Configurare Microsoft 365 per il vostro ambiente

Ci sono due modi per collegare Microsoft 365 al vostro ambiente AI-School. Scegliete prima quale percorso si adatta alla vostra organizzazione.

Percorso	Quando	Cosa fare
App centrale di AI-School (predefinita)	Collegamenti personali con Outlook Mail, Outlook Calendario, Teams e SharePoint/OneDrive.	Un amministratore Entra concede il consenso organizzativo tramite Collegare Microsoft 365. Dopo di che attivate le integrazioni come descritto nel punto 5 di questo articolo. Non è necessaria un’app propria, un client secret o un Identity Provider.
App Entra propria	Volete importare centralmente cartelle SharePoint nella knowledge base, i dipendenti accedono già con Microsoft tramite una vostra app, oppure volete gestire voi stessi l’app.	Seguite questo articolo a partire dal punto 1.

Se la vostra organizzazione accede già con Microsoft tramite una vostra app (il campo Microsoft ID dell’ambiente è compilato), allora tutti i collegamenti usano quella app. Il percorso centrale non si applica in tal caso.

App Entra propria

Con una propria app Microsoft Entra, la vostra organizzazione può usare la stessa app per accedere con Microsoft e per Outlook, Teams e SharePoint. Decidete centralmente quali integrazioni e azioni di scrittura sono disponibili. Gli utenti poi attivano o disattivano solo i loro collegamenti personali in Preferenze → Tools → Collegamenti.

Le integrazioni personali funzionano con i modelli supportati di OpenAI, Claude, Gemini e Mistral. Il modello scelto deve poter usare tool. Nei collegamenti personali l’accesso segue i diritti dell’utente Microsoft connesso. Il consenso organizzativo non collega automaticamente tutti i dipendenti e non concede all’AI un accesso autonomo a tutte le caselle di posta. La knowledge base centrale di SharePoint utilizza diritti app separati e i diritti esistenti della knowledge base, come descritto più avanti in questo articolo.

Cosa vi serve?

• Un’organizzazione Microsoft 365 con Microsoft Entra ID e account con accesso ai servizi desiderati.
• Un amministratore che possa registrare un’app e concedere il consenso organizzativo per i diritti Microsoft Graph scelti. Una semplice role di sottoscrizione Azure non basta; il vostro ruolo Entra deve consentire questo consenso.
• Diritti amministrativi nell’ambiente AI corretto per rendere disponibili le integrazioni.
• Un amministratore di piattaforma che possa configurare il Microsoft Identity Provider per questo ambiente AI in Google Cloud Identity Platform.
• Una app registration nel vostro directory Microsoft, con un client secret e i due URL di redirect del brand corretto.

Accedere con Microsoft e accedere ai dati Microsoft sono due funzioni separate. Avere solo un login Microsoft funzionante non significa ancora che Outlook, Teams o SharePoint siano configurati.

1. Registrate una sola app organizzativa

Apri il Microsoft Entra admin center e vai su App registrations → New registration. Usate un nome riconoscibile, ad esempio AI-School – nome della vostra organizzazione. Per una vostra organizzazione scegliete Accounts in this organizational directory only (Single tenant).

Salvate i seguenti dati da Overview:

Dato	A cosa serve?
Directory (tenant) ID	Il directory Microsoft della vostra organizzazione; va nel campo Microsoft ID dell’ambiente AI.
Application (client) ID	L’app registrata; va nel Microsoft Identity Provider.

Questi due ID sono diversi. Nel campo Microsoft ID non inserite il client ID né il Firebase tenant ID.

2. Impostate i corretti URL di redirect

Andate su Authentication → Add a platform → Web. Aggiungete per il vostro brand entrambi gli URL seguenti, esattamente come mostrati. Il primo gestisce l’accesso; il secondo gestisce il consenso per le integrazioni con l’account di lavoro.

Brand	Accedere con Microsoft	Integrazioni account di lavoro
AI-School	https://ai-school-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporate	https://ai-corporate.firebaseapp.com/__/auth/handler	https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Public	https://ai-public-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

Usate gli URL del brand su cui gira il vostro ambiente. Non è necessario inserire il nome della vostra organizzazione o il tenant ID in questi URL. L’URL del sito web, l’URL della dashboard e l’URL .web.app non sostituiscono questi callback. Registrateli come Web, anche se usate l’integrazione da un browser. Non è necessario attivare l’emissione implicita di token o il flusso public client.

