为您的环境设置 Microsoft 365

有两种方式可以将 Microsoft 365 连接到您的 AI-Corporate 环境。请先选择适合您组织的路径。

路径	适用情况	您需要做什么
AI-Corporate 中央应用（默认）	与 Outlook 邮件、Outlook 日历、Teams 和 SharePoint/OneDrive 的个人连接。	Entra 管理员通过连接 Microsoft 365 授予组织同意。然后按本文第 5 步开放集成。无需自建应用、client secret 或 Identity Provider。
自有 Entra 应用	您希望将 SharePoint 文件夹集中导入知识库，员工已通过自有应用使用 Microsoft 登录，或者您想自行管理该应用。	从第 1 步开始按照本文操作。

如果您的组织已经通过自有应用使用 Microsoft 登录（环境中的 Microsoft ID 字段已填写），那么所有连接都会使用该自有应用。此时不适用中央路径。

自有 Entra 应用

使用自有 Microsoft Entra 应用，贵组织可以用同一个应用同时用于 Microsoft 登录 和 Outlook、Teams 与 SharePoint。您可以集中决定哪些集成和写入操作可用。随后用户只需在 偏好设置 → 工具 → 连接 中开启或关闭其个人连接。

个人集成功能适用于 OpenAI、Claude、Gemini 和 Mistral 的受支持模型。所选模型必须能够使用工具。对于个人连接，访问权限遵循已登录 Microsoft 用户的权限。组织同意不会自动让所有员工登录，也不会让 AI 独立访问所有邮箱。中央 SharePoint 知识库使用独立的应用权限和现有知识库权限，如本文后文所述。

您需要什么？

一个 Microsoft 365 组织，包含 Microsoft Entra ID，以及可访问所需服务的账户。
一位可注册应用并可为所选 Microsoft Graph 权限授予组织同意的管理员。仅有 Azure 订阅角色不足以满足要求；您的 Entra 角色必须允许此类同意。
在正确的 AI 环境中具备可用化集成的管理权限。
一位可在 Google Cloud Identity Platform 中为此 AI 环境配置 Microsoft Identity Provider 的平台管理员。
您自己 Microsoft 目录中的一个 app registration，包含 client secret 和正确品牌的两个重定向 URL。

Microsoft 登录和访问 Microsoft 数据是两个独立功能。仅有可用的 Microsoft 登录并不代表 Outlook、Teams 或 SharePoint 已配置完成。

1. 注册一个组织应用

打开 Microsoft Entra 管理中心，进入 App registrations → New registration。使用易识别的名称，例如 AI-Corporate – 您的组织名称。对于自有组织，请选择 Accounts in this organizational directory only (Single tenant)。

保存 Overview 中的以下信息：

信息	用途
Directory (tenant) ID	您组织的 Microsoft 目录；这会填入 AI 环境中的 Microsoft ID 字段。
Application (client) ID	已注册的应用；这会填入 Microsoft Identity Provider。

这两个 ID 不同。请勿在 Microsoft ID 中填写 client ID 或 Firebase tenant ID。

2. 设置正确的重定向 URL

进入 Authentication → Add a platform → Web。为您的品牌添加下面两个 URL，必须与下方完全一致。第一个用于处理登录；第二个用于处理工作账户集成的同意。

品牌	Microsoft 登录	工作账户集成
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

请使用您环境所属品牌的 URL。无需在这些 URL 中填入您的组织名称或 tenant ID。网站 URL、仪表板 URL 和 .web.app URL 不能替代这些回调。请将它们注册为 Web，即使您是从浏览器中使用该集成。无需启用隐式令牌发放或公有客户端流。

3. 创建 client secret 并分配权限

进入 Certificates & secrets → Client secrets → New client secret。选择合适的有效期，并在 Value 显示后立即妥善保存。通过约定的安全渠道将该值提供给平台管理；Secret ID 不是 client secret。请跟踪到期日，并在到期前更换 secret，也要在 Identity Provider 中更新。

然后进入 API permissions → Add a permission → Microsoft Graph → Delegated permissions。仅添加您的组织将提供的集成和操作所需的权限。

集成	读取权限	写入所需的额外权限
个人资料 / 基础	`User.Read`；登录流程还会请求 `openid`、`profile`、`email` 和 `offline_access`	无
Outlook 邮件	`Mail.Read`	草稿： `Mail.ReadWrite`。发送： `Mail.Send`。
Outlook 日历	`Calendars.Read`	写入： `Calendars.ReadWrite`。
Microsoft Teams	`Chat.Read`、`ChannelMessage.Read.All`	发帖： `Team.ReadBasic.All`、`Channel.ReadBasic.All`、`ChannelMessage.Send`。
SharePoint / OneDrive	`Sites.Read.All`、`Files.Read.All`	此工作账户集成不提供此处的写入操作。

Mail.ReadWrite 不授予发送权限；发送仍需单独的 Mail.Send。Teams 发帖会向所选频道写入文本消息，而不是私聊消息。此集成应使用 Delegated permissions，而不是 Application permissions。即使权限名称中包含 All，委托访问仍受用户权限限制。

