Konfigurere Microsoft 365 for miljøet ditt

Det er to måter å koble Microsoft 365 til AI-School-miljøet ditt på. Velg først hvilken vei som passer for organisasjonen din.

Rute	Når	Hva du gjør
Sentral app fra AI-School (standard)	Personlige koblinger med Outlook Mail, Outlook Kalender, Teams og SharePoint/OneDrive.	En Entra-administrator gir organisasjonstillatelse via Koble til Microsoft 365. Deretter gir du integrasjonene tilgang slik som i trinn 5 i denne artikkelen. Du trenger ikke egen app, client secret eller Identity Provider.
Egen Entra-app	Du vil importere SharePoint-mapper sentralt i kunnskapsbasen, ansatte logger allerede inn med Microsoft via en egen app, eller du vil administrere appen selv.	Følg denne artikkelen fra trinn 1.

Hvis organisasjonen din allerede logger inn med Microsoft via en egen app (Microsoft ID-feltet i miljøet er fylt ut), bruker alle koblinger den egne appen. Den sentrale ruten gjelder da ikke.

Egen Entra-app

Med en egen Microsoft Entra-app kan organisasjonen din bruke samme app for pålogging med Microsoft og for Outlook, Teams og SharePoint. Du bestemmer sentralt hvilke integrasjoner og skrivehandlinger som er tilgjengelige. Brukerne slår deretter bare sine personlige koblinger av eller på i Innstillinger → Verktøy → Koblinger.

De personlige integrasjonene fungerer med støttede modeller fra OpenAI, Claude, Gemini og Mistral. Den valgte modellen må kunne bruke verktøy. Ved personlige koblinger følger tilgangen rettighetene til den innloggede Microsoft-brukeren. Organisasjonstillatelse logger ikke automatisk på alle ansatte og gir ikke AI-en selvstendig tilgang til alle postbokser. Den sentrale SharePoint-kunnskapsbasen bruker separate applikasjonsrettigheter og de eksisterende kunnskapsbaserettighetene, slik det er beskrevet senere i denne artikkelen.

Hva trenger du?

En Microsoft 365-organisasjon med Microsoft Entra ID og kontoer med tilgang til de ønskede tjenestene.
En administrator som kan registrere en app og gi organisasjonstillatelse for de valgte Microsoft Graph-rettighetene. En Azure-abonnementsrolle er ikke nok for dette; Entra-rollen din må tillate denne tillatelsen.
Administratorrettigheter i riktig AI-miljø for å gjøre integrasjonene tilgjengelige.
En plattformadministrator som kan konfigurere Microsoft Identity Provider for dette AI-miljøet i Google Cloud Identity Platform.
En app registration i din egen Microsoft-katalog, med en client secret og de to omdirigerings-URL-ene for riktig merke.

Pålogging med Microsoft og tilgang til Microsoft-data er to separate funksjoner. Bare en fungerende Microsoft-innlogging betyr ikke at Outlook, Teams eller SharePoint er satt opp.

1. Registrer én organisasjonsapp

Åpne Microsoft Entra-administrasjonssenteret og gå til App registrations → New registration. Bruk et gjenkjennelig navn, for eksempel AI-School – organisasjonsnavnet ditt. For en egen organisasjon velger du Accounts in this organizational directory only (Single tenant).

Lagre følgende data fra Overview:

Data	Hva brukes det til?
Directory (tenant) ID	Microsoft-katalogen til organisasjonen din; dette går inn i feltet Microsoft ID i AI-miljøet.
Application (client) ID	Den registrerte appen; dette går inn i Microsoft Identity Provider.

Disse to ID-ene er forskjellige. Ikke fyll inn client ID eller Firebase-tenant-ID i Microsoft ID.

2. Sett riktige omdirigerings-URL-er

Gå til Authentication → Add a platform → Web. Legg til begge URL-ene nedenfor for merket ditt, nøyaktig som vist. Den første håndterer pålogging; den andre håndterer samtykke for arbeidskonto-integrasjonene.

Merke	Pålogging med Microsoft	Arbeidskonto-integrasjoner
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Bruk URL-ene for merket som miljøet ditt kjører på. Organisasjonsnavnet ditt eller tenant-ID-en trenger ikke fylles inn i disse URL-ene. Nettsted-URL, dashboard-URL og .web.app-URL erstatter ikke disse callback-ene. Registrer dem som Web, selv om du bruker integrasjonen fra en nettleser. Du trenger ikke å slå på implicit tokenutstedelse eller public-client flow for dette.

