Przejdź do głównej treści

Konfiguracja Microsoft 365 dla Twojego środowiska

Istnieją dwa sposoby połączenia Microsoft 365 z Twoim środowiskiem AI-Corporate. Najpierw wybierz ścieżkę odpowiednią dla Twojej organizacji.

ŚcieżkaKiedyCo robisz
Centralna aplikacja AI-Corporate (domyślnie)Osobiste połączenia z Outlook Mail, Kalendarzem Outlook, Teams i SharePoint/OneDrive.Administrator Entra nadaje zgodę organizacji przez Połącz Microsoft 365. Następnie udostępniasz integracje zgodnie z krokiem 5 tego artykułu. Własna aplikacja, client secret ani Identity Provider nie są potrzebne.
Własna aplikacja EntraChcesz centralnie importować foldery SharePoint do bazy wiedzy, pracownicy logują się już przez Microsoft za pomocą własnej aplikacji albo chcesz zarządzać aplikacją samodzielnie.Postępuj zgodnie z tym artykułem od kroku 1.

Jeśli Twoja organizacja loguje się już przez Microsoft za pomocą własnej aplikacji (pole Microsoft ID środowiska jest wypełnione), wszystkie połączenia używają tej własnej aplikacji. Centralna ścieżka nie ma wtedy zastosowania.

Własna aplikacja Entra​

Dzięki własnej aplikacji Microsoft Entra Twoja organizacja może używać tej samej aplikacji do logowania za pomocą Microsoft oraz do Outlook, Teams i SharePoint. Centralnie decydujesz, które integracje i operacje zapisu są dostępne. Użytkownicy później włączają lub wyłączają tylko swoje osobiste połączenia w Preferencje → Narzędzia → Połączenia.

Osobiste integracje działają ze wspieranymi modelami OpenAI, Claude, Gemini i Mistral. Wybrany model musi obsługiwać narzędzia. Przy osobistych połączeniach dostęp podąża za uprawnieniami zalogowanego użytkownika Microsoft. Zgoda organizacji nie loguje automatycznie wszystkich pracowników i nie daje AI samodzielnego dostępu do wszystkich skrzynek pocztowych. Centralna baza wiedzy SharePoint używa oddzielnych uprawnień aplikacji i istniejących uprawnień bazy wiedzy, jak opisano dalej w tym artykule.

Czego potrzebujesz?​

  • Organizacji Microsoft 365 z Microsoft Entra ID i kontami mającymi dostęp do wymaganych usług.
  • Administratora, który może zarejestrować aplikację i nadać zgodę organizacji na wybrane uprawnienia Microsoft Graph. Sama rola w subskrypcji Azure nie wystarczy; Twoja rola Entra musi umożliwiać tę zgodę.
  • Uprawnień administracyjnych w odpowiednim środowisku AI, aby udostępnić integracje.
  • Administratora platformy, który może skonfigurować Microsoft Identity Provider dla tego środowiska AI w Google Cloud Identity Platform.
  • Rejestracji aplikacji w Twoim własnym katalogu Microsoft, z client secret oraz dwoma adresami URL przekierowania właściwego brandu.

Logowanie przez Microsoft i dostęp do danych Microsoft to dwie oddzielne funkcje. Samo działające logowanie Microsoft nie oznacza jeszcze, że Outlook, Teams lub SharePoint są skonfigurowane.

1. Zarejestruj jedną aplikację organizacyjną​

Otwórz centrum administracyjne Microsoft Entra i przejdź do App registrations → New registration. Użyj rozpoznawalnej nazwy, na przykład AI-Corporate – nazwa Twojej organizacji. Dla własnej organizacji wybierz Accounts in this organizational directory only (Single tenant).

Zapisz następujące dane z Overview:

DaneDo czego?
Directory (tenant) IDKatalog Microsoft Twojej organizacji; trafia do pola Microsoft ID środowiska AI.
Application (client) IDZarejestrowana aplikacja; trafia do Microsoft Identity Provider.

