants peut envoyer des invitations ou des mises à jour. Une tâche d’envoi acceptée n’est pas encore une remise confirmée.

Lors d’une extension des droits, la connexion tente de renouveler les jetons. Si Microsoft exige une nouvelle connexion ou un nouveau consentement, demandez à l’utilisateur de reconnecter la connexion existante. Il n’est pas nécessaire de créer une deuxième application ni un réglage utilisateur séparé.

Dépannage

Problème	Vérification
`AADSTS50011` / redirect mismatch	Les deux callbacks doivent être enregistrés exactement comme Web, pour la bonne marque.
Un autre nom d’application apparaît lors du consentement	Vérifiez le bon environnement AI, l’ID de répertoire et le Microsoft Identity Provider spécifique au tenant ; reconnectez ensuite.
La connexion fonctionne, mais pas l’intégration	Vérifiez aussi le callback du connecteur, les droits Graph et le consentement organisationnel.
La lecture fonctionne, pas l’écriture	Vérifiez le droit d’administration, le droit Graph délégué correspondant, le consentement accordé et la disponibilité du backend.
Secret client invalide ou expiré	La Value, pas le Secret ID ; mettez aussi à jour le nouveau secret dans l’Identity Provider.
L’intégration est absente chez l’utilisateur	Vérifiez la disponibilité dans Tools, les droits utilisateur pour les connexions et l’environnement AI sélectionné.

Plus d’informations

Base de connaissances SharePoint centrale : configurer Microsoft

Un dossier lié de manière centralisée fonctionne via l’application d’organisation, sans que chaque collaborateur active une connexion SharePoint personnelle. Pour cela, deux consentements distincts sont nécessaires : le droit d’application Sites.Selected avec consentement admin, et un read-grant sur le site SharePoint choisi. Une connexion Microsoft fonctionnelle ou le seul consentement admin ne suffit pas.

1. Vérifiez l’application d’organisation

Utilisez la même single-tenant app registration que pour la connexion Microsoft dans votre environnement AI. Une application existante peut être étendue ; une deuxième application d’intégration n’est pas nécessaire. Vérifiez dans Microsoft Entra → App registrations → votre application → Overview le Directory (tenant) ID et le Application (client) ID. Utilisez ci-dessous le client ID, pas l’Object ID.

L’ID de répertoire doit figurer dans Admin → Environnement → Tenant → Microsoft ID. Le client ID et la Value d’un secret client valide doivent se trouver dans le Microsoft Identity Provider de cet environnement AI précis. Cette configuration est gérée par l’administration de la plateforme. Un secret expiré empêche également l’import central ; surveillez la date d’expiration.

La connexion serveur centrale utilise client_credentials et ne demande pas d’URL de redirection supplémentaire. Les redirections Web existantes pour la connexion et les intégrations personnelles de compte de travail restent nécessaires ; utilisez les URL de la marque du tableau plus haut dans cet article.

2. Ajoutez le droit d’application et accordez le consentement admin

Ouvrez API permissions → Add a permission → Microsoft Graph → Application permissions.
Recherchez Sites.Selected, sélectionnez ce droit et cliquez sur Add permissions.
Demandez à un administrateur Entra autorisé d’exécuter Grant admin consent for votre organisation.
Vérifiez que Sites.Selected, type Application, apparaît comme accordé.

Les droits délégués pour les connexions personnelles Outlook, Teams et SharePoint peuvent rester sur la même application. Ils ne remplacent pas le droit d’application pour la base de connaissances centrale. Pour cette importation centrale, aucun droit d’application Sites.Read.All, Sites.ReadWrite.All ou Sites.FullControl.All n’est nécessaire.

3. Donnez à l’application un accès en lecture séparé au site

Cette action d’administration peut être effectuée avec Microsoft Graph Explorer. Utilisez un compte administrateur dans le même annuaire Microsoft, avec le rôle SharePoint Administrator ou un rôle d’administration approprié supérieur, et l’accès au site concerné. Un rôle d’abonnement Azure ou la simple propriété de l’application ne suffit pas.

Connectez le compte administrateur à Graph Explorer et vérifiez l’organisation affichée.
Ouvrez votre menu de profil → Consent to permissions, recherchez Sites.FullControl.All et choisissez Consent pour accorder le consentement requis à Graph Explorer dans ce contexte d’administration. Pour certaines requêtes, vous pouvez aussi ouvrir le panneau complet des droits via Modify Permissions → Open the permissions panel. Il s’agit d’un droit d’administration delegated pour gérer les grants de site ; ne l’ajoutez pas comme droit d’application large sur l’application de la base de connaissances. Utilisez un consentement lié au compte lorsque le consentement organisationnel pour tous les utilisateurs n’est pas nécessaire.
Recherchez l’ID du site avec le GET ci-dessous. Remplacez l’hôte d’exemple et le chemin du site par ceux de votre propre dossier. Avec une URL contenant /teams/, utilisez ce chemin à la place de /sites/.

