Настройка Microsoft 365 для вашей среды

Существует два способа подключить Microsoft 365 к вашей среде AI-School. Сначала выберите, какой вариант подходит вашей организации.

Вариант	Когда использовать	Что нужно сделать
Центральное приложение AI-School (по умолчанию)	Личные подключения к Outlook Mail, Outlook Календарю, Teams и SharePoint/OneDrive.	Администратор Entra предоставляет согласие организации через Подключить Microsoft 365. Затем вы включаете интеграции, как описано в шаге 5 этой статьи. Собственное приложение, client secret или Identity Provider не нужны.
Собственное приложение Entra	Вы хотите централизованно импортировать папки SharePoint в базу знаний, сотрудники уже входят через Microsoft с помощью собственного приложения, или вы хотите управлять приложением самостоятельно.	Следуйте этой статье, начиная с шага 1.

Если ваша организация уже входит через Microsoft с помощью собственного приложения (поле Microsoft ID среды заполнено), все подключения используют это собственное приложение. Тогда центральный вариант не применяется.

Собственное приложение Entra

С собственным приложением Microsoft Entra ваша организация может использовать одно и то же приложение для входа через Microsoft и для Outlook, Teams и SharePoint. Вы централизованно определяете, какие интеграции и действия на запись доступны. После этого пользователи только включают или выключают личные подключения в Настройки → Tools → Подключения.

Личные интеграции работают с поддерживаемыми моделями OpenAI, Claude, Gemini и Mistral. Выбранная модель должна уметь использовать инструменты. При личных подключениях доступ следует правам вошедшего в систему пользователя Microsoft. Согласие организации не выполняет автоматический вход для всех сотрудников и не дает AI самостоятельный доступ ко всем почтовым ящикам. Центральная база знаний SharePoint использует отдельные права приложения и существующие права базы знаний, как описано далее в этой статье.

Что вам нужно?

• Организация Microsoft 365 с Microsoft Entra ID и учетными записями, имеющими доступ к нужным службам.
• Администратор, который может зарегистрировать приложение и предоставить согласие организации на выбранные права Microsoft Graph. Только роли подписки Azure для этого недостаточно; ваша роль Entra должна позволять такое согласие.
• Права администратора в нужной AI-среде, чтобы сделать интеграции доступными.
• Платформенный администратор, который может настроить Microsoft Identity Provider для этой AI-среды в Google Cloud Identity Platform.
• App registration в вашем собственном Microsoft-каталоге, с client secret и двумя URL перенаправления для правильного бренда.

Вход через Microsoft и доступ к данным Microsoft — это две отдельные функции. Наличие только рабочего Microsoft-входа еще не означает, что Outlook, Teams или SharePoint настроены.

1. Зарегистрируйте одно организационное приложение

Откройте центр администрирования Microsoft Entra и перейдите в App registrations → New registration. Используйте понятное имя, например AI-School – название вашей организации. Для собственной организации выберите Accounts in this organizational directory only (Single tenant).

Сохраните следующие данные из Overview:

Данные	Для чего?
Directory (tenant) ID	Каталог Microsoft вашей организации; он указывается в поле Microsoft ID среды AI.
Application (client) ID	Зарегистрированное приложение; оно указывается в Microsoft Identity Provider.

Эти два ID различаются. В поле Microsoft ID не нужно указывать client ID или Firebase tenant ID.

2. Настройте правильные URL перенаправления

Перейдите в Authentication → Add a platform → Web. Для вашего бренда добавьте оба URL ниже, в точности как указано. Первый обрабатывает вход; второй — согласие для интеграций рабочих учетных записей.

Бренд	Вход через Microsoft	Интеграции рабочих учетных записей
AI-School	https://ai-school-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporate	https://ai-corporate.firebaseapp.com/__/auth/handler	https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Public	https://ai-public-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

Используйте URL того бренда, на котором работает ваша среда. Ваше собственное название организации или tenant ID не нужно подставлять в эти URL. Website URL, dashboard URL и .web.app URL не заменяют эти callback-адреса. Регистрируйте их как Web, даже если используете интеграцию из браузера. Для этого не нужно включать implicit token grant или public client flow.

