Configurar o Microsoft 365 para o seu ambiente

Há duas maneiras de conectar o Microsoft 365 ao seu ambiente AI-School. Primeiro, escolha qual caminho se adequa à sua organização.

Caminho	Quando	O que você faz
App central da AI-School (padrão)	Conexões pessoais com Outlook Mail, Outlook Agenda, Teams e SharePoint/OneDrive.	Um administrador do Entra concede consentimento organizacional via Conectar Microsoft 365. Depois, você libera as integrações conforme o passo 5 deste artigo. Não é necessária uma app própria, client secret ou Identity Provider.
App própria do Entra	Você quer importar pastas do SharePoint centralmente para a base de conhecimento, os funcionários já fazem login com Microsoft por meio de uma app própria, ou você quer gerenciar a app por conta própria.	Siga este artigo a partir do passo 1.

Se a sua organização já faz login com Microsoft por meio de uma app própria (o campo Microsoft ID do ambiente está preenchido), então todas as conexões usarão essa app própria. Nesse caso, o caminho central não se aplica.

App própria do Entra

Com uma app própria do Microsoft Entra, sua organização pode usar a mesma app para entrar com Microsoft e para Outlook, Teams e SharePoint. Você define centralmente quais integrações e ações de gravação ficam disponíveis. Depois, os usuários apenas ativam ou desativam suas conexões pessoais em Preferências → Tools → Conexões.

As integrações pessoais funcionam com modelos compatíveis da OpenAI, Claude, Gemini e Mistral. O modelo escolhido precisa poder usar tools. Em conexões pessoais, o acesso segue as permissões do usuário Microsoft autenticado. O consentimento organizacional não autentica automaticamente todos os funcionários nem dá à IA acesso autônomo a todas as caixas de correio. A base de conhecimento central do SharePoint usa permissões de app separadas e as permissões existentes da base de conhecimento, conforme descrito mais adiante neste artigo.

O que você precisa?

Uma organização Microsoft 365 com Microsoft Entra ID e contas com acesso aos serviços desejados.
Um administrador que possa registrar uma app e conceder consentimento organizacional para as permissões escolhidas do Microsoft Graph. Somente uma função de assinatura Azure não é suficiente para isso; sua função do Entra precisa permitir esse consentimento.
Permissões de administrador no ambiente AI correto para disponibilizar as integrações.
Um administrador de plataforma que possa configurar o Microsoft Identity Provider para este ambiente AI no Google Cloud Identity Platform.
Um app registration no seu próprio diretório Microsoft, com um client secret e as duas URLs de redirecionamento da marca correta.

Entrar com Microsoft e acessar dados do Microsoft são duas funções separadas. Ter apenas um login Microsoft funcional ainda não significa que Outlook, Teams ou SharePoint estejam configurados.

1. Registre uma única app da organização

Abra o centro de administração do Microsoft Entra e vá para App registrations → New registration. Use um nome reconhecível, por exemplo AI-School – nome da sua organização. Para uma organização própria, escolha Accounts in this organizational directory only (Single tenant).

Guarde os seguintes dados de Overview:

Dado	Para quê?
Directory (tenant) ID	O diretório Microsoft da sua organização; isso vai no campo Microsoft ID do ambiente AI.
Application (client) ID	A app registrada; isso vai no Microsoft Identity Provider.

Esses dois IDs são diferentes. Em Microsoft ID, não informe o client ID nem o Firebase tenant ID.

2. Configure as URLs de redirecionamento corretas

Vá para Authentication → Add a platform → Web. Adicione para a sua marca ambas as URLs abaixo, exatamente como exibidas. A primeira processa o login; a segunda processa o consentimento para as integrações da conta de trabalho.

Marca	Entrar com Microsoft	Integrações da conta de trabalho
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Use as URLs da marca em que seu ambiente está operando. O nome da sua organização ou o tenant ID não precisam ser inseridos nessas URLs. A URL do site, a URL do painel e a URL .web.app não substituem esses callbacks. Registre-as como Web, mesmo que use a integração a partir de um navegador. Você não precisa ativar emissão implícita de token nem fluxo de public client para isso.

