إعداد Microsoft 365 لبيئتكم

هناك طريقتان لربط Microsoft 365 ببيئة AI-School الخاصة بكم. اختر أولاً المسار المناسب لمؤسستكم.

المسار	متى	ما الذي تفعله
التطبيق المركزي من AI-School (افتراضي)	ارتباطات شخصية مع Outlook Mail وOutlook Agenda وTeams وSharePoint/OneDrive.	يمنح مسؤول Entra موافقة المؤسسة عبر ربط Microsoft 365. بعد ذلك تفعّل التكاملات كما في الخطوة 5 من هذه المقالة. لا حاجة إلى تطبيق خاص أو client secret أو موفّر هوية.
تطبيق Entra خاص	تريدون استيراد مجلدات SharePoint مركزيًا إلى قاعدة المعرفة، أو أن الموظفين يسجلون الدخول بالفعل باستخدام Microsoft عبر تطبيق خاص، أو تريدون إدارة التطبيق بأنفسكم.	اتبعوا هذه المقالة بدءًا من الخطوة 1.

إذا كانت مؤسستكم تسجّل الدخول بالفعل باستخدام Microsoft عبر تطبيق خاص (حقل Microsoft ID في البيئة مُعبّأ)، فستستخدم جميع الارتباطات ذلك التطبيق الخاص. عندها لا ينطبق المسار المركزي.

تطبيق Entra خاص

مع تطبيق Microsoft Entra خاص يمكن لمؤسستكم استخدام التطبيق نفسه لـ تسجيل الدخول باستخدام Microsoft وOutlook وTeams وSharePoint. أنتم تحددون مركزيًا أي التكاملات وإجراءات الكتابة متاحة. بعد ذلك يفعّل المستخدمون ارتباطاتهم الشخصية أو يعطلونها فقط في التفضيلات → الأدوات → الارتباطات.

تعمل التكاملات الشخصية مع النماذج المدعومة من OpenAI وClaude وGemini وMistral. يجب أن يكون النموذج المختار قادرًا على استخدام الأدوات. في الارتباطات الشخصية تتبع الصلاحيات حقوق مستخدم Microsoft المسجّل دخوله. موافقة المؤسسة لا تسجّل جميع الموظفين تلقائيًا ولا تمنح الذكاء الاصطناعي وصولًا مستقلًا إلى جميع صناديق البريد. تستخدم قاعدة معرفة SharePoint المركزية أذونات تطبيق منفصلة وحقوق قاعدة المعرفة الحالية، كما هو موضح لاحقًا في هذه المقالة.

ما الذي تحتاجونه؟

• مؤسسة Microsoft 365 مع Microsoft Entra ID وحسابات تملك وصولًا إلى الخدمات المطلوبة.
• مسؤول يُسمح له بتسجيل تطبيق ومنح موافقة المؤسسة على أذونات Microsoft Graph المختارة. لا تكفي لهذا دور اشتراك Azure وحده؛ يجب أن يسمح دور Entra بهذه الموافقة.
• صلاحيات إدارة في بيئة AI المناسبة لجعل التكاملات متاحة.
• مسؤول منصة يمكنه إعداد موفّر هوية Microsoft لهذه البيئة AI في Google Cloud Identity Platform.
• App registration في دليل Microsoft الخاص بكم، مع client secret وعنواني إعادة التوجيه الخاصين بالعلامة الصحيحة.

تسجيل الدخول باستخدام Microsoft والوصول إلى بيانات Microsoft هما ميزتان منفصلتان. وجود تسجيل دخول Microsoft يعمل لا يعني بعد أنه تم إعداد Outlook أو Teams أو SharePoint.

1. سجّل تطبيق مؤسسة واحد

افتحوا مركز إدارة Microsoft Entra وانتقلوا إلى App registrations → New registration. استخدموا اسمًا واضحًا، مثل AI-School – اسم مؤسستكم. لمؤسسة خاصة اختاروا Accounts in this organizational directory only (Single tenant).

احتفظوا بالبيانات التالية من Overview:

البيان	لأجل ماذا؟
Directory (tenant) ID	دليل Microsoft الخاص بمؤسستكم؛ هذا يوضع في حقل Microsoft ID في بيئة AI.
Application (client) ID	التطبيق المسجّل؛ هذا يُستخدم في Microsoft Identity Provider.

