Configurar Microsoft 365 para su entorno

Hay dos maneras de vincular Microsoft 365 a su entorno de AI-School. Primero elija qué ruta se adapta a su organización.

Ruta	Cuándo	Qué hace
App central de AI-School (predeterminada)	Conexiones personales con Outlook Mail, Outlook Calendario, Teams y SharePoint/OneDrive.	Un administrador de Entra concede el consentimiento organizativo mediante Vincular Microsoft 365. Después activa las integraciones como en el paso 5 de este artículo. No se necesita una app propia, un client secret ni un proveedor de identidad.
App propia de Entra	Quiere importar carpetas de SharePoint de forma central en la base de conocimientos, los empleados ya inician sesión con Microsoft mediante una app propia, o desea administrar la app usted mismo.	Siga este artículo desde el paso 1.

Si su organización ya inicia sesión con Microsoft mediante una app propia (el campo Microsoft ID del entorno está rellenado), entonces todas las conexiones usan esa app propia. La ruta central no aplica en ese caso.

App propia de Entra

Con una app propia de Microsoft Entra, su organización puede usar la misma app para iniciar sesión con Microsoft y para Outlook, Teams y SharePoint. Usted determina de forma central qué integraciones y acciones de escritura están disponibles. Después, los usuarios solo activan o desactivan sus conexiones personales en Preferencias → Herramientas → Conexiones.

Las integraciones personales funcionan con modelos compatibles de OpenAI, Claude, Gemini y Mistral. El modelo elegido debe poder usar herramientas. En las conexiones personales, el acceso sigue los permisos del usuario de Microsoft que ha iniciado sesión. El consentimiento organizativo no inicia sesión automáticamente en todos los empleados ni da a la IA acceso independiente a todos los buzones. La base de conocimientos central de SharePoint usa permisos de aplicación separados y los permisos de base de conocimientos existentes, como se describe más adelante en este artículo.

¿Qué necesita?

Una organización de Microsoft 365 con Microsoft Entra ID y cuentas con acceso a los servicios deseados.
Un administrador que pueda registrar una app y conceder consentimiento organizativo para los permisos de Microsoft Graph elegidos. Una rol de suscripción de Azure no es suficiente para esto; su rol de Entra debe permitir este consentimiento.
Derechos de administración en el entorno correcto de AI para poner integraciones a disposición.
Un administrador de plataforma que pueda configurar el proveedor de identidad de Microsoft para este entorno de AI en Google Cloud Identity Platform.
Un registro de aplicación en su propio directorio de Microsoft, con un client secret y las dos URL de redirección del branding correcto.

Iniciar sesión con Microsoft y acceder a datos de Microsoft son dos funciones separadas. Tener solo un inicio de sesión de Microsoft que funcione no significa que Outlook, Teams o SharePoint ya estén configurados.

1. Registre una sola app organizativa

Abra el Centro de administración de Microsoft Entra y vaya a App registrations → New registration. Use un nombre reconocible, por ejemplo AI-School – nombre de su organización. Para una organización propia, elija Accounts in this organizational directory only (Single tenant).

Guarde los siguientes datos de Overview:

Dato	¿Para qué?
Directory (tenant) ID	El directorio de Microsoft de su organización; va en el campo Microsoft ID del entorno de AI.
Application (client) ID	La app registrada; va en el Microsoft Identity Provider.

Estos dos ID son distintos. En Microsoft ID no introduzca el client ID ni el Firebase tenant ID.

2. Configure las URL de redirección correctas

Vaya a Authentication → Add a platform → Web. Añada para su marca ambas URL siguientes, exactamente como se muestran. La primera procesa el inicio de sesión; la segunda procesa el consentimiento para las integraciones de cuenta de trabajo.

Marca	Iniciar sesión con Microsoft	Integraciones de cuenta de trabajo
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Use las URL de la marca en la que se ejecuta su entorno. No es necesario introducir su propio nombre de organización o tenant ID en estas URL. La URL del sitio web, la URL del panel y la URL .web.app no sustituyen estos callbacks. Regístrelas como Web, aunque use la integración desde un navegador. No necesita activar la emisión implícita de tokens ni el flujo de cliente público para esto.

