Настройка Microsoft 365 для вашей среды

Есть два способа подключить Microsoft 365 к вашей среде AI-Corporate. Сначала выберите, какой вариант подходит вашей организации.

Вариант	Когда	Что вы делаете
Центральное приложение AI-Corporate (по умолчанию)	Личные подключения к Outlook Mail, Outlook Calendar, Teams и SharePoint/OneDrive.	Администратор Entra предоставляет организационное согласие через Подключить Microsoft 365. После этого вы включаете интеграции, как описано в шаге 5 этой статьи. Собственное приложение, client secret или Identity Provider не нужны.
Собственное приложение Entra	Вы хотите централизованно импортировать папки SharePoint в базу знаний, сотрудники уже входят через Microsoft с помощью собственного приложения, или вы хотите управлять приложением самостоятельно.	Следуйте этой статье начиная с шага 1.

Если ваша организация уже входит через Microsoft с помощью собственного приложения (поле Microsoft ID среды заполнено), то все подключения используют это собственное приложение. Центральный вариант тогда не применяется.

Собственное приложение Entra

С собственным приложением Microsoft Entra ваша организация может использовать одно и то же приложение для входа через Microsoft и для Outlook, Teams и SharePoint. Вы централизованно определяете, какие интеграции и действия записи доступны. Затем пользователи только включают или выключают свои личные подключения в Профиль → Tools → Подключения.

Личные интеграции работают с поддерживаемыми моделями OpenAI, Claude, Gemini и Mistral. Выбранная модель должна уметь использовать tools. При личных подключениях доступ определяется правами вошедшего пользователя Microsoft. Организационное согласие не автоматически входи́т всех сотрудников и не дает ИИ самостоятельный доступ ко всем почтовым ящикам. Центральная база знаний SharePoint использует отдельные права приложения и существующие права базы знаний, как описано ниже в этой статье.

Что вам нужно?

• Организация Microsoft 365 с Microsoft Entra ID и учетными записями, имеющими доступ к нужным службам.
• Администратор, который может зарегистрировать приложение и выдать организационное согласие на выбранные права Microsoft Graph. Одной роли Azure subscription для этого недостаточно; ваша роль Entra должна позволять такое согласие.
• Права администратора в нужной AI-среде, чтобы сделать интеграции доступными.
• Администратор платформы, который может настроить Microsoft Identity Provider для этой AI-среды в Google Cloud Identity Platform.
• App registration в вашем собственном каталоге Microsoft, с client secret и двумя URL перенаправления для нужного бренда.

Вход через Microsoft и доступ к данным Microsoft — это две отдельные функции. Только рабочий вход Microsoft еще не означает, что Outlook, Teams или SharePoint настроены.

1. Зарегистрируйте одно организационное приложение

Откройте центр администрирования Microsoft Entra и перейдите в App registrations → New registration. Используйте понятное имя, например AI-Corporate – название вашей организации. Для собственной организации выберите Accounts in this organizational directory only (Single tenant).

Сохраните следующие данные из Overview:

Данные	Для чего?
Directory (tenant) ID	Каталог Microsoft вашей организации; он указывается в поле Microsoft ID среды AI.
Application (client) ID	Зарегистрированное приложение; оно указывается в Microsoft Identity Provider.

Эти два ID различны. Не вводите в Microsoft ID client ID или Firebase tenant ID.

2. Настройте правильные URL перенаправления

Перейдите в Authentication → Add a platform → Web. Добавьте для вашего бренда оба URL ниже, в точности как показано. Первый обрабатывает вход; второй обрабатывает согласие для интеграций рабочих аккаунтов.

Бренд	Вход через Microsoft	Интеграции рабочих аккаунтов
AI-School	https://ai-school-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporate	https://ai-corporate.firebaseapp.com/__/auth/handler	https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Public	https://ai-public-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

Используйте URL того бренда, на котором работает ваша среда. Ваше собственное название организации или tenant ID не нужно вставлять в эти URL. Website URL, dashboard URL и .web.app URL не заменяют эти callbacks. Регистрируйте их как Web, даже если используете интеграцию из браузера. Не нужно включать implicit token issuance или public-client flow.

