Configurare Microsoft 365 per il proprio ambiente

Esistono due modi per collegare Microsoft 365 al proprio ambiente AI-Corporate. Scegliete prima quale percorso è adatto alla vostra organizzazione.

Percorso	Quando	Cosa fare
App centrale di AI-Corporate (predefinita)	Collegamenti personali con Outlook Mail, Calendario di Outlook, Teams e SharePoint/OneDrive.	Un amministratore Entra concede l’autorizzazione dell’organizzazione tramite Collegare Microsoft 365. Poi rendete disponibili le integrazioni come indicato al passo 5 di questo articolo. Non servono una app propria, un client secret o un Identity Provider.
App Entra propria	Volete importare centralmente cartelle SharePoint nella knowledge base, i dipendenti accedono già con Microsoft tramite una propria app, oppure volete gestire voi stessi l’app.	Seguite questo articolo a partire dal passo 1.

Se la vostra organizzazione accede già con Microsoft tramite una propria app (il campo Microsoft ID dell’ambiente è compilato), allora tutti i collegamenti usano quell’app. Il percorso centrale non si applica.

App Entra propria

Con una propria app Microsoft Entra la vostra organizzazione può usare la stessa app per accedere con Microsoft e per Outlook, Teams e SharePoint. Decidete centralmente quali integrazioni e azioni di scrittura sono disponibili. Gli utenti poi attivano o disattivano solo i propri collegamenti personali in Preferenze → Strumenti → Collegamenti.

Le integrazioni personali funzionano con i modelli supportati di OpenAI, Claude, Gemini e Mistral. Il modello scelto deve poter usare gli strumenti. Nei collegamenti personali l’accesso segue i diritti dell’utente Microsoft autenticato. L’autorizzazione dell’organizzazione non collega automaticamente tutti i dipendenti e non dà all’AI accesso autonomo a tutte le caselle di posta. La knowledge base centrale di SharePoint usa diritti separati dell’app e i diritti esistenti della knowledge base, come descritto più avanti in questo articolo.

Di cosa avete bisogno?

Un’organizzazione Microsoft 365 con Microsoft Entra ID e account con accesso ai servizi desiderati.
Un amministratore che possa registrare un’app e concedere l’autorizzazione dell’organizzazione per i diritti Microsoft Graph scelti. Una semplice role di Azure subscription non è sufficiente; la vostra role Entra deve consentire questa autorizzazione.
Diritti amministrativi nel corretto ambiente AI per rendere disponibili le integrazioni.
Un amministratore di piattaforma che possa configurare il Microsoft Identity Provider per questo ambiente AI in Google Cloud Identity Platform.
Una app registration nel vostro directory Microsoft, con un client secret e i due URL di redirect del brand corretto.

Accedere con Microsoft e accedere ai dati Microsoft sono due funzioni separate. Una login Microsoft funzionante non significa ancora che Outlook, Teams o SharePoint siano configurati.

1. Registrate una sola app dell’organizzazione

Aprire il Microsoft Entra admin center e andare su App registrations → New registration. Usate un nome riconoscibile, ad esempio AI-Corporate – nome della vostra organizzazione. Per una propria organizzazione scegliete Accounts in this organizational directory only (Single tenant).

Salvate i seguenti dati da Overview:

Dato	A cosa serve?
Directory (tenant) ID	Il directory Microsoft della vostra organizzazione; va nel campo Microsoft ID dell’ambiente AI.
Application (client) ID	L’app registrata; va nel Microsoft Identity Provider.

Questi due ID sono diversi. In Microsoft ID non inserite il client ID né il Firebase tenant ID.

2. Impostate i corretti URL di redirect

Andate su Authentication → Add a platform → Web. Aggiungete per il vostro brand entrambi gli URL qui sotto, esattamente come mostrati. Il primo gestisce l’accesso; il secondo gestisce il consenso per le integrazioni dell’account di lavoro.

Brand	Accedere con Microsoft	Integrazioni account di lavoro
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Usate gli URL del brand su cui gira il vostro ambiente. Il nome della vostra organizzazione o il tenant ID non devono essere inseriti in questi URL. L’URL del sito web, l’URL della dashboard e l’URL .web.app non sostituiscono questi callback. Registrateli come Web, anche se usate l’integrazione da un browser. Non è necessario abilitare l’emissione implicita dei token o il flusso public client.

