Microsoft 365 opsætning for dit miljø

Der er to måder at forbinde Microsoft 365 til dit AI-School-miljø på. Vælg først, hvilken vej der passer til din organisation.

Rute	Hvornår	Hvad du gør
AI-Schools centrale app (standard)	Personlige forbindelser med Outlook Mail, Outlook Kalender, Teams og SharePoint/OneDrive.	En Entra-administrator giver organisationstilladelse via Microsoft 365 koble til. Derefter aktiverer du integrationerne som i trin 5 i denne artikel. Der er ikke behov for en egen app, client secret eller Identity Provider.
Egen Entra-app	Du vil centralt importere SharePoint-mapper i vidensbanken, medarbejdere logger allerede ind med Microsoft via en egen app, eller du vil selv administrere appen.	Følg denne artikel fra trin 1.

Logger din organisation allerede ind med Microsoft via en egen app (feltet Microsoft ID i miljøet er udfyldt), så bruger alle forbindelser den egen app. Den centrale rute er så ikke relevant.

Egen Entra-app

Med en egen Microsoft Entra-app kan din organisation bruge den samme app til log ind med Microsoft og til Outlook, Teams og SharePoint. Du bestemmer centralt, hvilke integrationer og skrivehandlinger der er tilgængelige. Brugerne slår derefter kun deres personlige forbindelser til eller fra i Indstillinger → Tools → Forbindelser.

De personlige integrationer fungerer med understøttede modeller fra OpenAI, Claude, Gemini og Mistral. Den valgte model skal kunne bruge værktøjer. Ved personlige forbindelser følger adgangen den tilmeldte Microsoft-brugers rettigheder. Organisationstilladelse logger ikke automatisk alle medarbejdere ind og giver ikke AI'en selvstændig adgang til alle postkasser. Den centrale SharePoint-vidensbank bruger separate apptilladelser og de eksisterende vidensbankrettigheder, som beskrevet senere i denne artikel.

Hvad har du brug for?

En Microsoft 365-organisation med Microsoft Entra ID og konti med adgang til de ønskede tjenester.
En administrator, der må registrere en app og give organisationstilladelse til de valgte Microsoft Graph-rettigheder. En Azure-abonnementsrolle er ikke nok til dette; din Entra-rolle skal tillade denne tilladelse.
Administratorrettigheder i det rigtige AI-miljø til at gøre integrationer tilgængelige.
En platformadministrator, der kan konfigurere Microsoft Identity Provider for dette AI-miljø i Google Cloud Identity Platform.
En app registration i din egen Microsoft-directory, med en client secret og de to omdirigerings-URL'er for det rigtige brand.

Log ind med Microsoft og adgang til Microsoft-data er to separate funktioner. Bare en fungerende Microsoft-login betyder ikke, at Outlook, Teams eller SharePoint er sat op.

1. Registrer én organisationsapp

Åbn Microsoft Entra-administrationscentret og gå til App registrations → New registration. Brug et genkendeligt navn, for eksempel AI-School – dit organisationsnavn. Vælg for en egen organisation Accounts in this organizational directory only (Single tenant).

Gem følgende oplysninger fra Overview:

Oplysning	Hvad bruges det til?
Directory (tenant) ID	Microsoft-directoryen for din organisation; dette kommer i feltet Microsoft ID i AI-miljøet.
Application (client) ID	Den registrerede app; dette kommer i Microsoft Identity Provider.

Disse to ID'er er forskellige. Udfyld ikke client ID eller Firebase-tenant-ID i feltet Microsoft ID.

2. Sæt de rigtige omdirigerings-URL'er op

Gå til Authentication → Add a platform → Web. Tilføj for dit brand begge nedenstående URL'er, præcis som vist. Den første håndterer login; den anden håndterer tilladelse til arbejdsaccount-integrationerne.

Brand	Log ind med Microsoft	Arbejdskonto-integrationer
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Brug URL'erne for det brand, dit miljø kører på. Dit eget organisationsnavn eller tenant-ID behøver ikke at blive udfyldt i disse URL'er. Website-URL, dashboard-URL og .web.app-URL erstatter ikke disse callbacks. Registrer dem som Web, også selv om du bruger integrationen fra en browser. Du behøver ikke at aktivere implicit tokenudstedelse eller public-client-flow til dette.