3. Create un client secret e assegnate i permessi

Andate su Certificates & secrets → Client secrets → New client secret. Scegliete una durata adeguata e conservate in modo sicuro il Value non appena diventa visibile. Fornite il valore tramite il canale sicuro concordato per la gestione della piattaforma; il Secret ID non è il client secret. Tenete traccia della data di scadenza e sostituite il secret prima di tale data, anche nell’Identity Provider.

Poi andate su API permissions → Add a permission → Microsoft Graph → Delegated permissions. Aggiungete solo i permessi necessari per le integrazioni e le azioni che la vostra organizzazione offrirà.

Integrazione	Permessi di lettura	Permessi aggiuntivi per la scrittura
Profilo / base	User.Read; il flusso di accesso richiede anche openid, profile, email e offline_access	Nessuno
Outlook Mail	Mail.Read	Bozze: Mail.ReadWrite. Invio: Mail.Send.
Outlook Calendario	Calendars.Read	Scrittura: Calendars.ReadWrite.
Microsoft Teams	Chat.Read, ChannelMessage.Read.All	Pubblicazione: Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Send.
SharePoint / OneDrive	Sites.Read.All, Files.Read.All	Questa integrazione con account di lavoro non offre azioni di scrittura.

Mail.ReadWrite non concede il diritto di invio; per quello serve separatamente Mail.Send. La pubblicazione su Teams scrive messaggi di testo in un canale scelto, non messaggi di chat privata. Per questa integrazione usate Delegated permissions, non Application permissions. Anche con permessi che contengono All nel nome, l’accesso delegato resta limitato dai diritti dell’utente.

Fate clic su Grant admin consent for your organization e verificate che i permessi scelti risultino concessi. In questo modo i dipendenti possono usare l’accesso approvato senza dover concedere personalmente i diritti organizzativi. Microsoft può comunque richiedere un nuovo accesso, MFA o un nuovo consenso, a seconda della vostra policy.

4. Collegate l’app in due punti all’ambiente AI

Fate in modo che l’amministratore della piattaforma selezioni l’ambiente corretto ed esegua queste impostazioni:

1. In Admin → Ambiente → Tenant: attivate il metodo di accesso Microsoft e inserite in Microsoft ID il Directory (tenant) ID.
2. In Google Cloud → Identity Platform → il tenant interessato → Identity providers → Microsoft: attivate il provider e inserite l’Application (client) ID e il client secret Value della stessa app Entra.

L’Identity Provider appartiene al tenant Firebase/Identity Platform del vostro ambiente AI, non a un’altra organizzazione o all’ambiente Admin generale. L’integrazione con account di lavoro riusa l’app di questo provider. Il client secret non deve finire nelle preferenze utente, nei messaggi di chat o nei normali campi ambiente.

Fornite all’amministratore della piattaforma il nome dell’organizzazione, il brand, il Directory ID, il client ID, il valore del secret tramite il canale sicuro, la data di scadenza e le integrazioni/permessi desiderati. Un solo app ID non basta.

5. Abilitate le integrazioni e le azioni di scrittura

Apri l’ambiente di amministrazione della vostra organizzazione → Tools → MCP. Nelle suite shortcut attivate l’integrazione Microsoft 365. Le righe Microsoft diventano visibili; quando l’intera suite è disattivata, quelle righe restano nascoste.

Scegliete per ogni integrazione se deve essere disponibile. Nella colonna Azioni di scrittura scegliete separatamente:

• Outlook Mail → Bozze: creare e modificare bozze.
• Outlook Mail → Invio: inviare effettivamente una bozza esistente.
• Outlook Calendario → Scrittura: creare e modificare appuntamenti.
• Microsoft Teams → Pubblicazione: inserire messaggi di testo in un canale Teams scelto.

Fate clic su Salva. Un’azione di scrittura funziona solo se sia l’integrazione sia il relativo permesso amministrativo sono attivi, Microsoft ha concesso i permessi necessari e l’utente ha attivato personalmente il collegamento. L’utente non riceve alcun modulo aggiuntivo per i permessi di scrittura.

Disponibilità

Le impostazioni devono essere supportate anche dal backend del vostro brand. Questa estensione di scrittura è stata pubblicata e testata in modo mirato il 7 ottobre 2026 per OnderwijsSupport su AI-Corporate. Ciò non significa automaticamente che la stessa estensione sia già stata rilasciata per AI-School, AI-Public o qualsiasi altro ambiente. Chiedete conferma all’amministratore della piattaforma se mancano le azioni di scrittura.

