Registrace aplikace Microsoft Entra ID

Vytvořte registraci aplikace Microsoft Entra ID pro přihlášení přes Microsoft ve svém privátním nasazení Siesta AI. Přidejte URI přesměrování pro používané klienty a oprávnění pro konektory Microsoft 365, které povolíte.

Postup nastavení pro správce

1. Připravte URL nasazení, tenant a seznam klientů.
2. Zaregistrujte aplikaci a zaznamenejte její ID.
3. Nastavte webové callbacky a potom používané klienty pro mobil, Windows nebo macOS.
4. Přidejte potřebná oprávnění Microsoft Graph a udělte souhlas.
5. Nastavte přihlašovací údaj serveru a ověřte postup prvního uživatele.

Černé obdélníky zakrývají konkrétní údaje; názvy polí a navigace zůstávají viditelné. Ukázky portálu zobrazují existující registraci, nikoli kompletní konfiguraci ke zkopírování.

Než začnete

Potřebujete správce Entra, který může vytvořit registraci aplikace, nastavit oprávnění Microsoft Graph a udělit souhlas správce.

Připravte si:

• URL webové aplikace Siesta AI, níže označenou jako <APP_BASE_URL> bez lomítka na konci;
• Directory (tenant) ID své organizace;
• seznam klientů a konektorů Microsoft 365, které budete používat;
• rozhodnutí, zda budete synchronizovat skupiny Entra se Siesta AI.

Pro jednu organizaci vyberte Single tenant only (také označované jako Accounts in this organizational directory only). Registraci pro více tenantů použijte jen tehdy, pokud je nasazení nastavené i pro uživatele z dalších tenantů; správce každého zapojeného tenantu musí udělit souhlas.

Vytvoření registrace

1. Otevřete Microsoft Entra admin center → App registrations → New registration.
2. Zadejte srozumitelný název, například Siesta AI — Firma. V Supported account types vyberte pro nasazení v jedné organizaci Single tenant only — vaše organizace.
3. Počáteční URI přesměrování nechte prázdné a vyberte Register.
4. Na stránce Overview → Essentials zkopírujte Directory (tenant) ID a Application (client) ID do konfigurace nasazení. Nezaměňujte client ID s hodnotou Object ID.
5. Otevřete Authentication a přidejte platformy popsané níže.

Tenant a client ID musí patřit vaší registraci. Při sdílení dokumentace nebo příkladů pro podporu použijte zástupné hodnoty.

ID najdete na stránce Overview své registrace. Screenshot existující registrace slouží pouze pro orientaci v rozhraní; typ účtů zvolte podle svého nasazení a pokynů výše.

Webová aplikace a rozšíření prohlížeče

1. Otevřete aplikaci v App registrations a v levém menu vyberte Authentication (Preview).
2. Na kartě Redirect URI configuration vyberte Add Redirect URI. V klasickém rozhraní použijte Add a platform.
3. Ve výběru platforem zvolte Web.

4. Do pole Redirect URI vložte celou adresu callbacku. Pro další URL se objeví nový řádek. Ukázkovou doménu nahraďte doménou svého nasazení.
5. Vyberte Configure a ověřte, že se každá uložená adresa zobrazuje v seznamu pod Web.

Adresa https://siesta.example.com/login slouží pouze jako příklad. Použijte URL svého nasazení a přidejte všechny příslušné cesty uvedené níže.

Zaregistrujte tyto webové callbacky:

<APP_BASE_URL>/login
<APP_BASE_URL>/invitation
<APP_BASE_URL>/internal/connections
<APP_BASE_URL>/internal/profile

Pro synchronizaci skupin Entra přidejte také:

<APP_BASE_URL>/internal/organization/settings/entra-callback

Nahraďte <APP_BASE_URL> HTTPS adresou webové aplikace svého nasazení. Každé URI zaregistrujte přesně, včetně cesty a případného koncového lomítka.

Rozšíření pro Chrome a Edge používají přihlašovací stránku webové aplikace. Nepotřebují další platformu Entra ani vlastní URI přesměrování.

Řádky Web mají obsahovat HTTPS adresu vašeho nasazení a cesty uvedené výše. Celý pohled portálu ukazuje i ostatní povolené klienty. Registrujte pouze callbacky potřebné pro vaše nasazení; dodatečný callback Teams v této ukázce není pro webovou aplikaci potřeba.

Mobilní aplikace pro iOS a Android

V Authentication → Add a platform přidejte platformy pro publikovanou mobilní aplikaci Siesta AI:

Platforma v Entra	Nastavení	Hodnota
iOS / macOS	Bundle ID	com.siestaai.app
Android	Package name	com.siestaai.app
Android	Signature hash	qKG35VND7CbMO+PQHjSeuOol8bY=

Výběrem Configure vygenerujte a uložte URI přesměrování. Tyto identifikátory patří publikované aplikaci; ponechte je stejné i pro privátní nasazení.