3. Crie um client secret e atribua permissões

Vá para Certificates & secrets → Client secrets → New client secret. Escolha um prazo adequado e guarde o Value com segurança assim que ele ficar visível. Envie o valor pelo canal seguro combinado para gestão de plataforma; o Secret ID não é o client secret. Controle a data de expiração e substitua o secret antes dessa data, inclusive no Identity Provider.

Em seguida, vá para API permissions → Add a permission → Microsoft Graph → Delegated permissions. Adicione apenas as permissões para as integrações e ações que sua organização vai oferecer.

Integração	Permissões de leitura	Permissões extras para gravação
Perfil / básico	`User.Read`; o fluxo de login também solicita `openid`, `profile`, `email` e `offline_access`	Nenhuma
Outlook Mail	`Mail.Read`	Rascunhos: `Mail.ReadWrite`. Enviar: `Mail.Send`.
Outlook Agenda	`Calendars.Read`	Gravação: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Publicar: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Esta integração de conta de trabalho não oferece ações de gravação aqui.

Mail.ReadWrite não concede permissão de envio; para isso, Mail.Send é necessário separadamente. A publicação no Teams escreve mensagens de texto em um canal escolhido, não mensagens de chat privado. Para essa integração, use Delegated permissions, não Application permissions. Mesmo nas permissões com All no nome, o acesso delegado continua limitado pelo acesso do usuário.

Clique em Grant admin consent for sua organização e verifique se as permissões escolhidas aparecem como concedidas. Assim, os funcionários podem usar o acesso aprovado sem precisar conceder permissões organizacionais por conta própria. O Microsoft ainda pode solicitar login, MFA ou novo consentimento, dependendo da sua política.

4. Conecte a app em dois lugares ao ambiente AI

Peça ao administrador de plataforma para selecionar o ambiente correto e executar estas configurações:

Em Admin → Ambiente → Tenant: ative o método de login Microsoft e, em Microsoft ID, insira o Directory (tenant) ID.
Em Google Cloud → Identity Platform → o tenant correspondente → Identity providers → Microsoft: ative o provedor e insira o Application (client) ID e o client secret Value da mesma app do Entra.

O Identity Provider pertence ao tenant Firebase/Identity Platform do seu ambiente AI, não a outra organização nem ao ambiente Admin geral. A integração de conta de trabalho usa novamente a app desse provedor. O client secret não deve ser colocado em preferências do usuário, mensagens de chat ou campos normais de ambiente.

Informe à gestão de plataforma o nome da organização, a marca, o Directory ID, o client ID, o valor do secret pelo canal seguro, a data de expiração e as integrações/permissões desejadas. Um app ID sozinho não basta.

5. Liberte as integrações e ações de gravação

Abra o ambiente de gestão da sua organização → Tools → MCP. Em Atalhos da suíte, ative a integração Microsoft 365. As linhas do Microsoft ficarão visíveis; quando a suíte inteira estiver desligada, essas linhas permanecerão ocultas.

Escolha por integração se ela deve ficar disponível. Na coluna Ações de gravação, escolha separadamente:

Outlook Mail → Rascunhos: criar e editar rascunhos.
Outlook Mail → Enviar: enviar de fato um rascunho existente.
Outlook Agenda → Gravação: criar e editar compromissos.
Microsoft Teams → Publicar: colocar mensagens de texto em um canal do Teams escolhido.

Clique em Salvar. Uma ação de gravação só funciona se tanto a integração quanto a permissão de gerenciamento correspondente estiverem ativadas, se o Microsoft tiver concedido as permissões necessárias e se o usuário tiver ativado a conexão pessoalmente. O usuário não recebe um formulário extra de permissões de gravação para isso.

Disponibilidade

As configurações também precisam ser suportadas pelo backend da sua marca. Esta extensão de gravação foi publicada e testada em 7 de outubro de 2026 para o OnderwijsSupport no AI-Corporate. Isso não significa automaticamente que a mesma extensão já tenha sido liberada para AI-School, AI-Public ou qualquer outro ambiente. Peça confirmação à gestão de plataforma quando as ações de gravação estiverem ausentes.

6. Verifique a configuração

Peça a um usuário para entrar no ambiente AI correto e ativar a integração desejada conforme Usar integrações Microsoft. Verifique se o Microsoft mostra o nome da sua própria app do Entra.

