Konfigurere Microsoft 365 for miljøet ditt

Det finnes to måter å koble Microsoft 365 til AI-Corporate-miljøet ditt på. Velg først hvilken vei som passer organisasjonen din.

Rute	Når	Hva du gjør
Sentral app fra AI-Corporate (standard)	Personlige koblinger med Outlook Mail, Outlook Kalender, Teams og SharePoint/OneDrive.	En Entra-administrator gir organisasjonstillatelse via Koble til Microsoft 365. Deretter aktiverer du integrasjonene som i steg 5 i denne artikkelen. Du trenger ikke egen app, client secret eller Identity Provider.
Egen Entra-app	Du vil importere SharePoint-mapper sentralt i kunnskapsbasen, ansatte logger allerede inn med Microsoft via egen app, eller du vil administrere appen selv.	Følg denne artikkelen fra steg 1.

Hvis organisasjonen din allerede logger inn med Microsoft via en egen app (feltet Microsoft ID i miljøet er fylt ut), bruker alle koblinger den egen appen. Da gjelder ikke den sentrale ruten.

Egen Entra-app

Med en egen Microsoft Entra-app kan organisasjonen din bruke samme app for pålogging med Microsoft og for Outlook, Teams og SharePoint. Du bestemmer sentralt hvilke integrasjoner og skrivehandlinger som er tilgjengelige. Brukerne slår deretter bare personlige koblinger av eller på i Preferanser → Verktøy → Koblinger.

De personlige integrasjonene fungerer med støttede modeller fra OpenAI, Claude, Gemini og Mistral. Den valgte modellen må kunne bruke verktøy. Ved personlige koblinger følger tilgangen rettighetene til den innloggede Microsoft-brukeren. Organisasjonstillatelse logger ikke automatisk inn alle ansatte og gir ikke AI-en selvstendig tilgang til alle postbokser. Den sentrale SharePoint-kunnskapsbasen bruker separate apptillatelser og de eksisterende kunnskapsbaserettighetene, som beskrevet senere i denne artikkelen.

Hva trenger du?

• En Microsoft 365-organisasjon med Microsoft Entra ID og kontoer med tilgang til de ønskede tjenestene.
• En administrator som kan registrere en app og gi organisasjonstillatelse for de valgte Microsoft Graph-rettighetene. En Azure-abonnementsrolle er ikke nok for dette; Entra-rollen din må tillate denne tillatelsen.
• Administratorrettigheter i riktig AI-miljø for å gjøre integrasjoner tilgjengelige.
• En plattformadministrator som kan konfigurere Microsoft Identity Provider for dette AI-miljøet i Google Cloud Identity Platform.
• En app registration i din egen Microsoft-katalog, med en client secret og de to omdirigerings-URL-ene for riktig merkevare.

Pålogging med Microsoft og tilgang til Microsoft-data er to separate funksjoner. Bare en fungerende Microsoft-innlogging betyr ikke at Outlook, Teams eller SharePoint er konfigurert.

1. Registrer én organisasjonsapp

Åpne Microsoft Entra-administrasjonssenteret og gå til App registrations → New registration. Bruk et gjenkjennelig navn, for eksempel AI-Corporate – organisasjonsnavnet ditt. Velg for en egen organisasjon Accounts in this organizational directory only (Single tenant).

Ta vare på følgende opplysninger fra Overview:

Opplysning	Hva brukes det til?
Directory (tenant) ID	Microsoft-katalogen til organisasjonen din; dette går i feltet Microsoft ID i AI-miljøet.
Application (client) ID	Den registrerte appen; dette går i Microsoft Identity Provider.

Disse to ID-ene er forskjellige. Ikke fyll inn client ID eller Firebase-tenant-ID i Microsoft ID.

2. Sett de riktige omdirigerings-URL-ene

Gå til Authentication → Add a platform → Web. Legg til begge URL-ene under for merket ditt, nøyaktig som vist. Den første håndterer innlogging; den andre håndterer tillatelse for arbeidskonto-integrasjonene.

Merke	Pålogging med Microsoft	Arbeidskonto-integrasjoner
AI-School	https://ai-school-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporate	https://ai-corporate.firebaseapp.com/__/auth/handler	https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Public	https://ai-public-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

Bruk URL-ene for merket miljøet ditt kjører på. Eget organisasjonsnavn eller tenant-ID trenger ikke fylles inn i disse URL-ene. Nettsted-URL, dashboard-URL og .web.app-URL erstatter ikke disse callback-ene. Registrer dem som Web, selv om du bruker integrasjonen fra en nettleser. Du trenger ikke aktivere implicit tokenutstedelse eller public client flow for dette.

