ご利用の環境で Microsoft 365 を設定する

Microsoft 365 を AI-School 環境に接続する方法は 2 つあります。まず、どちらの方法が組織に適しているかを選んでください。

ルート	いつ	行うこと
AI-School の中央アプリ（標準）	Outlook Mail、Outlook カレンダー、Teams、SharePoint/OneDrive との個人接続。	Entra 管理者が Microsoft 365 を接続から組織の同意を付与します。その後、この記事のステップ 5 に従って統合を有効化します。独自アプリ、クライアントシークレット、Identity Provider は不要です。
独自の Entra アプリ	SharePoint フォルダーをナレッジベースに中央取り込みしたい、従業員がすでに独自アプリ経由で Microsoft でログインしている、またはアプリを自分で管理したい場合。	この記事をステップ 1 から実施してください。

組織がすでに独自アプリで Microsoft ログインしている場合（環境の Microsoft ID フィールドが入力済み）、すべての接続はその独自アプリを使用します。その場合、中央ルートは適用されません。

独自の Entra アプリ

独自の Microsoft Entra アプリを使うと、組織は Microsoft でサインイン と Outlook、Teams、SharePoint に同じアプリを使用できます。どの統合と書き込み操作を利用可能にするかを中央で管理できます。ユーザーはその後、設定 → Tools → 接続 で個人接続をオン／オフするだけです。

個人統合は、OpenAI、Claude、Gemini、Mistral の対応モデルで動作します。選択したモデルはツールを使用できる必要があります。個人接続では、アクセス権はログイン中の Microsoft ユーザーの権限に従います。組織の同意は全従業員を自動的にサインインさせるものではなく、AI に全メールボックスへの独立したアクセス権を付与するものでもありません。中央 SharePoint ナレッジベースは、この記事の後半で説明する別個のアプリ権限と既存のナレッジベース権限を使用します。

必要なもの

Microsoft Entra ID を備え、必要なサービスへのアクセス権を持つアカウントがある Microsoft 365 組織。
アプリを登録でき、選択した Microsoft Graph 権限への組織の同意 を付与できる管理者。Azure サブスクリプションのロールだけでは不十分で、Entra ロールがこの同意を許可する必要があります。
統合を有効化するための、適切な AI 環境の管理権限。
Google Cloud Identity Platform でこの AI 環境の Microsoft Identity Provider を設定できるプラットフォーム管理者。
独自の Microsoft ディレクトリ内の app registration、クライアントシークレット、および適切なブランドの 2 つのリダイレクト URL。

Microsoft でのサインインと Microsoft データへのアクセスは別の機能です。Microsoft ログインが動作するだけでは、Outlook、Teams、SharePoint の設定が完了したことにはなりません。

1. 1 つの組織アプリを登録する

Microsoft Entra 管理センターを開き、App registrations → New registration に進みます。分かりやすい名前、たとえば AI-School – 貴社名 を使ってください。独自組織向けには Accounts in this organizational directory only (Single tenant) を選択します。

Overview から次の情報を保存してください。

データ	用途
Directory (tenant) ID	組織の Microsoft ディレクトリ。AI 環境の Microsoft ID フィールドに入ります。
Application (client) ID	登録されたアプリ。Microsoft Identity Provider に入ります。

この 2 つの ID は異なります。Microsoft ID には client ID や Firebase tenant ID を入れないでください。

2. 正しいリダイレクト URL を設定する

Authentication → Add a platform → Web に進みます。ブランドごとに、以下の両方の URL を、表示どおり正確に追加してください。1 つ目はサインインを処理し、2 つ目は職場アカウント統合への同意を処理します。

ブランド	Microsoft でサインイン	職場アカウント統合
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

ご利用の環境が稼働しているブランドの URL を使用してください。組織名や tenant ID をこれらの URL に入力する必要はありません。Web サイト URL、ダッシュボード URL、.web.app URL はこれらのコールバックの代わりにはなりません。ブラウザから統合を使う場合でも、Web として登録してください。暗黙的トークン発行や public-client-flow を有効にする必要はありません。