Te dwa identyfikatory są różne. W polu Microsoft ID nie wpisuj client ID ani identyfikatora tenant Firebase.

2. Ustaw właściwe adresy URL przekierowania​

Przejdź do Authentication → Add a platform → Web. Dodaj dla swojego brandu oba poniższe adresy URL, dokładnie jak pokazano. Pierwszy obsługuje logowanie; drugi obsługuje zgodę dla integracji konta służbowego.

BrandLogowanie przez MicrosoftIntegracje konta służbowego
AI-Schoolhttps://ai-school-pro.firebaseapp.com/__/auth/handlerhttps://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporatehttps://ai-corporate.firebaseapp.com/__/auth/handlerhttps://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Publichttps://ai-public-pro.firebaseapp.com/__/auth/handlerhttps://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

Użyj adresów URL brandu, na którym działa Twoje środowisko. Twoja własna nazwa organizacji ani tenant ID nie muszą być wpisywane w tych adresach URL. Adresy URL witryny, pulpitu i .web.app nie zastępują tych callbacków. Zarejestruj je jako Web, nawet jeśli używasz integracji z poziomu przeglądarki. Nie musisz włączać implicit token issuance ani public-client-flow.

3. Utwórz client secret i przypisz uprawnienia​

Przejdź do Certificates & secrets → Client secrets → New client secret. Wybierz odpowiedni okres ważności i bezpiecznie zapisz Value zaraz po jej wyświetleniu. Przekaż tę wartość ustalonym bezpiecznym kanałem do administracji platformy; Secret ID nie jest client secret. Monitoruj datę wygaśnięcia i wymień secret przed tym terminem, także w Identity Provider.

Następnie przejdź do API permissions → Add a permission → Microsoft Graph → Delegated permissions. Dodaj tylko te uprawnienia, które odpowiadają integracjom i akcjom zapisu oferowanym przez Twoją organizację.

IntegracjaUprawnienia do odczytuDodatkowe uprawnienia do zapisu
Profil / podstawyUser.Read; flow logowania prosi też o openid, profile, email i offline_accessBrak
Outlook MailMail.ReadSzkice: Mail.ReadWrite. Wysyłanie: Mail.Send.
Kalendarz OutlookCalendars.ReadZapis: Calendars.ReadWrite.
Microsoft TeamsChat.Read, ChannelMessage.Read.AllPublikowanie: Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Send.
SharePoint / OneDriveSites.Read.All, Files.Read.AllTa integracja konta służbowego nie oferuje tu operacji zapisu.

Mail.ReadWrite nie daje prawa wysyłania; do tego wymagane jest osobne Mail.Send. Publikowanie w Teams zapisuje wiadomości tekstowe w wybranym kanale, a nie wiadomości prywatne. Do tej integracji używaj Delegated permissions, a nie Application permissions. Nawet przy uprawnieniach z All w nazwie dostęp delegowany pozostaje ograniczony przez uprawnienia użytkownika.

Kliknij Grant admin consent for Twoja organizacja i sprawdź, czy wybrane uprawnienia są pokazane jako przyznane. Dzięki temu pracownicy mogą korzystać z zatwierdzonego dostępu bez konieczności samodzielnego nadawania uprawnień organizacyjnych. Microsoft może nadal poprosić o ponowne logowanie, MFA lub ponowną zgodę, zależnie od Twojej polityki.

4. Połącz aplikację w dwóch miejscach ze środowiskiem AI​

Poproś administratora platformy o wybranie właściwego środowiska i wykonanie tych ustawień:

  1. W Admin → Środowisko → Tenant: włącz metodę logowania Microsoft i w polu Microsoft ID wpisz Directory (tenant) ID.
  2. W Google Cloud → Identity Platform → odpowiedni tenant → Identity providers → Microsoft: włącz dostawcę i wpisz Application (client) ID oraz client secret Value z tej samej aplikacji Entra.

Identity Provider należy do tenant Firebase/Identity Platform Twojego środowiska AI, a nie do innej organizacji ani ogólnego środowiska Admin. Integracja konta służbowego ponownie używa aplikacji z tego dostawcy. Client secret nie powinien znajdować się w preferencjach użytkownika, wiadomościach czatu ani zwykłych polach środowiskowych.

