Konfigurera Microsoft 365 för din miljö

Det finns två sätt att koppla Microsoft 365 till din AI-School-miljö. Välj först vilken väg som passar din organisation.

Väg	När	Vad du gör
AI-Schools centrala app (standard)	Personliga kopplingar med Outlook Mail, Outlook Kalender, Teams och SharePoint/OneDrive.	En Entra-administratör ger organisationssamtycke via Koppla Microsoft 365. Därefter aktiverar du integrationerna enligt steg 5 i den här artikeln. En egen app, client secret eller Identity Provider behövs inte.
Egen Entra-app	Du vill importera SharePoint-mappar centralt i kunskapsbanken, medarbetare loggar redan in med Microsoft via en egen app, eller du vill själv hantera appen.	Följ den här artikeln från steg 1.

Om din organisation redan loggar in med Microsoft via en egen app (fältet Microsoft ID för miljön är ifyllt), använder alla kopplingar den egna appen. Den centrala vägen gäller då inte.

Egen Entra-app

Med en egen Microsoft Entra-app kan din organisation använda samma app för inloggning med Microsoft och för Outlook, Teams och SharePoint. Du bestämmer centralt vilka integrationer och skrivåtgärder som är tillgängliga. Användarna slår sedan bara på eller av sina personliga kopplingar i Inställningar → Verktyg → Koppelingar.

De personliga integrationerna fungerar med modeller som stöds från OpenAI, Claude, Gemini och Mistral. Den valda modellen måste kunna använda verktyg. Vid personliga kopplingar följer åtkomsten den inloggade Microsoft-användarens rättigheter. Organisationssamtycke loggar inte automatiskt in alla medarbetare och ger inte AI:n självständig åtkomst till alla inkorgar. Den centrala SharePoint-kunskapsbanken använder separata applikationsrättigheter och de befintliga kunskapsbankrättigheterna, som beskrivs längre fram i den här artikeln.

Vad behöver du?

En Microsoft 365-organisation med Microsoft Entra ID och konton med åtkomst till de önskade tjänsterna.
En administratör som får registrera en app och ge organisationssamtycke för de valda Microsoft Graph-rättigheterna. En Azure-prenumerationsroll räcker inte för detta; din Entra-roll måste tillåta detta samtycke.
Administratörsrättigheter i rätt AI-miljö för att göra integrationerna tillgängliga.
En plattformsadministratör som kan konfigurera Microsoft Identity Provider för den här AI-miljön i Google Cloud Identity Platform.
En app registration i din egen Microsoft-katalog, med en client secret och de två omdirigerings-URL:erna för rätt varumärke.

Att logga in med Microsoft och få åtkomst till Microsoft-data är två separata funktioner. En fungerande Microsoft-inloggning betyder inte att Outlook, Teams eller SharePoint redan är konfigurerat.

1. Registrera en organisationsapp

Öppna Microsoft Entra-administrationscentret och gå till App registrations → New registration. Använd ett igenkännbart namn, till exempel AI-School – ditt organisationsnamn. Välj för en egen organisation Accounts in this organizational directory only (Single tenant).

Spara följande uppgifter från Overview:

Uppgift	Vad används den till?
Directory (tenant) ID	Microsoft-katalogen för din organisation; detta går in i fältet Microsoft ID i AI-miljön.
Application (client) ID	Den registrerade appen; detta går in i Microsoft Identity Provider.

Dessa två ID:n är olika. Ange inte client ID eller Firebase-tenant-ID i Microsoft ID.

2. Ställ in rätt omdirigerings-URL:er

Gå till Authentication → Add a platform → Web. Lägg till båda URL:erna nedan för ditt varumärke, exakt som de visas. Den första hanterar inloggningen; den andra hanterar samtycke för arbetskonto-integrationerna.

Varumärke	Inloggning med Microsoft	Arbetskonto-integrationer
AI-School	`https://ai-school-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth`
AI-Corporate	`https://ai-corporate.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth`
AI-Public	`https://ai-public-pro.firebaseapp.com/__/auth/handler`	`https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth`

Använd URL:erna för det varumärke som din miljö körs på. Ditt eget organisationsnamn eller tenant-ID behöver inte anges i dessa URL:er. Webbplats-URL, dashboard-URL och .web.app-URL ersätter inte dessa callbacks. Registrera dem som Web, även om du använder integrationen från en webbläsare. Du behöver inte aktivera implicit tokenutgivning eller public client flow för detta.

