Configurar Microsoft 365 para o seu ambiente

Há duas formas de ligar o Microsoft 365 ao seu ambiente AI-Corporate. Primeiro, escolha o caminho que melhor se adapta à sua organização.

Caminho	Quando	O que fazer
App central da AI-Corporate (padrão)	Ligações pessoais com Outlook Mail, Outlook Calendário, Teams e SharePoint/OneDrive.	Um administrador do Entra concede consentimento organizacional através de Ligar Microsoft 365. Depois, ative as integrações como no passo 5 deste artigo. Não é necessária uma app própria, client secret ou Identity Provider.
App Entra própria	Quer importar pastas do SharePoint centralmente para a base de conhecimento, os colaboradores já iniciam sessão com Microsoft através de uma app própria, ou quer gerir a app você mesmo.	Siga este artigo a partir do passo 1.

Se a sua organização já inicia sessão com Microsoft através de uma app própria (o campo Microsoft ID do ambiente está preenchido), então todas as ligações usam essa app própria. Nesse caso, o caminho central não se aplica.

App Entra própria

Com uma app própria do Microsoft Entra, a sua organização pode usar a mesma app para iniciar sessão com Microsoft e para Outlook, Teams e SharePoint. Você decide centralmente quais integrações e ações de escrita estão disponíveis. Depois disso, os utilizadores apenas ativam ou desativam as suas ligações pessoais em Preferências → Tools → Ligações.

As integrações pessoais funcionam com modelos suportados da OpenAI, Claude, Gemini e Mistral. O modelo escolhido tem de poder usar ferramentas. Nas ligações pessoais, o acesso segue as permissões do utilizador Microsoft autenticado. O consentimento organizacional não inicia sessão automaticamente em todos os colaboradores nem dá à IA acesso autónomo a todas as caixas de correio. A base de conhecimento SharePoint central usa permissões de app separadas e as permissões de base de conhecimento existentes, conforme descrito mais adiante neste artigo.

O que precisa?

Uma organização Microsoft 365 com Microsoft Entra ID e contas com acesso aos serviços pretendidos.
Um administrador que possa registar uma app e conceder consentimento organizacional para as permissões Microsoft Graph escolhidas. Apenas uma função de subscrição Azure não chega; a sua função Entra tem de permitir esse consentimento.
Direitos de administração no ambiente AI correto para disponibilizar integrações.
Um administrador de plataforma que possa configurar o Microsoft Identity Provider para este ambiente AI no Google Cloud Identity Platform.
Um app registration no seu próprio diretório Microsoft, com um client secret e os dois URL de redirecionamento da marca correta.

Iniciar sessão com Microsoft e aceder a dados Microsoft são duas funcionalidades separadas. Ter apenas um login Microsoft funcional ainda não significa que Outlook, Teams ou SharePoint esteja configurado.

1. Registe uma app única da organização

Abra o Centro de administração do Microsoft Entra e vá a App registrations → New registration. Use um nome reconhecível, por exemplo AI-Corporate – nome da sua organização. Para uma organização própria, escolha Accounts in this organizational directory only (Single tenant).

Guarde os seguintes dados de Overview:

Dado	Para quê?
Directory (tenant) ID	O diretório Microsoft da sua organização; vai no campo Microsoft ID do ambiente AI.
Application (client) ID	A app registada; vai no Microsoft Identity Provider.

Estes dois IDs são diferentes. Em Microsoft ID, não introduza o client ID nem o Firebase tenant ID.

2. Defina os URL de redirecionamento corretos

Vá a Authentication → Add a platform → Web. Adicione para a sua marca ambos os URL abaixo, exatamente como apresentados. O primeiro processa o início de sessão; o segundo processa o consentimento para as integrações da conta de trabalho.

Marca	Iniciar sessão com Microsoft	Integrações da conta de trabalho
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Use os URL da marca onde o seu ambiente está alojado. O nome da sua organização ou o tenant ID não precisam de ser inseridos nestes URL. O URL do website, o URL do dashboard e o URL .web.app não substituem estes callbacks. Registe-os como Web, mesmo que utilize a integração a partir de um browser. Não precisa de ativar emissão implícita de tokens nem public client flow para isto.