3. Создайте client secret и назначьте права

Перейдите в Certificates & secrets → Client secrets → New client secret. Выберите подходящий срок действия и безопасно сохраните Value, как только она станет видна. Передайте значение через согласованный защищенный канал для управления платформой; Secret ID — это не client secret. Следите за датой истечения и замените secret до этой даты, в том числе в Identity Provider.

Затем перейдите в API permissions → Add a permission → Microsoft Graph → Delegated permissions. Добавьте только те права, которые соответствуют интеграциям и действиям, которые ваша организация будет предоставлять.

Интеграция	Права на чтение	Дополнительные права для записи
Профиль / базовое	User.Read; поток входа также запрашивает openid, profile, email и offline_access	Нет
Outlook Mail	Mail.Read	Черновики: Mail.ReadWrite. Отправка: Mail.Send.
Outlook Calendar	Calendars.Read	Запись: Calendars.ReadWrite.
Microsoft Teams	Chat.Read, ChannelMessage.Read.All	Постинг: Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Send.
SharePoint / OneDrive	Sites.Read.All, Files.Read.All	Эта интеграция рабочих аккаунтов не предоставляет здесь действий записи.

Mail.ReadWrite не дает права отправки; для этого отдельно нужен Mail.Send. Постинг в Teams пишет текстовые сообщения в выбранный канал, а не личные чаты. Для этой интеграции используйте Delegated permissions, а не Application permissions. Даже для прав с All в названии делегированный доступ остается ограниченным правами пользователя.

Нажмите Grant admin consent for ваша организация и проверьте, что выбранные права отображаются как предоставленные. Так сотрудники смогут использовать одобренный доступ, не запрашивая права организации самостоятельно. Microsoft все же может запросить вход, MFA или повторное согласие в зависимости от вашей политики.

4. Подключите приложение к AI-среде в двух местах

Пусть администратор платформы выберет нужную среду и выполнит эти настройки:

1. В Admin → Среда → Tenant: включите способ входа Microsoft и в поле Microsoft ID укажите Directory (tenant) ID.
2. В Google Cloud → Identity Platform → соответствующий tenant → Identity providers → Microsoft: включите провайдер и укажите Application (client) ID и client secret Value того же приложения Entra.

Identity Provider относится к tenant Firebase/Identity Platform вашей AI-среды, а не к другой организации или общей Admin-среде. Интеграция рабочих аккаунтов повторно использует приложение из этого провайдера. Client secret не должен находиться в пользовательских настройках, сообщениях чата или обычных полях среды.

Передайте администратору платформы название организации, бренд, Directory ID, client ID, значение secret через защищенный канал, дату истечения и нужные интеграции/права. Одного app ID недостаточно.

5. Откройте доступ к интеграциям и действиям записи

Откройте административную среду вашей организации → Tools → MCP. В Suite-snelkoppelingen включите интеграцию Microsoft 365. Строки Microsoft станут видимыми; если вся suite выключена, эти строки скрыты.

Для каждой интеграции выберите, будет ли она доступна. В колонке Schrijfacties отдельно выберите:

• Outlook Mail → Concepten: создавать и изменять черновики.
• Outlook Mail → Verzenden: фактически отправлять существующий черновик.
• Outlook Calendar → Schrijven: создавать и изменять встречи.
• Microsoft Teams → Posten: размещать текстовые сообщения в выбранном канале Teams.

Нажмите Opslaan. Действие записи работает только если включены и интеграция, и соответствующее право администратора, Microsoft выдал необходимые права, а пользователь лично включил подключение. Для этого пользователю не нужен дополнительный формуляр на права записи.

Доступность

Настройки также должны поддерживаться backend вашего бренда. Это расширение записи было опубликовано и протестировано 7 октября 2026 года для OnderwijsSupport на AI-Corporate. Это не означает автоматически, что то же расширение уже доступно для AI-School, AI-Public или любой другой среды. Попросите подтверждение у администратора платформы, если действия записи отсутствуют.