3. Создайте client secret и назначьте права

Перейдите в Certificates & secrets → Client secrets → New client secret. Выберите подходящий срок действия и безопасно сохраните Value, как только он станет видимым. Передайте значение через согласованный защищенный канал для управления платформой; Secret ID — это не client secret. Отслеживайте срок действия и замените secret до этой даты, в том числе в Identity Provider.

Затем перейдите в API permissions → Add a permission → Microsoft Graph → Delegated permissions. Добавляйте только те права, которые нужны для интеграций и действий, которые ваша организация будет предоставлять.

Интеграция	Права на чтение	Дополнительные права на запись
Профиль / базовое	User.Read; поток входа также запрашивает openid, profile, email и offline_access	Нет
Outlook Mail	Mail.Read	Черновики: Mail.ReadWrite. Отправка: Mail.Send.
Outlook Календарь	Calendars.Read	Запись: Calendars.ReadWrite.
Microsoft Teams	Chat.Read, ChannelMessage.Read.All	Публикация: Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Send.
SharePoint / OneDrive	Sites.Read.All, Files.Read.All	Эта интеграция рабочих учетных записей здесь не поддерживает действия на запись.

Mail.ReadWrite не дает права на отправку; для этого отдельно нужен Mail.Send. Публикация в Teams записывает текстовые сообщения в выбранный канал, а не личные чаты. Для этой интеграции используйте Delegated permissions, а не Application permissions. Даже при правах с All в названии делегированный доступ ограничивается правами пользователя.

Нажмите Grant admin consent for ваша организация и проверьте, что выбранные права отображаются как предоставленные. Так сотрудники смогут использовать одобренный доступ без необходимости самим предоставлять права организации. Microsoft при этом все равно может запросить вход, MFA или повторное согласие в зависимости от вашей политики.

4. Подключите приложение к AI-среде в двух местах

Пусть платформенный администратор выберет нужную среду и выполнит эти настройки:

1. В Admin → Omgeving → Tenant: включите метод входа Microsoft и укажите в Microsoft ID значение Directory (tenant) ID.
2. В Google Cloud → Identity Platform → соответствующий tenant → Identity providers → Microsoft: включите провайдера и укажите Application (client) ID и client secret Value из того же приложения Entra.

Identity Provider относится к tenant Firebase/Identity Platform вашей AI-среды, а не к другой организации или общей административной среде. Интеграция рабочих учетных записей повторно использует приложение из этого провайдера. Client secret не должен попадать в пользовательские настройки, сообщения чата или обычные поля среды.

Передайте платформенному администратору название организации, бренд, Directory ID, client ID, значение secret через защищенный канал, срок действия и нужные интеграции/права. Одного app ID недостаточно.

5. Разрешите интеграции и действия на запись

Откройте beheeromgeving вашей организации → Tools → MCP. В разделе Suite-snelkoppelingen включите интеграцию Microsoft 365. Строки Microsoft станут видимыми; когда весь suite выключен, эти строки остаются скрытыми.

Для каждой интеграции выберите, будет ли она доступна. В столбце Schrijfacties отдельно выберите:

• Outlook Mail → Concepten: создавать и изменять черновики.
• Outlook Mail → Verzenden: фактически отправлять уже существующий черновик.
• Outlook Agenda → Schrijven: создавать и изменять встречи.
• Microsoft Teams → Posten: размещать текстовые сообщения в выбранном канале Teams.

Нажмите Opslaan. Действие на запись работает только если включены и интеграция, и соответствующее право управления, Microsoft предоставил необходимые права, и пользователь лично включил подключение. Пользователю не требуется дополнительная форма прав на запись.

Доступность

Настройки также должны поддерживаться backend вашего бренда. Это расширение записи было целенаправленно опубликовано и протестировано 7 октября 2026 года для OnderwijsSupport на AI-Corporate. Это не означает автоматически, что то же расширение уже доступно для AI-School, AI-Public или любой другой среды. Обратитесь к платформенному администратору за подтверждением, если действия на запись отсутствуют.