3. Opprett en client secret og tildel rettigheter

Gå til Certificates & secrets → Client secrets → New client secret. Velg en passende gyldighetsperiode og lagre Value trygt så snart den er synlig. Lever verdien via den avtalte sikre kanalen for plattformadministrasjon; Secret ID er ikke client secret. Følg med på utløpsdatoen og bytt ut secreten før den datoen, også i Identity Provider.

Gå deretter til API permissions → Add a permission → Microsoft Graph → Delegated permissions. Legg bare til rettighetene for de integrasjonene og handlingene organisasjonen din skal tilby.

Integrasjon	Lesetilgang	Ekstra rettigheter for skriving
Profil / basis	`User.Read`; påloggingsflyten spør også om `openid`, `profile`, `email` og `offline_access`	Ingen
Outlook Mail	`Mail.Read`	Utkast: `Mail.ReadWrite`. Sende: `Mail.Send`.
Outlook Kalender	`Calendars.Read`	Skrive: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Publisere: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Denne arbeidskonto-integrasjonen tilbyr ingen skrivehandlinger her.

Mail.ReadWrite gir ikke sendetillatelse; for det trengs separat Mail.Send. Teams-publisering skriver tekstmeldinger i en valgt kanal, ikke private chatmeldinger. For denne integrasjonen bruker du Delegated permissions, ikke Application permissions. Også for rettigheter med All i navnet er delegert tilgang fortsatt begrenset av brukerens tilgang.

Klikk Grant admin consent for organisasjonen din og kontroller at de valgte rettighetene vises som gitt. Slik kan ansatte bruke den godkjente tilgangen uten selv å måtte gi organisasjonsrettigheter. Microsoft kan fortsatt be om innlogging, MFA eller ny samtykke, avhengig av policyen din.

4. Koble appen til AI-miljøet på to steder

La plattformadministratoren velge riktig miljø og utføre disse innstillingene:

I Admin → Miljø → Tenant: slå på påloggingsmetoden Microsoft og fyll inn Directory (tenant) ID i feltet Microsoft ID.
I Google Cloud → Identity Platform → den aktuelle tenant-en → Identity providers → Microsoft: slå på leverandøren og fyll inn Application (client) ID og client secret Value for den samme Entra-appen.

Identity Provider hører til Firebase/Identity Platform-tenant-en til AI-miljøet ditt, ikke til en annen organisasjon eller det generelle Admin-miljøet. Arbeidskonto-integrasjonen bruker appen fra denne provider-en på nytt. Client secret hører ikke hjemme i brukerinnstillinger, chatmeldinger eller vanlige miljøfelter.

Lever organisasjonsnavn, merke, Directory ID, client ID, secret-verdi via den sikre kanalen, utløpsdatoen og de ønskede integrasjonene/rettighetene til plattformadministrasjon. En app-ID alene er ikke nok.

5. Gi integrasjonene og skrivehandlingene tilgang

Åpne administrasjonsmiljøet til organisasjonen din → Tools → MCP. Slå på integrasjonen Microsoft 365 under Suite-snarveier. Microsoft-radene blir synlige; når hele suiten er av, forblir disse radene skjult.

Velg per integrasjon om den skal være tilgjengelig. I kolonnen Skrivehandlinger velger du separat:

Outlook Mail → Utkast: opprette og endre utkast.
Outlook Mail → Sende: faktisk sende et eksisterende utkast.
Outlook Kalender → Skrive: opprette og endre avtaler.
Microsoft Teams → Publisere: legge tekstmeldinger i en valgt Teams-kanal.

Klikk Lagre. En skrivehandling fungerer bare hvis både integrasjonen og den tilhørende administrasjonsrettigheten er slått på, Microsoft har gitt de nødvendige rettighetene, og brukeren har slått på koblingen personlig. Brukeren får ikke et ekstra skjema for skriverettigheter.

Tilgjengelighet

Innstillingene må også støttes av backend-en til merket ditt. Denne skriveutvidelsen ble målrettet publisert og testet 7. oktober 2026 for OnderwijsSupport på AI-Corporate. Det betyr ikke automatisk at den samme utvidelsen allerede er tilgjengelig for AI-School, AI-Public eller et hvilket som helst annet miljø. Be plattformadministrasjon bekrefte dette når skrivehandlinger mangler.

6. Kontroller oppsettet

La en bruker logge inn på riktig AI-miljø og slå på ønsket integrasjon i henhold til Bruke Microsoft-integrasjoner. Kontroller at Microsoft viser navnet på din egen Entra-app.

Test først et gjenkjennelig utkast og en avtale uten deltakere. Kontroller de lagrede elementene i Outlook. Test deretter sending med en avtalt testmottaker og Teams-publisering i en avtalt testkanal. En avtale med deltakere kan sende invitasjoner eller oppdateringer. En akseptert sendeoppgave er ikke det samme som bekreftet levering.