3. Create un client secret e assegnate i diritti

Andate su Certificates & secrets → Client secrets → New client secret. Scegliete una durata appropriata e salvate in modo sicuro il Value appena diventa visibile. Consegnate il valore tramite il canale protetto concordato per la gestione della piattaforma; il Secret ID non è il client secret. Tenete traccia della data di scadenza e sostituite il secret prima di tale data, anche nell’Identity Provider.

Poi andate su API permissions → Add a permission → Microsoft Graph → Delegated permissions. Aggiungete solo i diritti per le integrazioni e le azioni che la vostra organizzazione offrirà.

Integrazione	Diritti di lettura	Diritti aggiuntivi per scrittura
Profilo / base	`User.Read`; il flusso di accesso richiede anche `openid`, `profile`, `email` e `offline_access`	Nessuno
Outlook Mail	`Mail.Read`	Bozze: `Mail.ReadWrite`. Invio: `Mail.Send`.
Calendario di Outlook	`Calendars.Read`	Scrittura: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Pubblicazione: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Questa integrazione account di lavoro qui non offre azioni di scrittura.

Mail.ReadWrite non concede il diritto di invio; per quello serve separatamente Mail.Send. La pubblicazione su Teams scrive messaggi di testo in un canale scelto, non messaggi di chat privata. Per questa integrazione usate Delegated permissions, non Application permissions. Anche con i diritti che includono All nel nome, l’accesso delegato resta limitato dall’accesso dell’utente.

Fate clic su Grant admin consent for la vostra organizzazione e verificate che i diritti scelti risultino concessi. In questo modo i dipendenti possono usare l’accesso approvato senza dover concedere da soli diritti organizzativi. Microsoft può comunque richiedere un nuovo accesso, MFA o un nuovo consenso, a seconda delle vostre policy.

4. Collegate l’app in due punti all’ambiente AI

Fate selezionare all’amministratore di piattaforma l’ambiente corretto ed eseguire queste impostazioni:

In Admin → Ambiente → Tenant: attivate il metodo di accesso Microsoft e inserite come Microsoft ID il Directory (tenant) ID.
In Google Cloud → Identity Platform → il tenant corrispondente → Identity providers → Microsoft: attivate il provider e inserite il Application (client) ID e il client secret Value della stessa app Entra.

L’Identity Provider appartiene al tenant Firebase/Identity Platform del vostro ambiente AI, non a un’altra organizzazione né all’ambiente Admin generale. L’integrazione account di lavoro riusa l’app di questo provider. Il client secret non deve stare nelle preferenze utente, nei messaggi di chat o nei normali campi di ambiente.

Fornite all’amministratore di piattaforma il nome dell’organizzazione, il brand, il Directory ID, il client ID, il valore del secret tramite il canale protetto, la data di scadenza e le integrazioni/diritti desiderati. Un semplice app ID non basta.

5. Rendete disponibili le integrazioni e le azioni di scrittura

Aprite l’ambiente di gestione della vostra organizzazione → Tools → MCP. In Suite-snelkoppelingen attivate l’integrazione Microsoft 365. Le righe Microsoft diventano visibili; quando l’intera suite è disattivata, queste righe restano nascoste.

Scegliete per ogni integrazione se deve essere disponibile. Nella colonna Schrijfacties scegliete separatamente:

Outlook Mail → Concepten: creare e modificare bozze.
Outlook Mail → Verzenden: inviare effettivamente una bozza esistente.
Outlook Agenda → Schrijven: creare e modificare appuntamenti.
Microsoft Teams → Posten: pubblicare messaggi di testo in un canale Teams scelto.

Fate clic su Opslaan. Un’azione di scrittura funziona solo se sono attivi sia l’integrazione sia il relativo diritto amministrativo, Microsoft ha concesso i diritti necessari e l’utente ha attivato personalmente il collegamento. L’utente non riceve alcun modulo aggiuntivo per i diritti di scrittura.

Disponibilità

Le impostazioni devono essere supportate anche dal backend del vostro brand. Questa estensione di scrittura è stata pubblicata e testata in modo mirato il 7 ottobre 2026 per OnderwijsSupport su AI-Corporate. Ciò non significa automaticamente che la stessa estensione sia già stata resa disponibile per AI-School, AI-Public o qualsiasi altro ambiente. Chiedete conferma alla gestione piattaforma quando mancano le azioni di scrittura.

6. Verificate la configurazione

Lasciate che un utente acceda al corretto ambiente AI e attivi l’integrazione desiderata secondo Utilizzare le integrazioni Microsoft. Verificate che Microsoft mostri il nome della vostra app Entra.

