Налаштувати Microsoft 365 для вашого середовища

Є два способи підключити Microsoft 365 до вашого середовища AI-School. Спочатку виберіть, який шлях підходить вашій організації.

Шлях	Коли	Що ви робите
Центральна програма AI-School (стандартно)	Особисті підключення до Outlook Mail, Outlook Calendar, Teams та SharePoint/OneDrive.	Адміністратор Entra надає дозвіл організації через Підключити Microsoft 365. Після цього ви вмикаєте інтеграції, як описано в кроці 5 цієї статті. Власна програма, client secret або Identity Provider не потрібні.
Власна Entra-програма	Ви хочете централізовано імпортувати папки SharePoint у базу знань, співробітники вже входять через Microsoft за допомогою власної програми або ви хочете керувати програмою самостійно.	Виконайте цю статтю, починаючи з кроку 1.

Якщо ваша організація вже входить через Microsoft за допомогою власної програми (поле Microsoft ID середовища заповнене), то всі підключення використовують цю власну програму. Центральний шлях тоді не застосовується.

Власна Entra-програма

З власною програмою Microsoft Entra ваша організація може використовувати одну й ту саму програму для входу через Microsoft і для Outlook, Teams та SharePoint. Ви централізовано визначаєте, які інтеграції та дії запису доступні. Після цього користувачі лише вмикають або вимикають свої особисті підключення в Налаштування → Tools → Підключення.

Особисті інтеграції працюють із підтримуваними моделями OpenAI, Claude, Gemini та Mistral. Обрана модель має вміти використовувати інструменти. Для особистих підключень доступ визначається правами увійденого користувача Microsoft. Дозвіл організації не входить усіх співробітників автоматично та не надає AI самостійний доступ до всіх поштових скриньок. Центральна база знань SharePoint використовує окремі права програми та наявні права бази знань, як описано далі в цій статті.

Що вам потрібно?

• Організація Microsoft 365 із Microsoft Entra ID та обліковими записами з доступом до потрібних сервісів.
• Адміністратор, який може зареєструвати програму та надати дозвіл організації для вибраних прав Microsoft Graph. Лише роль в Azure subscription для цього недостатня; ваша роль Entra має дозволяти таку згоду.
• Права адміністратора у правильному середовищі AI, щоб зробити інтеграції доступними.
• Адміністратор платформи, який може налаштувати Microsoft Identity Provider для цього середовища AI в Google Cloud Identity Platform.
• App registration у вашому власному каталозі Microsoft із client secret і двома URL перенаправлення для правильного бренду.

Вхід через Microsoft і доступ до даних Microsoft — це дві окремі функції. Лише робочий Microsoft-login ще не означає, що Outlook, Teams або SharePoint налаштовано.

1. Зареєструйте одну організаційну програму

Відкрийте центр адміністрування Microsoft Entra і перейдіть до App registrations → New registration. Використайте впізнавану назву, наприклад AI-School – назва вашої організації. Для власної організації виберіть Accounts in this organizational directory only (Single tenant).

Збережіть такі дані з Overview:

Дані	Для чого?
Directory (tenant) ID	Каталог Microsoft вашої організації; це потрапляє в поле Microsoft ID середовища AI.
Application (client) ID	Зареєстрована програма; це потрапляє в Microsoft Identity Provider.

Ці два ID різні. У полі Microsoft ID не вказуйте client ID або Firebase tenant ID.

2. Налаштуйте правильні URL перенаправлення

Перейдіть до Authentication → Add a platform → Web. Для вашого бренду додайте обидва наведені нижче URL, точно як показано. Перший обробляє вхід; другий обробляє згоду для інтеграцій робочих облікових записів.

Бренд	Вхід через Microsoft	Інтеграції робочого облікового запису
AI-School	https://ai-school-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporate	https://ai-corporate.firebaseapp.com/__/auth/handler	https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Public	https://ai-public-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

Використовуйте URL того бренду, на якому працює ваше середовище. Вашу власну назву організації або tenant ID не потрібно вставляти в ці URL. Website URL, dashboard URL і .web.app URL не замінюють ці callback-адреси. Реєструйте їх як Web, навіть якщо використовуєте інтеграцію з браузера. Для цього не потрібно вмикати implicit token issuance або public-client flow.

