Przejdź do głównej treści

Konfigurowanie Microsoft 365 dla Twojego środowiska

Istnieją dwa sposoby połączenia Microsoft 365 z Twoim środowiskiem AI-School. Najpierw wybierz, która ścieżka pasuje do Twojej organizacji.

ŚcieżkaKiedyCo robisz
Centralna aplikacja AI-School (domyślna)Osobiste połączenia z Outlook Mail, Outlook Kalendarz, Teams i SharePoint/OneDrive.Administrator Entra nadaje zgodę organizacyjną przez Połącz Microsoft 365. Następnie aktywujesz integracje zgodnie z krokiem 5 tego artykułu. Nie jest wymagana własna aplikacja, client secret ani Identity Provider.
Własna aplikacja EntraChcesz centralnie importować foldery SharePoint do bazy wiedzy, pracownicy logują się już przez Microsoft za pomocą własnej aplikacji albo chcesz samodzielnie zarządzać aplikacją.Postępuj zgodnie z tym artykułem od kroku 1.

Jeśli Twoja organizacja już loguje się przez Microsoft za pomocą własnej aplikacji (pole Microsoft ID środowiska jest wypełnione), to wszystkie połączenia używają tej własnej aplikacji. Ścieżka centralna nie ma wtedy zastosowania.

Własna aplikacja Entra​

Dzięki własnej aplikacji Microsoft Entra Twoja organizacja może używać tej samej aplikacji do logowania przez Microsoft oraz do Outlook, Teams i SharePoint. Centralnie określasz, które integracje i akcje zapisu są dostępne. Użytkownicy włączają lub wyłączają potem tylko swoje osobiste połączenia w Preferencje → Narzędzia → Połączenia.

Osobiste integracje działają z obsługiwanymi modelami OpenAI, Claude, Gemini i Mistral. Wybrany model musi umieć korzystać z narzędzi. Przy osobistych połączeniach dostęp podąża za uprawnieniami zalogowanego użytkownika Microsoft. Zgoda organizacyjna nie loguje automatycznie wszystkich pracowników i nie daje AI samodzielnego dostępu do wszystkich skrzynek pocztowych. Centralna baza wiedzy SharePoint używa oddzielnych uprawnień aplikacji i istniejących uprawnień bazy wiedzy, jak opisano dalej w tym artykule.

Czego potrzebujesz?​

  • Organizacji Microsoft 365 z Microsoft Entra ID oraz kontami z dostępem do potrzebnych usług.
  • Administratora, który może zarejestrować aplikację i nadać zgodę organizacyjną na wybrane uprawnienia Microsoft Graph. Sama rola subskrypcji Azure nie wystarczy; Twoja rola Entra musi umożliwiać tę zgodę.
  • Uprawnień administracyjnych we właściwym środowisku AI, aby udostępnić integracje.
  • Administratora platformy, który może skonfigurować Microsoft Identity Provider dla tego środowiska AI w Google Cloud Identity Platform.
  • Rejestracji aplikacji w Twoim własnym katalogu Microsoft, z client secret i dwoma adresami URL przekierowania dla właściwej marki.

Logowanie przez Microsoft i dostęp do danych Microsoft to dwie oddzielne funkcje. Sama działająca logowania przez Microsoft nie oznacza jeszcze, że Outlook, Teams lub SharePoint są skonfigurowane.

1. Zarejestruj jedną aplikację organizacyjną​

Otwórz centrum administracyjne Microsoft Entra i przejdź do App registrations → New registration. Użyj rozpoznawalnej nazwy, na przykład AI-School – nazwa Twojej organizacji. Dla własnej organizacji wybierz Accounts in this organizational directory only (Single tenant).

Zapisz następujące dane z Overview:

DaneDo czego?
Directory (tenant) IDKatalog Microsoft Twojej organizacji; trafia do pola Microsoft ID środowiska AI.
Application (client) IDZarejestrowana aplikacja; trafia do Microsoft Identity Provider.

Te dwa identyfikatory są różne. W polu Microsoft ID nie wpisuj client ID ani Firebase tenant ID.