3. Opret en client secret og tildel rettigheder

Gå til Certificates & secrets → Client secrets → New client secret. Vælg en passende levetid og gem Value sikkert, så snart den bliver synlig. Aflever værdien via den aftalte sikre kanal til platformadministration; Secret ID er ikke client secret. Hold øje med udløbsdatoen og udskift secret'en før den dato, også i Identity Provider.

Gå derefter til API permissions → Add a permission → Microsoft Graph → Delegated permissions. Tilføj kun de rettigheder, der svarer til de integrationer og handlinger, din organisation vil tilbyde.

Integration	Læserettigheder	Ekstra rettigheder til skrivning
Profil / basis	`User.Read`; loginflowet beder også om `openid`, `profile`, `email` og `offline_access`	Ingen
Outlook Mail	`Mail.Read`	Kladder: `Mail.ReadWrite`. Send: `Mail.Send`.
Outlook Kalender	`Calendars.Read`	Skriv: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Post: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Denne arbejdskonto-integration tilbyder ingen skrivehandlinger her.

Mail.ReadWrite giver ikke sendetilladelse; dertil kræves separat Mail.Send. Teams-posting skriver tekstbeskeder i en valgt kanal, ikke private chatbeskeder. Til denne integration bruger du Delegated permissions, ikke Application permissions. Også ved rettigheder med All i navnet er delegeret adgang stadig begrænset af brugerens adgang.

Klik på Grant admin consent for din organisation og kontroller, at de valgte rettigheder vises som givet. Så kan medarbejdere bruge den godkendte adgang uden selv at skulle give organisationstilladelser. Microsoft kan stadig bede om login, MFA eller fornyet samtykke, afhængigt af din politik.

4. Knyt appen til AI-miljøet på to steder

Lad platformadministratoren vælge det rigtige miljø og udføre disse indstillinger:

I Admin → Miljø → Tenant: slå loginmetoden Microsoft til og udfyld Microsoft ID med Directory (tenant) ID.
I Google Cloud → Identity Platform → den pågældende tenant → Identity providers → Microsoft: slå provider'en til og udfyld Application (client) ID og client secret Value fra den samme Entra-app.

Identity Provider hører til Firebase/Identity Platform-tenant'en for dit AI-miljø, ikke til en anden organisation eller det generelle Admin-miljø. Arbejdskonto-integrationen genbruger appen fra denne provider. Client secret'en hører ikke hjemme i brugerindstillinger, chatbeskeder eller almindelige miljøfelter.

Giv platformadministration organisationsnavn, brand, Directory ID, client ID, secret-værdien via den sikre kanal, udløbsdatoen og de ønskede integrationer/rettigheder. Et app-ID alene er ikke nok.

5. Giv integrationerne og skrivehandlingerne fri

Åbn administrationsmiljøet for din organisation → Tools → MCP. Slå integrationen Microsoft 365 til under Suite-snarveje. Microsoft-rækkerne bliver synlige; når hele suiten er slået fra, forbliver disse rækker skjult.

Vælg for hver integration, om den skal være tilgængelig. I kolonnen Skrivehandlinger vælger du separat:

Outlook Mail → Kladder: oprette og ændre kladder.
Outlook Mail → Send: sende en eksisterende kladde.
Outlook Kalender → Skriv: oprette og ændre aftaler.
Microsoft Teams → Post: placere tekstbeskeder i en valgt Teams-kanal.

Klik på Gem. En skrivehandling virker kun, hvis både integrationen og den tilhørende administratortilladelse er slået til, Microsoft har givet de nødvendige rettigheder, og brugeren personligt har slået forbindelsen til. Brugeren får ikke en ekstra formular til skriveadgang.

Tilgængelighed

Indstillingerne skal også understøttes af backend'en for dit brand. Denne skriveudvidelse blev målrettet offentliggjort og testet den 7. oktober 2026 for OnderwijsSupport på AI-Corporate. Det betyder ikke automatisk, at den samme udvidelse allerede er frigivet til AI-School, AI-Public eller noget andet miljø. Bed platformadministration om bekræftelse, hvis skrivehandlinger mangler.

6. Kontroller opsætningen

Lad en bruger logge ind på det rigtige AI-miljø og slå den ønskede integration til i henhold til brug af Microsoft-integrationer. Kontroller, om Microsoft viser navnet på din egen Entra-app.