Ved utvidelse av rettigheter prøver koblingen å fornye tokenene. Hvis Microsoft krever ny innlogging eller nytt samtykke, må brukeren koble til den eksisterende koblingen på nytt. Det trenger ikke opprettes en annen app eller en separat brukerinnstilling.

Feilsøking

Problem	Kontroll
`AADSTS50011` / redirect mismatch	Begge callback-ene må være nøyaktig registrert som Web, for riktig merke.
Et annet appnavn vises ved samtykke	Riktig AI-miljø, Directory ID og tenant-spesifikk Microsoft Identity Provider; koble til på nytt etterpå.
Innlogging virker, men integrasjonen ikke	Kontroller også connector-callback, Graph-rettigheter og organisasjonstillatelse.
Lesing fungerer, skriving ikke	Kontroller administrasjonsrettighet, tilhørende delegert Graph-rettighet, gitt tillatelse og backend-tilgjengelighet.
Client secret ugyldig eller utløpt	Value, ikke Secret ID; oppdater ny secret også i Identity Provider.
Integrasjon mangler for brukeren	Kontroller tilgjengelighet i Tools, brukertillatelser for koblinger og valgt AI-miljø.

Mer informasjon

Sentral SharePoint-kunnskapsbase: konfigurere Microsoft

En sentralt koblet mappe fungerer via organisasjonsappen, uten at hver ansatt slår på en personlig SharePoint-kobling. For dette trengs to separate tillatelser: applikasjonsrettigheten Sites.Selected med admin consent, og en read-grant på den valgte SharePoint-siden. En fungerende Microsoft-innlogging eller bare admin consent er ikke nok.

1. Kontroller organisasjonsappen

Bruk samme single-tenant app registration som for Microsoft-innlogging i AI-miljøet ditt. En eksisterende app kan utvides; du trenger ikke en annen integrasjonsapp. Kontroller i Microsoft Entra → App registrations → appen din → Overview Directory (tenant) ID og Application (client) ID. Bruk client ID nedenfor, ikke Object ID.

Directory ID må stå i Admin → Miljø → Tenant → Microsoft ID. Client ID og Value fra en gyldig client secret må stå i Microsoft Identity Provider for akkurat det AI-miljøet. Denne konfigurasjonen vedlikeholdes av plattformadministrasjon. En utløpt secret hindrer også den sentrale importen; følg med på utløpsdatoen.

Den sentrale serverkoblingen bruker client_credentials og krever ingen ekstra redirect-URL. De eksisterende Web-redirect-ene for innlogging og personlige arbeidskonto-integrasjoner er fortsatt nødvendige; bruk merke-URL-ene fra tabellen tidligere i denne artikkelen.

Åpne API permissions → Add a permission → Microsoft Graph → Application permissions.
Søk etter Sites.Selected, velg denne rettigheten og klikk Add permissions.
La en autorisert Entra-administrator kjøre Grant admin consent for organisasjonen din.
Kontroller at Sites.Selected, type Application, vises som gitt.

De delegerte rettighetene for personlige Outlook-, Teams- og SharePoint-koblinger kan bli liggende på samme app. De erstatter ikke applikasjonsrettigheten for den sentrale kunnskapsbasen. For denne sentrale importen trengs ikke applikasjonsrettighetene Sites.Read.All, Sites.ReadWrite.All eller Sites.FullControl.All.

3. Gi appen separat lesetilgang til siden

Denne administrasjonshandlingen kan utføres med Microsoft Graph Explorer. Bruk en administratorkonto i samme Microsoft-katalog, med SharePoint Administrator eller en høyere passende administratorrolle og tilgang til den aktuelle siden. En Azure-abonnementsrolle eller bare eierskap til appen er ikke nok.

Logg inn administratorkontoen i Graph Explorer og kontroller organisasjonen som vises.
Åpne profilmenyen → Consent to permissions, finn Sites.FullControl.All og velg Consent for å gi nødvendig tillatelse for Graph Explorer i denne administrasjonskonteksten. For enkelte spørringer kan du også åpne hele rettighetspanelet via Modify Permissions → Open the permissions panel. Dette er en delegated administrasjonsrettighet for å administrere sitegrants; ikke legg den til som en bred applikasjonsrettighet på kunnskapsbaseappen. Bruk kontobasert samtykke når organisasjonstillatelse for alle brukere ikke er nødvendig.
Finn site-ID-en med følgende GET. Erstatt eksempelverten og site-stien med de som gjelder for din egen mappe. Ved en URL med /teams/ bruker du den stien i stedet for /sites/.