6. Проверьте настройку

Пусть пользователь войдет в нужную AI-среду и включит нужную интеграцию согласно Использование Microsoft-интеграций. Проверьте, отображает ли Microsoft имя вашего собственного приложения Entra.

Сначала протестируйте понятный черновик и встречу без участников. Проверьте сохраненные элементы в Outlook. Затем протестируйте отправку с согласованным тестовым получателем и постинг в Teams в согласованный тестовый канал. Встреча с участниками может отправить приглашения или обновления. Принятая команда отправки еще не означает подтвержденную доставку.

При расширении прав подключение пытается обновить токены. Если Microsoft требует повторный вход или согласие, пусть пользователь переподключит существующее подключение. Не нужно создавать второе приложение или отдельную пользовательскую настройку.

Устранение проблем

Проблема	Проверка
AADSTS50011 / redirect mismatch	Оба callback зарегистрированы точно как Web, для правильного бренда.
При согласии отображается другое имя приложения	Правильная AI-среда, Directory ID и tenant-specific Microsoft Identity Provider; затем переподключите.
Вход работает, но интеграция — нет	Проверьте также callback коннектора, Graph-права и организационное согласие.
Чтение работает, запись нет	Проверьте право администратора, соответствующее делегированное Graph-право, выданное согласие и доступность backend.
Client secret недействителен или истек	Value, а не Secret ID; обновите новый secret также в Identity Provider.
Интеграция отсутствует у пользователя	Проверьте доступность в Tools, права пользователя на подключения и выбранную AI-среду.

Подробнее

• Управление Tools
• Использование Microsoft-интеграций
• Microsoft: зарегистрировать приложение
• Microsoft: URL перенаправления
• Microsoft Graph: обзор прав

Центральная база знаний SharePoint: настройка Microsoft

Центрально подключенная папка работает через организационное приложение, без того чтобы каждый сотрудник включал личное подключение SharePoint. Для этого нужны два отдельных согласия: право приложения Sites.Selected с admin consent и read-grant на выбранный сайт SharePoint. Рабочий вход Microsoft или только admin consent недостаточны.

1. Проверьте организационное приложение

Используйте ту же single-tenant app registration, что и для входа через Microsoft в вашей AI-среде. Существующее приложение можно расширить; второе интеграционное приложение не нужно. Проверьте в Microsoft Entra → App registrations → ваше приложение → Overview значения Directory (tenant) ID и Application (client) ID. Ниже используйте client ID, а не Object ID.

Directory ID должен быть указан в Admin → Среда → Tenant → Microsoft ID. Client ID и Value действительного client secret должны находиться у Microsoft Identity Provider именно этой AI-среды. Эта конфигурация поддерживается администратором платформы. Просроченный secret также мешает центральному импорту; следите за датой истечения.

Центральное серверное подключение использует client_credentials и не требует дополнительного URL перенаправления. Существующие Web-redirects для входа и личных интеграций рабочих аккаунтов по-прежнему нужны; используйте URL, привязанные к бренду, из таблицы ранее в этой статье.

2. Добавьте право приложения и предоставьте admin consent

1. Откройте API permissions → Add a permission → Microsoft Graph → Application permissions.
2. Найдите Sites.Selected, выберите это право и нажмите Add permissions.
3. Попросите уполномоченного администратора Entra выполнить Grant admin consent for ваша организация.
4. Проверьте, что Sites.Selected, тип Application, отображается как предоставленное.

Делегированные права для личных подключений Outlook, Teams и SharePoint могут оставаться на том же приложении. Они не заменяют право приложения для центральной базы знаний. Для этого центрального импорта не нужны права приложения Sites.Read.All, Sites.ReadWrite.All или Sites.FullControl.All.

3. Предоставьте приложению отдельный доступ на чтение к сайту

Это действие администратора можно выполнить через Microsoft Graph Explorer. Используйте учетную запись администратора в том же Microsoft-каталоге, с ролью SharePoint Administrator или более высокой подходящей ролью администратора и доступом к нужному сайту. Роли Azure subscription или только владения приложением для этого недостаточно.

