Konfigurera Microsoft 365 för din miljö

Det finns två sätt att koppla Microsoft 365 till din AI-Corporate-miljö. Välj först vilken väg som passar din organisation.

Väg	När	Vad du gör
Central AI-Corporate-app (standard)	Personliga kopplingar till Outlook Mail, Outlook Kalender, Teams och SharePoint/OneDrive.	En Entra-administratör ger organisationssamtycke via Koppla Microsoft 365. Därefter aktiverar du integrationerna enligt steg 5 i den här artikeln. En egen app, client secret eller Identity Provider behövs inte.
Egen Entra-app	Du vill importera SharePoint-mappar centralt i kunskapsbanken, medarbetare loggar redan in med Microsoft via en egen app, eller så vill du själv hantera appen.	Följ den här artikeln från steg 1.

Loggar din organisation redan in med Microsoft via en egen app (fältet Microsoft ID i miljön är ifyllt), så använder alla kopplingar den egna appen. Den centrala vägen är då inte tillämplig.

Egen Entra-app

Med en egen Microsoft Entra-app kan din organisation använda samma app för inloggning med Microsoft och för Outlook, Teams och SharePoint. Du bestämmer centralt vilka integrationer och skrivåtgärder som ska vara tillgängliga. Användarna slår sedan bara på eller av sina personliga kopplingar i Inställningar → Verktyg → Kopplingar.

De personliga integrationerna fungerar med stödda modeller från OpenAI, Claude, Gemini och Mistral. Den valda modellen måste kunna använda verktyg. Vid personliga kopplingar följer åtkomsten den inloggade Microsoft-användarens rättigheter. Organisationssamtycke loggar inte in alla medarbetare automatiskt och ger inte AI:n självständig åtkomst till alla inkorgar. Den centrala SharePoint-kunskapsbanken använder separata appbehörigheter och de befintliga kunskapsbanksrättigheterna, som beskrivs längre ner i den här artikeln.

Vad behöver du?

En Microsoft 365-organisation med Microsoft Entra ID och konton med åtkomst till de önskade tjänsterna.
En administratör som får registrera en app och bevilja organisationssamtycke för de valda Microsoft Graph-rättigheterna. En Azure-prenumerationsroll räcker inte för detta; din Entra-roll måste tillåta detta samtycke.
Administratörsrättigheter i rätt AI-miljö för att göra integrationer tillgängliga.
En plattformsadministratör som kan konfigurera Microsoft Identity Provider för den här AI-miljön i Google Cloud Identity Platform.
En app registration i din egen Microsoft-directory, med en client secret och de två omdirigerings-URL:erna för rätt varumärke.

Inloggning med Microsoft och åtkomst till Microsoft-data är två separata funktioner. Bara en fungerande Microsoft-inloggning betyder ännu inte att Outlook, Teams eller SharePoint är konfigurerat.

1. Registrera en organisationsapp

Öppna Microsoft Entra-administrationscentret och gå till App registrations → New registration. Använd ett igenkännbart namn, till exempel AI-Corporate – ditt organisationsnamn. Välj för en egen organisation Accounts in this organizational directory only (Single tenant).

Spara följande uppgifter från Overview:

Uppgift	Vad används den till?
Directory (tenant) ID	Microsoft-directoryn för din organisation; detta hamnar i fältet Microsoft ID i AI-miljön.
Application (client) ID	Den registrerade appen; detta hamnar i Microsoft Identity Provider.

Dessa två ID:n är olika. Fyll inte i client ID eller Firebase-tenant-ID i Microsoft ID.

2. Ställ in rätt omdirigerings-URL:er

Gå till Authentication → Add a platform → Web. Lägg till båda URL:erna nedan för ditt varumärke, exakt som de visas. Den första hanterar inloggningen; den andra hanterar samtycke för arbetskonto-integrationerna.

Varumärke	Inloggning med Microsoft	Arbetskonto-integrationer
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Använd URL:erna för det varumärke som din miljö körs på. Ditt eget organisationsnamn eller tenant-ID behöver inte fyllas i i dessa URL:er. Webbplats-URL:en, dashboard-URL:en och .web.app-URL:en ersätter inte dessa callbacks. Registrera dem som Web, även om du använder integrationen från en webbläsare. Du behöver inte aktivera implicit tokenutgivning eller public-client-flow för detta.

