Налаштувати Microsoft 365 для вашого середовища

Є два способи підключити Microsoft 365 до вашого середовища AI-Corporate. Спочатку оберіть, який варіант підходить вашій організації.

Варіант	Коли	Що ви робите
Центральна програма AI-Corporate (стандартно)	Особисті підключення до Outlook Mail, Outlook Calendar, Teams і SharePoint/OneDrive.	Адміністратор Entra надає організаційну згоду через Підключити Microsoft 365. Після цього ви активуєте інтеграції, як описано в кроці 5 цієї статті. Власна програма, client secret або Identity Provider не потрібні.
Власний застосунок Entra	Ви хочете централізовано імпортувати папки SharePoint у базу знань, співробітники вже входять за допомогою Microsoft через власний застосунок або ви хочете керувати застосунком самостійно.	Виконайте цю статтю, починаючи з кроку 1.

Якщо ваша організація вже входить за допомогою Microsoft через власний застосунок (поле Microsoft ID середовища заповнене), то всі підключення використовують цей власний застосунок. У такому разі центральний варіант не застосовується.

Власний застосунок Entra

З власним застосунком Microsoft Entra ваша організація може використовувати той самий застосунок для входу за допомогою Microsoft і для Outlook, Teams та SharePoint. Ви централізовано визначаєте, які інтеграції та дії на запис доступні. Після цього користувачі лише вмикають або вимикають свої особисті підключення у Налаштування → Tools → Коп’язки.

Особисті інтеграції працюють із підтримуваними моделями OpenAI, Claude, Gemini та Mistral. Обрана модель має вміти використовувати tools. Для особистих підключень доступ відповідає правам автентифікованого користувача Microsoft. Організаційна згода не автоматично входить усіх співробітників і не надає AI самостійний доступ до всіх поштових скриньок. Центральна база знань SharePoint використовує окремі права програми та наявні права бази знань, як описано далі в цій статті.

Що вам потрібно?

• Організація Microsoft 365 з Microsoft Entra ID та обліковими записами, що мають доступ до потрібних служб.
• Адміністратор, який може зареєструвати застосунок і надати організаційну згоду на вибрані дозволи Microsoft Graph. Лише ролі в Azure-підписці для цього недостатньо; ваша роль Entra має дозволяти цю згоду.
• Права адміністратора в правильному середовищі AI, щоб зробити інтеграції доступними.
• Адміністратор платформи, який може налаштувати Microsoft Identity Provider для цього середовища AI в Google Cloud Identity Platform.
• App registration у вашому власному Microsoft-директорії з client secret і двома URL перенаправлення для правильного бренду.

Вхід за допомогою Microsoft і доступ до даних Microsoft — це дві окремі функції. Лише робочий Microsoft-логін ще не означає, що Outlook, Teams або SharePoint налаштовано.

1. Зареєструйте один організаційний застосунок

Відкрийте центр адміністрування Microsoft Entra і перейдіть до App registrations → New registration. Використайте зрозумілу назву, наприклад AI-Corporate – назва вашої організації. Для власної організації виберіть Accounts in this organizational directory only (Single tenant).

Збережіть такі дані з Overview:

Дані	Для чого?
Directory (tenant) ID	Microsoft-директорія вашої організації; це потрапляє в поле Microsoft ID середовища AI.
Application (client) ID	Зареєстрований застосунок; це потрапляє до Microsoft Identity Provider.

Ці два ID різні. У полі Microsoft ID не вказуйте client ID або Firebase tenant ID.

2. Налаштуйте правильні URL перенаправлення

Перейдіть до Authentication → Add a platform → Web. Додайте для вашого бренду обидва наведені нижче URL, точно як показано. Перший обробляє вхід; другий — надання згоди для інтеграцій робочого облікового запису.

Бренд	Вхід за допомогою Microsoft	Інтеграції робочого облікового запису
AI-School	https://ai-school-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporate	https://ai-corporate.firebaseapp.com/__/auth/handler	https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Public	https://ai-public-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

Використовуйте URL того бренду, на якому працює ваше середовище. Вашу назву організації або tenant ID не потрібно вказувати в цих URL. Website URL, dashboard URL і .web.app URL не замінюють ці callback-и. Реєструйте їх як Web, навіть якщо використовуєте інтеграцію через браузер. Для цього не потрібно вмикати implicit token issuance або public client flow.