هذان المعرفان مختلفان. لا تضعوا client ID أو Firebase-tenant-ID في حقل Microsoft ID.

2. اضبطوا عناوين إعادة التوجيه الصحيحة

انتقلوا إلى Authentication → Add a platform → Web. أضيفوا لكلا العنوانين التاليين كلاهما وفق علامتكم التجارية، تمامًا كما هو معروض. الأول يعالج تسجيل الدخول؛ والثاني يعالج الموافقة على تكاملات حساب العمل.

العلامة	تسجيل الدخول باستخدام Microsoft	تكاملات حساب العمل
AI-School	https://ai-school-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporate	https://ai-corporate.firebaseapp.com/__/auth/handler	https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Public	https://ai-public-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

استخدموا عناوين URL الخاصة بالعلامة التي تعمل عليها بيئتكم. لا حاجة إلى إدخال اسم مؤسستكم أو tenant-ID داخل هذه العناوين. لا تستبدل عناوين الموقع الإلكتروني أو لوحة التحكم أو .web.app هذه callbacks. سجّلوها كـ Web، حتى إذا كنتم تستخدمون التكامل من المتصفح. لا تحتاجون إلى تفعيل الإصدار الضمني للرموز أو public-client-flow لهذا.

3. أنشئوا client secret وعيّنوا الحقوق

انتقلوا إلى Certificates & secrets → Client secrets → New client secret. اختاروا مدة مناسبة واحتفظوا بقيمة Value بأمان فور ظهورها. سلّموا القيمة عبر القناة الآمنة المتفق عليها لإدارة المنصة؛ Secret ID ليس هو client secret. تابعوا تاريخ الانتهاء واستبدلوا secret قبل ذلك التاريخ، وكذلك في Identity Provider.

ثم انتقلوا إلى API permissions → Add a permission → Microsoft Graph → Delegated permissions. أضيفوا فقط الحقوق الخاصة بالتكاملات والإجراءات التي ستوفرها مؤسستكم.

التكامل	حقوق القراءة	حقوق إضافية للكتابة
الملف الشخصي / الأساس	User.Read; تدفق تسجيل الدخول يطلب أيضًا openid, profile, email وoffline_access	لا شيء
Outlook Mail	Mail.Read	المسودات: Mail.ReadWrite. الإرسال: Mail.Send.
Outlook Agenda	Calendars.Read	الكتابة: Calendars.ReadWrite.
Microsoft Teams	Chat.Read, ChannelMessage.Read.All	النشر: Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Send.
SharePoint / OneDrive	Sites.Read.All, Files.Read.All	لا يوفّر هذا التكامل على حساب العمل إجراءات كتابة هنا.

Mail.ReadWrite لا يمنح حق الإرسال؛ لذلك يلزم Mail.Send بشكل منفصل. ينشر Teams رسائل نصية في قناة مختارة، وليس رسائل دردشة خاصة. لهذا التكامل استخدموا Delegated permissions وليس Application permissions. وحتى مع الحقوق التي تحتوي على All في الاسم، يظل الوصول المفوّض محدودًا بصلاحيات المستخدم.

انقروا على Grant admin consent for uw organisatie وتأكدوا من أن الحقوق المختارة تظهر على أنها ممنوحة. هكذا يمكن للموظفين استخدام الوصول المعتمد دون الحاجة إلى منح حقوق مؤسسية بأنفسهم. قد تطلب Microsoft مع ذلك تسجيل الدخول أو MFA أو موافقة متجددة، حسب سياستكم.

4. اربطوا التطبيق في مكانين ببيئة AI

اطلبوا من مسؤول المنصة اختيار البيئة الصحيحة وتنفيذ هذه الإعدادات:

1. في Admin → Omgeving → Tenant: فعّلوا طريقة تسجيل الدخول Microsoft واملأوا حقل Microsoft ID بـ Directory (tenant) ID.
2. في Google Cloud → Identity Platform → tenant المعني → Identity providers → Microsoft: فعّلوا الموفر واملأوا Application (client) ID وclient secret Value من نفس تطبيق Entra.

يتبع Identity Provider لِـ Firebase/Identity Platform tenant الخاص ببيئة AI، وليس لمؤسسة أخرى أو لبيئة Admin العامة. يستخدم تكامل حساب العمل التطبيقَ من هذا الموفر مرة أخرى. لا ينبغي وضع client secret في تفضيلات المستخدم أو رسائل الدردشة أو حقول البيئة العادية.

