Microsoft 365 koppelen (voor IT-beheerders)

Deze pagina is bedoeld voor de IT-beheerder van jullie Microsoft 365-omgeving. Je leest hoe soev.ai met Microsoft 365 samenwerkt, hoe je eenmalig toestemming geeft en hoe je bepaalt wie soev.ai mag gebruiken.

Hoe het werktCopy Anchor Link

soev.ai gebruikt één app-registratie in Microsoft Entra ID voor alles: inloggen (SSO), OneDrive, SharePoint en Outlook. De app staat in de tenant van Gradient Data Science BV (geverifieerde uitgever). Jullie hoeven zelf geen app aan te maken en geen wachtwoorden of secrets met ons te delen.

Na jullie toestemming verschijnt de app als Enterprise Application in jullie eigen tenant. Aanmeldingen en audit-logs blijven in jullie omgeving. Je trekt de toegang op elk moment in door de Enterprise Application te verwijderen.

soev.ai werkt altijd namens de ingelogde gebruiker (gedelegeerde rechten). Een gebruiker ziet in soev.ai alleen wat hij of zij in Microsoft 365 al mag zien. soev.ai heeft geen tenant-brede toegang tot mailboxen of sites, en kan niets lezen van gebruikers die de koppeling niet zelf hebben gebruikt.

Welke rechten vraagt soev.ai?Copy Anchor Link

Alle rechten zijn gedelegeerde Microsoft Graph-rechten.

soev.ai vraagt alleen leesrechten. Het versturen of wijzigen van e-mail, bestanden of afspraken valt hier niet onder.

E-mail die soev.ai doorzoekt en opslaat is alleen zichtbaar voor de eigenaar van de mailbox. Collega's kunnen elkaars mail nooit via soev.ai vinden.

Vooraf afstemmenCopy Anchor Link

Stem de volgende punten met ons af voordat je toestemming geeft. De toestemming geldt voor een vaste lijst rechten. Rechten die later worden toegevoegd, vragen om nieuwe toestemming.

• E-maildomeinen. Alle domeinen waarmee medewerkers inloggen. soev.ai laat alleen deze domeinen toe.
• Gedeelde mailboxen en agenda. Of Mail.Read.Shared en Calendars.Read nodig zijn.
• Conditional Access. Welk beleid geldt voor apps van derden. Zie hieronder.

Waarom Conditional Access vooraf?Copy Anchor Link

Conditional Access (CA) wordt beoordeeld bij elke keer dat Microsoft een token uitgeeft of vernieuwt. Bij soev.ai gebeurt dat op twee plekken:

1. Inloggen. Dit gebeurt in de browser op het apparaat van de medewerker. Een beheerd, compliant apparaat op het kantoornetwerk voldoet aan het beleid, dus toestemming geven en inloggen slagen.
2. Vernieuwen op de achtergrond. Een toegangstoken is ongeveer 60 tot 90 minuten geldig. Daarna vraagt de server van soev.ai een nieuw token aan. Voor Entra is dat een aparte, niet-interactieve aanmelding die opnieuw aan CA wordt getoetst. Die aanmelding komt van onze server, niet van het apparaat van de medewerker.

Bij stap 2 kan het volgende beleid de koppeling blokkeren:

Het lastige is dat alles eerst werkt. Toestemming en eerste login slagen. Pas na een uur of de volgende dag stopt de koppeling, en in soev.ai zie je dan alleen dat de gebruiker opnieuw moet aanmelden. De oorzaak staat alleen in jullie Entra-aanmeldlogboeken, bij de niet-interactieve aanmeldingen, met foutcodes als:

• AADSTS53000: apparaat niet compliant;
• AADSTS53003: geblokkeerd door Conditional Access;
• AADSTS50076: MFA vereist.

Mogelijke oplossingen (per beleid, jullie keuze):

• Locatiebeleid: voeg het uitgaande IP-adres van soev.ai, 84.241.129.210/32, toe als named location.
• Apparaatbeleid: maak een uitzondering voor de soev.ai-app of de pilotgroep, of accepteer dat alleen interactief gebruik werkt en achtergrondsynchronisatie niet.
• Aanmeldingsfrequentie: accepteer de termijn, of maak een uitzondering voor deze app.