3. Створіть client secret і призначте права

Перейдіть до Certificates & secrets → Client secrets → New client secret. Виберіть відповідний термін дії та безпечно збережіть Value, щойно вона стане видимою. Передайте значення через узгоджений захищений канал для керування платформою; Secret ID — це не client secret. Слідкуйте за датою завершення дії та замініть secret до цієї дати, зокрема і в Identity Provider.

Потім перейдіть до API permissions → Add a permission → Microsoft Graph → Delegated permissions. Додавайте лише ті права, які відповідають інтеграціям і діям, що ваша організація надаватиме.

Інтеграція	Права на читання	Додаткові права для запису
Профіль / базове	User.Read; флоу входу також запитує openid, profile, email і offline_access	Немає
Outlook Mail	Mail.Read	Чернетки: Mail.ReadWrite. Надсилання: Mail.Send.
Outlook Calendar	Calendars.Read	Запис: Calendars.ReadWrite.
Microsoft Teams	Chat.Read, ChannelMessage.Read.All	Публікація: Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Send.
SharePoint / OneDrive	Sites.Read.All, Files.Read.All	Ця інтеграція робочого облікового запису тут не підтримує дії запису.

Mail.ReadWrite не дає права надсилати; для цього окремо потрібен Mail.Send. Публікація в Teams записує текстові повідомлення в обраний канал, а не приватні повідомлення чату. Для цієї інтеграції використовуйте Delegated permissions, а не Application permissions. Навіть для прав із All у назві делегований доступ усе одно обмежується правами користувача.

Натисніть Grant admin consent for your organization і перевірте, що вибрані права відображаються як granted. Так співробітники зможуть використовувати схвалений доступ без необхідності самостійно надавати організаційні права. Microsoft усе одно може попросити повторний вхід, MFA або повторну згоду залежно від вашої політики.

4. Під’єднайте програму у двох місцях до середовища AI

Нехай адміністратор платформи вибере правильне середовище та виконає ці налаштування:

1. У Admin → Omgeving → Tenant: увімкніть метод входу Microsoft і в полі Microsoft ID вкажіть Directory (tenant) ID.
2. У Google Cloud → Identity Platform → відповідний tenant → Identity providers → Microsoft: увімкніть провайдера і введіть Application (client) ID та client secret Value тієї самої Entra-програми.

Identity Provider належить до Firebase/Identity Platform tenant вашого середовища AI, а не до іншої організації чи загального Admin-середовища. Інтеграція робочого облікового запису повторно використовує програму з цього provider. Client secret не має бути в налаштуваннях користувача, чат-повідомленнях або звичайних полях середовища.

Передайте адміністратору платформи назву організації, бренд, Directory ID, client ID, secret value через захищений канал, дату завершення дії та потрібні інтеграції/права. Лише app ID недостатньо.

5. Надайте доступ до інтеграцій і дій запису

Відкрийте beheeromgeving van uw organisatie → Tools → MCP. У Suite-snelkoppelingen увімкніть інтеграцію Microsoft 365. Рядки Microsoft стануть видимими; коли вся suite вимкнена, ці рядки залишаються прихованими.

Для кожної інтеграції окремо виберіть, чи вона доступна. У колонці Schrijfacties окремо виберіть:

• Outlook Mail → Concepten: створювати й змінювати чернетки.
• Outlook Mail → Verzenden: фактично надсилати наявну чернетку.
• Outlook Agenda → Schrijven: створювати й змінювати зустрічі.
• Microsoft Teams → Posten: розміщувати текстові повідомлення в обраному каналі Teams.

Натисніть Opslaan. Дія запису працює лише якщо одночасно увімкнено і інтеграцію, і відповідне право керування, Microsoft надала потрібні права, а користувач особисто увімкнув підключення. Користувач не отримує для цього додаткову форму прав запису.

Доступність

Налаштування також мають підтримуватися backend вашого бренду. Це розширення запису було цільово опубліковане та протестоване 7 жовтня 2026 року для OnderwijsSupport на AI-Corporate. Це не означає автоматично, що таке саме розширення вже доступне для AI-School, AI-Public або будь-якого іншого середовища. Якщо дії запису відсутні, попросіть підтвердження у platformbeheer.