6. Verificate la configurazione

Fate accedere un utente nell’ambiente AI corretto e attivare l’integrazione desiderata secondo Usare le integrazioni Microsoft. Verificate che Microsoft mostri il nome della vostra app Entra.

Testate prima una bozza riconoscibile e un appuntamento senza partecipanti. Controllate gli elementi salvati in Outlook. Poi testate l’invio con un destinatario di prova concordato e la pubblicazione su Teams in un canale di prova concordato. Un appuntamento con partecipanti può inviare inviti o aggiornamenti. Un’azione di invio accettata non è ancora una consegna confermata.

In caso di ampliamento dei permessi, il collegamento tenta di rinnovare i token. Se Microsoft richiede nuovamente l’accesso o il consenso, fate ricollegare all’utente il collegamento esistente. Non è necessario creare una seconda app o una configurazione utente separata.

Risoluzione dei problemi

Problema	Controllo
AADSTS50011 / redirect non corrispondente	Entrambi i callback registrati esattamente come Web, per il brand corretto.
App diversa visibile durante il consenso	Verificare il corretto ambiente AI, Directory ID e Microsoft Identity Provider specifico del tenant; poi ricollegare.
Il login funziona, ma l’integrazione no	Controllare anche il callback del connector, i permessi Graph e il consenso organizzativo.
La lettura funziona, la scrittura no	Controllare il permesso amministrativo, il corrispondente permesso Graph delegato, il consenso concesso e la disponibilità backend.
Client secret non valido o scaduto	Aggiornare il Value, non il Secret ID; aggiornare il nuovo secret anche nell’Identity Provider.
L’integrazione manca per l’utente	Controllare la disponibilità in Tools, i diritti utente per i collegamenti e l’ambiente AI selezionato.

Ulteriori informazioni

• Gestire Tools
• Usare le integrazioni Microsoft
• Microsoft: registrare un’app
• Microsoft: URL di redirect
• Microsoft Graph: panoramica dei permessi

Knowledge base SharePoint centrale: configurare Microsoft

Una cartella collegata centralmente funziona tramite l’app dell’organizzazione, senza che ogni dipendente attivi un collegamento SharePoint personale. A tal fine sono necessarie due autorizzazioni separate: il permesso applicativo Sites.Selected con admin consent, e un grant read sulla site SharePoint scelta. Un login Microsoft funzionante o il solo admin consent non sono sufficienti.

1. Controllate l’app organizzativa

Usate la stessa single-tenant app registration utilizzata per l’accesso Microsoft nel vostro ambiente AI. Un’app esistente può essere estesa; non è necessaria una seconda app di integrazione. Controllate in Microsoft Entra → App registrations → la vostra app → Overview il Directory (tenant) ID e l’Application (client) ID. Usate qui sotto il client ID, non l’Object ID.

Il Directory ID deve essere in Admin → Ambiente → Tenant → Microsoft ID. Il client ID e il Value di un client secret valido devono trovarsi nel Microsoft Identity Provider di esattamente quell’ambiente AI. Questa configurazione è gestita dall’amministratore della piattaforma. Un secret scaduto impedisce anche l’import centrale; tenete sotto controllo la data di scadenza.

La connessione centrale al server usa client_credentials e non richiede un ulteriore URL di redirect. I Web redirect esistenti per l’accesso e le integrazioni personali con account di lavoro restano necessari; usate gli URL brandizzati della tabella precedente in questo articolo.

2. Aggiungete il permesso applicativo e concedete l’admin consent

1. Apri API permissions → Add a permission → Microsoft Graph → Application permissions.
2. Cercate Sites.Selected, selezionate questo permesso e fate clic su Add permissions.
3. Fate eseguire a un amministratore Entra autorizzato Grant admin consent for your organization.
4. Verificate che Sites.Selected, tipo Application, risulti concesso.

I permessi delegati per i collegamenti personali Outlook, Teams e SharePoint possono restare sulla stessa app. Non sostituiscono il permesso applicativo per la knowledge base centrale. Per questo import centrale non servono i permessi applicativi Sites.Read.All, Sites.ReadWrite.All o Sites.FullControl.All.

3. Concedete all’app separatamente l’accesso in lettura alla site

Questa azione amministrativa può essere eseguita con Microsoft Graph Explorer. Usate un account amministrativo nello stesso directory Microsoft, con ruolo SharePoint Administrator o un ruolo amministrativo superiore adeguato, e accesso alla site interessata. Un ruolo di sottoscrizione Azure o la sola proprietà dell’app non bastano.