Przekaż administracji platformy nazwę organizacji, brand, Directory ID, client ID, wartość secretu przez bezpieczny kanał, datę wygaśnięcia i wymagane integracje/uprawnienia. Sam identyfikator aplikacji nie wystarczy.

5. Udostępnij integracje i akcje zapisu​

Otwórz środowisko administracyjne Twojej organizacji → Tools → MCP. W sekcji Suite-snelkoppelingen włącz integrację Microsoft 365. Pojawią się wiersze Microsoft; gdy cała suite jest wyłączona, te wiersze pozostają ukryte.

Dla każdej integracji zdecyduj, czy ma być dostępna. W kolumnie Schrijfacties wybierasz osobno:

  • Outlook Mail → Concepten: tworzenie i edytowanie szkiców.
  • Outlook Mail → Verzenden: rzeczywiste wysyłanie istniejącego szkicu.
  • Outlook Agenda → Schrijven: tworzenie i edytowanie spotkań.
  • Microsoft Teams → Posten: umieszczanie wiadomości tekstowych w wybranym kanale Teams.

Kliknij Opslaan. Akcja zapisu działa tylko wtedy, gdy włączona jest zarówno integracja, jak i powiązane uprawnienie administracyjne, Microsoft przyznał wymagane uprawnienia oraz użytkownik osobiście włączył połączenie. Użytkownik nie otrzymuje w tym celu dodatkowego formularza uprawnień zapisu.

Dostępność

Ustawienia muszą być również obsługiwane przez backend Twojego brandu. Ta rozszerzona funkcja zapisu została opublikowana i przetestowana 7 października 2026 dla OnderwijsSupport na AI-Corporate. Nie oznacza to automatycznie, że to samo rozszerzenie jest już dostępne dla AI-School, AI-Public ani jakiegokolwiek innego środowiska. Poproś administrację platformy o potwierdzenie, gdy brakuje akcji zapisu.

6. Sprawdź konfigurację​

Poproś użytkownika o zalogowanie się do właściwego środowiska AI i włączenie wymaganej integracji zgodnie z Używanie integracji Microsoft. Sprawdź, czy Microsoft pokazuje nazwę Twojej własnej aplikacji Entra.

Najpierw przetestuj rozpoznawalny szkic i spotkanie bez uczestników. Sprawdź zapisane elementy w Outlook. Następnie przetestuj wysyłkę z umówionym testowym odbiorcą i publikowanie w Teams w umówionym kanale testowym. Spotkanie z uczestnikami może wysyłać zaproszenia lub aktualizacje. Zatwierdzone polecenie wysyłki nie oznacza jeszcze potwierdzonego dostarczenia.

Przy rozszerzeniu uprawnień połączenie próbuje odświeżyć tokeny. Jeśli Microsoft wymaga ponownego logowania lub zgody, poproś użytkownika o ponowne połączenie istniejącego połączenia. Nie trzeba tworzyć drugiej aplikacji ani osobnego ustawienia użytkownika.

Rozwiązywanie problemów​

ProblemKontrola
AADSTS50011 / niezgodność redirectOba callbacki zarejestrowane dokładnie jako Web, dla właściwego brandu.
Pojawia się inna nazwa aplikacji przy zgodzieWłaściwe środowisko AI, Directory ID i tenant-specyficzny Microsoft Identity Provider; następnie połącz ponownie.
Logowanie działa, ale integracja nieSprawdź też callback connectora, uprawnienia Graph i zgodę organizacji.
Odczyt działa, zapis nieSprawdź uprawnienia administracyjne, odpowiadające delegowane uprawnienie Graph, przyznaną zgodę i dostępność backendu.
Client secret jest nieprawidłowy lub wygasłValue, a nie Secret ID; zaktualizuj nowy secret także w Identity Provider.
Integracja nie jest widoczna dla użytkownikaSprawdź dostępność w Tools, uprawnienia użytkownika do połączeń oraz wybrane środowisko AI.