Teste primeiro um rascunho reconhecível e um compromisso sem participantes. Verifique os itens salvos no Outlook. Em seguida, teste o envio com um destinatário de teste combinado e a publicação no Teams em um canal de teste combinado. Um compromisso com participantes pode enviar convites ou atualizações. Uma solicitação de envio aceita ainda não é uma entrega confirmada.

Ao ampliar permissões, a conexão tenta renovar tokens. Se o Microsoft exigir novo login ou consentimento, peça ao usuário para reconectar a conexão existente. Não é necessário criar uma segunda app nem uma configuração de usuário separada.

Solução de problemas

Problema	Verificação
`AADSTS50011` / incompatibilidade de redirect	Ambos os callbacks registrados exatamente como Web, para a marca correta.
Aparece outro nome de app durante o consentimento	O ambiente AI correto, o Directory ID e o Microsoft Identity Provider específico do tenant; depois reconecte.
O login funciona, mas a integração não	Verifique também o callback do connector, as permissões Graph e o consentimento organizacional.
Ler funciona, gravar não	Verifique a permissão de gestão, a permissão Graph delegada correspondente, o consentimento concedido e a disponibilidade do backend.
Client secret inválido ou expirado	O Value, não o Secret ID; atualize o novo secret também no Identity Provider.
A integração não aparece para o usuário	Verifique a disponibilidade em Tools, as permissões do usuário para conexões e o ambiente AI selecionado.

Mais informações

Base de conhecimento central do SharePoint: configurar Microsoft

Uma pasta conectada centralmente funciona por meio da app da organização, sem que cada funcionário ative uma conexão pessoal do SharePoint. Para isso, são necessários dois consentimentos separados: a permissão de aplicativo Sites.Selected com admin consent, e um grant read na site do SharePoint escolhida. Um login Microsoft funcional ou apenas admin consent não é suficiente.

1. Verifique a app da organização

Use o mesmo app registration de tenant único usado para o login Microsoft no seu ambiente AI. Uma app existente pode ser ampliada; não é necessária uma segunda app de integração. Verifique em Microsoft Entra → App registrations → sua app → Overview o Directory (tenant) ID e o Application (client) ID. Use o client ID abaixo, não o Object ID.

O Directory ID deve estar em Admin → Ambiente → Tenant → Microsoft ID. O client ID e o Value de um client secret válido devem estar no Microsoft Identity Provider exatamente desse ambiente AI. Essa configuração é mantida pela gestão de plataforma. Um secret expirado também impede a importação central; controle a data de validade.

A conexão central do servidor usa client_credentials e não solicita URL de redirecionamento adicional. Os redirects Web existentes para login e integrações pessoais de conta de trabalho continuam necessários; use as URLs específicas da marca da tabela anterior deste artigo.

Abra API permissions → Add a permission → Microsoft Graph → Application permissions.
Procure Sites.Selected, selecione essa permissão e clique em Add permissions.
Peça a um administrador Entra autorizado para executar Grant admin consent for sua organização.
Verifique se Sites.Selected, tipo Application, aparece como concedida.

As permissões delegadas para conexões pessoais de Outlook, Teams e SharePoint podem permanecer na mesma app. Elas não substituem a permissão de aplicativo para a base de conhecimento central. Para essa importação central, não é necessária a permissão de aplicativo Sites.Read.All, Sites.ReadWrite.All ou Sites.FullControl.All.

3. Conceda à app acesso de leitura separado à site

Essa ação de gestão pode ser feita com o Microsoft Graph Explorer. Use uma conta de administrador no mesmo diretório Microsoft, com função SharePoint Administrator ou outra função de administração adequada e acesso à site correspondente. Uma função de assinatura Azure ou apenas a posse da app não são suficientes para isso.

Entre no Graph Explorer com a conta de administrador e confirme a organização exibida.
Abra seu menu de perfil → Consent to permissions, procure Sites.FullControl.All e escolha Consent para conceder a permissão necessária ao Graph Explorer nesse contexto administrativo. Em algumas consultas, você também pode abrir o painel completo de permissões via Modify Permissions → Open the permissions panel. Esta é uma permissão administrativa delegated para gerenciar site grants; não a adicione como uma permissão ampla de aplicativo na app da base de conhecimento. Use consentimento vinculado à conta quando o consentimento organizacional para todos os usuários não for necessário.
Encontre o ID da site com o GET abaixo. Substitua o host e o caminho da site de exemplo pelos da sua própria pasta. Em uma URL com /teams/, use esse caminho em vez de /sites/.