3. Skapa en client secret och tilldela rättigheter

Gå till Certificates & secrets → Client secrets → New client secret. Välj en passande giltighetstid och spara Value säkert så snart den visas. Lämna värdet via den överenskomna säkra kanalen för plattformshantering; Secret ID är inte client secret. Håll koll på utgångsdatumet och ersätt secret innan dess, även i Identity Provider.

Gå sedan till API permissions → Add a permission → Microsoft Graph → Delegated permissions. Lägg endast till de rättigheter som gäller för de integrationer och åtgärder som din organisation ska erbjuda.

Integration	Läsrättigheter	Extra rättigheter för skrivning
Profil / grund	`User.Read`; inloggningsflödet begär också `openid`, `profile`, `email` och `offline_access`	Ingen
Outlook Mail	`Mail.Read`	Utkast: `Mail.ReadWrite`. Skicka: `Mail.Send`.
Outlook Kalender	`Calendars.Read`	Skriv: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Publicera: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Denna arbetskonto-integration erbjuder inga skrivåtgärder här.

Mail.ReadWrite ger inte rätt att skicka; för det krävs separat Mail.Send. Teams-publicering skriver textmeddelanden i en vald kanal, inte privata chattmeddelanden. För denna integration använder du Delegated permissions, inte Application permissions. Även med rättigheter som innehåller All i namnet begränsas delegerad åtkomst fortfarande av användarens åtkomst.

Klicka på Grant admin consent for din organisation och kontrollera att de valda rättigheterna visas som beviljade. Då kan medarbetare använda den godkända åtkomsten utan att själva behöva ge organisationsrättigheter. Microsoft kan fortfarande be om inloggning, MFA eller förnyat samtycke, beroende på din policy.

4. Koppla appen på två ställen till AI-miljön

Låt plattformsadministratören välja rätt miljö och utföra dessa inställningar:

I Admin → Miljö → Tenant: aktivera inloggningsmetoden Microsoft och fyll i Directory (tenant) ID i Microsoft ID.
I Google Cloud → Identity Platform → relevant tenant → Identity providers → Microsoft: aktivera providern och fyll i Application (client) ID och client secret Value från samma Entra-app.

Identity Provider hör till Firebase/Identity Platform-tenant i din AI-miljö, inte till en annan organisation eller den allmänna Admin-miljön. Arbetskonto-integrationen återanvänder appen från denna provider. Client secret hör inte hemma i användarinställningar, chattmeddelanden eller vanliga miljöfält.

Lämna organisationsnamn, varumärke, Directory ID, client ID, secret-värde via den säkra kanalen, utgångsdatum och önskade integrationer/rättigheter till plattformsadministrationen. Ett app-ID ensam räcker inte.

5. Ge integrationerna och skrivåtgärderna åtkomst

Öppna administrationsmiljön för din organisation → Tools → MCP. Slå på integrationen Microsoft 365 under Suite-snelkoppelingen. Microsoft-raderna blir synliga; när hela sviten är avstängd förblir dessa rader dolda.

Välj per integration om den ska vara tillgänglig. I kolumnen Schrijfacties väljer du separat:

Outlook Mail → Concepten: skapa och ändra utkast.
Outlook Mail → Verzenden: skicka ett befintligt utkast på riktigt.
Outlook Agenda → Schrijven: skapa och ändra möten.
Microsoft Teams → Posten: placera textmeddelanden i en vald Teams-kanal.

Klicka på Opslaan. En skrivåtgärd fungerar bara om både integrationen och den tillhörande administratörsrätten är aktiverade, Microsoft har beviljat de nödvändiga rättigheterna och användaren har slagit på kopplingen personligen. Användaren får inget extra formulär för skrivrättigheter för detta.

Tillgänglighet

Inställningarna måste också stödjas av backend för ditt varumärke. Denna skrivutökning publicerades och testades riktat för OnderwijsSupport på AI-Corporate den 7 oktober 2026. Det betyder inte automatiskt att samma utökning redan har släppts för AI-School, AI-Public eller någon annan miljö. Be plattformsadministrationen om bekräftelse när skrivåtgärder saknas.

6. Kontrollera konfigurationen

Låt en användare logga in i rätt AI-miljö och aktivera önskad integration enligt Använda Microsoft-integrationer. Kontrollera att Microsoft visar namnet på din egen Entra-app.

Testa först ett igenkännbart utkast och ett möte utan deltagare. Kontrollera de sparade objekten i Outlook. Testa sedan att skicka med en avtalad testmottagare och Teams-publicering i en avtalad testkanal. Ett möte med deltagare kan skicka inbjudningar eller uppdateringar. En accepterad sändningsåtgärd är ännu inte en bekräftad leverans.