1. Войдите в Graph Explorer под учетной записью администратора и проверьте показанную организацию.
2. Откройте profile menu → Consent to permissions, найдите Sites.FullControl.All и выберите Consent, чтобы выдать необходимое разрешение Graph Explorer в этом административном контексте. Для некоторых запросов вы также можете открыть полную панель прав через Modify Permissions → Open the permissions panel. Это delegated право администратора для управления site grants; не добавляйте его как широкое право приложения в app базы знаний. Используйте согласие, связанное с учетной записью, если не нужно организационное согласие для всех пользователей.
3. Найдите site ID с помощью следующего GET. Замените пример host и путь сайта на те, что относятся к вашей папке. При URL с /teams/ используйте этот путь вместо /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

Значение id в ответе — это полный site ID, включая имя хоста и два GUID. Также проверьте displayName и webUrl: grant должен быть на том сайте, где реально находится ваша папка.

4. Сначала проверьте существующие grants с помощью GET по адресу ниже. Если ваш client ID уже там с ролью read, второй grant создавать не нужно. Попросите вашего администратора Microsoft проверить существующие более широкие или отличающиеся grants.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

5. Если grant отсутствует, выберите POST, используйте тот же адрес и в Request Body вставьте следующий JSON. Замените два примерных значения; CLIENT-ID-VAN-UW-APP — это Application (client) ID вашего интеграционного приложения, а не приложения Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

6. Выберите Run query. Успешное добавление вернет 201 Created. Проверьте в ответе роль read и client ID; Graph может показывать их под grantedToIdentitiesV2. Затем снова проверьте через GET. Сохраните permission ID для администрирования и возможного последующего отзыва.
7. Повторяйте это только для каждого другого сайта, папки которого вы намеренно хотите подключить к базе знаний.

Site grant и права базы знаний

Microsoft-grant дает приложению доступ на чтение ко всему выбранному сайту. AI-среда импортирует только выбранную папку и подпапки. По возможности используйте отдельный сайт для знаний, которыми нужно делиться централизованно. Существующие права базы знаний определяют, какие пользователи получат импортированные документы; индивидуальные права SharePoint не переносятся.

4. Подключите папку и проверьте результат

Откройте Beheer → Kennisbank → Toevoegen → SharePoint-mappen → Map koppelen и используйте реальный URL папки, а не ссылку приглашения или адрес обзора OneDrive. Выберите область, аудиторию и статус публикации согласно руководству по базе знаний. Центральный источник не требует личного коннектора в пользовательских настройках.

Проверьте с помощью Vernieuwen, обработаны ли документы без ошибок. Используйте Nu synchroniseren для новой проверки, а затем задайте конкретный вопрос в чате про импортированный документ. Проверьте, что ответ упоминает правильный центральный источник знаний.

Проблема	Проверка на стороне Microsoft
Вход работает, но центральная папка — нет	Sites.Selected должен быть типа Application и иметь admin consent; дополнительно проверьте отдельный site grant.
403 Forbidden при доступе к папке	Правильные Microsoft-каталог, site ID, client ID и read-grant; admin consent сам по себе не дает доступ к сайту.
403 при административном действии в Graph Explorer	Delegated Sites.FullControl.All, выданное согласие, роль администратора и доступ к целевому сайту. Не добавляйте широкое право в интеграционное приложение как решение.
Сайт работает, папка не найдена	Проверьте реальный URL папки, библиотеку документов и путь сайта; ярлык OneDrive может указывать на другой сайт.
Secret истек или недействителен	Попросите администратора платформы обновить новое значение secret Value в правильном Microsoft Identity Provider.

Для OnderwijsSupport на AI-Corporate эта центральная интеграция была опубликована и протестирована 14 октября 2026 года. Доступность на AI-School, AI-Public или другой среде должна быть подтверждена администратором платформы.

Документация Microsoft: Selected permissions, добавление site grant и проверка site grants.