2. Ustaw właściwe adresy URL przekierowania​

Przejdź do Authentication → Add a platform → Web. Dodaj dla swojej marki oba poniższe adresy URL, dokładnie tak jak pokazano. Pierwszy obsługuje logowanie; drugi obsługuje zgodę dla integracji z kontem służbowym.

MarkaLogowanie przez MicrosoftIntegracje konta służbowego
AI-Schoolhttps://ai-school-pro.firebaseapp.com/__/auth/handlerhttps://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporatehttps://ai-corporate.firebaseapp.com/__/auth/handlerhttps://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Publichttps://ai-public-pro.firebaseapp.com/__/auth/handlerhttps://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

Użyj adresów URL marki, na której działa Twoje środowisko. Własna nazwa organizacji ani tenant ID nie muszą być wpisywane w tych adresach URL. Adres strony, adres panelu i adres .web.app nie zastępują tych callbacków. Zarejestruj je jako Web, nawet jeśli korzystasz z integracji z poziomu przeglądarki. Nie musisz włączać implicit token issuance ani flow public client.

3. Utwórz client secret i przypisz uprawnienia​

Przejdź do Certificates & secrets → Client secrets → New client secret. Wybierz odpowiedni czas ważności i bezpiecznie zapisz Value zaraz po jego wyświetleniu. Przekaż tę wartość ustalonym bezpiecznym kanałem do administracji platformy; Secret ID to nie jest client secret. Śledź datę wygaśnięcia i wymień secret przed tą datą, także w Identity Provider.

Następnie przejdź do API permissions → Add a permission → Microsoft Graph → Delegated permissions. Dodaj tylko te uprawnienia, które odpowiadają integracjom i akcjom, jakie Twoja organizacja zamierza udostępnić.

IntegracjaUprawnienia do odczytuDodatkowe uprawnienia do zapisu
Profil / podstawoweUser.Read; flow logowania wymaga też openid, profile, email i offline_accessBrak
Outlook MailMail.ReadSzkice: Mail.ReadWrite. Wysyłanie: Mail.Send.
Outlook KalendarzCalendars.ReadZapis: Calendars.ReadWrite.
Microsoft TeamsChat.Read, ChannelMessage.Read.AllPublikowanie: Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Send.
SharePoint / OneDriveSites.Read.All, Files.Read.AllTa integracja konta służbowego nie oferuje tutaj akcji zapisu.

Mail.ReadWrite nie daje prawa do wysyłania; do tego potrzebne jest osobne Mail.Send. Publikowanie w Teams zapisuje wiadomości tekstowe w wybranym kanale, a nie prywatne wiadomości czatu. Dla tej integracji używaj Delegated permissions, a nie Application permissions. Nawet przy uprawnieniach z All w nazwie dostęp delegowany pozostaje ograniczony do uprawnień użytkownika.

Kliknij Grant admin consent for your organization i sprawdź, czy wybrane uprawnienia są widoczne jako przyznane. Dzięki temu pracownicy mogą korzystać z zatwierdzonego dostępu bez konieczności nadawania sobie uprawnień organizacyjnych. Microsoft nadal może poprosić o logowanie, MFA lub ponowną zgodę, zależnie od Twojej polityki.

4. Podepnij aplikację w dwóch miejscach do środowiska AI​

Poproś administratora platformy o wybranie właściwego środowiska i wykonanie tych ustawień:

  1. W Admin → Środowisko → Tenant: włącz metodę logowania Microsoft i w polu Microsoft ID wpisz Directory (tenant) ID.
  2. W Google Cloud → Identity Platform → odpowiedni tenant → Identity providers → Microsoft: włącz dostawcę i wpisz Application (client) ID oraz client secret Value z tej samej aplikacji Entra.

Identity Provider należy do tenanta Firebase/Identity Platform Twojego środowiska AI, a nie do innej organizacji ani do ogólnego środowiska Admin. Integracja konta służbowego ponownie używa aplikacji z tego dostawcy. Client secret nie powinien znajdować się w preferencjach użytkownika, wiadomościach czatu ani zwykłych polach środowiskowych.