Vid utökning av rättigheter försöker kopplingen förnya tokens. Om Microsoft kräver ny inloggning eller nytt samtycke, låt användaren återansluta den befintliga kopplingen. Ingen andra app eller separat användarinställning behöver skapas.

Felsökning

Problem	Kontroll
`AADSTS50011` / redirect mismatch	Båda callbacks registrerade exakt som Web, för rätt varumärke.
Ett annat appnamn visas vid samtycke	Rätt AI-miljö, Directory ID och tenant-specifik Microsoft Identity Provider; anslut sedan på nytt.
Inloggning fungerar, men inte integrationen	Kontrollera även connectorcallback, Graph-rättigheter och organisationssamtycke.
Läsa fungerar, skriva inte	Kontrollera administratörsrätt, motsvarande delegerad Graph-rättighet, beviljat samtycke och backend-tillgänglighet.
Client secret ogiltig eller utgången	Uppdatera Value, inte Secret ID; uppdatera den nya secret även i Identity Provider.
Integration saknas för användaren	Kontrollera tillgänglighet i Tools, användarrättigheter för kopplingar och den valda AI-miljön.

Mer information

Central SharePoint-kunskapsbank: konfigurera Microsoft

En centralt kopplad mapp fungerar via organisationsappen, utan att varje medarbetare aktiverar en personlig SharePoint-koppling. För detta krävs två separata samtycken: applikationsrättigheten Sites.Selected med admin consent, och en read-grant på den valda SharePoint-sajten. En fungerande Microsoft-inloggning eller bara admin consent räcker inte.

1. Kontrollera organisationsappen

Använd samma single-tenant app registration som för Microsoft-inloggning i din AI-miljö. En befintlig app kan utökas; en andra integrationsapp behövs inte. Kontrollera i Microsoft Entra → App registrations → din app → Overview Directory (tenant) ID och Application (client) ID. Använd client ID nedan, inte Object ID.

Directory ID måste finnas i Admin → Miljö → Tenant → Microsoft ID. Client ID och Value för en giltig client secret måste finnas i Microsoft Identity Provider för just den AI-miljön. Den här konfigurationen hanteras av plattformsadministrationen. En utgången secret stoppar även den centrala importen; håll koll på utgångsdatumet.

Den centrala serveranslutningen använder client_credentials och kräver ingen extra redirect-URL. De befintliga Web-redirects för inloggning och personliga arbetskonto-integrationer behövs fortfarande; använd de varumärkesbundna URL:erna från tabellen tidigare i den här artikeln.

Öppna API permissions → Add a permission → Microsoft Graph → Application permissions.
Hitta Sites.Selected, välj den här rättigheten och klicka på Add permissions.
Låt en behörig Entra-administratör utföra Grant admin consent for din organisation.
Kontrollera att Sites.Selected, typ Application, visas som beviljad.

De delegerade rättigheterna för personliga Outlook-, Teams- och SharePoint-kopplingar kan ligga kvar på samma app. De ersätter inte applikationsrättigheten för den centrala kunskapsbanken. För denna centrala import behövs inte applikationsrättigheterna Sites.Read.All, Sites.ReadWrite.All eller Sites.FullControl.All.

3. Ge appen separat läsåtkomst till sajten

Denna administratörsåtgärd kan utföras med Microsoft Graph Explorer. Använd ett administratörskonto i samma Microsoft-directory, med SharePoint Administrator eller en högre lämplig administratörsroll och åtkomst till den aktuella sajten. En Azure-prenumerationsroll eller endast ägarskap av appen räcker inte.

Logga in administrationskontot i Graph Explorer och kontrollera den visade organisationen.
Öppna din profilmeny → Consent to permissions, sök efter Sites.FullControl.All och välj Consent för att ge den nödvändiga behörigheten för Graph Explorer i denna administratörskontext. Vid vissa frågor kan du också öppna hela behörighetspanelen via Modify Permissions → Open the permissions panel. Detta är en delegated administratörsrättighet för att hantera sitegrants; lägg inte till den som en bred applikationsrättighet på kunskapsbanksappen. Använd kontobunden behörighet när organisationssamtycke för alla användare inte behövs.
Hitta site-ID:t med GET nedan. Ersätt exempelhosen och webbplatsvägen med de från din egen mapp. Vid en URL med /teams/ använder du den vägen i stället för /sites/.

