Configurer Microsoft 365 pour votre environnement

Il existe deux façons de connecter Microsoft 365 à votre environnement AI-School. Choisissez d’abord la voie qui convient à votre organisation.

Voie	Quand	Ce que vous faites
Application centrale AI-School (par défaut)	Connexions personnelles avec Outlook Mail, Outlook Agenda, Teams et SharePoint/OneDrive.	Un administrateur Entra accorde le consentement organisationnel via Connecter Microsoft 365. Ensuite, vous autorisez les intégrations comme à l’étape 5 de cet article. Aucune application propre, secret client ni Identity Provider n’est nécessaire.
Votre propre application Entra	Vous voulez importer de façon centralisée des dossiers SharePoint dans la base de connaissances, vos collaborateurs se connectent déjà avec Microsoft via une application propre, ou vous voulez gérer vous-même l’application.	Suivez cet article à partir de l’étape 1.

Si votre organisation se connecte déjà avec Microsoft via une application propre (le champ Microsoft ID de l’environnement est renseigné), alors toutes les connexions utilisent cette application propre. La voie centrale ne s’applique alors pas.

Votre propre application Entra

Avec une application Microsoft Entra propre, votre organisation peut utiliser la même application pour se connecter avec Microsoft et pour Outlook, Teams et SharePoint. Vous déterminez centralement quelles intégrations et actions d’écriture sont disponibles. Les utilisateurs activent ensuite seulement leurs connexions personnelles dans Préférences → Tools → Connexions.

Les intégrations personnelles fonctionnent avec les modèles pris en charge d’OpenAI, Claude, Gemini et Mistral. Le modèle choisi doit pouvoir utiliser des outils. Pour les connexions personnelles, l’accès suit les droits de l’utilisateur Microsoft connecté. Le consentement organisationnel n’inscrit pas automatiquement tous les collaborateurs et ne donne pas à l’IA un accès autonome à toutes les boîtes aux lettres. La base de connaissances SharePoint centrale utilise des droits d’application distincts et les droits de base de connaissances existants, comme décrit plus loin dans cet article.

De quoi avez-vous besoin ?

Une organisation Microsoft 365 avec Microsoft Entra ID et des comptes ayant accès aux services souhaités.
Un administrateur autorisé à enregistrer une application et à accorder le consentement organisationnel pour les droits Microsoft Graph choisis. Un rôle d’abonnement Azure ne suffit pas ; votre rôle Entra doit autoriser ce consentement.
Des droits d’administration dans le bon environnement AI pour rendre les intégrations disponibles.
Un administrateur de plateforme qui peut configurer le Microsoft Identity Provider pour cet environnement AI dans Google Cloud Identity Platform.
Une app registration dans votre propre annuaire Microsoft, avec un secret client et les deux URL de redirection du bon branding.

La connexion avec Microsoft et l’accès aux données Microsoft sont deux fonctions distinctes. Une connexion Microsoft qui fonctionne ne signifie pas encore qu’Outlook, Teams ou SharePoint est configuré.

1. Enregistrez une seule application d’organisation

Ouvrez le centre d’administration Microsoft Entra et allez dans App registrations → New registration. Utilisez un nom reconnaissable, par exemple AI-School – nom_de_votre_organisation. Pour une organisation propre, choisissez Accounts in this organizational directory only (Single tenant).

Conservez les informations suivantes depuis Overview :

Donnée	À quoi sert-elle ?
Directory (tenant) ID	L’annuaire Microsoft de votre organisation ; il ira dans le champ Microsoft ID de l’environnement AI.
Application (client) ID	L’application enregistrée ; elle ira dans le Microsoft Identity Provider.

Ces deux IDs sont différents. Ne renseignez pas l’ID client ni l’ID de locataire Firebase dans Microsoft ID.

2. Configurez les bonnes URL de redirection

Allez dans Authentication → Add a platform → Web. Ajoutez pour votre branding les deux URL ci-dessous, exactement comme affichées. La première traite la connexion ; la seconde traite le consentement pour les intégrations de compte de travail.

Branding	Se connecter avec Microsoft	Intégrations de compte de travail
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Utilisez les URL du branding sur lequel votre environnement fonctionne. Le nom de votre organisation ou l’ID de locataire n’ont pas besoin d’être saisis dans ces URL. L’URL du site web, l’URL du tableau de bord et l’URL .web.app ne remplacent pas ces callbacks. Enregistrez-les comme Web, même si vous utilisez l’intégration depuis un navigateur. Vous n’avez pas besoin d’activer l’émission implicite de jetons ni le flux de client public pour cela.