Przekaż administracji platformy nazwę organizacji, markę, Directory ID, client ID, wartość secretu przez bezpieczny kanał, datę wygaśnięcia oraz oczekiwane integracje/uprawnienia. Sam identyfikator aplikacji nie wystarczy.

5. Udostępnij integracje i akcje zapisu​

Otwórz środowisko administracyjne Twojej organizacji → Tools → MCP. Włącz integrację Microsoft 365 w sekcji Szybkie skróty Suite. Wiersze Microsoft staną się widoczne; gdy cała suite jest wyłączona, te wiersze pozostają ukryte.

Dla każdej integracji wybierz, czy ma być dostępna. W kolumnie Akcje zapisu wybierasz osobno:

  • Outlook Mail → Szkice: tworzenie i modyfikowanie szkiców.
  • Outlook Mail → Wysyłanie: faktyczne wysłanie istniejącego szkicu.
  • Outlook Kalendarz → Zapis: tworzenie i modyfikowanie spotkań.
  • Microsoft Teams → Publikowanie: umieszczanie wiadomości tekstowych w wybranym kanale Teams.

Kliknij Zapisz. Akcja zapisu działa tylko wtedy, gdy włączona jest zarówno integracja, jak i odpowiadające jej uprawnienie administracyjne, Microsoft przyznał wymagane uprawnienia, a użytkownik włączył połączenie osobiście. Użytkownik nie otrzymuje dodatkowego formularza uprawnień do zapisu.

Dostępność

Ustawienia muszą być także wspierane przez backend Twojej marki. To rozszerzenie zapisu zostało opublikowane i przetestowane 7 października 2026 dla OnderwijsSupport na AI-Corporate. Nie oznacza to automatycznie, że to samo rozszerzenie zostało już udostępnione dla AI-School, AI-Public lub innego środowiska. Poproś administrację platformy o potwierdzenie, jeśli brakuje akcji zapisu.

6. Sprawdź konfigurację​

Poproś użytkownika o zalogowanie się do właściwego środowiska AI i włączenie żądanej integracji zgodnie z Korzystanie z integracji Microsoft. Sprawdź, czy Microsoft wyświetla nazwę Twojej własnej aplikacji Entra.

Najpierw przetestuj rozpoznawalny szkic i spotkanie bez uczestników. Sprawdź zapisane elementy w Outlook. Następnie przetestuj wysyłanie z ustalonym odbiorcą testowym oraz publikowanie w Teams w ustalonym kanale testowym. Spotkanie z uczestnikami może wysyłać zaproszenia lub aktualizacje. Przyjęta komenda wysyłki nie jest jeszcze potwierdzonym dostarczeniem.

Przy rozszerzaniu uprawnień połączenie próbuje odświeżyć tokeny. Jeśli Microsoft wymaga ponownego logowania lub ponownej zgody, poproś użytkownika o ponowne połączenie istniejącego połączenia. Nie trzeba tworzyć drugiej aplikacji ani osobnego ustawienia użytkownika.

Rozwiązywanie problemów​

ProblemKontrola
AADSTS50011 / redirect mismatchOba callbacki zarejestrowane dokładnie jako Web, dla właściwej marki.
Podczas zgody pojawia się inna nazwa aplikacjiWłaściwe środowisko AI, Directory ID oraz tenant-specyficzny Microsoft Identity Provider; potem połącz ponownie.
Logowanie działa, ale integracja nieSprawdź także callback connectora, uprawnienia Graph i zgodę organizacyjną.
Odczyt działa, zapis nieSprawdź uprawnienie administracyjne, odpowiadające delegowane uprawnienie Graph, udzieloną zgodę i dostępność backendu.
Client secret nieprawidłowy lub wygasłyValue, nie Secret ID; zaktualizuj nowy secret także w Identity Provider.
Integracja nie pojawia się u użytkownikaSprawdź dostępność w Tools, uprawnienia użytkownika do połączeń i wybrane środowisko AI.