3. Crie um client secret e atribua permissões

Vá a Certificates & secrets → Client secrets → New client secret. Escolha um prazo adequado e guarde o Value em segurança assim que estiver visível. Entregue o valor através do canal seguro acordado para gestão de plataforma; o Secret ID não é o client secret. Acompanhe a data de expiração e substitua o secret antes dessa data, também no Identity Provider.

Depois, vá a API permissions → Add a permission → Microsoft Graph → Delegated permissions. Adicione apenas as permissões necessárias para as integrações e ações que a sua organização vai disponibilizar.

Integração	Permissões de leitura	Permissões extra para escrita
Perfil / básico	`User.Read`; o fluxo de início de sessão também pede `openid`, `profile`, `email` e `offline_access`	Nenhuma
Outlook Mail	`Mail.Read`	Rascunhos: `Mail.ReadWrite`. Enviar: `Mail.Send`.
Outlook Calendário	`Calendars.Read`	Escrever: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Publicar: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Esta integração da conta de trabalho não oferece ações de escrita aqui.

Mail.ReadWrite não dá permissão de envio; para isso é necessário Mail.Send separadamente. Publicar no Teams escreve mensagens de texto num canal escolhido, não mensagens privadas. Para esta integração, use Delegated permissions, não Application permissions. Mesmo com permissões com All no nome, o acesso delegado continua limitado pelo acesso do utilizador.

Clique em Grant admin consent for a sua organização e confirme que as permissões escolhidas aparecem como concedidas. Assim, os colaboradores podem usar o acesso aprovado sem terem de conceder permissões organizacionais por si mesmos. O Microsoft ainda pode pedir início de sessão, MFA ou consentimento renovado, dependendo da sua política.

4. Ligue a app em dois locais ao ambiente AI

Peça ao administrador de plataforma para selecionar o ambiente correto e aplicar estas definições:

Em Admin → Ambiente → Tenant: ative o método de login Microsoft e preencha Microsoft ID com o Directory (tenant) ID.
Em Google Cloud → Identity Platform → o tenant correspondente → Identity providers → Microsoft: ative o provider e preencha o Application (client) ID e o client secret Value da mesma app Entra.

O Identity Provider pertence ao tenant Firebase/Identity Platform do seu ambiente AI, não a outra organização nem ao ambiente Admin geral. A integração da conta de trabalho reutiliza a app deste provider. O client secret não deve estar em preferências de utilizador, mensagens de chat ou campos normais do ambiente.

Forneça à gestão de plataforma o nome da organização, a marca, o Directory ID, o client ID, o valor do secret através do canal seguro, a data de expiração e as integrações/permissões pretendidas. Um app ID sozinho não é suficiente.

5. Ative as integrações e as ações de escrita

Abra o ambiente de gestão da sua organização → Tools → MCP. Em Atalhos da suite, ative a integração Microsoft 365. As linhas do Microsoft ficam visíveis; quando a suite inteira está desativada, essas linhas ficam ocultas.

Escolha por integração se ela deve ficar disponível. Na coluna Ações de escrita, escolha separadamente:

Outlook Mail → Rascunhos: criar e alterar rascunhos.
Outlook Mail → Enviar: enviar efetivamente um rascunho existente.
Outlook Calendário → Escrever: criar e alterar compromissos.
Microsoft Teams → Publicar: colocar mensagens de texto num canal do Teams escolhido.

Clique em Guardar. Uma ação de escrita só funciona se a integração e a respetiva permissão de administração estiverem ativadas, o Microsoft tiver concedido as permissões necessárias e o utilizador tiver ativado pessoalmente a ligação. O utilizador não recebe nenhum formulário extra de permissões de escrita.

Disponibilidade

As definições também têm de ser suportadas pelo backend da sua marca. Esta extensão de escrita foi publicada e testada de forma direcionada em 7 de outubro de 2026 para OnderwijsSupport no AI-Corporate. Isso não significa automaticamente que a mesma extensão já esteja disponível para AI-School, AI-Public ou qualquer outro ambiente. Peça confirmação à gestão de plataforma quando faltarem ações de escrita.

6. Verifique a configuração

Peça a um utilizador para iniciar sessão no ambiente AI correto e ativar a integração pretendida de acordo com Usar integrações Microsoft. Verifique se o Microsoft mostra o nome da sua própria app Entra.

