Configurați Microsoft 365 pentru mediul dvs.

Există două moduri de a conecta Microsoft 365 la mediul dvs. AI-School. Alegeți mai întâi traseul potrivit pentru organizația dvs.

Traseu	Când	Ce faceți
Aplicația centrală AI-School (implicit)	Conexiuni personale cu Outlook Mail, Outlook Calendar, Teams și SharePoint/OneDrive.	Un administrator Entra acordă consimțământ organizațional prin Conectare Microsoft 365. Apoi activați integrările așa cum este descris la pasul 5 din acest articol. Nu este necesară o aplicație proprie, un client secret sau un Identity Provider.
Aplicație Entra proprie	Doriți să importați central foldere SharePoint în baza de cunoștințe, angajații se autentifică deja cu Microsoft printr-o aplicație proprie sau doriți să administrați singuri aplicația.	Urmați acest articol începând cu pasul 1.

Dacă organizația dvs. se autentifică deja cu Microsoft printr-o aplicație proprie (câmpul Microsoft ID al mediului este completat), atunci toate conexiunile folosesc acea aplicație proprie. Traseul central nu se aplică.

Aplicație Entra proprie

Cu o aplicație Microsoft Entra proprie, organizația dvs. poate folosi aceeași aplicație pentru autentificare cu Microsoft și pentru Outlook, Teams și SharePoint. Decideți central ce integrări și acțiuni de scriere sunt disponibile. Utilizatorii activează sau dezactivează ulterior doar conexiunile personale în Preferințe → Tools → Conexiuni.

Integrările personale funcționează cu modelele compatibile de la OpenAI, Claude, Gemini și Mistral. Modelul ales trebuie să poată folosi tool-uri. În cazul conexiunilor personale, accesul urmează drepturile utilizatorului Microsoft autentificat. Consimțământul organizațional nu conectează automat toți angajații și nu oferă AI-ului acces independent la toate căsuțele poștale. Baza de cunoștințe centrală SharePoint folosește drepturi separate ale aplicației și drepturile existente ale bazei de cunoștințe, așa cum este descris mai jos în acest articol.

Ce aveți nevoie?

O organizație Microsoft 365 cu Microsoft Entra ID și conturi cu acces la serviciile dorite.
Un administrator care poate înregistra o aplicație și poate acorda consimțământ organizațional pentru drepturile Microsoft Graph alese. Doar un rol din abonamentul Azure nu este suficient; rolul dvs. Entra trebuie să permită acest consimțământ.
Drepturi de administrare în mediul AI corect pentru a face integrările disponibile.
Un administrator de platformă care poate configura Microsoft Identity Provider pentru acest mediu AI în Google Cloud Identity Platform.
Un app registration în propriul dvs. director Microsoft, cu un client secret și cele două URL-uri de redirecționare ale brandului corect.

Autentificarea cu Microsoft și accesul la datele Microsoft sunt două funcții separate. Doar o autentificare Microsoft funcțională nu înseamnă încă faptul că Outlook, Teams sau SharePoint sunt configurate.

1. Înregistrați o singură aplicație organizațională

Deschideți Microsoft Entra admin center și mergeți la App registrations → New registration. Folosiți un nume ușor de recunoscut, de exemplu AI-School – numele organizației dvs.. Pentru o organizație proprie, alegeți Accounts in this organizational directory only (Single tenant).

Salvați următoarele date din Overview:

Dată	Pentru ce?
Directory (tenant) ID	Directorul Microsoft al organizației dvs.; acesta intră în câmpul Microsoft ID al mediului AI.
Application (client) ID	Aplicația înregistrată; aceasta intră în Microsoft Identity Provider.

Aceste două ID-uri sunt diferite. Nu introduceți client ID-ul sau Firebase tenant ID-ul în câmpul Microsoft ID.

2. Configurați URL-urile corecte de redirecționare

Mergeți la Authentication → Add a platform → Web. Adăugați pentru brandul dvs. ambele URL-uri de mai jos, exact așa cum sunt afișate. Primul procesează autentificarea; al doilea procesează consimțământul pentru integrările conturilor de lucru.

Brand	Autentificare cu Microsoft	Integrări cont de lucru
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Folosiți URL-urile brandului pe care rulează mediul dvs. Numele organizației dvs. sau tenant ID-ul nu trebuie completate în aceste URL-uri. URL-ul site-ului, URL-ul dashboard-ului și URL-ul .web.app nu înlocuiesc aceste callback-uri. Înregistrați-le ca Web, chiar dacă folosiți integrarea dintr-un browser. Nu trebuie să activați implicit token issuance sau public client flow.