Więcej informacji​

Centralna baza wiedzy SharePoint: konfiguracja Microsoft​

Centralnie połączony folder działa przez aplikację organizacji, bez konieczności włączania osobistego połączenia SharePoint przez każdego pracownika. Wymaga to dwóch oddzielnych zgód: uprawnienia aplikacji Sites.Selected z admin consent oraz read-grantu na wybranej witrynie SharePoint. Samo działające logowanie Microsoft lub sam admin consent nie wystarczą.

1. Sprawdź aplikację organizacyjną​

Użyj tej samej rejestracji aplikacji single-tenant co do logowania Microsoft w Twoim środowisku AI. Istniejącą aplikację można rozszerzyć; druga aplikacja integracyjna nie jest potrzebna. Sprawdź w Microsoft Entra → App registrations → Twoja aplikacja → Overview Directory (tenant) ID i Application (client) ID. Poniżej użyj client ID, a nie Object ID.

Directory ID musi znajdować się w Admin → Środowisko → Tenant → Microsoft ID. Client ID i Value poprawnego client secret muszą znajdować się u Microsoft Identity Provider dokładnie tego środowiska AI. Tą konfiguracją zarządza administracja platformy. Wygasły secret zablokuje również centralny import; monitoruj datę wygaśnięcia.

Połączenie z centralnym serwerem używa client_credentials i nie wymaga dodatkowego redirect URL. Istniejące Web-redirects dla logowania i osobistych integracji konta służbowego nadal są potrzebne; użyj brandowych adresów URL z tabeli wcześniej w tym artykule.

  1. Otwórz API permissions → Add a permission → Microsoft Graph → Application permissions.
  2. Wyszukaj Sites.Selected, zaznacz to uprawnienie i kliknij Add permissions.
  3. Poproś uprawnionego administratora Entra o wykonanie Grant admin consent for Twoja organizacja.
  4. Sprawdź, czy Sites.Selected, typ Application, jest pokazane jako przyznane.

Delegowane uprawnienia dla osobistych połączeń Outlook, Teams i SharePoint mogą pozostać na tej samej aplikacji. Nie zastępują one uprawnienia aplikacji dla centralnej bazy wiedzy. Do tego centralnego importu nie jest potrzebne uprawnienie aplikacji Sites.Read.All, Sites.ReadWrite.All ani Sites.FullControl.All.

3. Nadaj aplikacji oddzielny dostęp do odczytu na witrynie​

Tę czynność administracyjną można wykonać w Microsoft Graph Explorer. Użyj konta administracyjnego w tym samym katalogu Microsoft, z rolą SharePoint Administrator lub inną odpowiednią wyższą rolą administracyjną oraz dostępem do danej witryny. Rola subskrypcji Azure ani samo posiadanie aplikacji nie wystarczą.

  1. Zaloguj konto administracyjne w Graph Explorer i sprawdź wyświetloną organizację.
  2. Otwórz profil → Consent to permissions, znajdź Sites.FullControl.All i wybierz Consent, aby nadać wymagane uprawnienie dla Graph Explorer w tym kontekście administracyjnym. W niektórych zapytaniach możesz też otworzyć pełny panel uprawnień przez Modify Permissions → Open the permissions panel. To jest delegated uprawnienie administracyjne do zarządzania site grantami; nie dodawaj go jako szerokiego uprawnienia aplikacji do aplikacji bazy wiedzy. Użyj zgody powiązanej z kontem, gdy zgoda organizacji dla wszystkich użytkowników nie jest potrzebna.
  3. Znajdź ID witryny poniższym GET. Zastąp przykładowy host i ścieżkę witryny danymi z własnego folderu. Przy adresie URL z /teams/ użyj tej ścieżki zamiast /sites/.
GET https://graph.microsoft.com/v1.0/sites/uworganizacja.sharepoint.com:/sites/uwsito?$select=id,displayName,webUrl

Wartość id w odpowiedzi to pełne ID witryny, łącznie z nazwą hosta i dwoma GUID. Sprawdź też displayName i webUrl: grant musi zostać przypisany do witryny, w której rzeczywiście znajduje się Twój folder.