Testate prima una bozza riconoscibile e un appuntamento senza partecipanti. Controllate gli elementi salvati in Outlook. Poi testate l’invio con un destinatario di prova concordato e la pubblicazione su Teams in un canale di test concordato. Un appuntamento con partecipanti può inviare inviti o aggiornamenti. Un ordine di invio accettato non equivale ancora a una consegna confermata.

Quando si estendono i diritti, il collegamento prova ad aggiornare i token. Se Microsoft richiede di nuovo l’accesso o il consenso, fate riconnettere all’utente il collegamento esistente. Non è necessario creare una seconda app o un’impostazione utente separata.

Risoluzione dei problemi

Problema	Controllo
`AADSTS50011` / redirect non corrispondente	Entrambi i callback registrati esattamente come Web, per il brand corretto.
App name diverso appare nel consenso	Il corretto ambiente AI, Directory ID e Microsoft Identity Provider specifico del tenant; poi riconnettere.
Il login funziona, ma non l’integrazione	Controllare anche il callback del connector, i diritti Graph e l’autorizzazione dell’organizzazione.
La lettura funziona, la scrittura no	Controllare il diritto amministrativo, il corrispondente diritto Graph delegato, il consenso concesso e la disponibilità del backend.
Client secret non valido o scaduto	Il Value, non il Secret ID; aggiornare il nuovo secret anche nell’Identity Provider.
Integrazione assente per l’utente	Controllare la disponibilità in Tools, i diritti utente per i collegamenti e l’ambiente AI selezionato.

Ulteriori informazioni

Knowledge base centrale SharePoint: configurare Microsoft

Una cartella collegata centralmente funziona tramite l’app dell’organizzazione, senza che ogni dipendente attivi un collegamento SharePoint personale. Per questo servono due autorizzazioni separate: il diritto applicativo Sites.Selected con admin consent, e un grant read sul sito SharePoint scelto. Una login Microsoft funzionante o il solo admin consent non bastano.

1. Verificate l’app dell’organizzazione

Usate la stessa single-tenant app registration usata per l’accesso con Microsoft nel vostro ambiente AI. Un’app esistente può essere estesa; non serve una seconda app di integrazione. Controllate in Microsoft Entra → App registrations → la vostra app → Overview il Directory (tenant) ID e l’Application (client) ID. Usate qui sotto il client ID, non l’Object ID.

Il Directory ID deve trovarsi in Admin → Ambiente → Tenant → Microsoft ID. Il client ID e il Value di un client secret valido devono essere nel Microsoft Identity Provider esattamente di quell’ambiente AI. Questa configurazione è gestita dall’amministrazione della piattaforma. Un secret scaduto impedisce anche l’importazione centrale; tenete sotto controllo la data di scadenza.

La connessione server centrale usa client_credentials e non richiede un URL di redirect aggiuntivo. I redirect Web esistenti per l’accesso e le integrazioni personali dell’account di lavoro restano necessari; usate gli URL specifici del brand dalla tabella precedente in questo articolo.

Aprite API permissions → Add a permission → Microsoft Graph → Application permissions.
Cercate Sites.Selected, selezionate questo diritto e fate clic su Add permissions.
Fate eseguire a un amministratore Entra autorizzato Grant admin consent for la vostra organizzazione.
Verificate che Sites.Selected, tipo Application, sia mostrato come concesso.

I diritti delegati per i collegamenti personali di Outlook, Teams e SharePoint possono rimanere sulla stessa app. Non sostituiscono il diritto applicativo per la knowledge base centrale. Per questa importazione centrale non servono i diritti applicativi Sites.Read.All, Sites.ReadWrite.All o Sites.FullControl.All.

3. Concedete alla app accesso in lettura separato al sito

Questa azione amministrativa può essere svolta con Microsoft Graph Explorer. Usate un account amministrativo nello stesso directory Microsoft, con SharePoint Administrator o un ruolo amministrativo superiore adatto e accesso al sito in questione. Una role di Azure subscription o il solo possesso dell’app non bastano.

Accedete a Graph Explorer con l’account amministrativo e controllate l’organizzazione mostrata.
Aprite il vostro profilo → Consent to permissions, cercate Sites.FullControl.All e scegliete Consent per concedere l’autorizzazione richiesta a Graph Explorer in questo contesto amministrativo. In alcune query potete aprire anche l’intero pannello dei permessi tramite Modify Permissions → Open the permissions panel. Si tratta di un diritto amministrativo delegated per gestire i site grant; non aggiungetelo come ampio diritto applicativo sull’app della knowledge base. Usate l’autorizzazione legata all’account quando non serve l’autorizzazione dell’organizzazione per tutti gli utenti.
Cercate l’ID del sito con la seguente GET. Sostituite l’host di esempio e il percorso del sito con quelli della vostra cartella. In caso di URL con /teams/ usate quel percorso invece di /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

Il valore id nella risposta è l’ID completo del sito, incluso hostname e due GUID. Controllate anche displayName e webUrl: il grant deve essere applicato al sito in cui si trova realmente la vostra cartella.