3. Cree un client secret y asigne permisos

Vaya a Certificates & secrets → Client secrets → New client secret. Elija una duración adecuada y guarde el Value de forma segura en cuanto sea visible. Entregue el valor por el canal seguro acordado para la gestión de plataforma; el Secret ID no es el client secret. Controle la fecha de expiración y sustituya el secret antes de esa fecha, también en el Identity Provider.

Después vaya a API permissions → Add a permission → Microsoft Graph → Delegated permissions. Añada solo los permisos de las integraciones y acciones que su organización vaya a ofrecer.

Integración	Permisos de lectura	Permisos adicionales para escritura
Perfil / básico	`User.Read`; el flujo de inicio de sesión también solicita `openid`, `profile`, `email` y `offline_access`	Ninguno
Outlook Mail	`Mail.Read`	Borradores: `Mail.ReadWrite`. Enviar: `Mail.Send`.
Outlook Calendario	`Calendars.Read`	Escritura: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Publicar: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Esta integración de cuenta de trabajo no ofrece acciones de escritura aquí.

Mail.ReadWrite no concede permiso de envío; para ello se necesita Mail.Send por separado. La publicación en Teams escribe mensajes de texto en un canal elegido, no mensajes de chat privado. Para esta integración use Delegated permissions, no Application permissions. Incluso con permisos que incluyen All en el nombre, el acceso delegado sigue limitado por el acceso del usuario.

Haga clic en Grant admin consent for su organización y compruebe que los permisos elegidos se muestran como concedidos. Así los empleados pueden usar el acceso aprobado sin tener que conceder permisos organizativos por sí mismos. Microsoft aún puede pedir inicio de sesión, MFA o nuevo consentimiento, según su política.

4. Vincule la app en dos lugares al entorno de AI

Pida al administrador de plataforma que seleccione el entorno correcto y realice estos ajustes:

En Admin → Entorno → Tenant: active el método de inicio de sesión Microsoft y, en Microsoft ID, introduzca el Directory (tenant) ID.
En Google Cloud → Identity Platform → el tenant correspondiente → Identity providers → Microsoft: active el proveedor e introduzca el Application (client) ID y el client secret Value de la misma app de Entra.

El Identity Provider pertenece al tenant de Firebase/Identity Platform de su entorno de AI, no a otra organización ni al entorno general de Admin. La integración de cuenta de trabajo reutiliza la app de este proveedor. El client secret no debe aparecer en preferencias de usuario, mensajes de chat ni campos normales del entorno.

Proporcione a la administración de plataforma el nombre de la organización, la marca, el Directory ID, el client ID, el valor del secret por el canal seguro, la fecha de expiración y las integraciones/permisos deseados. Un ID de app por sí solo no basta.

5. Conceda las integraciones y acciones de escritura

Abra el entorno de administración de su organización → Tools → MCP. En Atajos de suite, active la integración Microsoft 365. Las filas de Microsoft se harán visibles; cuando la suite completa esté desactivada, esas filas permanecerán ocultas.

Elija por integración si debe estar disponible. En la columna Acciones de escritura elija por separado:

Outlook Mail → Borradores: crear y modificar borradores.
Outlook Mail → Enviar: enviar realmente un borrador existente.
Outlook Calendario → Escritura: crear y modificar citas.
Microsoft Teams → Publicar: colocar mensajes de texto en un canal de Teams elegido.

Haga clic en Guardar. Una acción de escritura solo funciona si la integración y el permiso de administración correspondiente están activados, Microsoft ha concedido los permisos necesarios y el usuario ha activado la conexión de forma personal. El usuario no recibe ningún formulario adicional de permisos de escritura.

Disponibilidad

Los ajustes también deben estar soportados por el backend de su marca. Esta extensión de escritura se publicó y probó de forma dirigida el 7 de octubre de 2026 para OnderwijsSupport en AI-Corporate. Eso no significa automáticamente que la misma extensión ya esté disponible para AI-School, AI-Public o cualquier otro entorno. Pida confirmación a la administración de plataforma cuando falten acciones de escritura.

6. Compruebe la configuración

Pida a un usuario que inicie sesión en el entorno de AI correcto y active la integración deseada siguiendo Usar integraciones de Microsoft. Compruebe que Microsoft muestre el nombre de su propia app de Entra.

Pruebe primero un borrador reconocible y una cita sin participantes. Compruebe los elementos guardados en Outlook. Después pruebe el envío con un destinatario de prueba acordado y la publicación en Teams en un canal de prueba acordado. Una cita con participantes puede enviar invitaciones o actualizaciones. Una orden de envío aceptada no es todavía una entrega confirmada.