  1. Najpierw sprawdź istniejące granty za pomocą GET pod poniższym adresem. Jeśli Twój client ID już tam figuruje z rolą read, nie musisz tworzyć drugiego grantu. Istniejące szersze lub odmienne granty poproś swojego administratora Microsoft o ocenę.
GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions
  1. Jeśli grant nie istnieje, wybierz POST, użyj tego samego adresu i w polu Request Body wpisz poniższy JSON. Zastąp dwie przykładowe wartości; CLIENT-ID-TWOJEJ-APLIKACJI to Application (client) ID Twojej aplikacji integracyjnej, a nie aplikacji Graph Explorer.
{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-TWOJEJ-APLIKACJI",
        "displayName": "NAZWA-TWOJEJ-APLIKACJI-INTEGRACYJNEJ"
      }
    }
  ]
}
  1. Wybierz Run query. Udane dodanie zwraca 201 Created. Sprawdź w odpowiedzi rolę read i client ID; Graph może pokazać to pod grantedToIdentitiesV2. Następnie sprawdź ponownie przez GET. Zachowaj ID permission do zarządzania i ewentualnego późniejszego cofnięcia.
  2. Powtórz to tylko dla każdej innej witryny, z której świadomie chcesz połączyć foldery bazy wiedzy.
Site grant i uprawnienia bazy wiedzy

Grant Microsoft daje aplikacji dostęp do odczytu do całej wybranej witryny. Środowisko AI importuje tylko wybrany folder i podfoldery. Najlepiej używać osobnej witryny do centralnie współdzielonej wiedzy. Istniejące uprawnienia bazy wiedzy określają, którzy użytkownicy otrzymują zaimportowane dokumenty; indywidualne uprawnienia SharePoint nie są przenoszone.

4. Połącz folder i sprawdź rezultat​

Otwórz Beheer → Kennisbank → Toevoegen → SharePoint-mappen → Map koppelen i użyj prawdziwego adresu URL folderu, a nie linku zaproszenia ani adresu przeglądu OneDrive. Wybierz zakres, grupę docelową i status publikacji zgodnie z podręcznikiem bazy wiedzy. Centralne źródło nie wymaga osobistego connectora w preferencjach użytkownika.

Sprawdź przez Vernieuwen, czy dokumenty zostały przetworzone bez błędów. Użyj Nu synchroniseren do ponownej kontroli, a następnie zadaj konkretne pytanie na czacie dotyczące zaimportowanego dokumentu. Sprawdź, czy odpowiedź wskazuje właściwe centralne źródło wiedzy.

ProblemKontrola po stronie Microsoft
Logowanie działa, ale centralny folder nieSites.Selected musi być typu Application i mieć admin consent; sprawdź też oddzielny site grant.
403 Forbidden przy dostępie do folderuWłaściwy katalog Microsoft, ID witryny, client ID i read-grant; sam admin consent nie daje dostępu do witryny.
403 przy czynności administracyjnej w Graph ExplorerDelegated Sites.FullControl.All, przyznana zgoda, rola administratora i dostęp do docelowej witryny. Nie dodawaj szerokiego uprawnienia do aplikacji integracyjnej jako rozwiązania.
Witryna działa, folder nie został znalezionySprawdź rzeczywisty adres URL folderu, bibliotekę dokumentów i ścieżkę witryny; skrót OneDrive może wskazywać na inną witrynę.
Secret wygasł lub jest nieprawidłowyPoproś administrację platformy o aktualizację nowej wartości secretu Value w odpowiednim Microsoft Identity Provider.

Dla OnderwijsSupport na AI-Corporate ta centralna integracja została opublikowana i przetestowana 14 października 2026. Dostępność na AI-School, AI-Public lub innym środowisku musi zostać potwierdzona przez administrację platformy.

Dokumentacja Microsoft: Selected permissions, dodawanie site grant oraz sprawdzanie site grants.

Na tej stronie