GET https://graph.microsoft.com/v1.0/sites/suaorganizacao.sharepoint.com:/sites/suasite?$select=id,displayName,webUrl

O valor id na resposta é o ID completo da site, incluindo o nome do host e dois GUIDs. Verifique também displayName e webUrl: o grant deve ser aplicado à site onde sua pasta realmente está.

Primeiro, verifique os grants existentes com GET no endereço abaixo. Se o seu client ID já aparecer com a função read, você não precisa criar um segundo grant. Peça ao seu administrador Microsoft para avaliar grants existentes mais amplos ou divergentes.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Se o grant não existir, escolha POST, use o mesmo endereço e preencha em Request Body o JSON abaixo. Substitua os dois valores de exemplo; CLIENT-ID-DA-SUA-APP é o Application (client) ID da sua app de integração, não a app do Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-DA-SUA-APP",
        "displayName": "NOME-DA-SUA-APP-DE-INTEGRAÇÃO"
      }
    }
  ]
}

Escolha Run query. Uma adição bem-sucedida retorna 201 Created. Verifique no retorno a função read e o client ID; o Graph pode mostrá-los em grantedToIdentitiesV2. Depois, verifique novamente com GET. Guarde o permission ID para gestão e possível revogação futura.
Repita isso apenas para cada outra site da qual você queira conectar conscientemente pastas da base de conhecimento.

Grant da site e direitos da base de conhecimento

O grant Microsoft dá à app acesso de leitura à site inteira selecionada. O ambiente AI importa apenas a pasta escolhida e as subpastas. De preferência, use uma site separada para conhecimento compartilhado centralmente. Os direitos existentes da base de conhecimento determinam quais usuários recebem os documentos importados; permissões individuais do SharePoint não são herdadas.

4. Conecte a pasta e verifique o resultado

Abra Gerenciar → Base de conhecimento → Adicionar → Pastas do SharePoint → Conectar pasta e use a URL real da pasta, não um link de convite nem um endereço de visão geral do OneDrive. Escolha escopo, público-alvo e status de publicação conforme o manual da base de conhecimento. Uma fonte central não requer um connector pessoal nas preferências do usuário.

Verifique com Atualizar se os documentos foram processados sem erros. Use Sincronizar agora para uma nova verificação e, em seguida, faça uma pergunta concreta no chat sobre um documento importado. Confirme que a resposta menciona a fonte de conhecimento central correta.

Problema	Verificação no lado Microsoft
O login funciona, mas a pasta central não	`Sites.Selected` deve ser do tipo Application e ter admin consent; além disso, verifique o grant separado da site.
`403 Forbidden` ao acessar a pasta	Diretório Microsoft correto, ID da site, client ID e grant `read`; admin consent sozinho não concede acesso à site.
`403` na ação administrativa no Graph Explorer	`Sites.FullControl.All` delegado, consentimento concedido, função de administrador e acesso à site de destino. Não adicione permissão ampla à app de integração como solução.
A site funciona, a pasta não foi encontrada	Verifique a URL real da pasta, a biblioteca de documentos e o caminho da site; um atalho do OneDrive pode apontar para outra site.
Secret expirado ou inválido	Peça à gestão de plataforma para atualizar o novo secret Value no Microsoft Identity Provider correto.

Para o OnderwijsSupport no AI-Corporate, essa conexão central foi publicada e testada em 14 de outubro de 2026. A disponibilidade no AI-School, AI-Public ou em outro ambiente deve ser confirmada pela gestão de plataforma.

Documentação Microsoft: Selected permissions, adicionar site grant e verificar site grants.

App própria do Entra​

O que você precisa?​

1. Registre uma única app da organização​

2. Configure as URLs de redirecionamento corretas​

3. Crie um client secret e atribua permissões​

4. Conecte a app em dois lugares ao ambiente AI​

5. Liberte as integrações e ações de gravação​

6. Verifique a configuração​

Solução de problemas​

Mais informações​

Base de conhecimento central do SharePoint: configurar Microsoft​

1. Verifique a app da organização​

2. Adicione a permissão de aplicativo e conceda admin consent​

3. Conceda à app acesso de leitura separado à site​

4. Conecte a pasta e verifique o resultado​