Controllate prima i grant esistenti con GET all’indirizzo seguente. Se il vostro client ID è già presente lì con ruolo read, non dovete crearne un secondo. Fate valutare eventuali grant esistenti più ampi o diversi dal vostro amministratore Microsoft.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Se il grant manca, scegliete POST, usate lo stesso indirizzo e inserite nel Request Body il seguente JSON. Sostituite i due valori di esempio; CLIENT-ID-VAN-UW-APP è l’Application (client) ID della vostra app di integrazione, non l’app Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NOME-DELLA-VOSTRA-APP-DI-INTEGRAZIONE"
      }
    }
  ]
}

Scegliete Run query. Un’aggiunta riuscita restituisce 201 Created. Controllate nella risposta il ruolo read e il client ID; Graph può mostrarlo sotto grantedToIdentitiesV2. Controllate poi di nuovo con GET. Conservate l’ID del permission per la gestione e per un eventuale successivo revoca.
Ripetete questa operazione solo per ogni altro sito di cui volete collegare consapevolmente le cartelle della knowledge base.

Site grant e diritti della knowledge base

Il grant Microsoft dà all’app accesso in lettura all’intero sito selezionato. L’ambiente AI importa solo la cartella scelta e le sottocartelle. Preferite un sito separato per la conoscenza condivisa centralmente. I diritti esistenti della knowledge base determinano quali utenti ricevono i documenti importati; i diritti SharePoint individuali non vengono trasferiti.

4. Collegate la cartella e controllate il risultato

Aprite Gestione → Knowledge base → Aggiungi → Cartelle SharePoint → Collega cartella e usate il vero URL della cartella, non un link di invito né un indirizzo di panoramica OneDrive. Scegliete ambito, pubblico e stato di pubblicazione secondo la guida della knowledge base. Una fonte centrale non richiede un connector personale nelle preferenze utente.

Controllate con Aggiorna se i documenti sono stati elaborati senza errori. Usate Sincronizza ora per un nuovo controllo e poi fate una domanda concreta in chat su un documento importato. Verificate che la risposta menzioni la corretta fonte di conoscenza centrale.

Problema	Controllo lato Microsoft
Il login funziona, ma la cartella centrale no	`Sites.Selected` deve essere di tipo Application e avere admin consent; controllate inoltre il site grant separato.
`403 Forbidden` all’accesso alla cartella	Directory Microsoft corretto, site ID, client ID e grant `read`; il solo admin consent non concede l’accesso al sito.
`403` nell’azione amministrativa in Graph Explorer	Delegated `Sites.FullControl.All`, consenso concesso, ruolo amministrativo e accesso al sito di destinazione. Non aggiungete un diritto ampio all’app di integrazione come soluzione.
Il sito funziona, la cartella non viene trovata	Controllate il vero URL della cartella, la document library e il percorso del sito; un collegamento OneDrive può puntare a un altro sito.
Secret scaduto o non valido	Fate aggiornare dall’amministrazione della piattaforma il nuovo secret Value nel corretto Microsoft Identity Provider.

Per OnderwijsSupport su AI-Corporate, questo collegamento centrale è stato pubblicato e testato il 14 ottobre 2026. La disponibilità su AI-School, AI-Public o un altro ambiente deve essere confermata dalla gestione della piattaforma.

Documentazione Microsoft: Selected permissions, aggiungere site grant e controllare i site grant.

App Entra propria​

Di cosa avete bisogno?​

1. Registrate una sola app dell’organizzazione​

2. Impostate i corretti URL di redirect​

3. Create un client secret e assegnate i diritti​

4. Collegate l’app in due punti all’ambiente AI​

5. Rendete disponibili le integrazioni e le azioni di scrittura​

6. Verificate la configurazione​

Risoluzione dei problemi​

Ulteriori informazioni​

Knowledge base centrale SharePoint: configurare Microsoft​

1. Verificate l’app dell’organizzazione​

2. Aggiungete il diritto applicativo e concedete admin consent​

3. Concedete alla app accesso in lettura separato al sito​

4. Collegate la cartella e controllate il risultato​