3. クライアントシークレットを作成し、権限を付与する

Certificates & secrets → Client secrets → New client secret に進みます。適切な有効期間を選び、表示されたら Value を安全に保存してください。値は、取り決めた安全な経路でプラットフォーム管理に提供してください。Secret ID はクライアントシークレットではありません。期限切れ日を管理し、その日より前にシークレットを更新してください。Identity Provider 側も更新が必要です。

次に API permissions → Add a permission → Microsoft Graph → Delegated permissions に進みます。組織が提供する統合と操作に必要な権限だけを追加してください。

統合	読み取り権限	書き込み用の追加権限
プロフィール / 基本	`User.Read`; サインインフローでは `openid`, `profile`, `email`, `offline_access` も要求されます	なし
Outlook Mail	`Mail.Read`	下書き: `Mail.ReadWrite`。送信: `Mail.Send`。
Outlook カレンダー	`Calendars.Read`	書き込み: `Calendars.ReadWrite`。
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	投稿: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`。
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	この職場アカウント統合では書き込み操作は提供されません。

Mail.ReadWrite では送信権限は付与されません。送信には別途 Mail.Send が必要です。Teams の投稿は、選択したチャネルへのテキストメッセージを書き込むもので、個人チャットメッセージではありません。この統合では Application permissions ではなく Delegated permissions を使用してください。名前に All が含まれる権限でも、委任アクセスはユーザーのアクセス権に制限されます。

Grant admin consent for uw organisatie をクリックし、選択した権限が付与済みとして表示されていることを確認してください。これにより、従業員は自分で組織権限を付与せずに、承認済みのアクセスを使用できます。Microsoft はポリシーに応じて、サインイン、MFA、再同意を求める場合があります。

4. 2 か所でアプリを AI 環境に接続する

プラットフォーム管理者に、正しい環境を選択して次の設定を実施してもらいます。

Admin → 環境 → Tenant で、サインイン方法 Microsoft を有効にし、Microsoft ID に Directory (tenant) ID を入力します。
Google Cloud → Identity Platform → 該当 tenant → Identity providers → Microsoft で、プロバイダーを有効にし、同じ Entra アプリの Application (client) ID と client secret Value を入力します。

Identity Provider は、別の組織や一般的な Admin 環境ではなく、AI 環境の Firebase/Identity Platform tenant に属します。職場アカウント統合は、この provider のアプリを再利用します。クライアントシークレットをユーザー設定、チャットメッセージ、通常の環境フィールドに入れてはいけません。

プラットフォーム管理には、組織名、ブランド、Directory ID、client ID、secret 値（安全な経路経由）、期限、必要な統合/権限を渡してください。アプリ ID だけでは不十分です。

5. 統合と書き込み操作を有効化する

管理環境 → Tools → MCP を開きます。Suite-snelkoppelingen で Microsoft 365 統合をオンにします。Microsoft の行が表示されます。スイート全体がオフのままだと、これらの行は非表示のままです。

統合ごとに利用可否を選択します。Schrijfacties 列では、個別に次を選びます。

Outlook Mail → Concepten: 下書きを作成・編集する。
Outlook Mail → Verzenden: 既存の下書きを実際に送信する。
Outlook Agenda → Schrijven: 予定を作成・編集する。
Microsoft Teams → Posten: 選択した Teams チャネルにテキストメッセージを投稿する。

Opslaan をクリックします。書き込み操作は、統合と対応する管理権限の両方がオンで、Microsoft が必要な権限を付与し、ユーザーが個人接続を有効にしている場合にのみ機能します。ユーザー向けの追加の書き込み権限フォームは不要です。

利用可能性

設定は、ブランドのバックエンドでもサポートされている必要があります。この書き込み拡張は 2026 年 10 月 7 日に OnderwijsSupport 向けに公開・テストされました。これは、同じ拡張が AI-School、AI-Public、または他の環境ですでに有効化されていることを自動的に意味しません。書き込み操作が見当たらない場合は、プラットフォーム管理に確認してください。

6. 設定を確認する

ユーザーに、正しい AI 環境へサインインし、Microsoft-integraties gebruiken に従って目的の統合を有効化してもらいます。Microsoft が独自 Entra アプリの名前を表示しているか確認してください。