GET https://graph.microsoft.com/v1.0/sites/organisasjonen-din.sharepoint.com:/sites/ditiomrade?$select=id,displayName,webUrl

Verdien id i svaret er den fullstendige site-ID-en, inkludert vertsnavn og to GUID-er. Kontroller også displayName og webUrl: grant-en må settes på siden der mappen faktisk ligger.

Kontroller først eksisterende grants med GET på adressen nedenfor. Hvis client ID-en din allerede står der med rollen read, trenger du ikke opprette en ny grant. La eksisterende bredere eller avvikende grants bli vurdert av Microsoft-administratoren din.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Hvis grant-en mangler, velg POST, bruk samme adresse og fyll inn følgende JSON under Request Body. Bytt ut de to eksempelverdiene; CLIENT-ID-FOR-APPEN-DIN er Application (client) ID for integrasjonsappen din, ikke Graph Explorer-appen.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-FOR-APPEN-DIN",
        "displayName": "NAVN-PÅ-INTEGRASJONSAPPEN-DIN"
      }
    }
  ]
}

Velg Run query. Et vellykket tillegg gir 201 Created. Kontroller i svaret rollen read og client ID-en; Graph kan vise dette under grantedToIdentitiesV2. Kontroller deretter på nytt med GET. Lagre permission-ID-en for administrasjon og eventuell senere tilbakekalling.
Gjenta dette bare for hver andre side du bevisst vil koble kunnskapsbasemapper til.

Sitegrant og kunnskapsbaserettigheter

Microsoft-grant-en gir appen lesetilgang til hele den valgte siden. AI-miljøet importerer bare den valgte mappen og undermappene. Bruk helst en egen side for kunnskap som skal deles sentralt. De eksisterende kunnskapsbaserettighetene avgjør hvilke brukere som får de importerte dokumentene; individuelle SharePoint-rettigheter overføres ikke.

4. Koble til mappen og kontroller resultatet

Åpne Administrasjon → Kunnskapsbase → Legg til → SharePoint-mapper → Koble til mappe og bruk den faktiske mappe-URL-en, ikke en invitasjonslenke eller OneDrive-oversiktsadresse. Velg omfang, målgruppe og publiseringsstatus i henhold til kunnskapsbasemanualen. En sentral kilde krever ikke en personlig connector i brukerinnstillingene.

Kontroller med Oppdater om dokumentene er behandlet uten feil. Bruk Synkroniser nå for en ny kontroll og still deretter et konkret chatspørsmål om et importert dokument. Kontroller at svaret nevner riktig sentral kunnskapskilde.

Problem	Kontroll på Microsoft-siden
Innlogging virker, men den sentrale mappen ikke	`Sites.Selected` må være av typen Application og ha admin consent; kontroller i tillegg den separate site-grant-en.
`403 Forbidden` ved mappetilgang	Riktig Microsoft-katalog, site-ID, client ID og `read`-grant; admin consent gir ikke sitetilgang alene.
`403` ved administrasjonshandlingen i Graph Explorer	Delegated `Sites.FullControl.All`, gitt tillatelse, administratorrolle og tilgang til mål-siden. Ikke legg til en bred rettighet på integrasjonsappen som løsning.
Siden fungerer, mappen finnes ikke	Kontroller den ekte mappe-URL-en, dokumentbiblioteket og site-stien; en OneDrive-snarvei kan peke til en annen side.
Secret utløpt eller ugyldig	La plattformadministrasjon oppdatere den nye secret Value i riktig Microsoft Identity Provider.

For OnderwijsSupport på AI-Corporate ble denne sentrale koblingen publisert og testet 14. oktober 2026. Tilgjengelighet på AI-School, AI-Public eller et annet miljø må bekreftes av plattformadministrasjon.

Microsoft-dokumentasjon: Selected permissions, legge til sitegrant og kontrollere sitegrants.

Egen Entra-app​

Hva trenger du?​

1. Registrer én organisasjonsapp​

2. Sett riktige omdirigerings-URL-er​

3. Opprett en client secret og tildel rettigheter​

4. Koble appen til AI-miljøet på to steder​

5. Gi integrasjonene og skrivehandlingene tilgang​

6. Kontroller oppsettet​

Feilsøking​

Mer informasjon​

Sentral SharePoint-kunnskapsbase: konfigurere Microsoft​

1. Kontroller organisasjonsappen​

2. Legg til applikasjonsrettigheten og gi admin consent​

3. Gi appen separat lesetilgang til siden​

4. Koble til mappen og kontroller resultatet​