Teste primeiro um rascunho reconhecível e um compromisso sem participantes. Verifique os itens guardados no Outlook. Depois, teste o envio com um destinatário de teste acordado e a publicação no Teams num canal de teste acordado. Um compromisso com participantes pode enviar convites ou atualizações. Um comando de envio aceite ainda não é uma entrega confirmada.

Ao ampliar permissões, a ligação tenta renovar tokens. Se o Microsoft exigir novo início de sessão ou consentimento, peça ao utilizador para voltar a ligar a ligação existente. Não é necessário criar uma segunda app ou uma definição separada de utilizador.

Resolução de problemas

Problema	Verificação
`AADSTS50011` / redirect mismatch	Ambos os callbacks registados exatamente como Web, para a marca correta.
Aparece outro nome de app durante o consentimento	O ambiente AI correto, o Directory ID e o Microsoft Identity Provider específico do tenant; depois volte a ligar.
O login funciona, mas a integração não	Verifique também o callback do connector, as permissões Graph e o consentimento organizacional.
A leitura funciona, a escrita não	Verifique a permissão de administração, a permissão Graph delegada associada, o consentimento concedido e a disponibilidade no backend.
Client secret inválido ou expirado	O Value, não o Secret ID; atualize o novo secret também no Identity Provider.
Integração em falta para o utilizador	Verifique a disponibilidade em Tools, as permissões do utilizador para ligações e o ambiente AI selecionado.

Mais informação

Base de conhecimento SharePoint central: configurar Microsoft

Uma pasta ligada de forma central funciona através da app da organização, sem que cada colaborador ative uma ligação pessoal ao SharePoint. Para isso, são necessários dois consentimentos separados: a permissão de aplicação Sites.Selected com admin consent, e um read grant na site do SharePoint escolhida. Um login Microsoft funcional ou apenas admin consent não é suficiente.

1. Verifique a app da organização

Use o mesmo single-tenant app registration usado para iniciar sessão com Microsoft no seu ambiente AI. Uma app existente pode ser expandida; não é necessária uma segunda app de integração. Verifique em Microsoft Entra → App registrations → a sua app → Overview o Directory (tenant) ID e o Application (client) ID. Use abaixo o client ID, não o Object ID.

O Directory ID deve estar em Admin → Ambiente → Tenant → Microsoft ID. O client ID e o Value de um client secret válido devem estar no Microsoft Identity Provider exatamente desse ambiente AI. Esta configuração é mantida pela gestão de plataforma. Um secret expirado também impede a importação central; acompanhe a data de expiração.

A ligação central ao servidor usa client_credentials e não pede URL de redirecionamento extra. Os Web redirects existentes para início de sessão e integrações pessoais da conta de trabalho continuam a ser necessários; use os URL associados à marca da tabela anterior neste artigo.

Abra API permissions → Add a permission → Microsoft Graph → Application permissions.
Procure Sites.Selected, selecione esta permissão e clique em Add permissions.
Peça a um administrador Entra autorizado para executar Grant admin consent for a sua organização.
Confirme que Sites.Selected, tipo Application, aparece como concedida.

As permissões delegadas para ligações pessoais de Outlook, Teams e SharePoint podem manter-se na mesma app. Elas não substituem a permissão de aplicação para a base de conhecimento central. Para esta importação central, não é necessária a permissão de aplicação Sites.Read.All, Sites.ReadWrite.All ou Sites.FullControl.All.

3. Dê à app acesso de leitura separado à site

Esta ação de administração pode ser feita com o Microsoft Graph Explorer. Use uma conta de administrador no mesmo diretório Microsoft, com função SharePoint Administrator ou uma função administrativa superior adequada e acesso à site em questão. Uma função de subscrição Azure ou apenas ser proprietário da app não é suficiente.

Inicie sessão na conta de administração no Graph Explorer e confirme a organização apresentada.
Abra o seu menu de perfil → Consent to permissions, procure Sites.FullControl.All e escolha Consent para conceder a permissão necessária ao Graph Explorer neste contexto administrativo. Em algumas consultas, também pode abrir o painel completo de permissões através de Modify Permissions → Open the permissions panel. Esta é uma permissão de administração delegated para gerir sitegrants; não a adicione como permissão de aplicação ampla na app da base de conhecimento. Use consentimento ligado à conta quando o consentimento organizacional para todos os utilizadores não for necessário.
Encontre o site ID com o GET abaixo. Substitua o host de exemplo e o caminho do site pelos da sua própria pasta. Com um URL que contenha /teams/, use esse caminho em vez de /sites/.