Test først en genkendelig kladde og en aftale uden deltagere. Kontroller de gemte elementer i Outlook. Test derefter afsendelse med en aftalt testmodtager og Teams-posting i en aftalt testkanal. En aftale med deltagere kan sende invitationer eller opdateringer. En accepteret sendeopgave er ikke det samme som en bekræftet levering.

Ved udvidelse af rettigheder forsøger forbindelsen at forny tokens. Hvis Microsoft kræver login eller samtykke igen, skal brugeren forbinde den eksisterende forbindelse igen. Der skal ikke oprettes en anden app eller en særskilt brugerindstilling.

Fejlfinding

Problem	Tjek
`AADSTS50011` / redirect mismatch	Begge callbacks registreret præcist som Web, for det rigtige brand.
Et andet appnavn vises ved tilladelse	Den rigtige AI-omgivelse, Directory ID og tenant-specifikke Microsoft Identity Provider; forbind igen.
Login virker, men integrationen ikke	Kontroller også connector-callback, Graph-rettigheder og organisationstilladelse.
Læsning virker, skrivning ikke	Kontroller administratortilladelse, den tilhørende delegerede Graph-rettighed, givet samtykke og backend-tilgængelighed.
Client secret ugyldig eller udløbet	Value, ikke Secret ID; opdater den nye secret i Identity Provider.
Integration mangler for brugeren	Kontroller tilgængelighed i Tools, brugerrettigheder for forbindelser og det valgte AI-miljø.

Mere information

Centrale SharePoint-vidensbank: Microsoft opsætning

En centralt tilknyttet mappe fungerer via organisationsappen, uden at hver medarbejder slår en personlig SharePoint-forbindelse til. Der kræves to separate tilladelser: apptilladelsen Sites.Selected med admin consent, og en read-grant på den valgte SharePoint-site. En fungerende Microsoft-login eller kun admin consent er ikke nok.

1. Kontroller organisationsappen

Brug den samme single-tenant app registration som til Microsoft-login i dit AI-miljø. En eksisterende app kan udvides; der er ikke behov for en anden integrationsapp. Kontroller i Microsoft Entra → App registrations → din app → Overview Directory (tenant) ID og Application (client) ID. Brug client ID nedenfor, ikke Object ID.

Directory ID skal stå i Admin → Miljø → Tenant → Microsoft ID. Client ID og Value fra en gyldig client secret skal stå hos Microsoft Identity Provider for netop det AI-miljø. Denne konfiguration vedligeholdes af platformadministration. En udløbet secret forhindrer også den centrale import; hold øje med udløbsdatoen.

Den centrale serverforbindelse bruger client_credentials og kræver ingen ekstra redirect-URL. De eksisterende Web-redirects til login og personlige arbejdskonto-integrationer er stadig nødvendige; brug de brand-specifikke URL'er fra tabellen tidligere i denne artikel.

Åbn API permissions → Add a permission → Microsoft Graph → Application permissions.
Søg efter Sites.Selected, vælg denne rettighed og klik på Add permissions.
Lad en kompetent Entra-administrator udføre Grant admin consent for din organisation.
Kontroller, at Sites.Selected, type Application, vises som givet.

De delegerede rettigheder til personlige Outlook-, Teams- og SharePoint-forbindelser kan blive på samme app. De erstatter ikke apptilladelsen for den centrale vidensbank. Til denne centrale import er apptilladelserne Sites.Read.All, Sites.ReadWrite.All eller Sites.FullControl.All ikke nødvendige.

3. Giv appen særskilt læseadgang til sitet

Denne administrative handling kan udføres med Microsoft Graph Explorer. Brug en administratorkonto i samme Microsoft-directory, med SharePoint Administrator eller en højere egnet administratorrolle og adgang til den pågældende site. En Azure-abonnementsrolle eller kun ejerskab af appen er ikke nok til dette.

Log administrator-kontoen ind i Graph Explorer og kontroller den viste organisation.
Åbn din profilmenu → Consent to permissions, find Sites.FullControl.All og vælg Consent for at give den nødvendige tilladelse til Graph Explorer i denne administrative kontekst. Ved nogle forespørgsler kan du også åbne det fulde rettighedspanel via Modify Permissions → Open the permissions panel. Dette er en delegated administratortilladelse til at administrere sitegrants; tilføj den ikke som en bred apptilladelse på vidensbank-appen. Brug kontobaseret samtykke, når organisationstilladelse for alle brugere ikke er nødvendig.
Find site-ID'et med nedenstående GET. Erstat eksempelsiten og site-stien med din egen mappes. Ved en URL med /teams/ bruger du den sti i stedet for /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

Værdien id i svaret er det fulde site-ID, inklusive værtsnavn og to GUID'er. Kontroller også displayName og webUrl: grant'en skal lægges på det site, hvor din mappe faktisk ligger.