زوّدوا إدارة المنصة باسم المؤسسة، والعلامة، وDirectory ID، وclient ID، وقيمة السر عبر القناة الآمنة، وتاريخ الانتهاء، والتكاملات/الحقوق المطلوبة. مجرد app ID لا يكفي.

5. فعّلوا التكاملات وإجراءات الكتابة

افتحوا beheeromgeving van uw organisatie → Tools → MCP. فعّلوا التكامل Microsoft 365 ضمن Suite-snelkoppelingen. ستظهر صفوف Microsoft؛ وعندما تكون المجموعة كلها متوقفة، تبقى هذه الصفوف مخفية.

اختاروا لكل تكامل ما إذا كان متاحًا. في عمود Schrijfacties اختاروا بشكل منفصل:

• Outlook Mail → Concepten: إنشاء المسودات وتعديلها.
• Outlook Mail → Verzenden: إرسال مسودة موجودة فعليًا.
• Outlook Agenda → Schrijven: إنشاء المواعيد وتعديلها.
• Microsoft Teams → Posten: وضع رسائل نصية في قناة Teams مختارة.

انقروا على Opslaan. تعمل إجراءات الكتابة فقط إذا كان كلٌّ من التكامل وصلاحية الإدارة المرتبطة به مفعّلين، وكانت Microsoft قد منحت الحقوق اللازمة، وكان المستخدم قد فعّل الارتباط شخصيًا. لا يحصل المستخدم على نموذج إضافي لحقوق الكتابة لهذا.

التوفر

يجب أن تكون الإعدادات مدعومة أيضًا من backend الخاصة بعلامتكم. تم نشر واختبار هذا التوسيع للكتابة بشكل موجّه في 7 أكتوبر 2026 لـ OnderwijsSupport على AI-Corporate. هذا لا يعني تلقائيًا أن التوسيع نفسه متاح بالفعل لـ AI-School أو AI-Public أو أي بيئة أخرى. اطلبوا تأكيدًا من إدارة المنصة عندما تكون إجراءات الكتابة غير متوفرة.

6. تحقّقوا من الإعداد

اطلبوا من مستخدم تسجيل الدخول إلى بيئة AI الصحيحة وتفعيل التكامل المطلوب وفق استخدام تكاملات Microsoft. تحقّقوا من أن Microsoft تعرض اسم تطبيق Entra الخاص بكم.

اختبروا أولًا مسودة معروفة وموعدًا بدون مشاركين. تحقّقوا من العناصر المحفوظة في Outlook. ثم اختبروا الإرسال بمستلم تجريبي متفق عليه والنشر في قناة Teams تجريبية متفق عليها. الموعد مع مشاركين قد يرسل دعوات أو تحديثات. إن تنفيذ أمر الإرسال بنجاح ليس تأكيدًا للتسليم.

عند توسيع الحقوق، يحاول الارتباط تحديث الرموز. إذا طلبت Microsoft تسجيل الدخول أو الموافقة من جديد، فليُعد المستخدم ربط الارتباط الموجود. لا حاجة لإنشاء تطبيق ثانٍ أو إعداد مستخدم منفصل.

استكشاف المشاكل

المشكلة	الفحص
AADSTS50011 / عدم تطابق redirect	سجّلوا كلا الـ callbacks بدقة كـ Web، وللعلامة الصحيحة.
يظهر اسم تطبيق آخر عند الموافقة	البيئة الصحيحة لـ AI، وDirectory ID، وMicrosoft Identity Provider الخاص بالمستأجر؛ ثم أعدوا الربط.
تسجيل الدخول يعمل، لكن التكامل لا يعمل	افحصوا أيضًا callback الخاص بالموصل، وحقوق Graph، وموافقة المؤسسة.
القراءة تعمل، لكن الكتابة لا تعمل	تحقّقوا من حق الإدارة، وحق Graph المفوّض المرتبط، والموافقة الممنوحة، وتوفر backend.
client secret غير صالح أو منتهٍ	حدّثوا Value، وليس Secret ID؛ وحدّثوا secret الجديد أيضًا في Identity Provider.
التكامل غير ظاهر لدى المستخدم	تحقّقوا من التوفر في Tools، وحقوق المستخدم للارتباطات، وبيئة AI المختارة.