点击 Grant admin consent for uw organisatie，并确认所选权限显示为已授予。这样员工无需自己授予组织权限即可使用已批准的访问。根据您的策略，Microsoft 仍可能要求重新登录、MFA 或重新同意。

4. 在两个位置将应用连接到 AI 环境

请让平台管理员选择正确的环境并执行以下设置：

在 Admin → Omgeving → Tenant 中：启用登录方式 Microsoft，并在 Microsoft ID 中填写 Directory (tenant) ID。
在 Google Cloud → Identity Platform → 相应 tenant → Identity providers → Microsoft 中：启用提供程序，并填写同一 Entra 应用的 Application (client) ID 和 client secret Value。

Identity Provider 属于您 AI 环境的 Firebase/Identity Platform tenant，而不是其他组织或通用 Admin 环境。工作账户集成会重复使用此 provider 中的应用。client secret 不应放在用户偏好设置、聊天消息或普通环境字段中。

请通过安全渠道向平台管理员提供组织名称、品牌、Directory ID、client ID、secret 值、到期日期以及所需的集成/权限。仅有 app ID 还不够。

5. 开放集成和写入操作

打开 beheeromgeving van uw organisatie → Tools → MCP。在 Suite-snelkoppelingen 中启用 Microsoft 365 集成。Microsoft 行会显示；当整个 suite 关闭时，这些行会被隐藏。

按集成分别决定是否可用。在 Schrijfacties 列中，分别选择：

Outlook Mail → Concepten： 创建和修改草稿。
Outlook Mail → Verzenden： 发送现有草稿。
Outlook Agenda → Schrijven： 创建和修改约会。
Microsoft Teams → Posten： 将文本消息发布到所选 Teams 频道。

点击 Opslaan。只有当集成和相应的管理权限都已开启、Microsoft 已授予所需权限且用户已单独启用该连接时，写入操作才会生效。用户无需额外填写写入权限表单。

可用性

这些设置还必须得到您品牌的后端支持。此写入扩展已于 2026 年 10 月 7 日面向 OnderwijsSupport 在 AI-Corporate 上发布并测试。这并不意味着同样的扩展已对 AI-School、AI-Public 或任何其他环境开放。若缺少写入操作，请联系平台管理确认。

6. 检查配置

让用户登录到正确的 AI 环境，并按照使用 Microsoft 集成开启所需集成。检查 Microsoft 是否显示您自有 Entra 应用的名称。

先测试一个可识别的草稿和一个不含参与者的约会。检查 Outlook 中保存的项目。然后使用约定的测试收件人测试发送，并在约定的测试频道中测试 Teams 发帖。带参与者的约会可能会发送邀请或更新。已接受的发送命令并不等于已确认送达。

当权限扩展时，连接会尝试刷新令牌。如果 Microsoft 需要重新登录或重新同意，请让用户重新连接现有连接。无需创建第二个应用或单独的用户设置。

故障排除

问题	检查
`AADSTS50011` / redirect mismatch	两个回调都必须已按正确品牌以 Web 形式精确注册。
同意时显示了另一个应用名称	正确的 AI 环境、Directory ID 以及 tenant 专属的 Microsoft Identity Provider；随后重新连接。
登录可用，但集成不可用	同时检查 connector callback、Graph 权限和组织同意。
可以读取，但不能写入	检查管理权限、相应的委托 Graph 权限、已授予的同意以及后端可用性。
client secret 无效或已过期	检查 Value，不是 Secret ID；并在 Identity Provider 中更新新 secret。
用户看不到集成	检查 Tools 中的可用性、用户连接权限以及所选 AI 环境。

中央 SharePoint 知识库：配置 Microsoft

中央连接的文件夹通过组织应用工作，无需每位员工都开启个人 SharePoint 连接。为此需要两个独立的同意：应用权限 Sites.Selected 的 admin consent，以及对所选 SharePoint 站点的 read 授权。仅有可用的 Microsoft 登录或仅有 admin consent 都不够。

1. 检查组织应用

使用与您 AI 环境中的 Microsoft 登录相同的 single-tenant app registration。现有应用可以扩展，不需要第二个集成应用。请在 Microsoft Entra → App registrations → 您的应用 → Overview 中检查 Directory (tenant) ID 和 Application (client) ID。下文请使用 client ID，而不是 Object ID。

Directory ID 必须位于 Admin → Omgeving → Tenant → Microsoft ID 中。client ID 和有效 client secret 的 Value 必须位于该 AI 环境对应的 Microsoft Identity Provider 中。此配置由平台管理维护。过期的 secret 也会阻止中央导入；请跟踪到期日。

中央服务器连接使用 client_credentials，不需要额外的重定向 URL。登录和个人工作账户集成所需的现有 Web 重定向仍然必须保留；请使用本文前面表格中的品牌专属 URL。

