Conexión de la IA a Microsoft 365

Objetivo#

---

1. Permisos delegados (Microsoft Graph)#

Uso: inicio de sesión SSO + conector MCP + complementos de Office.

Registros de aplicaciones > Administrar > Permisos de API > + Agregar un permiso > Microsoft Graph > Permisos delegados.

Identidad / inicio de sesión (SSO)

• openid
• profile
• email
• User.Read
• User.ReadBasic.All

Correo (Outlook)

• Mail.Read
• Mail.ReadWrite.Shared
• Mail.Send.Shared
• MailboxSettings.Read

Calendario

• Calendars.ReadWrite.Shared

Archivos / SharePoint

• Files.Read
• Files.Read.All
• Sites.Read.All

Contactos / personas

• Contacts.ReadWrite.Shared
• People.Read.All
• Presence.Read

Tareas / notas

• Tasks.ReadWrite
• Tasks.ReadWrite.Shared
• Notes.Read.All
• Notes.ReadWrite

Teams (chats / canales / reuniones)

• Team.ReadBasic.All
• Channel.ReadBasic.All
• ChannelMessage.Send
• Chat.Create
• Chat.ReadWrite
• ChatMessage.Send
• OnlineMeetings.ReadWrite

Grupos

• GroupMember.Read.All

---

2. Permisos de aplicación (Microsoft Graph)#

Uso: bot de reuniones de Teams + descubrimiento automático de buzones/sitios. App-only, consentimiento de administrador requerido.

+ Agregar un permiso > Microsoft Graph > Permisos de aplicación.

Descubrimiento (back-end)

• User.Read.All
• MailboxSettings.Read
• Reports.Read.All

Bot de reuniones de Teams (teamsbot)

• Calls.AccessMedia.All
• Calls.JoinGroupCall.All ← en singular (JoinGroupCall), no JoinGroupCalls
• Calls.JoinGroupCallAsGuest.All
• Calls.Initiate.All
• OnlineMeetings.Read.All ← como permiso de aplicación (el bot se ejecuta sin usuario conectado)
• Chat.Read.All
• Chat.Read.WhereInstalled
• Chat.ReadWrite.All
• Chat.ReadWrite.WhereInstalled
• ChatMessage.Read.All
• GroupMember.Read.All
• Calendars.Read

---

3. Consentimiento específico del recurso (RSC)#

Se declara en el manifiesto de la aplicación de Teams (authorization.permissions.resourceSpecific), no en Entra.

• Calls.AccessMedia.Chat
• Calls.JoinGroupCalls.Chat ← en plural (JoinGroupCalls) para el RSC

---

4. Complementos de Office (add-ins)#

Dos ajustes en el registro, requeridos para la autenticación anidada (NAA) de los complementos de Office.

4.1 Autenticación — Aplicación de página única (SPA)#

Pestaña Autenticación > + Agregar una plataforma > Aplicación de página única. URI de redirección con el formato brk-multihub://<dominio> (solo el origen, sin subruta):

4.2 Exponer una API#

Pestaña Exponer una API:

• Ámbito expuesto: access_as_user (api://<clientId>/access_as_user)
• Quién puede dar consentimiento: Administradores y usuarios

---

5. Configuración adicional del bot de Teams (fuera de los permisos)#

Ya está implementada si el teamsbot actual funciona — reutilizar tal cual.

1. Azure Bot Service: registro del bot vinculado al App ID, canal de Teams, Llamadas habilitadas, webhook de notificación.

2. Grabación de cumplimiento (compliance recording) — esto es lo que hace que el bot se una automáticamente a todas las reuniones/llamadas (modos all / all-except):

   New-CsOnlineApplicationInstance -UserPrincipalName <upn> -DisplayName <nombre> -ApplicationId <App ID>
   New-CsTeamsComplianceRecordingPolicy -Enabled $true -Identity <policy>
   Set-CsTeamsComplianceRecordingPolicy -Identity <policy> -ComplianceRecordingApplications @(New-CsTeamsComplianceRecordingApplication -Parent <policy> -Id <App ID>)
   Grant-CsTeamsComplianceRecordingPolicy -Identity <usuario> -PolicyName <policy>
   

---

6. Conceder el consentimiento de administrador#

Registros de aplicaciones > Permisos de API > Conceder consentimiento de administrador para su inquilino.

---

Fuentes de los permisos del bot: Microsoft Learn — "Register Calls & Meetings Bot" y el ejemplo oficial PolicyRecordingBot (microsoft-graph-comms-samples). Permisos delegados: conector M365 de la plataforma de IA.