3. Створіть client secret і призначте дозволи

Перейдіть до Certificates & secrets → Client secrets → New client secret. Виберіть відповідний строк дії та безпечно збережіть Value, щойно вона стане видимою. Передайте значення через узгоджений захищений канал для адміністрування платформи; Secret ID — це не client secret. Відстежуйте дату закінчення строку дії та замініть secret до цієї дати, також і в Identity Provider.

Потім перейдіть до API permissions → Add a permission → Microsoft Graph → Delegated permissions. Додавайте лише ті дозволи, які відповідають інтеграціям і діям, що ваша організація буде надавати.

Інтеграція	Права на читання	Додаткові права для запису
Профіль / базове	User.Read; потік входу також запитує openid, profile, email і offline_access	Немає
Outlook Mail	Mail.Read	Чернетки: Mail.ReadWrite. Надсилання: Mail.Send.
Outlook Calendar	Calendars.Read	Запис: Calendars.ReadWrite.
Microsoft Teams	Chat.Read, ChannelMessage.Read.All	Постинг: Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Send.
SharePoint / OneDrive	Sites.Read.All, Files.Read.All	Ця інтеграція робочого облікового запису тут не надає дій на запис.

Mail.ReadWrite не дає права надсилати; для цього окремо потрібен Mail.Send. Teams posting пише текстові повідомлення в обраний канал, а не приватні чат-повідомлення. Для цієї інтеграції використовуйте Delegated permissions, а не Application permissions. Навіть для дозволів із All у назві делегований доступ залишається обмеженим доступом користувача.

Натисніть Grant admin consent for your organization і перевірте, що вибрані дозволи відображаються як надані. Так співробітники можуть використовувати схвалений доступ без потреби самостійно надавати організаційні права. Microsoft усе ще може запросити вхід, MFA або повторну згоду залежно від вашої політики.

4. Підключіть застосунок у двох місцях до середовища AI

Попросіть адміністратора платформи вибрати правильне середовище та виконати ці налаштування:

1. У Admin → Environment → Tenant: увімкніть метод входу Microsoft і вкажіть у полі Microsoft ID Directory (tenant) ID.
2. У Google Cloud → Identity Platform → відповідний tenant → Identity providers → Microsoft: увімкніть провайдер і введіть Application (client) ID та client secret Value того самого застосунку Entra.

Identity Provider належить до tenant Firebase/Identity Platform вашого середовища AI, а не до іншої організації чи загального Admin-середовища. Інтеграція робочого облікового запису повторно використовує застосунок із цього провайдера. Client secret не має бути в налаштуваннях користувача, чат-повідомленнях або звичайних полях середовища.

Передайте адмініструванню платформи назву організації, бренд, Directory ID, client ID, значення secret через захищений канал, дату завершення строку дії та потрібні інтеграції/дозволи. Лише app ID недостатньо.

5. Надайте доступ до інтеграцій і дій на запис

Відкрийте адмін-середовище вашої організації → Tools → MCP. У Suite-snelkoppelingen увімкніть інтеграцію Microsoft 365. Рядки Microsoft стануть видимими; коли всю suite вимкнено, ці рядки залишаються прихованими.

Для кожної інтеграції виберіть, чи вона буде доступна. У колонці Schrijfacties окремо виберіть:

• Outlook Mail → Concepten: створювати й змінювати чернетки.
• Outlook Mail → Verzenden: фактично надсилати наявну чернетку.
• Outlook Agenda → Schrijven: створювати й змінювати зустрічі.
• Microsoft Teams → Posten: розміщувати текстові повідомлення в обраному каналі Teams.

Натисніть Opslaan. Дія на запис працює лише якщо увімкнено і саму інтеграцію, і відповідний дозвіл на керування, Microsoft надав потрібні права, а користувач особисто активував підключення. Для цього користувач не отримує окремої форми додаткових прав на запис.

Доступність

Налаштування також мають підтримуватися backend-частиною вашого бренду. Це розширення для запису було цільово опубліковано та протестовано 7 жовтня 2026 року для OnderwijsSupport на AI-Corporate. Це не означає автоматично, що таке саме розширення вже доступне для AI-School, AI-Public або будь-якого іншого середовища. Попросіть платформенне адміністрування підтвердити це, якщо дії на запис відсутні.