Cuando se amplían los permisos, la conexión intenta renovar tokens. Si Microsoft requiere iniciar sesión de nuevo o volver a conceder consentimiento, pida al usuario que vuelva a conectar la conexión existente. No es necesario crear una segunda app ni una configuración de usuario aparte.

Solución de problemas

Problema	Comprobación
`AADSTS50011` / desajuste de redirect	Ambos callbacks registrados exactamente como Web, para la marca correcta.
Aparece otro nombre de app al dar permiso	El entorno de AI correcto, el Directory ID y el Microsoft Identity Provider específico del tenant; vuelva a conectar después.
El inicio de sesión funciona, pero la integración no	Compruebe también el callback del conector, los permisos de Graph y el consentimiento organizativo.
La lectura funciona, la escritura no	Compruebe el permiso de administración, el permiso delegado de Graph correspondiente, el consentimiento concedido y la disponibilidad del backend.
Client secret no válido o caducado	El Value, no el Secret ID; actualice el nuevo secret también en el Identity Provider.
La integración no aparece para el usuario	Compruebe la disponibilidad en Tools, los permisos de usuario para conexiones y el entorno de AI seleccionado.

Más información

Base de conocimientos central de SharePoint: configurar Microsoft

Una carpeta vinculada de forma central funciona a través de la app de organización, sin que cada empleado active una conexión personal de SharePoint. Para ello se necesitan dos consentimientos separados: el permiso de aplicación Sites.Selected con admin consent, y un read-grant sobre el sitio de SharePoint elegido. Tener solo un inicio de sesión de Microsoft que funcione o solo admin consent no es suficiente.

1. Compruebe la app de organización

Use el mismo registro de aplicación de tenant único que para iniciar sesión con Microsoft en su entorno de AI. Se puede ampliar una app existente; no hace falta una segunda app de integración. Compruebe en Microsoft Entra → App registrations → su app → Overview el Directory (tenant) ID y el Application (client) ID. Use abajo el client ID, no el Object ID.

El Directory ID debe estar en Admin → Entorno → Tenant → Microsoft ID. El client ID y el Value de un client secret válido deben estar en el Microsoft Identity Provider de exactamente ese entorno de AI. Esta configuración la mantiene la administración de plataforma. Un secret caducado también impide la importación central; controle la fecha de expiración.

La conexión central del servidor usa client_credentials y no solicita una URL de redirección adicional. Las redirecciones Web existentes para el inicio de sesión y las integraciones personales de cuenta de trabajo siguen siendo necesarias; use las URL con marca de la tabla anterior de este artículo.

Abra API permissions → Add a permission → Microsoft Graph → Application permissions.
Busque Sites.Selected, seleccione este permiso y haga clic en Add permissions.
Pida a un administrador de Entra con autoridad que realice Grant admin consent for su organización.
Compruebe que Sites.Selected, tipo Application, se muestra como concedido.

Los permisos delegados para las conexiones personales de Outlook, Teams y SharePoint pueden permanecer en la misma app. No sustituyen el permiso de aplicación para la base de conocimientos central. Para esta importación central no se necesita Sites.Read.All, Sites.ReadWrite.All ni Sites.FullControl.All.

3. Conceda a la app acceso de lectura a la sitio por separado

Esta acción de administración puede hacerse con Microsoft Graph Explorer. Use una cuenta de administrador en el mismo directorio de Microsoft, con rol SharePoint Administrator o un rol administrativo adecuado superior y acceso al sitio correspondiente. Un rol de suscripción de Azure o solo ser propietario de la app no es suficiente para esto.

Inicie sesión en Graph Explorer con la cuenta de administración y compruebe la organización mostrada.
Abra su menú de perfil → Consent to permissions, busque Sites.FullControl.All y elija Consent para conceder el permiso necesario a Graph Explorer en este contexto administrativo. En algunas consultas también puede abrir el panel completo de permisos mediante Modify Permissions → Open the permissions panel. Este es un permiso de administración delegated para gestionar sitegrants; no lo añada como un amplio permiso de aplicación en la app de conocimientos. Use consentimiento ligado a la cuenta cuando no se necesite consentimiento organizativo para todos los usuarios.
Busque el ID del sitio con el siguiente GET. Sustituya el host de ejemplo y la ruta del sitio por los de su propia carpeta. Con una URL que incluya /teams/ use esa ruta en lugar de /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

El valor id de la respuesta es el ID completo del sitio, incluido el nombre de host y dos GUID. Compruebe también displayName y webUrl: el grant debe aplicarse al sitio en el que realmente está su carpeta.