Tip: simuleer met de What If-tool in Conditional Access een aanmelding bij de soev.ai-app door een pilotgebruiker. Dan zie je vooraf welke beleidsregels van toepassing zijn.

Stap 1: toestemming geven (admin consent)Copy Anchor Link

Microsoft laat gewone gebruikers niet zelf toestemming geven voor bestands- en mailrechten. Een beheerder moet dat eenmalig namens de hele organisatie doen.

Wie kan dit doen? Een account met een van deze rollen:

• Global Administrator
• Privileged Role Administrator
• Cloud Application Administrator of Application Administrator (voldoende, omdat soev.ai alleen gedelegeerde rechten vraagt)

Zo geef je toestemming:

1. Open deze link terwijl je bent ingelogd als beheerder. Vul je eigen tenant-ID in; de client-ID krijg je van ons.

   Copy Text

   https://login.microsoftonline.com/<JULLIE-TENANT-ID>/adminconsent?client_id=<CLIENT-ID>

2. Controleer dat de uitgever Gradient Data Science BV is, met een blauw vinkje (geverifieerd).

3. Controleer de lijst met rechten. Die moet overeenkomen met de tabel hierboven.

4. Klik op Accepteren.

Na afloop kom je terug bij soev.ai. De app staat nu in jullie tenant onder Microsoft Entra-beheercentrum → Identiteit → Toepassingen → Enterprise-toepassingen.

Liever via het portaal? Dat kan zodra de app in jullie tenant bestaat (na stap 1 of na de eerste aanmelding). Ga naar de Enterprise Application → Machtigingen → Beheerderstoestemming verlenen voor (jullie organisatie).

Stap 2: bepalen wie soev.ai mag gebruikenCopy Anchor Link

Standaard mag iedereen in jullie tenant zich aanmelden bij een app waarvoor toestemming is gegeven. Voor een pilot of een afgebakende groep zet je daarom toewijzing aan.

Toewijzing verplicht maken:

1. Ga naar Enterprise-toepassingen en open de soev.ai-app.
2. Kies Eigenschappen.
3. Zet Toewijzing vereist? op Ja.
4. Klik op Opslaan.

Gebruikers of een groep toewijzen:

1. Kies in dezelfde app Gebruikers en groepen.
2. Klik op Gebruiker/groep toevoegen.
3. Selecteer de gebruikers of de groep (bijvoorbeeld soev-ai-pilot).
4. Klik op Toewijzen.

Tips:

• Werk met een groep. Dan voeg je later gebruikers toe of verwijder je ze zonder de app aan te passen.
• Groepen toewijzen vereist Microsoft Entra ID P1 of P2. Zonder die licentie wijs je gebruikers één voor één toe.
• Leden van geneste groepen krijgen geen toegang. Wijs de groep toe waarin de gebruikers direct lid zijn.
• Een niet-toegewezen gebruiker krijgt bij het inloggen de foutmelding AADSTS50105. Dat is het verwachte gedrag.

Stap 3: laten weten dat het klaar isCopy Anchor Link

Stuur ons na afloop:

• jullie tenant-ID (Entra-beheercentrum → Overzicht);
• een seintje dat de toestemming is gegeven en de gebruikers zijn toegewezen.

Stap 4: de koppeling testenCopy Anchor Link

Test de koppeling ruim voor de start van de pilot, samen met ons:

1. Een testgebruiker uit de pilotgroep logt in, koppelt SharePoint en zoekt in Outlook.
2. Laat de koppeling minstens 2 uur staan, liefst tot de volgende dag. Controleer dan of synchroniseren en zoeken nog werken. Pas dan is het token op de achtergrond vernieuwd en is het Conditional Access-beleid echt getest.
3. Werkt het niet? Filter in Entra de niet-interactieve aanmeldingen van de testgebruiker op de soev.ai-app. Het tabblad Conditional Access noemt de regel die blokkeerde.

Toegang intrekkenCopy Anchor Link

• Voor de hele organisatie: verwijder de soev.ai-app onder Enterprise-toepassingen. Alle koppelingen stoppen direct.
• Voor één gebruiker: haal de gebruiker uit de toegewezen groep.
• Door de gebruiker zelf: via myapplications.microsoft.com kan een gebruiker de app verwijderen uit de eigen apps.

Vragen? Zie 📞 Contact & Support.