Więcej informacji​

Centralna baza wiedzy SharePoint: konfiguracja Microsoft​

Centralnie podłączony folder działa za pomocą aplikacji organizacyjnej, bez potrzeby włączania osobistego połączenia SharePoint przez każdego pracownika. Wymagane są do tego dwie oddzielne zgody: uprawnienie aplikacji Sites.Selected z admin consent oraz read grant dla wybranej witryny SharePoint. Sama działająca logowania przez Microsoft albo samo admin consent nie wystarczy.

1. Sprawdź aplikację organizacyjną​

Użyj tej samej rejestracji aplikacji single-tenant, co do logowania przez Microsoft w Twoim środowisku AI. Istniejącą aplikację można rozszerzyć; druga aplikacja integracyjna nie jest potrzebna. Sprawdź w Microsoft Entra → App registrations → twoja aplikacja → Overview Directory (tenant) ID oraz Application (client) ID. Poniżej użyj client ID, a nie Object ID.

Directory ID musi znajdować się w Admin → Środowisko → Tenant → Microsoft ID. Client ID i Value ważnego client secret muszą znajdować się u Microsoft Identity Provider dokładnie tego środowiska AI. Tą konfiguracją zarządza administracja platformy. Wygasły secret również blokuje centralny import; śledź datę wygaśnięcia.

Połączenie z centralnym serwerem używa client_credentials i nie wymaga dodatkowego adresu URL przekierowania. Istniejące web redirects dla logowania i osobistych integracji konta służbowego nadal są potrzebne; użyj adresów URL związanych z marką z tabeli wcześniej w tym artykule.

  1. Otwórz API permissions → Add a permission → Microsoft Graph → Application permissions.
  2. Znajdź Sites.Selected, zaznacz to uprawnienie i kliknij Add permissions.
  3. Poproś uprawnionego administratora Entra o wykonanie Grant admin consent for your organization.
  4. Sprawdź, czy Sites.Selected, typ Application, widnieje jako przyznane.

Delegowane uprawnienia dla osobistych połączeń Outlook, Teams i SharePoint mogą pozostać na tej samej aplikacji. Nie zastępują one uprawnienia aplikacji dla centralnej bazy wiedzy. Do tego centralnego importu nie jest potrzebne uprawnienie aplikacji Sites.Read.All, Sites.ReadWrite.All ani Sites.FullControl.All.

3. Nadaj aplikacji oddzielny dostęp do witryny do odczytu​

Tę czynność administracyjną można wykonać za pomocą Microsoft Graph Explorer. Użyj konta administracyjnego w tym samym katalogu Microsoft, z rolą SharePoint Administrator lub wyższą odpowiednią rolą administracyjną oraz dostępem do odpowiedniej witryny. Sama rola subskrypcji Azure albo samo posiadanie aplikacji nie wystarczą.

  1. Zaloguj konto administracyjne do Graph Explorer i sprawdź wyświetloną organizację.
  2. Otwórz menu profilu → Consent to permissions, znajdź Sites.FullControl.All i wybierz Consent, aby nadać wymagane uprawnienie Graph Explorer w tym kontekście administracyjnym. W niektórych zapytaniach pełny panel uprawnień można też otworzyć przez Modify Permissions → Open the permissions panel. Jest to delegated uprawnienie administracyjne do zarządzania grantami witryn; nie dodawaj go jako szerokiego uprawnienia aplikacyjnego do aplikacji bazy wiedzy. Użyj zgody powiązanej z kontem, gdy zgoda organizacyjna dla wszystkich użytkowników nie jest potrzebna.
  3. Znajdź ID witryny za pomocą poniższego GET. Zastąp przykładowy host i ścieżkę witryny danymi z własnego folderu. W przypadku adresu URL z /teams/ użyj tej ścieżki zamiast /sites/.
GET https://graph.microsoft.com/v1.0/sites/uworganizacja.sharepoint.com:/sites/twojawitryna?$select=id,displayName,webUrl

Wartość id w odpowiedzi to pełny ID witryny, łącznie z nazwą hosta i dwoma GUID-ami. Sprawdź też displayName i webUrl: grant musi trafić do witryny, w której faktycznie znajduje się Twój folder.