3. Skapa en client secret och tilldela rättigheter

Gå till Certificates & secrets → Client secrets → New client secret. Välj en lämplig giltighetstid och spara Value säkert så snart den visas. Lämna värdet via den överenskomna säkra kanalen för plattformsadministration; Secret ID är inte client secret. Håll koll på utgångsdatumet och ersätt secret före det datumet, även i Identity Provider.

Gå sedan till API permissions → Add a permission → Microsoft Graph → Delegated permissions. Lägg bara till de rättigheter som behövs för de integrationer och åtgärder som din organisation ska erbjuda.

Integration	Läsrättigheter	Extra rättigheter för skrivning
Profil / grundläggande	`User.Read`; inloggningsflödet frågar också efter `openid`, `profile`, `email` och `offline_access`	Inga
Outlook Mail	`Mail.Read`	Utkast: `Mail.ReadWrite`. Skicka: `Mail.Send`.
Outlook Kalender	`Calendars.Read`	Skriv: `Calendars.ReadWrite`.
Microsoft Teams	`Chat.Read`, `ChannelMessage.Read.All`	Publicera: `Team.ReadBasic.All`, `Channel.ReadBasic.All`, `ChannelMessage.Send`.
SharePoint / OneDrive	`Sites.Read.All`, `Files.Read.All`	Denna arbetskonto-integration erbjuder inga skrivåtgärder här.

Mail.ReadWrite ger inte rätt att skicka; för det behövs separat Mail.Send. Teams-publicering skriver textmeddelanden i en vald kanal, inte privata chattmeddelanden. För denna integration använder du Delegated permissions, inte Application permissions. Även för rättigheter med All i namnet begränsas delegerad åtkomst av användarens åtkomst.

Klicka på Grant admin consent for din organisation och kontrollera att de valda rättigheterna visas som beviljade. Då kan medarbetarna använda den godkända åtkomsten utan att själva behöva ge organisationsrättigheter. Microsoft kan fortfarande be om inloggning, MFA eller förnyat samtycke, beroende på din policy.

4. Koppla appen på två ställen till AI-miljön

Låt plattformsadministratören välja rätt miljö och utföra dessa inställningar:

I Admin → Miljö → Tenant: aktivera inloggningsmetoden Microsoft och ange Directory (tenant) ID i fältet Microsoft ID.
I Google Cloud → Identity Platform → den aktuella tenant → Identity providers → Microsoft: aktivera providern och ange Application (client) ID och client secret Value från samma Entra-app.

Identity Provider hör till Firebase/Identity Platform-tenant för din AI-miljö, inte till en annan organisation eller den allmänna Admin-miljön. Arbetskonto-integrationen använder appen från denna provider på nytt. Client secret ska inte anges i användarinställningar, chattmeddelanden eller vanliga miljöfält.

Lämna till plattformsadministration organisationsnamnet, varumärket, Directory ID, client ID, secretvärdet via den säkra kanalen, utgångsdatumet och de önskade integrationerna/rättigheterna. Ett app-ID ensamt räcker inte.

5. Aktivera integrationerna och skrivåtgärderna

Öppna administrationsmiljön för din organisation → Tools → MCP. Slå på integrationen Microsoft 365 under Suite-snelkoppelingen. Microsoft-raderna blir synliga; när hela sviten är avstängd förblir dessa rader dolda.

Välj per integration om den ska vara tillgänglig. I kolumnen Skrivåtgärder väljer du separat:

Outlook Mail → Utkast: skapa och ändra utkast.
Outlook Mail → Skicka: skicka ett befintligt utkast.
Outlook Kalender → Skriv: skapa och ändra möten.
Microsoft Teams → Publicera: lägg textmeddelanden i en vald Teams-kanal.

Klicka på Spara. En skrivåtgärd fungerar bara om både integrationen och den tillhörande administrationsrättigheten är påslagna, Microsoft har beviljat de nödvändiga rättigheterna och användaren har slagit på kopplingen personligen. Användaren får inget extra formulär för skrivrättigheter för detta.

Tillgänglighet

Inställningarna måste också stödjas av backend för ditt varumärke. Den här skrivutökningen publicerades och testades den 7 oktober 2026 för OnderwijsSupport på AI-Corporate. Det betyder inte automatiskt att samma utökning redan har släppts för AI-School, AI-Public eller någon annan miljö. Be plattformsadministration om bekräftelse när skrivåtgärder saknas.