1. Accedete a Graph Explorer con l’account amministrativo e controllate l’organizzazione mostrata.
2. Aprite il vostro menu profilo → Consent to permissions, cercate Sites.FullControl.All e scegliete Consent per concedere il permesso necessario a Graph Explorer in questo contesto amministrativo. In alcune query potete anche aprire il pannello completo dei permessi tramite Modify Permissions → Open the permissions panel. Si tratta di un permesso di gestione delegated per gestire i site grant; non aggiungetelo come permesso applicativo ampio sull’app della knowledge base. Usate il consenso legato all’account quando il consenso organizzativo per tutti gli utenti non è necessario.
3. Cercate l’ID della site con la seguente GET. Sostituite l’host di esempio e il percorso della site con quelli della vostra cartella. Con un URL che contiene /teams/, usate quel percorso al posto di /sites/.

GET https://graph.microsoft.com/v1.0/sites/vostraorganizzazione.sharepoint.com:/sites/vostrasite?$select=id,displayName,webUrl

Il valore id nella risposta è l’ID completo della site, incluso il nome host e due GUID. Controllate anche displayName e webUrl: il grant deve essere applicato alla site in cui la vostra cartella si trova effettivamente.

4. Controllate prima i grant esistenti con GET all’indirizzo seguente. Se il vostro client ID è già presente con ruolo read, non dovete creare un secondo grant. Fate esaminare dal vostro amministratore Microsoft eventuali grant esistenti più ampi o differenti.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

5. Se il grant manca, scegliete POST, usate lo stesso indirizzo e inserite il seguente JSON in Request Body. Sostituite i due valori di esempio; CLIENT-ID-DELLA-VOSTRA-APP è l’Application (client) ID della vostra app di integrazione, non l’app Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-DELLA-VOSTRA-APP",
        "displayName": "NOME-DELLA-VOSTRA-APP-DI-INTEGRAZIONE"
      }
    }
  ]
}

6. Scegliete Run query. Un’aggiunta riuscita restituisce 201 Created. Controllate nella risposta il ruolo read e il client ID; Graph può mostrarli sotto grantedToIdentitiesV2. Verificate poi di nuovo con GET. Conservate l’ID del permission per la gestione e per un’eventuale revoca successiva.
7. Ripetete questa procedura solo per ogni altra site di cui volete collegare consapevolmente le cartelle della knowledge base.

Site grant e diritti della knowledge base

Il grant Microsoft concede all’app l’accesso in lettura all’intera site selezionata. L’ambiente AI importa solo la cartella scelta e le sottocartelle. Per la conoscenza condivisa centralmente usate preferibilmente una site separata. I diritti esistenti della knowledge base determinano quali utenti ricevono i documenti importati; i diritti individuali di SharePoint non vengono ereditati.

4. Collegate la cartella e controllate il risultato

Apri Gestione → Knowledge base → Aggiungi → Cartelle SharePoint → Collega cartella e usate l’URL reale della cartella, non un link di invito o un indirizzo di panoramica OneDrive. Scegliete ambito, pubblico e stato di pubblicazione secondo la guida della knowledge base. Una fonte centrale non richiede un connector personale nelle preferenze utente.

Controllate con Aggiorna se i documenti sono stati elaborati senza errori. Usate Sincronizza ora per un nuovo controllo e poi formulate una domanda concreta in chat su un documento importato. Verificate che la risposta indichi la corretta fonte di conoscenza centrale.

Problema	Controllo lato Microsoft
Il login funziona, ma la cartella centrale no	Sites.Selected deve essere di tipo Application e avere admin consent; controllate inoltre il site grant separato.
403 Forbidden all’accesso alla cartella	Directory Microsoft corretta, site ID, client ID e grant read; l’admin consent da solo non concede accesso alla site.
403 nell’azione amministrativa in Graph Explorer	Delegated Sites.FullControl.All, consenso concesso, ruolo amministrativo e accesso alla site di destinazione. Non aggiungete un permesso ampio all’app di integrazione come soluzione.
La site funziona, la cartella non si trova	Controllate l’URL reale della cartella, la document library e il percorso della site; un collegamento OneDrive può rimandare a un’altra site.
Secret scaduto o non valido	Fate aggiornare all’amministratore della piattaforma il nuovo secret Value nel Microsoft Identity Provider corretto.

Per OnderwijsSupport su AI-Corporate questa connessione centrale è stata pubblicata e testata il 14 ottobre 2026. La disponibilità su AI-School, AI-Public o un altro ambiente deve essere confermata dall’amministratore della piattaforma.

Documentazione Microsoft: Selected permissions, aggiungere site grant e controllare i site grants.