3. Lag en client secret og tildel rettigheter

Gå til Certificates & secrets → Client secrets → New client secret. Velg en passende varighet og lagre Value trygt så snart den vises. Lever verdien via den avtalte sikre kanalen for plattformadministrasjon; Secret ID er ikke client secret. Følg med på utløpsdatoen og erstatt secret-en før den datoen, også i Identity Provider.

Deretter går du til API permissions → Add a permission → Microsoft Graph → Delegated permissions. Legg bare til rettighetene for integrasjonene og handlingene organisasjonen din skal tilby.

Integrasjon	Lesetillatelser	Ekstra tillatelser for skriving
Profil / basis	User.Read; påloggingsflyten ber også om openid, profile, email og offline_access	Ingen
Outlook Mail	Mail.Read	Utkast: Mail.ReadWrite. Sende: Mail.Send.
Outlook Kalender	Calendars.Read	Skriving: Calendars.ReadWrite.
Microsoft Teams	Chat.Read, ChannelMessage.Read.All	Publisere: Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Send.
SharePoint / OneDrive	Sites.Read.All, Files.Read.All	Denne arbeidskonto-integrasjonen tilbyr ingen skrivehandlinger her.

Mail.ReadWrite gir ikke sendetillatelse; det krever egen Mail.Send. Teams-publisering skriver tekstmeldinger i en valgt kanal, ikke private chatmeldinger. For denne integrasjonen bruker du Delegated permissions, ikke Application permissions. Også for rettigheter med All i navnet forblir delegert tilgang begrenset av brukerens tilgang.

Klikk Grant admin consent for din organisasjon og kontroller at de valgte rettighetene vises som gitt. Slik kan ansatte bruke den godkjente tilgangen uten selv å måtte gi organisasjonsrettigheter. Microsoft kan likevel be om innlogging, MFA eller ny samtykke, avhengig av policyen din.

4. Koble appen til AI-miljøet på to steder

Be plattformadministratoren velge riktig miljø og utføre disse innstillingene:

1. I Admin → Miljø → Tenant: slå på påloggingsmetoden Microsoft og fyll inn Directory (tenant) ID i Microsoft ID.
2. I Google Cloud → Identity Platform → den aktuelle tenant-en → Identity providers → Microsoft: slå på provider-en og fyll inn Application (client) ID og client secret Value fra samme Entra-app.

Identity Provider tilhører Firebase/Identity Platform-tenant-en til AI-miljøet ditt, ikke en annen organisasjon eller den generelle Admin-miljøet. Arbeidskonto-integrasjonen bruker appen fra denne provider-en på nytt. Client secret hører ikke hjemme i brukerpreferanser, chatmeldinger eller vanlige miljøfelt.

Lever organisasjonsnavn, merke, Directory ID, client ID, secret-verdi via den sikre kanalen, utløpsdato og ønskede integrasjoner/rettigheter til plattformadministrasjonen. En app-ID alene er ikke nok.

5. Gjør integrasjonene og skrivehandlingene tilgjengelige

Åpne administrasjonsmiljøet til organisasjonen din → Tools → MCP. Slå på integrasjonen Microsoft 365 under Suite-snarveier. Microsoft-radene blir synlige; når hele suiten er av, forblir disse radene skjult.

Velg per integrasjon om den skal være tilgjengelig. I kolonnen Skrivehandlinger velger du separat:

• Outlook Mail → Utkast: opprette og endre utkast.
• Outlook Mail → Sende: faktisk sende et eksisterende utkast.
• Outlook Kalender → Skriving: opprette og endre avtaler.
• Microsoft Teams → Publisere: legge tekstmeldinger i en valgt Teams-kanal.

Klikk Lagre. En skrivehandling fungerer bare hvis både integrasjonen og den tilhørende administrasjonsrettigheten er på, Microsoft har gitt de nødvendige rettighetene, og brukeren har slått på koblingen personlig. Brukeren får ikke et ekstra skjema for skrive-rettigheter.

Tilgjengelighet

Innstillingene må også støttes av backend for merket ditt. Denne skriveutvidelsen ble målrettet publisert og testet 7. oktober 2026 for OnderwijsSupport på AI-Corporate. Det betyr ikke automatisk at samme utvidelse allerede er frigitt for AI-School, AI-Public eller noe annet miljø. Be plattformadministrasjonen bekrefte hvis skrivehandlinger mangler.