Kontroller først eksisterende grants med GET på adressen nedenfor. Står dit client ID der allerede med rollen read, behøver du ikke oprette en anden grant. Lad eksisterende bredere eller afvigende grants blive vurderet af din Microsoft-administrator.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Mangler grant'en, vælg POST, brug samme adresse og udfyld følgende JSON under Request Body. Udskift de to eksempelværdier; CLIENT-ID-VAN-UW-APP er Application (client) ID for din integrationsapp, ikke Graph Explorer-appen.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

Vælg Run query. En vellykket tilføjelse giver 201 Created. Kontroller i svaret rollen read og client ID; Graph kan vise dette under grantedToIdentitiesV2. Kontroller derefter igen med GET. Gem permission-ID'et til administration og eventuel senere tilbagekaldelse.
Gentag kun dette for hver anden site, som du bevidst vil forbinde vidensbankmapper til.

Sitegrant og vidensbankrettigheder

Microsoft-grant'en giver appen læseadgang til hele den valgte site. AI-miljøet importerer kun den valgte mappe og undermapper. Brug helst en separat site til viden, der skal deles centralt. De eksisterende vidensbankrettigheder bestemmer, hvilke brugere der får de importerede dokumenter; individuelle SharePoint-rettigheder overtages ikke.

4. Knyt mappen og kontroller resultatet

Åbn Administration → Vidensbank → Tilføj → SharePoint-mapper → Knyt mappe og brug den rigtige mappe-URL, ikke et invitationslink eller en OneDrive-oversigtsadresse. Vælg omfang, målgruppe og publiceringsstatus i henhold til vidensbankvejledningen. En central kilde kræver ikke en personlig connector i brugerindstillingerne.

Kontroller med Opdater, om dokumenterne er behandlet uden fejl. Brug Synkroniser nu til en ny kontrol og stil derefter et konkret chatspørgsmål om et importeret dokument. Kontroller, at svaret nævner den rigtige centrale videnskilde.

Problem	Tjek på Microsoft-siden
Login virker, men den centrale mappe ikke	`Sites.Selected` skal være af typen Application og have admin consent; kontroller også den separate sitegrant.
`403 Forbidden` ved mappeadgang	Korrekt Microsoft-directory, site-ID, client ID og `read`-grant; admin consent giver ikke alene sitetilladelse.
`403` ved den administrative handling i Graph Explorer	Delegated `Sites.FullControl.All`, givet samtykke, administratorrolle og adgang til målsitet. Tilføj ikke en bred rettighed til integrationsappen som løsning.
Sitet virker, mappen findes ikke	Kontroller den rigtige mappe-URL, dokumentbiblioteket og site-stien; en OneDrive-genvej kan pege til et andet site.
Secret udløbet eller ugyldig	Lad platformadministration opdatere den nye secret Value i den rigtige Microsoft Identity Provider.

For OnderwijsSupport på AI-Corporate blev denne centrale forbindelse offentliggjort og testet den 14. oktober 2026. Tilgængelighed på AI-School, AI-Public eller et andet miljø skal bekræftes af platformadministration.

Microsoft-dokumentation: Selected permissions, tilføj sitegrant og kontroller sitegrants.

Egen Entra-app​

Hvad har du brug for?​

1. Registrer én organisationsapp​

2. Sæt de rigtige omdirigerings-URL'er op​

3. Opret en client secret og tildel rettigheder​

4. Knyt appen til AI-miljøet på to steder​

5. Giv integrationerne og skrivehandlingerne fri​

6. Kontroller opsætningen​

Fejlfinding​

Mere information​

Centrale SharePoint-vidensbank: Microsoft opsætning​

1. Kontroller organisationsappen​

2. Tilføj apptilladelsen og giv admin consent​

3. Giv appen særskilt læseadgang til sitet​

4. Knyt mappen og kontroller resultatet​