まず、分かりやすい下書きと、参加者なしの予定をテストします。Outlook の保存済みアイテムを確認してください。次に、合意したテスト受信者への送信と、合意したテストチャネルへの Teams 投稿をテストします。参加者付きの予定は、招待や更新を送信する場合があります。送信要求が受理されても、配信完了の確認ではありません。

権限を拡張すると、接続はトークンの更新を試みます。Microsoft が再サインインや再同意を要求した場合は、ユーザーに既存の接続を再接続してもらってください。2 つ目のアプリや別のユーザー設定を作成する必要はありません。

トラブルシューティング

問題	確認
`AADSTS50011` / redirect mismatch	両方のコールバックが、正しいブランド向けに Web として正確に登録されているか。
同意時に別のアプリ名が表示される	正しい AI 環境、Directory ID、tenant 固有の Microsoft Identity Provider を確認し、その後再接続する。
ログインは動くが統合が動かない	connector callback、Graph 権限、組織の同意も確認する。
読み取りはできるが、書き込みはできない	管理権限、対応する delegated Graph 権限、付与済みの同意、backend の利用可否を確認する。
クライアントシークレットが無効または期限切れ	Secret ID ではなく Value を確認し、新しい secret も Identity Provider に更新する。
ユーザーに統合が表示されない	Tools での利用可否、ユーザーの接続権限、選択した AI 環境を確認する。

詳細情報

中央 SharePoint ナレッジベース: Microsoft の設定

中央で接続されたフォルダーは、各従業員が個別の SharePoint 接続を有効にしなくても、組織アプリ経由で動作します。これには 2 つの別個の同意 が必要です。すなわち、admin consent 付きのアプリケーション権限 Sites.Selected と、選択した SharePoint サイトへの read grant です。Microsoft ログインが動作していること、あるいは admin consent だけでは不十分です。

1. 組織アプリを確認する

AI 環境の Microsoft サインインに使っているのと同じ single-tenant app registration を使用してください。既存のアプリを拡張できます。2 つ目の統合アプリは不要です。Microsoft Entra → App registrations → お使いの app → Overview で Directory (tenant) ID と Application (client) ID を確認してください。以下では Object ID ではなく client ID を使用します。

Directory ID は Admin → 環境 → Tenant → Microsoft ID に設定されている必要があります。client ID と、有効な client secret の Value は、まさにその AI 環境の Microsoft Identity Provider に設定されている必要があります。この構成はプラットフォーム管理で管理されます。シークレットの期限切れは中央取り込みも妨げるため、有効期限を管理してください。

中央サーバー接続は client_credentials を使用し、追加の redirect URL は要求しません。サインイン用および個人の職場アカウント統合用の既存の Web リダイレクトは引き続き必要です。この記事前半の表にあるブランド別 URL を使用してください。

API permissions → Add a permission → Microsoft Graph → Application permissions を開きます。
Sites.Selected を検索して選択し、Add permissions をクリックします。
権限のある Entra 管理者に Grant admin consent for uw organisatie を実行してもらいます。
Sites.Selected が type Application として付与済みで表示されていることを確認します。

個人の Outlook、Teams、SharePoint 接続の delegated 権限は、同じアプリに残しておいてかまいません。中央ナレッジベース用のアプリケーション権限の代わりにはなりません。この中央インポートには Sites.Read.All、Sites.ReadWrite.All、Sites.FullControl.All は不要です。

3. アプリにサイトへの読み取りアクセスを個別に付与する

この管理操作は Microsoft Graph Explorer で行えます。同じ Microsoft ディレクトリの管理アカウントを使い、SharePoint Administrator もしくはそれ以上の適切な管理ロールと、該当サイトへのアクセス権が必要です。Azure サブスクリプションのロールや、アプリの所有者であるだけでは不十分です。

管理アカウントで Graph Explorer にサインインし、表示される organization を確認します。
プロフィールメニュー → Consent to permissions を開き、Sites.FullControl.All を探して Consent を選び、この管理コンテキストで Graph Explorer に必要な同意を付与します。クエリによっては、Modify Permissions → Open the permissions panel から権限パネル全体を開くこともできます。これはサイト grant を管理するための delegated 管理権限であり、ナレッジベースアプリに広範なアプリ権限として追加しないでください。組織全体への同意が不要な場合は、アカウント単位の同意を使用します。
次の GET で site ID を検索します。例のホストとサイトパスを、自分のフォルダーのものに置き換えてください。URL に /teams/ が含まれる場合は、/sites/ の代わりにそのパスを使用します。