6. Kontroller oppsettet

La en bruker logge inn i riktig AI-miljø og slå på ønsket integrasjon i henhold til Bruke Microsoft-integrasjoner. Kontroller at Microsoft viser navnet på din egen Entra-app.

Test først et gjenkjennelig utkast og en avtale uten deltakere. Kontroller de lagrede elementene i Outlook. Test deretter sending med en avtalt testmottaker og Teams-publisering i en avtalt testkanal. En avtale med deltakere kan sende invitasjoner eller oppdateringer. En akseptert sendejobb er ikke det samme som bekreftet levering.

Ved utvidelse av rettigheter prøver koblingen å fornye tokens. Hvis Microsoft krever ny innlogging eller samtykke, la brukeren koble til den eksisterende koblingen på nytt. Det trenger ikke opprettes en andre app eller egen brukerinnstilling.

Feilsøking

Problem	Kontroll
AADSTS50011 / redirect mismatch	Begge callback-ene er registrert nøyaktig som Web, for riktig merke.
Et annet appnavn vises ved samtykke	Riktig AI-miljø, Directory ID og tenant-spesifikk Microsoft Identity Provider; koble til på nytt etterpå.
Innlogging fungerer, men integrasjonen ikke	Sjekk også connector-callback, Graph-rettigheter og organisasjonstillatelse.
Lesing fungerer, skriving ikke	Sjekk administrasjonsrettighet, tilhørende delegert Graph-rettighet, gitt tillatelse og backend-tilgjengelighet.
Client secret ugyldig eller utløpt	Oppdater Value, ikke Secret ID; nytt secret må også oppdateres i Identity Provider.
Integrasjon mangler for brukeren	Sjekk tilgjengelighet i Tools, brukerrettigheter for koblinger og valgt AI-miljø.

Mer informasjon

• Administrere Tools
• Bruke Microsoft-integrasjoner
• Microsoft: registrere en app
• Microsoft: omdirigerings-URL-er
• Microsoft Graph: rettighetsoversikt

Sentral SharePoint-kunnskapsbase: konfigurere Microsoft

En sentralt koblet mappe fungerer via organisasjonsappen, uten at hver ansatt slår på en personlig SharePoint-kobling. Dette krever to separate tillatelser: apptillatelsen Sites.Selected med admin consent, og en read-grant på den valgte SharePoint-siden. En fungerende Microsoft-innlogging eller bare admin consent er ikke nok.

1. Kontroller organisasjonsappen

Bruk den samme single-tenant app registration som for Microsoft-innlogging i AI-miljøet ditt. En eksisterende app kan utvides; du trenger ikke en andre integrasjonsapp. Kontroller i Microsoft Entra → App registrations → appen din → Overview Directory (tenant) ID og Application (client) ID. Bruk client ID nedenfor, ikke Object ID.

Directory ID må stå i Admin → Miljø → Tenant → Microsoft ID. Client ID og Value for en gyldig client secret må stå hos Microsoft Identity Provider for akkurat det AI-miljøet. Denne konfigurasjonen vedlikeholdes av plattformadministrasjonen. En utløpt secret hindrer også den sentrale importen; følg med på utløpsdatoen.

Den sentrale serverforbindelsen bruker client_credentials og ber ikke om ekstra redirect-URL. De eksisterende Web-redirect-ene for innlogging og personlige arbeidskonto-integrasjoner er fortsatt nødvendige; bruk merkevare-URL-ene fra tabellen tidligere i denne artikkelen.

2. Legg til apptillatelsen og gi admin consent

1. Åpne API permissions → Add a permission → Microsoft Graph → Application permissions.
2. Søk etter Sites.Selected, velg denne rettigheten og klikk Add permissions.
3. La en autorisert Entra-administrator utføre Grant admin consent for din organisasjon.
4. Kontroller at Sites.Selected, type Application, vises som gitt.

De delegerte rettighetene for personlige Outlook-, Teams- og SharePoint-koblinger kan bli liggende i samme app. De erstatter ikke apptillatelsen for den sentrale kunnskapsbasen. For denne sentrale importen trengs ikke apptillatelsene Sites.Read.All, Sites.ReadWrite.All eller Sites.FullControl.All.

3. Gi appen separat lesetilgang til siden

Denne administrasjonshandlingen kan gjøres med Microsoft Graph Explorer. Bruk en administratorkonto i samme Microsoft-katalog, med SharePoint Administrator eller en høyere passende administrativ rolle og tilgang til den aktuelle siden. En Azure-abonnementsrolle eller bare eierskap til appen er ikke nok for dette.