6. Проверьте настройку

Пусть пользователь войдет в нужную AI-среду и включит требуемую интеграцию согласно Использование интеграций Microsoft. Проверьте, отображается ли в Microsoft имя вашего собственного приложения Entra.

Сначала протестируйте узнаваемый черновик и встречу без участников. Проверьте сохраненные элементы в Outlook. Затем протестируйте отправку с согласованным тестовым получателем и публикацию в Teams в согласованном тестовом канале. Встреча с участниками может отправлять приглашения или обновления. Принятая команда на отправку еще не означает подтвержденную доставку.

При расширении прав подключение пытается обновить токены. Если Microsoft снова требует вход или согласие, попросите пользователя повторно подключить существующее соединение. Не нужно создавать второе приложение или отдельную настройку пользователя.

Устранение проблем

Проблема	Проверка
AADSTS50011 / несоответствие redirect	Оба callback точно зарегистрированы как Web, для правильного бренда.
При согласии отображается другое имя приложения	Правильная AI-среда, Directory ID и tenant-специфический Microsoft Identity Provider; затем переподключитесь.
Вход работает, но интеграция — нет	Также проверьте callback коннектора, права Graph и согласие организации.
Чтение работает, запись — нет	Проверьте право управления, соответствующее делегированное право Graph, предоставленное согласие и доступность backend.
Client secret недействителен или истек	Value, а не Secret ID; обновите новый secret также в Identity Provider.
У пользователя отсутствует интеграция	Проверьте доступность в Tools, права пользователя на подключения и выбранную AI-среду.

Дополнительная информация

• Управление Tools
• Использование интеграций Microsoft
• Microsoft: регистрация приложения
• Microsoft: URL перенаправления
• Microsoft Graph: обзор прав

Центральная база знаний SharePoint: настройка Microsoft

Центрально подключенная папка работает через организационное приложение, без необходимости включать личное подключение SharePoint каждому сотруднику. Для этого нужны два отдельных согласия: право приложения Sites.Selected с admin consent и read-grant на выбранный сайт SharePoint. Рабочего входа Microsoft или только admin consent недостаточно.

1. Проверьте организационное приложение

Используйте ту же single-tenant app registration, что и для входа через Microsoft в вашей AI-среде. Существующее приложение можно расширить; второе интеграционное приложение не требуется. Проверьте в Microsoft Entra → App registrations → ваше приложение → Overview значения Directory (tenant) ID и Application (client) ID. Ниже используйте client ID, а не Object ID.

Directory ID должен быть указан в Admin → Omgeving → Tenant → Microsoft ID. Client ID и Value действующего client secret должны быть в Microsoft Identity Provider именно этой AI-среды. Эта конфигурация поддерживается платформенным администратором. Просроченный secret также препятствует центральному импорту; отслеживайте срок действия.

Центральное серверное соединение использует client_credentials и не требует дополнительного URL перенаправления. Существующие Web-redirects для входа и личных интеграций рабочих учетных записей по-прежнему нужны; используйте привязанные к бренду URL из таблицы выше в этой статье.

2. Добавьте право приложения и предоставьте admin consent

1. Откройте API permissions → Add a permission → Microsoft Graph → Application permissions.
2. Найдите Sites.Selected, выберите это право и нажмите Add permissions.
3. Попросите уполномоченного администратора Entra выполнить Grant admin consent for ваша организация.
4. Проверьте, что Sites.Selected, тип Application, отображается как предоставленное.

Делегированные права для личных подключений Outlook, Teams и SharePoint могут остаться в том же приложении. Они не заменяют право приложения для центральной базы знаний. Для этого центрального импорта не нужны права приложения Sites.Read.All, Sites.ReadWrite.All или Sites.FullControl.All.

3. Предоставьте приложению отдельный доступ на чтение к сайту

Эту административную операцию можно выполнить с помощью Microsoft Graph Explorer. Используйте учетную запись администратора в том же Microsoft-каталоге, с ролью SharePoint Administrator или более высокой подходящей административной ролью и доступом к нужному сайту. Роли подписки Azure или только владения приложением для этого недостаточно.