3. Creați un client secret și atribuiți drepturi

Mergeți la Certificates & secrets → Client secrets → New client secret. Alegeți o durată potrivită și salvați în siguranță Value imediat ce devine vizibilă. Furnizați valoarea prin canalul securizat convenit pentru administrarea platformei; Secret ID nu este client secret-ul. Urmăriți data de expirare și înlocuiți secretul înainte de acea dată, inclusiv în Identity Provider.

Apoi mergeți la API permissions → Add a permission → Microsoft Graph → Delegated permissions. Adăugați numai drepturile pentru integrările și acțiunile pe care organizația dvs. le va oferi.

Integrare	Drepturi de citire	Drepturi suplimentare pentru scriere
Profil / bază	`User.Read`; fluxul de autentificare solicită și `openid`, `profile`, `email` și `offline_access`	Niciunul
Outlook Mail	`Mail.Read`	Drafturi: `Mail.ReadWrite`. Trimitere: `Mail.Send`.
Outlook Calendar	`Calendars.Read`	Scriere: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Postare: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Această integrare pentru cont de lucru nu oferă aici acțiuni de scriere.

Mail.ReadWrite nu oferă drept de trimitere; pentru acesta este necesar separat Mail.Send. Postarea în Teams scrie mesaje text într-un canal ales, nu mesaje private de chat. Pentru această integrare folosiți Delegated permissions, nu Application permissions. Chiar și la drepturile cu All în nume, accesul delegat rămâne limitat de drepturile utilizatorului.

Faceți clic pe Grant admin consent for organizația dvs. și verificați că drepturile alese apar ca acordate. Astfel, angajații pot folosi accesul aprobat fără a trebui să acorde singuri drepturi organizaționale. Microsoft poate solicita totuși autentificare, MFA sau reconsimțământ, în funcție de politica dvs.

4. Conectați aplicația în două locuri la mediul AI

Rugați administratorul de platformă să selecteze mediul corect și să efectueze aceste setări:

În Admin → Mediu → Tenant: activați metoda de autentificare Microsoft și completați la Microsoft ID Directory (tenant) ID.
În Google Cloud → Identity Platform → tenantul relevant → Identity providers → Microsoft: activați providerul și completați Application (client) ID și client secret Value ale aceleiași aplicații Entra.

Identity Provider-ul aparține tenantului Firebase/Identity Platform al mediului dvs. AI, nu al altei organizații și nici mediului Admin general. Integrarea pentru cont de lucru folosește din nou aplicația din acest provider. Client secret-ul nu aparține preferințelor utilizatorilor, mesajelor de chat sau câmpurilor obișnuite ale mediului.

Furnizați administratorului de platformă numele organizației, brandul, Directory ID, client ID, valoarea secretului prin canalul securizat, data de expirare și integrările/drepturile dorite. Un simplu app ID nu este suficient.

5. Activați integrările și acțiunile de scriere

Deschideți mediul de administrare al organizației dvs. → Tools → MCP. La Suite shortcuts activați integrarea Microsoft 365. Rândurile Microsoft devin vizibile; când întreaga suită este oprită, aceste rânduri rămân ascunse.

Alegeți pentru fiecare integrare dacă este disponibilă. În coloana Write actions alegeți separat:

Outlook Mail → Drafts: creați și modificați drafturi.
Outlook Mail → Send: trimiteți efectiv un draft existent.
Outlook Calendar → Write: creați și modificați întâlniri.
Microsoft Teams → Post: publicați mesaje text într-un canal Teams ales.

Faceți clic pe Save. O acțiune de scriere funcționează numai dacă atât integrarea, cât și dreptul de administrare asociat sunt activate, Microsoft a acordat drepturile necesare și utilizatorul a activat personal conexiunea. Utilizatorul nu primește pentru aceasta un formular suplimentar de drepturi de scriere.

Disponibilitate

Setările trebuie să fie susținute și de backend-ul brandului dvs. Această extensie de scriere a fost publicată și testată la 7 octombrie 2026 pentru OnderwijsSupport pe AI-Corporate. Aceasta nu înseamnă automat că aceeași extensie a fost deja lansată pentru AI-School, AI-Public sau orice alt mediu. Cereți confirmare de la administrarea platformei dacă acțiunile de scriere lipsesc.

6. Verificați configurarea

Rugați un utilizator să se autentifice în mediul AI corect și să activeze integrarea dorită conform Folosirea integrărilor Microsoft. Verificați dacă Microsoft afișează numele propriei dvs. aplicații Entra.

Testați mai întâi un draft recognoscibil și o întâlnire fără participanți. Verificați elementele salvate în Outlook. Apoi testați trimiterea cu un destinatar de test convenit și postarea în Teams într-un canal de test convenit. O întâlnire cu participanți poate trimite invitații sau actualizări. O comandă de trimitere acceptată nu este încă o livrare confirmată.