6. Перевірте налаштування

Нехай користувач увійде у правильне середовище AI та увімкне потрібну інтеграцію згідно з Використовувати інтеграції Microsoft. Переконайтеся, що Microsoft показує назву вашої власної Entra-програми.

Спочатку протестуйте впізнавану чернетку та зустріч без учасників. Перевірте збережені елементи в Outlook. Потім протестуйте надсилання з узгодженим тестовим отримувачем і публікацію в Teams в узгодженому тестовому каналі. Зустріч з учасниками може надсилати запрошення або оновлення. Прийнята команда на надсилання ще не є підтвердженою доставкою.

Під час розширення прав підключення намагається оновити токени. Якщо Microsoft знову вимагає вхід або згоду, користувач має повторно підключити наявне підключення. Не потрібно створювати другу програму або окреме налаштування користувача.

Вирішення проблем

Проблема	Перевірка
AADSTS50011 / redirect mismatch	Обидва callback точно зареєстровані як Web, для правильного бренду.
Під час згоди відображається інша назва програми	Правильне середовище AI, Directory ID і tenant-specific Microsoft Identity Provider; після цього перепідключити.
Вхід працює, але інтеграція ні	Також перевірте connector callback, Graph-права та дозвіл організації.
Читання працює, запис ні	Перевірте право керування, відповідне делеговане Graph-права, надану згоду та доступність backend.
Client secret недійсний або прострочений	Оновіть Value, а не Secret ID; новий secret також потрібно оновити в Identity Provider.
Інтеграція відсутня у користувача	Перевірте доступність у Tools, права користувача для підключень і вибране середовище AI.

Додаткова інформація

• Керувати Tools
• Використовувати інтеграції Microsoft
• Microsoft: зареєструвати програму
• Microsoft: URL перенаправлення
• Microsoft Graph: огляд прав

Центральна база знань SharePoint: налаштування Microsoft

Центрально під’єднана папка працює через організаційну програму, без того щоб кожен співробітник вмикав особисте підключення SharePoint. Для цього потрібні два окремі дозволи: право програми Sites.Selected із admin consent, і read-grant на вибрану SharePoint-сайт. Робочий Microsoft-login або лише admin consent недостатньо.

1. Перевірте організаційну програму

Використовуйте ту саму single-tenant app registration, що й для входу через Microsoft у вашому середовищі AI. Існуючу програму можна розширити; друга інтеграційна програма не потрібна. Перевірте в Microsoft Entra → App registrations → ваша програма → Overview Directory (tenant) ID та Application (client) ID. Нижче використовуйте client ID, а не Object ID.

Directory ID має бути в Admin → Omgeving → Tenant → Microsoft ID. Client ID і Value дійсного client secret мають бути в Microsoft Identity Provider саме цього середовища AI. Цю конфігурацію підтримує platformbeheer. Прострочений secret також блокує центральний імпорт; стежте за датою завершення дії.

Центральне серверне з’єднання використовує client_credentials і не потребує додаткового redirect-URL. Наявні Web-redirects для входу та особистих інтеграцій робочого облікового запису все одно потрібні; використовуйте брендовані URL із таблиці вище в цій статті.

2. Додайте право програми та надайте admin consent

1. Відкрийте API permissions → Add a permission → Microsoft Graph → Application permissions.
2. Знайдіть Sites.Selected, виберіть це право та натисніть Add permissions.
3. Нехай уповноважений адміністратор Entra виконає Grant admin consent for your organization.
4. Переконайтеся, що Sites.Selected, тип Application, відображається як granted.

Делеговані права для особистих Outlook-, Teams- і SharePoint-підключень можуть залишатися в тій самій програмі. Вони не замінюють право програми для центральної бази знань. Для цього центрального імпорту не потрібні права програми Sites.Read.All, Sites.ReadWrite.All або Sites.FullControl.All.

3. Надайте програмі окремий доступ на читання до сайту

Цю адміністративну дію можна виконати через Microsoft Graph Explorer. Використовуйте обліковий запис адміністратора в тому самому каталозі Microsoft, з роллю SharePoint Administrator або вищою відповідною адміністративною роллю та доступом до потрібного сайту. Роль Azure subscription або лише право власника програми для цього недостатні.