6. Kontrollera konfigurationen

Låt en användare logga in på rätt AI-miljö och aktivera den önskade integrationen enligt Använda Microsoft-integrationer. Kontrollera att Microsoft visar namnet på din egen Entra-app.

Testa först ett igenkännbart utkast och ett möte utan deltagare. Kontrollera de sparade objekten i Outlook. Testa sedan skicka med en avtalad testmottagare och Teams-publicering i en avtalad testkanal. Ett möte med deltagare kan skicka inbjudningar eller uppdateringar. Ett accepterat skicka-kommando är ännu inte en bekräftad leverans.

Vid utökning av rättigheter försöker kopplingen förnya tokens. Om Microsoft kräver ny inloggning eller nytt samtycke, låt användaren ansluta om den befintliga kopplingen. Det behöver inte skapas en andra app eller en separat användarinställning.

Felsökning

Problem	Kontroll
`AADSTS50011` / redirect mismatch	Båda callbacks exakt registrerade som Web, för rätt varumärke.
Ett annat appnamn visas vid samtycke	Rätt AI-miljö, Directory ID och tenant-specifik Microsoft Identity Provider; anslut sedan på nytt.
Inloggning fungerar, men inte integrationen	Kontrollera även connectorcallback, Graph-rättigheter och organisationssamtycke.
Läsning fungerar, skrivning inte	Kontrollera administrationsrättighet, tillhörande delegerad Graph-rättighet, beviljat samtycke och backend-tillgänglighet.
Client secret ogiltig eller utgången	Den Value, inte Secret ID; uppdatera den nya secret även i Identity Provider.
Integration saknas för användaren	Kontrollera tillgänglighet i Tools, användarrättigheter för kopplingar och den valda AI-miljön.

Mer information

Central SharePoint-kunskapsbank: konfigurera Microsoft

En centralt kopplad mapp fungerar via organisationsappen, utan att varje medarbetare aktiverar en personlig SharePoint-koppling. För detta krävs två separata samtycken: applikationsrättigheten Sites.Selected med admin consent, samt en read-grant på den valda SharePoint-sajten. En fungerande Microsoft-inloggning eller bara admin consent räcker inte.

1. Kontrollera organisationsappen

Använd samma single-tenant app registration som för Microsoft-inloggning i din AI-miljö. En befintlig app kan utökas; en andra integrationsapp behövs inte. Kontrollera i Microsoft Entra → App registrations → din app → Overview Directory (tenant) ID och Application (client) ID. Använd client ID nedan, inte Object ID.

Directory ID måste stå i Admin → Miljö → Tenant → Microsoft ID. Client ID och Value för ett giltigt client secret måste finnas hos Microsoft Identity Provider för exakt den AI-miljön. Denna konfiguration underhålls av plattformsadministration. Ett utgånget secret förhindrar också den centrala importen; håll koll på utgångsdatumet.

Den centrala serveranslutningen använder client_credentials och begär ingen extra redirect-URL. De befintliga Web-redirects för inloggning och personliga arbetskonto-integrationer behövs fortfarande; använd de varumärkesbundna URL:erna från tabellen tidigare i den här artikeln.

Öppna API permissions → Add a permission → Microsoft Graph → Application permissions.
Sök efter Sites.Selected, välj den rättigheten och klicka på Add permissions.
Låt en behörig Entra-administratör utföra Grant admin consent for din organisation.
Kontrollera att Sites.Selected, typ Application, visas som beviljad.

De delegerade rättigheterna för personliga Outlook-, Teams- och SharePoint-kopplingar kan ligga kvar på samma app. De ersätter inte applikationsrättigheten för den centrala kunskapsbanken. För denna centrala import behövs ingen applikationsrättighet Sites.Read.All, Sites.ReadWrite.All eller Sites.FullControl.All.

3. Ge appen separat läsåtkomst till sajten

Den här administratörsåtgärden kan göras med Microsoft Graph Explorer. Använd ett administratörskonto i samma Microsoft-katalog, med SharePoint Administrator eller en högre lämplig administratörsroll och åtkomst till den aktuella sajten. En Azure-prenumerationsroll eller bara ägarskap av appen räcker inte för detta.