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

レスポンスの id は、ホスト名と 2 つの GUID を含む完全な site ID です。displayName と webUrl も確認してください。grant は、実際にフォルダーがある site に対して行う必要があります。

既存の grants を、以下のアドレスへの GET で先に確認します。そこにすでに read ロール付きで client ID がある場合、2 つ目の grant を作成する必要はありません。既存のより広い、または異なる grants は、Microsoft 管理者に確認してもらってください。

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

grant がない場合は POST を選び、同じアドレスを使用して Request Body に次の JSON を入力します。2 つの例の値を置き換えてください。CLIENT-ID-VAN-UW-APP は統合アプリの Application (client) ID であり、Graph Explorer アプリではありません。

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

Run query を選びます。成功すると 201 Created が返ります。レスポンスで read ロールと client ID を確認してください。Graph はこれを grantedToIdentitiesV2 に表示する場合があります。その後、再度 GET で確認します。管理および将来の取り消しに備えて permission ID を保存してください。
これは、ナレッジベースフォルダーを接続したい他の各 site に対してのみ繰り返してください。

Site grant とナレッジベース権限

Microsoft の grant は、アプリに選択した サイト全体 への読み取りアクセスを付与します。AI 環境は、選択したフォルダーとサブフォルダーのみをインポートします。中央で共有する知識には、できるだけ個別の site を使ってください。既存のナレッジベース権限が、インポートされた文書を誰が取得するかを決定します。個別の SharePoint 権限は引き継がれません。

4. フォルダーを接続し、結果を確認する

Beheer → Kennisbank → Toevoegen → SharePoint-mappen → Map koppelen を開き、招待リンクや OneDrive の概要アドレスではなく、実際のフォルダー URL を使用します。スコープ、対象者、公開ステータスはナレッジベースガイドに従って選択してください。中央ソースでは、ユーザー設定で個人 connector を有効にする必要はありません。

Vernieuwen で、エラーなく文書が処理されたことを確認します。新たに確認するには Nu synchroniseren を使用し、その後、取り込まれた文書について具体的なチャット質問をします。回答に正しい中央ナレッジソースが記載されていることを確認してください。

問題	Microsoft 側の確認
ログインは動くが中央フォルダーが動かない	`Sites.Selected` は Application 型で admin consent が必要です。さらに個別の site grant を確認してください。
フォルダーアクセス時に `403 Forbidden`	正しい Microsoft ディレクトリ、site ID、client ID、`read` grant を確認してください。admin consent だけでは site アクセスは付与されません。
Graph Explorer の管理操作で `403`	Delegated `Sites.FullControl.All`、付与済みの同意、管理者ロール、対象 site へのアクセスを確認してください。解決策として統合アプリに広範な権限を追加しないでください。
site は動くがフォルダーが見つからない	実際のフォルダー URL、ドキュメントライブラリ、site path を確認してください。OneDrive のショートカットは別の site を指している場合があります。
シークレットが期限切れまたは無効	プラットフォーム管理に、新しい secret の Value を正しい Microsoft Identity Provider に更新してもらってください。

OnderwijsSupport の AI-Corporate 向けでは、この中央接続は 2026 年 10 月 14 日に公開・テストされました。AI-School、AI-Public、または別の環境での利用可否は、プラットフォーム管理で確認する必要があります。

Microsoft ドキュメント: Selected permissions、site grant を追加、site grants を確認。

独自の Entra アプリ​

必要なもの​

1. 1 つの組織アプリを登録する​

2. 正しいリダイレクト URL を設定する​

3. クライアントシークレットを作成し、権限を付与する​

4. 2 か所でアプリを AI 環境に接続する​

5. 統合と書き込み操作を有効化する​

6. 設定を確認する​

トラブルシューティング​

詳細情報​

中央 SharePoint ナレッジベース: Microsoft の設定​

1. 組織アプリを確認する​

2. アプリケーション権限を追加し、admin consent を付与する​

3. アプリにサイトへの読み取りアクセスを個別に付与する​

4. フォルダーを接続し、結果を確認する​