GET https://graph.microsoft.com/v1.0/sites/votreorganisation.sharepoint.com:/sites/votresite?$select=id,displayName,webUrl

La valeur id dans la réponse est l’ID complet du site, y compris le nom d’hôte et deux GUID. Vérifiez aussi displayName et webUrl : le grant doit être appliqué au site dans lequel se trouve réellement votre dossier.

Vérifiez d’abord les grants existants avec GET à l’adresse ci-dessous. Si votre client ID y figure déjà avec le rôle read, vous n’avez pas besoin de créer un second grant. Faites vérifier les grants existants plus larges ou différents par votre administrateur Microsoft.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Si le grant manque, choisissez POST, utilisez la même adresse et insérez le JSON suivant dans Request Body. Remplacez les deux valeurs d’exemple ; CLIENT-ID-DE-VOTRE-APP est le Application (client) ID de votre application d’intégration, pas celui de Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-DE-VOTRE-APP",
        "displayName": "NOM-DE-VOTRE-APPLICATION-D’INTÉGRATION"
      }
    }
  ]
}

Choisissez Run query. Une ajout réussi renvoie 201 Created. Vérifiez dans la réponse le rôle read et le client ID ; Graph peut l’afficher sous grantedToIdentitiesV2. Vérifiez ensuite de nouveau avec GET. Conservez l’ID de permission pour l’administration et une éventuelle révocation ultérieure.
Répétez cela uniquement pour chaque autre site dont vous souhaitez relier volontairement des dossiers de base de connaissances.

Grant de site et droits de base de connaissances

Le grant Microsoft donne à l’application un accès en lecture à l’ensemble du site sélectionné. L’environnement AI n’importe que le dossier choisi et ses sous-dossiers. Utilisez de préférence un site distinct pour les connaissances partagées de manière centrale. Les droits de base de connaissances existants déterminent quels utilisateurs reçoivent les documents importés ; les droits SharePoint individuels ne sont pas repris.

4. Reliez le dossier et vérifiez le résultat

Ouvrez Beheer → Kennisbank → Toevoegen → SharePoint-mappen → Map koppelen et utilisez la véritable URL du dossier, pas un lien d’invitation ni une adresse de vue OneDrive. Choisissez la portée, le public cible et l’état de publication selon le guide de la base de connaissances. Une source centrale ne nécessite pas de connecteur personnel dans les préférences utilisateur.

Vérifiez avec Vernieuwen que les documents ont été traités sans erreur. Utilisez Nu synchroniseren pour une nouvelle vérification, puis posez une question de chat concrète sur un document importé. Vérifiez que la réponse mentionne la bonne source centrale de connaissances.

Problème	Vérification côté Microsoft
La connexion fonctionne, mais pas le dossier central	`Sites.Selected` doit être de type Application et avoir le consentement admin ; vérifiez aussi le grant de site séparé.
`403 Forbidden` lors de l’accès au dossier	Annuaire Microsoft, ID du site, client ID et `read`-grant corrects ; le consentement admin n’accorde pas à lui seul l’accès au site.
`403` lors de l’action d’administration dans Graph Explorer	`Sites.FullControl.All` délégué, consentement accordé, rôle d’administration et accès au site cible. N’ajoutez pas de droit large à l’application d’intégration comme solution.
Le site fonctionne, mais le dossier est introuvable	Vérifiez la véritable URL du dossier, la bibliothèque de documents et le chemin du site ; un raccourci OneDrive peut pointer vers un autre site.
Secret expiré ou invalide	Demandez à l’administration de la plateforme de mettre à jour la nouvelle secret Value dans le bon Microsoft Identity Provider.

Pour OnderwijsSupport sur AI-Corporate, cette connexion centrale a été publiée et testée le 14 octobre 2026. La disponibilité sur AI-School, AI-Public ou tout autre environnement doit être confirmée par l’administration de la plateforme.

Documentation Microsoft : Autorisations sélectionnées, ajouter un site grant et consulter les site grants.

Application Entra propre​

De quoi avez-vous besoin ?​

1. Enregistrez une seule application d’organisation​

2. Configurez les bonnes URL de redirection​

3. Créez un secret client et attribuez les droits​

4. Reliez l’application à l’environnement AI à deux endroits​

5. Autorisez les intégrations et actions d’écriture​

6. Vérifiez la configuration​

Dépannage​

Plus d’informations​

Base de connaissances SharePoint centrale : configurer Microsoft​

1. Vérifiez l’application d’organisation​

2. Ajoutez le droit d’application et accordez le consentement admin​

3. Donnez à l’application un accès en lecture séparé au site​

4. Reliez le dossier et vérifiez le résultat​