GET https://graph.microsoft.com/v1.0/sites/uaorganizacao.sharepoint.com:/sites/uasite?$select=id,displayName,webUrl

O valor id na resposta é o site ID completo, incluindo o nome do host e dois GUIDs. Verifique também displayName e webUrl: o grant tem de ser aplicado na site onde a sua pasta realmente está.

Verifique primeiro os grants existentes com GET no endereço abaixo. Se o seu client ID já estiver lá com a função read, não precisa de criar um segundo grant. Peça ao seu administrador Microsoft para rever grants existentes mais amplos ou diferentes.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Se o grant não existir, escolha POST, use o mesmo endereço e preencha o seguinte JSON em Request Body. Substitua os dois valores de exemplo; CLIENT-ID-DA-SUA-APP é o Application (client) ID da sua app de integração, não da app do Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-DA-SUA-APP",
        "displayName": "NOME-DA-SUA-APP-DE-INTEGRAÇÃO"
      }
    }
  ]
}

Escolha Run query. Uma adição bem-sucedida devolve 201 Created. Verifique na resposta a função read e o client ID; o Graph pode mostrá-los em grantedToIdentitiesV2. Depois, confirme novamente com GET. Guarde o permission ID para gestão e eventual revogação posterior.
Repita isto apenas para cada outra site da qual queira ligar conscientemente pastas da base de conhecimento.

Sitegrant e permissões da base de conhecimento

O grant Microsoft dá à app acesso de leitura à site inteira selecionada. O ambiente AI importa apenas a pasta escolhida e as subpastas. Sempre que possível, use uma site separada para conhecimento partilhado centralmente. As permissões existentes da base de conhecimento determinam quais os utilizadores que recebem os documentos importados; as permissões individuais do SharePoint não são herdadas.

4. Ligue a pasta e verifique o resultado

Abra Gestão → Base de conhecimento → Adicionar → Pastas SharePoint → Ligar pasta e use o URL real da pasta, não um link de convite nem um endereço de visão geral do OneDrive. Escolha o âmbito, o público-alvo e o estado de publicação de acordo com o manual da base de conhecimento. Uma fonte central não requer um connector pessoal nas preferências do utilizador.

Verifique com Atualizar se os documentos foram processados sem erros. Use Sincronizar agora para uma nova verificação e, em seguida, faça uma pergunta concreta no chat sobre um documento importado. Confirme que a resposta menciona a fonte de conhecimento central correta.

Problema	Verificação do lado Microsoft
O login funciona, mas a pasta central não	`Sites.Selected` tem de ser do tipo Application e ter admin consent; verifique também o sitegrant separado.
`403 Forbidden` ao aceder à pasta	Diretório Microsoft correto, site ID, client ID e `read` grant; admin consent por si só não concede acesso à site.
`403` na ação de administração no Graph Explorer	`Sites.FullControl.All` delegado, consentimento concedido, função administrativa e acesso à site de destino. Não adicione uma permissão ampla à app de integração como solução.
A site funciona, a pasta não é encontrada	Verifique o URL real da pasta, a biblioteca de documentos e o caminho da site; um atalho do OneDrive pode apontar para outra site.
Secret expirado ou inválido	Peça à gestão de plataforma para atualizar o novo secret Value no Microsoft Identity Provider correto.

Para OnderwijsSupport no AI-Corporate, esta ligação central foi publicada e testada em 14 de outubro de 2026. A disponibilidade no AI-School, AI-Public ou noutro ambiente tem de ser confirmada pela gestão de plataforma.

Documentação Microsoft: Selected permissions, adicionar sitegrant e verificar sitegrants.

App Entra própria​

O que precisa?​

1. Registe uma app única da organização​

2. Defina os URL de redirecionamento corretos​

3. Crie um client secret e atribua permissões​

4. Ligue a app em dois locais ao ambiente AI​

5. Ative as integrações e as ações de escrita​

6. Verifique a configuração​

Resolução de problemas​

Mais informação​

Base de conhecimento SharePoint central: configurar Microsoft​

1. Verifique a app da organização​

2. Adicione a permissão de aplicação e conceda admin consent​

3. Dê à app acesso de leitura separado à site​

4. Ligue a pasta e verifique o resultado​