3. Créez un secret client et attribuez des droits

Allez dans Certificates & secrets → Client secrets → New client secret. Choisissez une durée appropriée et conservez la Value en lieu sûr dès qu’elle est visible. Transmettez la valeur via le canal sécurisé convenu pour la gestion de la plateforme ; le Secret ID n’est pas le secret client. Surveillez la date d’expiration et remplacez le secret avant cette date, y compris dans le Identity Provider.

Ensuite, allez dans API permissions → Add a permission → Microsoft Graph → Delegated permissions. N’ajoutez que les droits correspondant aux intégrations et actions que votre organisation proposera.

Intégration	Droits de lecture	Droits supplémentaires pour l’écriture
Profil / base	`User.Read`; le flux de connexion demande aussi `openid`, `profile`, `email` et `offline_access`	Aucun
Outlook Mail	`Mail.Read`	Brouillons : `Mail.ReadWrite`. Envoi : `Mail.Send`.
Outlook Agenda	`Calendars.Read`	Écriture : `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Publication : `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Cette intégration de compte de travail n’offre pas d’actions d’écriture ici.

Mail.ReadWrite ne donne pas le droit d’envoyer ; pour cela, Mail.Send est nécessaire séparément. La publication Teams écrit des messages texte dans un canal Teams choisi, pas des messages de chat privé. Pour cette intégration, utilisez Delegated permissions, pas Application permissions. Même pour les droits avec All dans le nom, l’accès délégué reste limité par les droits de l’utilisateur.

Cliquez sur Grant admin consent for votre organisation et vérifiez que les droits choisis apparaissent comme accordés. Ainsi, les collaborateurs peuvent utiliser l’accès approuvé sans devoir accorder eux-mêmes des droits organisationnels. Microsoft peut toutefois encore demander une nouvelle connexion, MFA ou un nouveau consentement, selon votre politique.

4. Reliez l’application à l’environnement AI à deux endroits

Demandez à l’administrateur de plateforme de sélectionner le bon environnement et d’effectuer ces réglages :

Dans Admin → Environnement → Tenant : activez la méthode de connexion Microsoft et saisissez le Directory (tenant) ID dans Microsoft ID.
Dans Google Cloud → Identity Platform → le tenant concerné → Identity providers → Microsoft : activez le provider et saisissez l’Application (client) ID ainsi que la Value du secret client de la même application Entra.

Le Identity Provider appartient au tenant Firebase/Identity Platform de votre environnement AI, pas à une autre organisation ni à l’environnement Admin général. L’intégration de compte de travail réutilise l’application de ce provider. Le secret client ne doit pas figurer dans les préférences utilisateur, les messages de chat ni les champs d’environnement ordinaires.

Fournissez à l’administration de plateforme le nom de l’organisation, le branding, le Directory ID, le client ID, la valeur du secret via le canal sécurisé, la date d’expiration et les intégrations/droits souhaités. Un ID d’application seul ne suffit pas.

5. Autorisez les intégrations et actions d’écriture

Ouvrez environnement d’administration de votre organisation → Tools → MCP. Activez l’intégration Microsoft 365 dans Suite-snelkoppelingen. Les lignes Microsoft deviennent visibles ; lorsque toute la suite est désactivée, ces lignes restent masquées.

Choisissez pour chaque intégration si elle est disponible. Dans la colonne Schrijfacties, choisissez séparément :

Outlook Mail → Concepten : créer et modifier des brouillons.
Outlook Mail → Verzenden : envoyer effectivement un brouillon existant.
Outlook Agenda → Schrijven : créer et modifier des rendez-vous.
Microsoft Teams → Posten : publier des messages texte dans un canal Teams choisi.

Cliquez sur Opslaan. Une action d’écriture ne fonctionne que si l’intégration et le droit d’administration correspondant sont tous deux activés, que Microsoft a accordé les droits nécessaires et que l’utilisateur a personnellement activé la connexion. L’utilisateur ne reçoit aucun formulaire supplémentaire de droits d’écriture pour cela.

Disponibilité

Les réglages doivent aussi être pris en charge par le backend de votre branding. Cette extension d’écriture a été publiée et testée de manière ciblée le 7 octobre 2026 pour OnderwijsSupport sur AI-Corporate. Cela ne signifie pas automatiquement que la même extension est déjà disponible pour AI-School, AI-Public ou tout autre environnement. Demandez une confirmation à l’administration de plateforme lorsque les actions d’écriture sont absentes.

6. Vérifiez la configuration

Demandez à un utilisateur de se connecter au bon environnement AI et d’activer l’intégration souhaitée selon Utiliser les intégrations Microsoft. Vérifiez que Microsoft affiche le nom de votre propre application Entra.

Testez d’abord un brouillon reconnaissable et un rendez-vous sans participants. Vérifiez les éléments enregistrés dans Outlook. Testez ensuite l’envoi avec un destinataire de test convenu et la publication Teams dans un canal de test convenu. Un rendez-vous avec participants peut envoyer des invitations ou des mises à jour. Une commande d’envoi acceptée n’est pas encore une livraison confirmée.