打开 API permissions → Add a permission → Microsoft Graph → Application permissions。
搜索 Sites.Selected，选择该权限并点击 Add permissions。
让有权限的 Entra 管理员执行 Grant admin consent for uw organisatie。
确认 Sites.Selected，类型 Application，显示为已授予。

用于个人 Outlook、Teams 和 SharePoint 连接的委托权限可以保留在同一个应用上。它们不能替代中央知识库所需的应用权限。此中央导入不需要应用权限 Sites.Read.All、Sites.ReadWrite.All 或 Sites.FullControl.All。

3. 单独授予应用对站点的读取权限

此管理操作可通过 Microsoft Graph Explorer 完成。请使用同一 Microsoft 目录中的管理员账户，并具备 SharePoint Administrator 或更高且适当的管理员角色，以及对相关站点的访问权限。仅有 Azure 订阅角色或仅拥有应用所有权都不够。

使用 Graph Explorer 登录管理员账户，并确认显示的组织。
打开您的 profilemenu → Consent to permissions，查找 Sites.FullControl.All 并选择 Consent，以在此管理上下文中授予 Graph Explorer 所需权限。对于某些查询，您也可以通过 Modify Permissions → Open the permissions panel 打开完整权限面板。这是用于管理站点授权的 delegated 管理权限；不要将其作为宽泛的应用权限添加到知识库应用。仅在不需要为所有用户授予组织同意时，使用账户级同意。
使用下面的 GET 查找站点 ID。将示例主机和站点路径替换为您自己的文件夹对应值。若 URL 中包含 /teams/，请使用该路径而不是 /sites/。

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

响应中的 id 值就是完整的站点 ID，包括主机名和两个 GUID。也请检查 displayName 和 webUrl：授权应授予实际存放该文件夹的站点。

先通过下面地址上的 GET 检查现有授权。如果您的 client ID 已以 read 角色存在，则无需创建第二个授权。对于现有更宽泛或不同的授权，请由您的 Microsoft 管理员审查。

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

如果缺少授权，请选择 POST，使用相同地址，并在 Request Body 中填入以下 JSON。替换两个示例值；CLIENT-ID-VAN-UW-APP 是您集成应用的 Application (client) ID，不是 Graph Explorer 应用。

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

选择 Run query。成功添加会返回 201 Created。在响应中检查 read 角色和 client ID；Graph 可能会在 grantedToIdentitiesV2 下显示它们。然后再次使用 GET 检查。请保留 permission ID 以便管理和日后撤销。
仅对您有意连接知识库文件夹的其他站点重复此操作。

站点授权与知识库权限

Microsoft 授权会让应用获得对整个所选站点的读取权限。AI 环境只会导入选定的文件夹及其子文件夹。优先使用单独站点来集中共享知识。现有知识库权限决定哪些用户可以获取导入的文档；不会继承单个 SharePoint 权限。

4. 连接文件夹并检查结果

打开 Beheer → Kennisbank → Toevoegen → SharePoint-mappen → Map koppelen，使用真实文件夹 URL，而不是邀请链接或 OneDrive 概览地址。按照知识库手册选择范围、目标受众和发布状态。中央来源不需要用户偏好设置中的个人连接器。

使用 Vernieuwen 检查文档是否已无错误处理。使用 Nu synchroniseren 进行重新检查，然后就导入的文档提出一个具体的聊天问题。确认回答中提到了正确的中央知识来源。

问题	Microsoft 端检查
登录可用，但中央文件夹不可用	`Sites.Selected` 必须为 Application 类型并已获得 admin consent；另外检查单独的站点授权。
访问文件夹时出现 `403 Forbidden`	正确的 Microsoft 目录、站点 ID、client ID 和 `read` 授权；admin consent 并不授予站点访问权。
在 Graph Explorer 中执行管理操作时出现 `403`	委托的 `Sites.FullControl.All`、已授予的同意、管理员角色以及对目标站点的访问。不要把宽泛权限作为解决方案添加到集成应用。
站点可用，但未找到文件夹	检查真实文件夹 URL、文档库和站点路径；OneDrive 快捷方式可能指向其他站点。
secret 过期或无效	让平台管理在正确的 Microsoft Identity Provider 中更新新的 secret Value。

对于 AI-Corporate 上的 OnderwijsSupport，此中央连接已于 2026 年 10 月 14 日发布并测试。AI-School、AI-Public 或其他环境的可用性必须由平台管理确认。

Microsoft 文档：Selected permissions、添加 site grant 和检查 site grants。

自有 Entra 应用​

您需要什么？​

1. 注册一个组织应用​

2. 设置正确的重定向 URL​

3. 创建 client secret 并分配权限​

4. 在两个位置将应用连接到 AI 环境​

5. 开放集成和写入操作​

6. 检查配置​

故障排除​

更多信息​

中央 SharePoint 知识库：配置 Microsoft​

1. 检查组织应用​

2. 添加应用权限并授予 admin consent​

3. 单独授予应用对站点的读取权限​

4. 连接文件夹并检查结果​