Compruebe primero los grants existentes con GET en la dirección siguiente. Si su client ID ya aparece allí con rol read, no necesita crear un segundo grant. Haga que su administrador de Microsoft revise los grants existentes más amplios o diferentes.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Si falta el grant, elija POST, use la misma dirección y en Request Body introduzca el siguiente JSON. Sustituya los dos valores de ejemplo; CLIENT-ID-DE-SU-APP es el Application (client) ID de su app de integración, no la app de Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-DE-SU-APP",
        "displayName": "NOMBRE-DE-SU-APP-DE-INTEGRACIÓN"
      }
    }
  ]
}

Elija Run query. Una adición correcta devuelve 201 Created. Compruebe en la respuesta el rol read y el client ID; Graph puede mostrar esto en grantedToIdentitiesV2. Después compruébelo de nuevo con GET. Guarde el permission ID para administración y una posible revocación posterior.
Repita esto solo para cada otro sitio cuyo contenido de conocimientos desee vincular de forma consciente.

Sitegrant y permisos de base de conocimientos

El grant de Microsoft concede a la app acceso de lectura a todo el sitio seleccionado. El entorno de AI solo importa la carpeta elegida y las subcarpetas. Preferiblemente use un sitio separado para conocimientos compartidos centralmente. Los permisos existentes de la base de conocimientos determinan qué usuarios reciben los documentos importados; no se heredan los permisos individuales de SharePoint.

4. Vincule la carpeta y compruebe el resultado

Abra Administración → Base de conocimientos → Añadir → Carpetas de SharePoint → Vincular carpeta y use la URL real de la carpeta, no un enlace de invitación ni una dirección de vista general de OneDrive. Elija alcance, público objetivo y estado de publicación según la guía de la base de conocimientos. Una fuente central no requiere un conector personal en las preferencias del usuario.

Compruebe con Actualizar si los documentos se han procesado sin errores. Use Sincronizar ahora para una nueva comprobación y luego haga una pregunta concreta en el chat sobre un documento importado. Compruebe que la respuesta menciona la fuente central correcta de conocimiento.

Problema	Comprobación del lado de Microsoft
El inicio de sesión funciona, pero la carpeta central no	`Sites.Selected` debe ser de tipo Application y tener admin consent; compruebe además el sitegrant separado.
`403 Forbidden` al acceder a la carpeta	Directorio de Microsoft correcto, ID del sitio, client ID y grant `read`; admin consent por sí solo no concede acceso al sitio.
`403` en la acción de administración en Graph Explorer	`Sites.FullControl.All` delegado, permiso concedido, rol de administrador y acceso al sitio de destino. No añada un permiso amplio a la app de integración como solución.
El sitio funciona, la carpeta no se encuentra	Compruebe la URL real de la carpeta, la biblioteca de documentos y la ruta del sitio; un acceso directo de OneDrive puede apuntar a otro sitio.
Secret caducado o no válido	Pida a la administración de plataforma que actualice el nuevo secret Value en el Microsoft Identity Provider correcto.

Para OnderwijsSupport en AI-Corporate, esta conexión central se publicó y probó el 14 de octubre de 2026. La disponibilidad en AI-School, AI-Public u otro entorno debe ser confirmada por la administración de plataforma.

Documentación de Microsoft: Selected permissions, añadir sitegrant y comprobar sitegrants.

App propia de Entra​

¿Qué necesita?​

1. Registre una sola app organizativa​

2. Configure las URL de redirección correctas​

3. Cree un client secret y asigne permisos​

4. Vincule la app en dos lugares al entorno de AI​

5. Conceda las integraciones y acciones de escritura​

6. Compruebe la configuración​

Solución de problemas​

Más información​

Base de conocimientos central de SharePoint: configurar Microsoft​

1. Compruebe la app de organización​

2. Añada el permiso de aplicación y conceda admin consent​

3. Conceda a la app acceso de lectura a la sitio por separado​

4. Vincule la carpeta y compruebe el resultado​