1. Войдите в Graph Explorer под учетной записью администратора и проверьте отображаемую организацию.
2. Откройте профильное меню → Consent to permissions, найдите Sites.FullControl.All и выберите Consent, чтобы предоставить требуемое разрешение для Graph Explorer в этом административном контексте. Для некоторых запросов можно также открыть всю панель прав через Modify Permissions → Open the permissions panel. Это delegated-право администратора для управления site grants; не добавляйте его как широкое право приложения на приложение базы знаний. Используйте согласие на уровне учетной записи, если организационное согласие для всех пользователей не нужно.
3. Найдите site ID с помощью приведенного ниже GET. Замените пример host и путь сайта на данные вашей собственной папки. Если URL содержит /teams/, используйте этот путь вместо /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

Значение id в ответе — это полный site ID, включая имя хоста и два GUID. Также проверьте displayName и webUrl: grant должен быть на том сайте, где фактически находится ваша папка.

4. Сначала проверьте существующие grants с помощью GET по адресу ниже. Если ваш client ID уже там указан с ролью read, создавать второй grant не нужно. Попросите вашего Microsoft-администратора проверить существующие более широкие или отличающиеся grants.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

5. Если grant отсутствует, выберите POST, используйте тот же адрес и в Request Body вставьте следующий JSON. Замените два примерных значения; CLIENT-ID-VAN-UW-APP — это Application (client) ID вашего интеграционного приложения, а не приложение Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

6. Нажмите Run query. Успешное добавление возвращает 201 Created. Проверьте в ответе роль read и client ID; Graph может отображать это в grantedToIdentitiesV2. Затем снова проверьте через GET. Сохраните permission ID для управления и возможного последующего отзыва.
7. Повторяйте это только для каждого другого сайта, к которому вы сознательно хотите подключить папки базы знаний.

Site grant и права базы знаний

Grant Microsoft дает приложению права на чтение всего выбранного сайта. AI-среда импортирует только выбранную папку и подпапки. По возможности используйте отдельный сайт для централизованно общих знаний. Существующие права базы знаний определяют, какие пользователи получат импортированные документы; индивидуальные права SharePoint не наследуются.

4. Подключите папку и проверьте результат

Откройте Beheer → Kennisbank → Toevoegen → SharePoint-mappen → Map koppelen и используйте реальный URL папки, а не ссылку-приглашение или адрес обзора OneDrive. Выберите область, аудиторию и статус публикации согласно руководству по базе знаний. Центральный источник не требует личного коннектора в пользовательских настройках.

Проверьте с помощью Vernieuwen, обработаны ли документы без ошибок. Используйте Nu synchroniseren для новой проверки, а затем задайте конкретный вопрос в чате об импортированном документе. Убедитесь, что ответ указывает правильный центральный источник знаний.

Проблема	Проверка со стороны Microsoft
Вход работает, но центральная папка — нет	Sites.Selected должен быть типа Application и иметь admin consent; дополнительно проверьте отдельный site grant.
403 Forbidden при доступе к папке	Правильные Microsoft-каталог, site ID, client ID и read-grant; один только admin consent не дает доступа к сайту.
403 при административной операции в Graph Explorer	Delegated Sites.FullControl.All, предоставленное согласие, роль администратора и доступ к целевому сайту. Не добавляйте широкое право в приложение интеграции как решение.
Сайт работает, папка не найдена	Проверьте реальный URL папки, библиотеку документов и путь сайта; ярлык OneDrive может указывать на другой сайт.
Secret просрочен или недействителен	Попросите платформенного администратора обновить новое значение secret Value в нужном Microsoft Identity Provider.

Для OnderwijsSupport на AI-Corporate это центральное подключение было опубликовано и протестировано 14 октября 2026 года. Доступность на AI-School, AI-Public или другой среде должна быть подтверждена платформенным администратором.

Документация Microsoft: Selected permissions, добавление site grant и проверка site grants.