Logga in administratörskontot i Graph Explorer och kontrollera den visade organisationen.
Öppna din profilmeny → Consent to permissions, sök efter Sites.FullControl.All och välj Consent för att ge den nödvändiga behörigheten för Graph Explorer i den här administratörskontexten. För vissa frågor kan du också öppna hela rättighetspanelen via Modify Permissions → Open the permissions panel. Detta är en delegated administratörsrättighet för att hantera sitegrants; lägg inte till den som en bred applikationsrättighet på kunskapsbankappen. Använd kontobunden tillåtelse när organisationssamtycke för alla användare inte behövs.
Hitta site-ID med nedanstående GET. Ersätt exempelhosten och site-sökvägen med dem för din egen mapp. Vid en URL med /teams/ använder du den sökvägen i stället för /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

Värdet id i svaret är hela site-ID:t, inklusive värdnamn och två GUID:er. Kontrollera också displayName och webUrl: grantet måste läggas på den sajt där din mapp faktiskt finns.

Kontrollera först befintliga grants med GET på adressen nedan. Om ditt client ID redan finns där med rollen read behöver du inte skapa ett andra grant. Låt din Microsoft-administratör granska befintliga bredare eller avvikande grants.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

Om grant saknas, välj POST, använd samma adress och fyll i följande JSON under Request Body. Ersätt de två exempelvärdena; CLIENT-ID-VAN-UW-APP är Application (client) ID för din integrationsapp, inte Graph Explorer-appen.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

Välj Run query. Ett lyckat tillägg ger 201 Created. Kontrollera i svaret rollen read och client ID; Graph kan visa detta under grantedToIdentitiesV2. Kontrollera sedan igen med GET. Spara permission-ID för administration och eventuell senare återkallelse.
Upprepa detta endast för varje annan sajt där du medvetet vill koppla kunskapsbankmappar.

Sitegrant och kunskapsbankrättigheter

Microsoft-grantet ger appen läsåtkomst till hela den valda sajten. AI-miljön importerar bara den valda mappen och undermapparna. Använd helst en separat sajt för kunskap som delas centralt. De befintliga kunskapsbankrättigheterna avgör vilka användare som får de importerade dokumenten; individuella SharePoint-rättigheter följer inte med.

4. Koppla mappen och kontrollera resultatet

Öppna Beheer → Kennisbank → Toevoegen → SharePoint-mappen → Map koppelen och använd den verkliga mapp-URL:en, inte en inbjudningslänk eller adressen till OneDrive-översikten. Välj omfattning, målgrupp och publiceringsstatus enligt kunskapsbankguiden. En central källa kräver ingen personlig connector i användarinställningarna.

Kontrollera med Vernieuwen om dokumenten har bearbetats utan fel. Använd Nu synchroniseren för en ny kontroll och ställ sedan en konkret chattfråga om ett importerat dokument. Kontrollera att svaret nämner rätt centrala kunskapskälla.

Problem	Kontroll på Microsoft-sidan
Inloggning fungerar, men den centrala mappen inte	`Sites.Selected` måste vara av typen Application och ha admin consent; kontrollera dessutom det separata sitegrantet.
`403 Forbidden` vid mappåtkomst	Rätt Microsoft-katalog, site-ID, client ID och `read`-grant; admin consent ger inte ensam åtkomst till sajten.
`403` vid administratörsåtgärden i Graph Explorer	Delegated `Sites.FullControl.All`, beviljat samtycke, administratörsroll och åtkomst till målsajten. Lägg inte till en bred rättighet på integrationsappen som lösning.
Sajten fungerar, men mappen hittas inte	Kontrollera den verkliga mapp-URL:en, dokumentbiblioteket och site-sökvägen; en OneDrive-genväg kan peka till en annan sajt.
Secret utgånget eller ogiltigt	Låt plattformsadministration uppdatera det nya secret Value i rätt Microsoft Identity Provider.

För OnderwijsSupport på AI-Corporate publicerades och testades denna centrala koppling den 14 oktober 2026. Tillgänglighet på AI-School, AI-Public eller en annan miljö måste bekräftas av plattformsadministration.

Microsoft-dokumentation: Selected permissions, lägg till sitegrant och kontrollera sitegrants.

Egen Entra-app​

Vad behöver du?​

1. Registrera en organisationsapp​

2. Ställ in rätt omdirigerings-URL:er​

3. Skapa en client secret och tilldela rättigheter​

4. Koppla appen på två ställen till AI-miljön​

5. Aktivera integrationerna och skrivåtgärderna​

6. Kontrollera konfigurationen​

Felsökning​

Mer information​

Central SharePoint-kunskapsbank: konfigurera Microsoft​

1. Kontrollera organisationsappen​

2. Lägg till applikationsrättigheten och ge admin consent​

3. Ge appen separat läsåtkomst till sajten​

4. Koppla mappen och kontrollera resultatet​