مزيد من المعلومات

• إدارة الأدوات
• استخدام تكاملات Microsoft
• Microsoft: تسجيل تطبيق
• Microsoft: عناوين إعادة التوجيه
• Microsoft Graph: نظرة عامة على الأذونات

قاعدة معرفة SharePoint المركزية: إعداد Microsoft

يعمل المجلد المرتبط مركزيًا عبر تطبيق المؤسسة، دون أن يفعّل كل موظف ارتباط SharePoint شخصيًا. يتطلب ذلك موافقتين منفصلتين: إذن التطبيق Sites.Selected مع admin consent، وgrants من نوع read على موقع SharePoint المختار. تسجيل دخول Microsoft العامل أو admin consent وحده لا يكفي.

1. تحقّقوا من تطبيق المؤسسة

استخدموا نفس single-tenant app registration المستخدم لتسجيل الدخول باستخدام Microsoft في بيئة AI الخاصة بكم. يمكن توسيع تطبيق موجود؛ لا حاجة إلى تطبيق تكامل ثانٍ. تحقّقوا في Microsoft Entra → App registrations → تطبيقكم → Overview من Directory (tenant) ID وApplication (client) ID. استخدموا أدناه client ID، وليس Object ID.

يجب أن يكون Directory ID في Admin → Omgeving → Tenant → Microsoft ID. يجب أن يكون client ID وValue لـ client secret صالح في Microsoft Identity Provider الخاص بالبيئة AI نفسها تمامًا. تُدار هذه الإعدادات بواسطة إدارة المنصة. يمنع secret منتهي الصلاحية الاستيراد المركزي أيضًا؛ تابعوا تاريخ الانتهاء.

يستخدم الاتصال المركزي بالخادم client_credentials ولا يطلب عنوان إعادة توجيه إضافيًا. تظل عناوين Web redirect الحالية لتسجيل الدخول وتكاملات حساب العمل الشخصية ضرورية؛ استخدموا عناوين العلامة الواردة في الجدول سابقًا في هذه المقالة.

2. أضيفوا حق التطبيق وامنحوا admin consent

1. افتحوا API permissions → Add a permission → Microsoft Graph → Application permissions.
2. ابحثوا عن Sites.Selected، ثم اختاروا هذا الحق وانقروا Add permissions.
3. ليُنفّذ مسؤول Entra المخوّل Grant admin consent for uw organisatie.
4. تحقّقوا من أن Sites.Selected، type Application، يظهر على أنه ممنوح.

يمكن أن تبقى الحقوق المفوضة لارتباطات Outlook وTeams وSharePoint الشخصية على نفس التطبيق. وهي لا تستبدل حق التطبيق لقاعدة المعرفة المركزية. لا يلزم لهذا الاستيراد المركزي حق التطبيق Sites.Read.All أو Sites.ReadWrite.All أو Sites.FullControl.All.

3. امنحوا التطبيق حق قراءة منفصلًا للموقع

يمكن تنفيذ هذا الإجراء الإداري عبر Microsoft Graph Explorer. استخدموا حسابًا إداريًا في نفس Microsoft directory، مع دور SharePoint Administrator أو دور إداري مناسب أعلى، ومع وصول إلى الموقع المعني. دور اشتراك Azure أو مجرد ملكية التطبيق لا يكفيان لهذا.

1. سجّلوا دخول حساب الإدارة في Graph Explorer وتأكدوا من المؤسسة المعروضة.
2. افتحوا profilemenu → Consent to permissions، وابحثوا عن Sites.FullControl.All، ثم اختاروا Consent لمنح الإذن المطلوب لـ Graph Explorer في سياق الإدارة هذا. في بعض الاستعلامات يمكنكم أيضًا فتح لوحة الحقوق الكاملة عبر Modify Permissions → Open the permissions panel. هذا هو حق إدارة delegated لإدارة site grants؛ لا تضيفوه كحق تطبيق واسع على تطبيق قاعدة المعرفة. استخدموا الموافقة المرتبطة بالحساب عندما لا تكون موافقة المؤسسة لكل المستخدمين مطلوبة.
3. ابحثوا عن site-ID باستخدام GET أدناه. استبدلوا المضيف النموذجي ومسار الموقع بمسار مجلدكم الخاص. عند وجود URL يحتوي على /teams/ استخدموا ذلك المسار بدلًا من /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

القيمة id في الرد هي site-ID الكامل، بما في ذلك اسم المضيف واثنين من GUID. تحقّقوا أيضًا من displayName وwebUrl: يجب أن يقع grant على الموقع الذي يوجد فيه مجلدكم فعلًا.