6. Перевірте налаштування

Попросіть користувача увійти в правильне середовище AI та ввімкнути потрібну інтеграцію згідно з Використання Microsoft-інтеграцій. Перевірте, чи Microsoft показує назву вашого власного застосунку Entra.

Спочатку протестуйте впізнавану чернетку та зустріч без учасників. Перевірте збережені елементи в Outlook. Потім протестуйте надсилання з узгодженим тестовим отримувачем і публікацію в Teams у визначеному тестовому каналі. Зустріч з учасниками може надсилати запрошення або оновлення. Прийнята команда на надсилання ще не означає підтверджену доставку.

Під час розширення прав підключення намагається оновити токени. Якщо Microsoft знову вимагає вхід або згоду, попросіть користувача повторно під’єднати наявне підключення. Не потрібно створювати другий застосунок або окреме налаштування користувача.

Усунення проблем

Проблема	Перевірка
AADSTS50011 / redirect mismatch	Обидва callback-и зареєстровані точно як Web, для правильного бренду.
Під час згоди з’являється інша назва застосунку	Правильне середовище AI, Directory ID і tenant-specific Microsoft Identity Provider; після цього під’єднайте знову.
Логін працює, але інтеграція ні	Також перевірте callback конектора, Graph-дозволи та організаційну згоду.
Читання працює, запис — ні	Перевірте дозвіл на керування, відповідний delegated Graph-дозвіл, надану згоду та доступність backend.
Client secret недійсний або прострочений	Перевірте Value, а не Secret ID; оновіть новий secret також в Identity Provider.
Інтеграція відсутня у користувача	Перевірте доступність у Tools, права користувача на підключення та вибране середовище AI.

Додаткова інформація

• Керувати Tools
• Використання Microsoft-інтеграцій
• Microsoft: зареєструвати застосунок
• Microsoft: URL перенаправлення
• Microsoft Graph: довідник дозволів

Центральна база знань SharePoint: налаштування Microsoft

Центрально підключена папка працює через організаційний застосунок, без того щоб кожен співробітник вмикав особисте підключення SharePoint. Для цього потрібні два окремі дозволи: дозвіл застосунку Sites.Selected із admin consent, і read-grant для обраного сайту SharePoint. Робочий Microsoft-логін або лише admin consent недостатньо.

1. Перевірте організаційний застосунок

Використовуйте ту саму single-tenant app registration, що й для входу Microsoft у вашому середовищі AI. Існуючий застосунок можна розширити; другий інтеграційний застосунок не потрібен. Перевірте в Microsoft Entra → App registrations → ваш застосунок → Overview Directory (tenant) ID та Application (client) ID. Нижче використовуйте client ID, а не Object ID.

Directory ID має бути в Admin → Environment → Tenant → Microsoft ID. Client ID та Value дійсного client secret мають бути в Microsoft Identity Provider саме цього середовища AI. Це налаштування підтримує платформа-адміністрування. Прострочений secret також блокує центральний імпорт; стежте за датою завершення строку дії.

Центральне серверне з’єднання використовує client_credentials і не потребує додаткового redirect URL. Існуючі Web redirects для входу та особистих інтеграцій робочого облікового запису залишаються необхідними; використовуйте URL для бренду з таблиці вище в цій статті.

2. Додайте дозвіл застосунку та надайте admin consent

1. Відкрийте API permissions → Add a permission → Microsoft Graph → Application permissions.
2. Знайдіть Sites.Selected, виберіть цей дозвіл і натисніть Add permissions.
3. Дайте змогу уповноваженому адміністратору Entra виконати Grant admin consent for your organization.
4. Перевірте, що Sites.Selected, тип Application, відображається як наданий.

Делеговані дозволи для особистих підключень Outlook, Teams і SharePoint можуть залишатися на тому самому застосунку. Вони не замінюють дозвіл застосунку для центральної бази знань. Для цього центрального імпорту не потрібні дозволи застосунку Sites.Read.All, Sites.ReadWrite.All або Sites.FullControl.All.

3. Надати застосунку окремий доступ на читання до сайту

Цю дію адміністрування можна виконати за допомогою Microsoft Graph Explorer. Використовуйте обліковий запис адміністратора в тій самій Microsoft-директорії з роллю SharePoint Administrator або вищою відповідною роллю адміністратора та доступом до потрібного сайту. Ролі Azure-підписки або лише володіння застосунком для цього недостатньо.