Lors d’une extension des droits, la connexion tente de renouveler les jetons. Si Microsoft exige une nouvelle connexion ou un nouveau consentement, demandez à l’utilisateur de reconnecter la connexion existante. Il n’est pas nécessaire de créer une deuxième application ni un réglage utilisateur séparé.

Dépannage

Problème	Vérification
`AADSTS50011` / mismatch de redirection	Les deux callbacks doivent être enregistrés exactement comme Web, pour le bon branding.
Un autre nom d’application apparaît au consentement	Le bon environnement AI, le Directory ID et le Microsoft Identity Provider spécifique au tenant ; reconnectez ensuite.
La connexion fonctionne, mais pas l’intégration	Vérifier aussi le callback du connecteur, les droits Graph et le consentement organisationnel.
La lecture fonctionne, l’écriture non	Vérifier le droit d’administration, le droit Graph délégué correspondant, le consentement accordé et la disponibilité du backend.
Secret client invalide ou expiré	La Value, pas le Secret ID ; mettre aussi à jour le nouveau secret dans le Identity Provider.
L’intégration est absente chez l’utilisateur	Vérifier la disponibilité dans Tools, les droits utilisateur pour les connexions et l’environnement AI sélectionné.

Plus d’informations

Base de connaissances SharePoint centrale : configurer Microsoft

Un dossier lié de façon centralisée fonctionne via l’application d’organisation, sans que chaque collaborateur active une connexion SharePoint personnelle. Pour cela, deux consentements distincts sont nécessaires : le droit d’application Sites.Selected avec consentement admin, et un read-grant sur le site SharePoint choisi. Une connexion Microsoft fonctionnelle ou le seul consentement admin ne suffit pas.

1. Vérifiez l’application d’organisation

Utilisez la même single-tenant app registration que pour la connexion Microsoft dans votre environnement AI. Une application existante peut être étendue ; une deuxième application d’intégration n’est pas nécessaire. Vérifiez dans Microsoft Entra → App registrations → votre app → Overview le Directory (tenant) ID et l’Application (client) ID. Utilisez ci-dessous l’ID client, pas l’Object ID.

Le Directory ID doit se trouver dans Admin → Environnement → Tenant → Microsoft ID. L’ID client et la Value d’un secret client valide doivent se trouver dans le Microsoft Identity Provider de cet environnement AI précis. Cette configuration est gérée par l’administration de plateforme. Un secret expiré empêche également l’import central ; surveillez la date d’expiration.

La connexion serveur centrale utilise client_credentials et ne demande pas d’URL de redirection supplémentaire. Les redirections Web existantes pour la connexion et les intégrations personnelles de compte de travail restent nécessaires ; utilisez les URL propres au branding du tableau précédent de cet article.

2. Ajoutez le droit d’application et accordez le consentement admin

Ouvrez API permissions → Add a permission → Microsoft Graph → Application permissions.
Recherchez Sites.Selected, sélectionnez ce droit et cliquez sur Add permissions.
Demandez à un administrateur Entra habilité d’exécuter Grant admin consent for votre organisation.
Vérifiez que Sites.Selected, type Application, apparaît comme accordé.

Les droits délégués pour les connexions personnelles Outlook, Teams et SharePoint peuvent rester sur la même application. Ils ne remplacent pas le droit d’application pour la base de connaissances centrale. Pour cette importation centrale, les droits d’application Sites.Read.All, Sites.ReadWrite.All ou Sites.FullControl.All ne sont pas nécessaires.

3. Donnez à l’application un accès en lecture distinct au site

Cette action d’administration peut se faire avec Microsoft Graph Explorer. Utilisez un compte administrateur dans le même annuaire Microsoft, avec SharePoint Administrator ou un rôle administratif supérieur approprié et l’accès au site concerné. Un rôle d’abonnement Azure ou la simple propriété de l’application ne suffit pas.

Connectez le compte administrateur à Graph Explorer et vérifiez l’organisation affichée.
Ouvrez votre menu de profil → Consent to permissions, recherchez Sites.FullControl.All et choisissez Consent pour accorder l’autorisation requise à Graph Explorer dans ce contexte d’administration. Pour certaines requêtes, vous pouvez aussi ouvrir le panneau complet des droits via Modify Permissions → Open the permissions panel. Il s’agit d’un droit d’administration delegated pour gérer les grants de site ; ne l’ajoutez pas comme droit d’application large sur l’application de base de connaissances. Utilisez un consentement lié au compte lorsque le consentement organisationnel pour tous les utilisateurs n’est pas nécessaire.
Recherchez l’ID du site avec le GET ci-dessous. Remplacez l’hôte d’exemple et le chemin du site par ceux de votre propre dossier. Pour une URL avec /teams/, utilisez ce chemin à la place de /sites/.