GET https://graph.microsoft.com/v1.0/sites/dinorganisation.sharepoint.com:/sites/dinsajt?$select=id,displayName,webUrl

Värdet id i svaret är det fullständiga site-ID:t, inklusive värdnamn och två GUID:er. Kontrollera också displayName och webUrl: grantet måste läggas på den sajt där din mapp faktiskt finns.

Kontrollera först befintliga grants med GET på adressen nedan. Om ditt client ID redan finns där med rollen read, behöver du inte skapa ett andra grant. Låt befintliga bredare eller avvikande grants granskas av din Microsoft-administratör.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Om grantet saknas, välj POST, använd samma adress och fyll i följande JSON under Request Body. Ersätt de två exempelvärdena; CLIENT-ID-VAN-DIN-APP är Application (client) ID för din integrationsapp, inte Graph Explorer-appen.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-DIN-APP",
        "displayName": "NAMN-PÅ-DIN-INTEGRATIONSAPP"
      }
    }
  ]
}

Välj Run query. En lyckad tilläggning ger 201 Created. Kontrollera i svaret rollen read och client ID; Graph kan visa detta under grantedToIdentitiesV2. Kontrollera sedan igen med GET. Spara permission-ID:t för administration och eventuell senare återkallning.
Upprepa detta endast för varje annan sajt som du medvetet vill koppla kunskapsbanksmappar till.

Sitegrant och kunskapsbanksrättigheter

Microsoft-grantet ger appen läsåtkomst till hela den valda sajten. AI-miljön importerar bara den valda mappen och undermapparna. Använd helst en separat sajt för kunskap som ska delas centralt. De befintliga kunskapsbanksrättigheterna avgör vilka användare som får de importerade dokumenten; individuella SharePoint-rättigheter förs inte över.

4. Koppla mappen och kontrollera resultatet

Öppna Beheer → Kennisbank → Toevoegen → SharePoint-mappen → Map koppelen och använd den riktiga mapp-URL:en, inte en inbjudningslänk eller en OneDrive-översiktsadress. Välj omfattning, målgrupp och publiceringsstatus enligt kunskapsbankguiden. En central källa kräver ingen personlig connector i användarinställningarna.

Kontrollera med Vernieuwen om dokumenten har bearbetats utan fel. Använd Nu synchroniseren för en ny kontroll och ställ sedan en konkret chattfråga om ett importerat dokument. Kontrollera att svaret nämner rätt central kunskapskälla.

Problem	Kontroll på Microsoft-sidan
Inloggning fungerar, men den centrala mappen inte	`Sites.Selected` måste vara av typen Application och ha admin consent; kontrollera dessutom det separata sitegrantet.
`403 Forbidden` vid mappåtkomst	Rätt Microsoft-directory, site-ID, client ID och `read`-grant; admin consent ger inte i sig sitåtkomst.
`403` vid administratörsåtgärden i Graph Explorer	Delegated `Sites.FullControl.All`, beviljat samtycke, administratörsroll och åtkomst till målsajten. Lägg inte till en bred rättighet på integrationsappen som lösning.
Sajten fungerar, mappen hittas inte	Kontrollera den riktiga mapp-URL:en, dokumentbiblioteket och sajtvagen; en OneDrive-genväg kan peka mot en annan sajt.
Secret utgången eller ogiltig	Låt plattformsadministrationen uppdatera den nya secret Value i rätt Microsoft Identity Provider.

För OnderwijsSupport på AI-Corporate publicerades och testades denna centrala koppling den 14 oktober 2026. Tillgänglighet på AI-School, AI-Public eller en annan miljö måste bekräftas av plattformsadministrationen.

Microsoft-dokumentation: Selected permissions, lägga till sitegrant och kontrollera sitegrants.

Egen Entra-app​

Vad behöver du?​

1. Registrera en organisationsapp​

2. Ställ in rätt omdirigerings-URL:er​

3. Skapa en client secret och tilldela rättigheter​

4. Koppla appen på två ställen till AI-miljön​

5. Ge integrationerna och skrivåtgärderna åtkomst​

6. Kontrollera konfigurationen​

Felsökning​

Mer information​

Central SharePoint-kunskapsbank: konfigurera Microsoft​

1. Kontrollera organisationsappen​

2. Lägg till applikationsrättigheten och bevilja admin consent​

3. Ge appen separat läsåtkomst till sajten​

4. Koppla mappen och kontrollera resultatet​