4. تحقّقوا أولًا من grants الموجودة باستخدام GET على العنوان أدناه. إذا كان client ID الخاص بكم موجودًا هناك بالفعل بدور read، فلا حاجة إلى إنشاء grant ثانٍ. دعوا grants الموجودة الأوسع أو المختلفة يراجعها مسؤول Microsoft لديكم.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

5. إذا كان grant مفقودًا، فاختاروا POST، واستخدموا العنوان نفسه، واملأوا ضمن Request Body JSON التالي. استبدلوا القيمتين المثاليتين؛ CLIENT-ID-VAN-UW-APP هو Application (client) ID لتطبيق التكامل الخاص بكم، وليس تطبيق Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

6. اختاروا Run query. تؤدي الإضافة الناجحة إلى 201 Created. تحقّقوا في الرد من دور read وclient ID؛ قد يعرض Graph هذا ضمن grantedToIdentitiesV2. ثم تحقّقوا مرة أخرى باستخدام GET. احتفظوا permission-ID للإدارة ولأي إلغاء لاحق.
7. كرروا ذلك فقط لكل موقع آخر تريدون ربط مجلدات المعرفة به عمدًا.

sitegrant وحقوق قاعدة المعرفة

يمنح Microsoft grant التطبيق وصولًا للقراءة إلى كامل الموقع المحدد. تستورد بيئة AI فقط المجلد المختار والمجلدات الفرعية. يُفضَّل استخدام موقع منفصل للمعرفة المشتركة مركزيًا. تحدد حقوق قاعدة المعرفة الحالية أي المستخدمين يحصلون على المستندات المستوردة؛ ولا تُنقل حقوق SharePoint الفردية.

4. اربطوا المجلد وتحققوا من النتيجة

افتحوا Beheer → Kennisbank → Toevoegen → SharePoint-mappen → Map koppelen واستخدموا عنوان URL الحقيقي للمجلد، وليس رابط دعوة أو عنوان نظرة عامة من OneDrive. اختاروا النطاق والجمهور وحالة النشر وفق دليل قاعدة المعرفة. لا تتطلب المصدر المركزي موصلًا شخصيًا في تفضيلات المستخدم.

تحقّقوا بواسطة Vernieuwen من معالجة المستندات دون أخطاء. استخدموا Nu synchroniseren لفحص جديد، ثم اطرحوا سؤال دردشة محددًا حول مستند تم استيراده. تحقّقوا من أن الإجابة تذكر مصدر المعرفة المركزي الصحيح.

المشكلة	الفحص من جهة Microsoft
تسجيل الدخول يعمل، لكن المجلد المركزي لا يعمل	يجب أن يكون Sites.Selected من نوع Application وأن يملك admin consent؛ وتحققوا أيضًا من sitegrant المنفصل.
403 Forbidden عند الوصول إلى المجلد	Microsoft directory الصحيح، وsite-ID، وclient ID، وread-grant؛ admin consent وحده لا يمنح وصولًا للموقع.
403 عند الإجراء الإداري في Graph Explorer	delegated Sites.FullControl.All، والموافقة الممنوحة، ودور الإدارة، والوصول إلى الموقع الهدف. لا تضيفوا حقًا واسعًا إلى تطبيق التكامل كحل.
الموقع يعمل، لكن المجلد غير موجود	تحقّقوا من عنوان URL الحقيقي للمجلد، ومكتبة المستندات، ومسار الموقع؛ قد يشير اختصار OneDrive إلى موقع آخر.
انتهت صلاحية secret أو أصبح غير صالح	اطلبوا من إدارة المنصة تحديث Value الجديد في Microsoft Identity Provider الصحيح.

لـ OnderwijsSupport على AI-Corporate، تم نشر واختبار هذا الربط المركزي في 14 أكتوبر 2026. يجب أن تؤكد إدارة المنصة التوفر على AI-School أو AI-Public أو أي بيئة أخرى.

توثيق Microsoft: Selected permissions، إضافة sitegrant، والتحقق من sitegrants.