  1. Najpierw sprawdź istniejące granty za pomocą GET pod poniższym adresem. Jeśli Twój client ID jest tam już obecny z rolą read, nie musisz tworzyć drugiego grantu. Poproś administratora Microsoft o ocenę istniejących szerszych lub odmiennych grantów.
GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions
  1. Jeśli grant nie istnieje, wybierz POST, użyj tego samego adresu i w Request Body wprowadź poniższy JSON. Zastąp dwie przykładowe wartości; CLIENT-ID-TWOJEJ-APLIKACJI to Application (client) ID Twojej aplikacji integracyjnej, a nie aplikacji Graph Explorer.
{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-TWOJEJ-APLIKACJI",
        "displayName": "NAZWA-TWOJEJ-APLIKACJI-INTEGRACYJNEJ"
      }
    }
  ]
}
  1. Wybierz Run query. Pomyślne dodanie zwróci 201 Created. Sprawdź w odpowiedzi rolę read i client ID; Graph może pokazać je pod grantedToIdentitiesV2. Następnie ponownie sprawdź za pomocą GET. Zachowaj permission ID do administracji i ewentualnego późniejszego cofnięcia.
  2. Powtórz to tylko dla każdej innej witryny, z której świadomie chcesz połączyć foldery bazy wiedzy.
Grant witryny i uprawnienia bazy wiedzy

Grant Microsoft daje aplikacji dostęp do odczytu do całej wybranej witryny. Środowisko AI importuje tylko wybrany folder i jego podfoldery. Najlepiej używać oddzielnej witryny do centralnie współdzielonej wiedzy. Istniejące uprawnienia bazy wiedzy określają, którzy użytkownicy otrzymają zaimportowane dokumenty; indywidualne uprawnienia SharePoint nie są przenoszone.

4. Podłącz folder i sprawdź wynik​

Otwórz Zarządzanie → Baza wiedzy → Dodaj → Foldery SharePoint → Podłącz folder i użyj rzeczywistego adresu URL folderu, a nie linku z zaproszenia ani adresu OneDrive. Wybierz zakres, grupę docelową i status publikacji zgodnie z instrukcją bazy wiedzy. Centralne źródło nie wymaga osobistego connectora w preferencjach użytkownika.

Sprawdź przy użyciu Odśwież, czy dokumenty zostały przetworzone bez błędów. Użyj Synchronizuj teraz do ponownego sprawdzenia, a następnie zadaj konkretne pytanie na czacie dotyczące zaimportowanego dokumentu. Sprawdź, czy odpowiedź wskazuje właściwe centralne źródło wiedzy.

ProblemKontrola po stronie Microsoft
Logowanie działa, ale centralny folder nieSites.Selected musi mieć typ Application i mieć admin consent; dodatkowo sprawdź oddzielny grant witryny.
403 Forbidden przy dostępie do folderuWłaściwy katalog Microsoft, ID witryny, client ID i grant read; samo admin consent nie daje dostępu do witryny.
403 podczas czynności administracyjnej w Graph ExplorerDelegated Sites.FullControl.All, przyznana zgoda, rola administratora i dostęp do witryny docelowej. Nie dodawaj szerokiego uprawnienia do aplikacji integracyjnej jako rozwiązania.
Witryna działa, folder nie został znalezionySprawdź rzeczywisty adres URL folderu, bibliotekę dokumentów i ścieżkę witryny; skrót OneDrive może wskazywać na inną witrynę.
Secret wygasł lub jest nieprawidłowyPoproś administrację platformy o zaktualizowanie nowego secret Value we właściwym Microsoft Identity Provider.

Dla OnderwijsSupport na AI-Corporate to centralne połączenie zostało opublikowane i przetestowane 14 października 2026. Dostępność na AI-School, AI-Public lub innym środowisku musi zostać potwierdzona przez administrację platformy.

Dokumentacja Microsoft: Selected permissions, dodawanie sitegrant oraz sprawdzanie sitegrants.

Na tej stronie