La extinderea drepturilor, conexiunea încearcă să reînnoiască token-urile. Dacă Microsoft solicită din nou autentificare sau consimțământ, rugați utilizatorul să reconecteze conexiunea existentă. Nu este nevoie să creați o a doua aplicație sau o setare separată pentru utilizator.

Rezolvarea problemelor

Problemă	Verificare
`AADSTS50011` / redirect mismatch	Ambele callback-uri înregistrate exact ca Web, pentru brandul corect.
Apare un alt nume de aplicație la consimțământ	Mediu AI corect, Directory ID și Microsoft Identity Provider specific tenantului; apoi reconectați.
Login funcționează, dar integrarea nu	Verificați și callback-ul connectorului, drepturile Graph și consimțământul organizațional.
Citirea merge, scrierea nu	Verificați dreptul de administrare, dreptul Graph delegat corespunzător, consimțământul acordat și disponibilitatea backend-ului.
Client secret invalid sau expirat	Value, nu Secret ID; actualizați noul secret și în Identity Provider.
Integrarea lipsește la utilizator	Verificați disponibilitatea în Tools, drepturile utilizatorului pentru conexiuni și mediul AI selectat.

Mai multe informații

Baza de cunoștințe centrală SharePoint: configurarea Microsoft

Un folder conectat central funcționează prin aplicația organizațională, fără ca fiecare angajat să activeze o conexiune personală SharePoint. Pentru aceasta sunt necesare două consimțăminte separate: dreptul aplicației Sites.Selected cu admin consent, și un grant read pe site-ul SharePoint ales. O autentificare Microsoft funcțională sau doar admin consent nu este suficient.

1. Verificați aplicația organizațională

Folosiți aceeași single-tenant app registration ca pentru autentificarea Microsoft în mediul dvs. AI. O aplicație existentă poate fi extinsă; nu este necesară o a doua aplicație de integrare. Verificați în Microsoft Entra → App registrations → aplicația dvs. → Overview Directory (tenant) ID și Application (client) ID. Folosiți mai jos client ID-ul, nu Object ID.

Directory ID trebuie să fie în Admin → Mediu → Tenant → Microsoft ID. Client ID-ul și Value unui client secret valid trebuie să fie la Microsoft Identity Provider al exact acelui mediu AI. Această configurare este administrată de platformă. Un secret expirat împiedică și importul central; urmăriți data de expirare.

Conexiunea centrală cu server folosește client_credentials și nu solicită URL de redirecționare suplimentar. Redirecturile Web existente pentru autentificare și integrările personale pentru cont de lucru rămân necesare; folosiți URL-urile specifice brandului din tabelul de mai sus din acest articol.

Deschideți API permissions → Add a permission → Microsoft Graph → Application permissions.
Căutați Sites.Selected, selectați acest drept și faceți clic pe Add permissions.
Rugați un administrator Entra autorizat să efectueze Grant admin consent for organizația dvs..
Verificați că Sites.Selected, tip Application, apare ca acordat.

Drepturile delegate pentru conexiunile personale Outlook, Teams și SharePoint pot rămâne pe aceeași aplicație. Ele nu înlocuiesc dreptul aplicației pentru baza de cunoștințe centrală. Pentru acest import central nu este necesar dreptul aplicației Sites.Read.All, Sites.ReadWrite.All sau Sites.FullControl.All.

3. Oferiți aplicației acces separat la site pentru citire

Această acțiune de administrare se poate face cu Microsoft Graph Explorer. Folosiți un cont de administrator în același director Microsoft, cu rolul SharePoint Administrator sau un rol administrativ potrivit superior și acces la site-ul relevant. Un rol din abonamentul Azure sau doar proprietatea aplicației nu este suficient.

Autentificați contul de administrator în Graph Explorer și verificați organizația afișată.
Deschideți meniul de profil → Consent to permissions, căutați Sites.FullControl.All și alegeți Consent pentru a acorda permisiunea necesară pentru Graph Explorer în acest context administrativ. La unele interogări puteți deschide și panoul complet de drepturi prin Modify Permissions → Open the permissions panel. Acesta este un drept administrativ delegat pentru gestionarea site grants; nu îl adăugați ca drept larg de aplicație pe aplicația bazei de cunoștințe. Folosiți consimțământul legat de cont atunci când consimțământul organizațional pentru toți utilizatorii nu este necesar.
Găsiți ID-ul site-ului cu GET de mai jos. Înlocuiți hostul de exemplu și calea site-ului cu cele ale propriului dvs. folder. Pentru un URL cu /teams/, folosiți acea cale în loc de /sites/.