1. Увійдіть в Graph Explorer під обліковим записом адміністратора та перевірте відображену організацію.
2. Відкрийте profile menu → Consent to permissions, знайдіть Sites.FullControl.All і виберіть Consent, щоб надати необхідну згоду для Graph Explorer у цьому адміністративному контексті. Для деяких запитів можна також відкрити повну панель прав через Modify Permissions → Open the permissions panel. Це delegated адміністративне право для керування site grants; не додавайте його як широке право програми до програми бази знань. Використовуйте згоду, прив’язану до облікового запису, коли загальна згода для всіх користувачів не потрібна.
3. Знайдіть site ID за допомогою наведеного нижче GET. Замініть приклад host і шлях сайту на свої для вашої папки. Для URL з /teams/ використовуйте цей шлях замість /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

Значення id у відповіді — це повний site ID, включно з ім’ям хоста та двома GUID. Також перевірте displayName і webUrl: grant має бути для того сайту, де фактично знаходиться ваша папка.

4. Спочатку перевірте наявні grants через GET за адресою нижче. Якщо там уже є ваш client ID з роллю read, не потрібно створювати другий grant. Наявні ширші або інші grants має перевірити ваш адміністратор Microsoft.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

5. Якщо grant відсутній, виберіть POST, використайте ту саму адресу і введіть у Request Body такий JSON. Замініть два приклади значень; CLIENT-ID-VAN-UW-APP — це Application (client) ID вашої інтеграційної програми, а не програми Graph Explorer.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

6. Виберіть Run query. Успішне додавання повертає 201 Created. Перевірте у відповіді роль read і client ID; Graph може показувати це в grantedToIdentitiesV2. Після цього перевірте ще раз через GET. Збережіть permission ID для адміністрування та можливого подальшого відкликання.
7. Повторіть це лише для кожного іншого сайту, до якого ви свідомо хочете підключити папки бази знань.

Sitegrant і права бази знань

Грант Microsoft надає програмі доступ на читання до всього вибраного сайту. Середовище AI імпортує лише обрану папку та підпапки. За можливості використовуйте окремий сайт для спільної бази знань. Наявні права бази знань визначають, які користувачі отримають імпортовані документи; індивідуальні права SharePoint не переносяться.

4. Під’єднайте папку і перевірте результат

Відкрийте Beheer → Kennisbank → Toevoegen → SharePoint-mappen → Map koppelen і використовуйте справжню URL папки, а не посилання-запрошення чи адресу огляду OneDrive. Виберіть область, аудиторію та статус публікації відповідно до інструкції бази знань. Центральне джерело не потребує особистого connector у налаштуваннях користувача.

Перевірте через Vernieuwen, чи документи оброблені без помилок. Використайте Nu synchroniseren для нової перевірки, а потім поставте конкретне запитання в чаті про імпортований документ. Переконайтеся, що відповідь містить правильне центральне джерело знань.

Проблема	Перевірка на стороні Microsoft
Вхід працює, але центральна папка ні	Sites.Selected має бути типу Application і мати admin consent; також перевірте окремий site grant.
403 Forbidden під час доступу до папки	Правильний каталог Microsoft, site ID, client ID і read-grant; admin consent сам по собі не надає доступ до сайту.
403 під час адміністративної дії в Graph Explorer	Delegated Sites.FullControl.All, надана згода, адміністративна роль і доступ до цільового сайту. Не додавайте широке право до інтеграційної програми як рішення.
Сайт працює, папка не знайдена	Перевірте справжню URL папки, бібліотеку документів і шлях сайту; ярлик OneDrive може вести на інший сайт.
Secret прострочений або недійсний	Нехай platformbeheer оновить нове secret Value у правильному Microsoft Identity Provider.

Для OnderwijsSupport на AI-Corporate це центральне підключення було опубліковане та протестоване 14 жовтня 2026 року. Доступність на AI-School, AI-Public або в іншому середовищі має бути підтверджена platformbeheer.

Документація Microsoft: Selected permissions, додати sitegrant та перевірити sitegrants.