GET https://graph.microsoft.com/v1.0/sites/votreorganisation.sharepoint.com:/sites/votresite?$select=id,displayName,webUrl

La valeur id dans la réponse est l’ID complet du site, y compris le nom d’hôte et deux GUID. Vérifiez aussi displayName et webUrl : le grant doit être appliqué au site où se trouve réellement votre dossier.

Vérifiez d’abord les grants existants avec le GET à l’adresse ci-dessous. Si votre client ID s’y trouve déjà avec le rôle read, vous n’avez pas besoin de créer un deuxième grant. Faites examiner par votre administrateur Microsoft les grants existants plus larges ou différents.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Si le grant est absent, choisissez POST, utilisez la même adresse et saisissez dans Request Body le JSON suivant. Remplacez les deux valeurs d’exemple ; CLIENT-ID-DE-VOTRE-APP est l’Application (client) ID de votre application d’intégration, pas l’application Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-DE-VOTRE-APP",
        "displayName": "NOM-DE-VOTRE-APPLICATION-D'INTÉGRATION"
      }
    }
  ]
}

Choisissez Run query. Une ajout réussie renvoie 201 Created. Vérifiez dans la réponse le rôle read et l’ID client ; Graph peut les afficher sous grantedToIdentitiesV2. Vérifiez ensuite à nouveau avec GET. Conservez l’ID d’autorisation pour la gestion et une éventuelle révocation ultérieure.
Répétez cela uniquement pour chaque autre site dont vous souhaitez relier volontairement des dossiers de base de connaissances.

Sitegrant et droits de base de connaissances

Le grant Microsoft donne à l’application un accès en lecture à l’ensemble du site sélectionné. L’environnement AI n’importe que le dossier choisi et ses sous-dossiers. Utilisez de préférence un site distinct pour les connaissances à partager centralement. Les droits de base de connaissances existants déterminent quels utilisateurs reçoivent les documents importés ; les droits SharePoint individuels ne sont pas repris.

4. Reliez le dossier et vérifiez le résultat

Ouvrez Gestion → Base de connaissances → Ajouter → Dossiers SharePoint → Relier un dossier et utilisez la vraie URL du dossier, pas un lien d’invitation ni une adresse de vue d’ensemble OneDrive. Choisissez la portée, le public cible et le statut de publication selon le guide de la base de connaissances. Une source centrale ne nécessite pas de connecteur personnel dans les préférences utilisateur.

Vérifiez avec Rafraîchir que les documents ont été traités sans erreur. Utilisez Synchroniser maintenant pour un nouveau contrôle, puis posez une question de chat concrète sur un document importé. Vérifiez que la réponse mentionne la bonne source centrale de connaissances.

Problème	Vérification côté Microsoft
La connexion fonctionne, mais pas le dossier central	`Sites.Selected` doit être de type Application et disposer du consentement admin ; vérifiez aussi le grant de site séparé.
`403 Forbidden` lors de l’accès au dossier	Bon annuaire Microsoft, ID du site, client ID et grant `read` ; le consentement admin n’accorde pas à lui seul l’accès au site.
`403` lors de l’action d’administration dans Graph Explorer	`Sites.FullControl.All` délégué, consentement accordé, rôle d’administrateur et accès au site cible. N’ajoutez pas de droit large à l’application d’intégration comme solution.
Le site fonctionne, le dossier est introuvable	Vérifiez la vraie URL du dossier, la bibliothèque de documents et le chemin du site ; un raccourci OneDrive peut pointer vers un autre site.
Secret expiré ou invalide	Demandez à l’administration de plateforme de mettre à jour la nouvelle Value du secret dans le bon Microsoft Identity Provider.

Pour OnderwijsSupport sur AI-Corporate, cette connexion centrale a été publiée et testée le 14 octobre 2026. La disponibilité sur AI-School, AI-Public ou un autre environnement doit être confirmée par l’administration de plateforme.

Documentation Microsoft : Selected permissions, ajouter un sitegrant et vérifier les sitegrants.

Votre propre application Entra​

De quoi avez-vous besoin ?​

1. Enregistrez une seule application d’organisation​

2. Configurez les bonnes URL de redirection​

3. Créez un secret client et attribuez des droits​

4. Reliez l’application à l’environnement AI à deux endroits​

5. Autorisez les intégrations et actions d’écriture​

6. Vérifiez la configuration​

Dépannage​

Plus d’informations​

Base de connaissances SharePoint centrale : configurer Microsoft​

1. Vérifiez l’application d’organisation​

2. Ajoutez le droit d’application et accordez le consentement admin​

3. Donnez à l’application un accès en lecture distinct au site​

4. Reliez le dossier et vérifiez le résultat​