1. Logg administratorkontoen inn i Graph Explorer og kontroller organisasjonen som vises.
2. Åpne profilmenyen → Consent to permissions, finn Sites.FullControl.All og velg Consent for å gi nødvendig tillatelse for Graph Explorer i denne administrasjonskonteksten. Ved noen spørringer kan du også åpne hele rettighetspanelet via Modify Permissions → Open the permissions panel. Dette er en delegated administrasjonsrettighet for å administrere site grants; ikke legg den til som bred apptillatelse på kunnskapsbaseappen. Bruk konto-basert tillatelse når organisasjonstillatelse for alle brukere ikke er nødvendig.
3. Finn site-ID-en med følgende GET. Erstatt eksempeldomenet og siden stien med den for din egen mappe. Ved en URL med /teams/ bruker du den stien i stedet for /sites/.

GET https://graph.microsoft.com/v1.0/sites/organisasjon.sharepoint.com:/sites/side?$select=id,displayName,webUrl

Verdien id i svaret er den fulle site-ID-en, inkludert vertsnavn og to GUID-er. Kontroller også displayName og webUrl: grant-en må gjelde siden der mappen faktisk ligger.

4. Kontroller først eksisterende grants med GET på adressen nedenfor. Hvis client ID-en din allerede står der med rollen read, trenger du ikke opprette en ny grant. La eksisterende bredere eller avvikende grants vurderes av Microsoft-administratoren din.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

5. Hvis grant mangler, velg POST, bruk samme adresse og fyll inn følgende JSON under Request Body. Erstatt de to eksempelverdiene; CLIENT-ID-FOR-DIN-APP er Application (client) ID for integrasjonsappen din, ikke Graph Explorer-appen.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-FOR-DIN-APP",
        "displayName": "NAVN-PÅ-DIN-INTEGRASJONSAPP"
      }
    }
  ]
}

6. Velg Run query. Et vellykket tillegg gir 201 Created. Kontroller i svaret rollen read og client ID; Graph kan vise dette under grantedToIdentitiesV2. Kontroller deretter på nytt med GET. Lagre permission-ID-en for administrasjon og eventuell senere tilbakekalling.
7. Gjenta dette bare for hver andre side du bevisst vil koble kunnskapsbasemapper fra.

Site grant og kunnskapsbaserettigheter

Microsoft-grant-en gir appen lesetilgang til hele den valgte siden. AI-miljøet importerer bare den valgte mappen og undermappene. Bruk helst en egen side for kunnskap som skal deles sentralt. De eksisterende kunnskapsbaserettighetene bestemmer hvilke brukere som får de importerte dokumentene; individuelle SharePoint-rettigheter blir ikke overført.

4. Koble mappen og kontroller resultatet

Åpne Administrasjon → Kunnskapsbase → Legg til → SharePoint-mapper → Koble mappe og bruk den faktiske mappe-URL-en, ikke en invitasjonslenke eller adresse til OneDrive-oversikt. Velg omfang, målgruppe og publiseringsstatus i henhold til kunnskapsbasemanualen. En sentral kilde krever ikke en personlig connector i brukerpreferanser.

Kontroller med Oppdater at dokumentene er behandlet uten feil. Bruk Synkroniser nå for en ny kontroll, og still deretter et konkret chatspørsmål om et importert dokument. Kontroller at svaret nevner riktig sentral kunnskapskilde.

Problem	Kontroll på Microsoft-siden
Innlogging fungerer, men den sentrale mappen ikke	Sites.Selected må være av typen Application og ha admin consent; kontroller i tillegg den separate site grant-en.
403 Forbidden ved mappetilgang	Riktig Microsoft-katalog, site-ID, client ID og read-grant; admin consent gir ikke sidetilgang alene.
403 ved administrasjonshandlingen i Graph Explorer	Delegated Sites.FullControl.All, gitt tillatelse, administrativ rolle og tilgang til mål-siden. Ikke legg til bred tillatelse på integrasjonsappen som løsning.
Siden fungerer, men mappen finnes ikke	Kontroller den faktiske mappe-URL-en, dokumentbiblioteket og sidestien; en OneDrive-snarvei kan peke til en annen side.
Secret utløpt eller ugyldig	La plattformadministrasjonen oppdatere den nye secret Value i riktig Microsoft Identity Provider.

For OnderwijsSupport på AI-Corporate ble denne sentrale koblingen publisert og testet 14. oktober 2026. Tilgjengelighet på AI-School, AI-Public eller et annet miljø må bekreftes av plattformadministrasjonen.

Microsoft-dokumentasjon: Selected permissions, legge til site grant og kontrollere site grants.