GET https://graph.microsoft.com/v1.0/sites/organizatia.dvs.sharepoint.com:/sites/siteul-dvs?$select=id,displayName,webUrl

Valoarea id din răspuns este ID-ul complet al site-ului, inclusiv numele hostului și două GUID-uri. Verificați și displayName și webUrl: grantul trebuie aplicat pe site-ul în care se află efectiv folderul dvs.

Verificați mai întâi granturile existente cu GET la adresa de mai jos. Dacă client ID-ul dvs. apare deja acolo cu rol read, nu trebuie să creați un al doilea grant. Lăsați granturile existente mai largi sau diferite să fie verificate de administratorul dvs. Microsoft.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Dacă lipsește grantul, alegeți POST, folosiți aceeași adresă și completați la Request Body următorul JSON. Înlocuiți cele două valori de exemplu; CLIENT-ID-AL-APLICAȚIEI-DVS este Application (client) ID al aplicației dvs. de integrare, nu aplicația Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-AL-APLICAȚIEI-DVS",
        "displayName": "NUMELE-APLICAȚIEI-DVS-DE-INTEGRARE"
      }
    }
  ]
}

Alegeți Run query. O adăugare reușită returnează 201 Created. Verificați în răspuns rolul read și client ID-ul; Graph le poate afișa sub grantedToIdentitiesV2. Verificați apoi din nou cu GET. Păstrați permission ID-ul pentru administrare și eventuale revocări ulterioare.
Repetați acest lucru doar pentru fiecare alt site pentru care doriți în mod conștient să conectați foldere din baza de cunoștințe.

Site grant și drepturi ale bazei de cunoștințe

Grantul Microsoft oferă aplicației acces de citire la întregul site selectat. Mediul AI importă doar folderul și subfolderele alese. Folosiți, de preferat, un site separat pentru cunoștințe partajate central. Drepturile existente ale bazei de cunoștințe determină ce utilizatori primesc documentele importate; drepturile individuale SharePoint nu sunt preluate.

4. Conectați folderul și verificați rezultatul

Deschideți Administrare → Bază de cunoștințe → Adăugare → Foldere SharePoint → Conectare folder și folosiți URL-ul real al folderului, nu un link de invitație sau o adresă de tip OneDrive overview. Alegeți domeniul, audiența și starea publicării conform manualului bazei de cunoștințe. O sursă centrală nu necesită un connector personal în preferințele utilizatorului.

Verificați cu Reîmprospătare dacă documentele au fost procesate fără erori. Folosiți Sincronizează acum pentru o nouă verificare și apoi adresați o întrebare concretă în chat despre un document importat. Verificați că răspunsul menționează sursa corectă de cunoștințe centrală.

Problemă	Verificare în partea Microsoft
Login funcționează, dar folderul central nu	`Sites.Selected` trebuie să fie de tip Application și să aibă admin consent; verificați și site grant-ul separat.
`403 Forbidden` la accesul folderului	Director Microsoft corect, site ID, client ID și grant `read`; admin consent singur nu oferă acces la site.
`403` la acțiunea de administrare în Graph Explorer	Delegated `Sites.FullControl.All`, permisiunea acordată, rolul de administrator și accesul la site-ul țintă. Nu adăugați un drept larg aplicației de integrare ca soluție.
Site-ul funcționează, folderul nu este găsit	Verificați URL-ul real al folderului, biblioteca de documente și calea site-ului; o scurtătură OneDrive poate indica spre alt site.
Secret expirat sau invalid	Rugați administrarea platformei să actualizeze noua valoare Value a secretului în Microsoft Identity Provider-ul corect.

Pentru OnderwijsSupport pe AI-Corporate, această conexiune centrală a fost publicată și testată la 14 octombrie 2026. Disponibilitatea pe AI-School, AI-Public sau un alt mediu trebuie confirmată de administrarea platformei.

Documentație Microsoft: Selected permissions, adăugare site grant și verificare site grants.

Aplicație Entra proprie​

Ce aveți nevoie?​

1. Înregistrați o singură aplicație organizațională​

2. Configurați URL-urile corecte de redirecționare​

3. Creați un client secret și atribuiți drepturi​

4. Conectați aplicația în două locuri la mediul AI​

5. Activați integrările și acțiunile de scriere​

6. Verificați configurarea​

Rezolvarea problemelor​

Mai multe informații​

Baza de cunoștințe centrală SharePoint: configurarea Microsoft​

1. Verificați aplicația organizațională​

2. Adăugați dreptul aplicației și acordați admin consent​

3. Oferiți aplicației acces separat la site pentru citire​

4. Conectați folderul și verificați rezultatul​