1. Увійдіть у Graph Explorer під обліковим записом адміністратора та перевірте показану організацію.
2. Відкрийте profile menu → Consent to permissions, знайдіть Sites.FullControl.All і виберіть Consent, щоб надати потрібну згоду для Graph Explorer у цьому контексті адміністрування. Для деяких запитів ви також можете відкрити повну панель дозволів через Modify Permissions → Open the permissions panel. Це delegated право адміністратора для керування site grants; не додавайте його як широкий дозвіл застосунку на app бази знань. Використовуйте згоду, прив’язану до облікового запису, коли організаційна згода для всіх користувачів не потрібна.
3. Знайдіть site ID за допомогою наведеного нижче GET. Замініть приклад хоста та шлях сайту на ваші власні для папки. Якщо URL містить /teams/, використовуйте цей шлях замість /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

Значення id у відповіді — це повний site ID, включно з ім’ям хоста та двома GUID. Також перевірте displayName і webUrl: grant має бути створений на сайті, де фактично розташована ваша папка.

4. Спочатку перевірте наявні grants через GET за адресою нижче. Якщо ваш client ID вже є там із роллю read, не потрібно створювати другий grant. Існуючі ширші або нетипові grants нехай перевірить ваш Microsoft-адміністратор.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

5. Якщо grant відсутній, виберіть POST, використайте ту саму адресу та введіть у Request Body такий JSON. Замініть два прикладні значення; CLIENT-ID-VAN-UW-APP — це Application (client) ID вашого інтеграційного застосунку, а не застосунку Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

6. Виберіть Run query. У разі успішного додавання буде 201 Created. Перевірте у відповіді роль read і client ID; Graph може показувати це під grantedToIdentitiesV2. Потім перевірте ще раз через GET. Збережіть permission ID для адміністрування та можливого подальшого відкликання.
7. Повторюйте це лише для кожного іншого сайту, до якого ви свідомо хочете підключити папки бази знань.

Sitegrant і права бази знань

Microsoft-grant надає застосунку доступ на читання до всього вибраного сайту. Середовище AI імпортує лише вибрану папку та підпапки. За можливості використовуйте окремий сайт для спільної бази знань. Існуючі права бази знань визначають, які користувачі отримають імпортовані документи; індивідуальні права SharePoint не переносяться.

4. Підключіть папку та перевірте результат

Відкрийте Beheer → Kennisbank → Toevoegen → SharePoint-mappen → Map koppelen і використайте справжній URL папки, а не посилання-запрошення чи адресу огляду OneDrive. Виберіть область, цільову аудиторію та статус публікації згідно з посібником бази знань. Центральне джерело не потребує особистого конектора в налаштуваннях користувача.

Перевірте через Vernieuwen, чи документи оброблено без помилок. Використайте Nu synchroniseren для повторної перевірки, а потім поставте конкретне чат-питання про імпортований документ. Перевірте, що відповідь містить правильне центральне джерело знань.

Проблема	Перевірка на стороні Microsoft
Логін працює, але центральна папка — ні	Sites.Selected має бути типу Application і з admin consent; також перевірте окремий site grant.
403 Forbidden під час доступу до папки	Правильні Microsoft-директорія, site ID, client ID і read-grant; admin consent сам по собі не надає доступ до сайту.
403 під час дії адміністрування в Graph Explorer	Delegated Sites.FullControl.All, надана згода, роль адміністратора та доступ до цільового сайту. Не додавайте широкий дозвіл до інтеграційного застосунку як спосіб вирішення.
Сайт працює, папку не знайдено	Перевірте справжній URL папки, бібліотеку документів і шлях сайту; скорочення OneDrive може вести на інший сайт.
Secret прострочений або недійсний	Попросіть платформене адміністрування оновити нове значення secret Value у правильному Microsoft Identity Provider.

Для OnderwijsSupport на AI-Corporate це центральне підключення було опубліковано та протестовано 14 жовтня 2026 року. Доступність на AI-School, AI-Public або в іншому середовищі має підтвердити платформене адміністрування.

Документація Microsoft: Selected permissions, додавання site grant і перевірка site grants.