Aplikace pro Windows

V Authentication → Add a platform → Mobile and desktop applications přidejte toto vlastní URI přesměrování:

http://localhost:23847/callback

Aplikace pro Windows při přihlašování dočasně naslouchá na lokální adrese a používá autorizační kód s PKCE. Zachovejte uvedený port i cestu. Tenant a client ID své registrace nastavte v klientovi pomocí enterprise konfigurace nasazení.

Aplikace pro macOS

V Authentication → Add a platform → Mobile and desktop applications přidejte toto vlastní URI přesměrování:

msauth.ai.siesta.desktop.macos://auth

Tato adresa patří nativní aplikaci pro macOS s bundle ID ai.siesta.desktop.macos. Zadejte URI bez lomítka na konci. Tenant a client ID aplikace získá z enterprise konfigurace nasazení.

Postup pro vlastní desktopové adresy popisuje dokumentace Microsoftu k přidávání URI přesměrování.

Oprávnění API a souhlas správce

Otevřete API permissions → Add a permission → Microsoft Graph → Delegated permissions. Přidejte oprávnění pro přihlášení a jen ta oprávnění konektorů, která nasazení potřebuje:

Funkce	Delegovaná oprávnění
Přihlášení přes Microsoft a obnova tokenů	openid, profile, email, offline_access, User.Read
Čtení ze SharePointu a OneDrive	Sites.Read.All, Files.Read.All
Pošta Outlook	Mail.ReadWrite, Mail.Send
Kalendář Outlook	Calendars.ReadWrite
Operace se soubory Word a Excel	Files.ReadWrite

Pro SharePoint a OneDrive:

1. Vyberte Add a permission a ve výběru API zvolte Microsoft Graph.
2. Vyberte Delegated permissions.
3. Vyhledejte Sites.Read.All, případně rozbalte Sites, a zaškrtněte oprávnění. Totéž zopakujte pro Files.Read.All pod Files.
4. Vyberte Add permissions, aby se vybrané položky přidaly k aplikaci.
5. V Configured permissions před udělením souhlasu ověřte oba názvy a typ Delegated.

Tato oprávnění dovolují konektoru jednat v rozsahu přístupu přihlášeného účtu; účet musí mít také přístup k požadovanému webu, knihovně nebo složce.

Vyhledejte každé potřebné oprávnění, označte ho a použijte Add permissions. Screenshot ukazuje výběr oprávnění, nikoli již udělené oprávnění.

Pro synchronizaci skupin Entra přidejte také Microsoft Graph → Application permissions → Group.Read.All. Tato operace na pozadí vyžaduje client secret, i když přihlášení používá certifikát.

Po kontrole oprávnění vyberte Grant admin consent pro svůj tenant. Zkontrolujte potvrzení a schvalte ho pouze pro zamýšlenou aplikaci a tenant. Obnovte seznam a ve sloupci Status ověřte Granted for váš tenant. Samotné přidání položky do Configured permissions souhlas neuděluje. U nasazení pro více tenantů zajistěte souhlas v každém zapojeném tenantu.

Použijte Add a permission a Grant admin consent pro svůj tenant. Příklad ukazuje, kde kontrolovat sloupce Type a Status; nejde o úplný seznam oprávnění pro SharePoint nebo OneDrive. Ověřte každé oprávnění potřebné podle tabulky výše.

Po udělení souhlasu se vraťte do Siesta AI a vytvořte nebo znovu autorizujte připojení SharePoint či připojení OneDrive. Potom nastavte samostatný datový zdroj SharePoint nebo datový zdroj OneDrive a ověřte první import.

Onboarding do Siesta AI nastavte samostatně v Zabezpečení organizace. Udělení oprávnění Graph nepřiřazuje role, týmy ani přístup k agentům v Siesta AI. Funkce Outlooku popisuje návod k připojení Microsoft Outlook.

Přihlašovací údaje

Nastavte přihlašovací údaj pro server podle podpory svého nasazení:

• Certifikát: pokud ho nasazení podporuje, nahrajte veřejný soubor .cer v Certificates & secrets → Certificates. Jeho privátní klíč uložte do úložiště tajných hodnot nasazení.
• Client secret: v Certificates & secrets → Client secrets vyberte New client secret a zvolte platnost podle pravidel organizace. Před opuštěním stránky zkopírujte do úložiště tajných hodnot nasazení hodnotu secretu, nikoli jeho ID.

Synchronizace skupin Entra vyžaduje client secret i tehdy, když zároveň nastavíte certifikát. Zaznamenejte datum expirace a zajistěte výměnu před koncem platnosti.

Do dokumentace, screenshotů ani konfiguračních souborů klientů nevkládejte secrets, privátní klíče certifikátů, tokeny ani autorizační kódy. Desktopové a mobilní aplikace používají tenant a client ID; client secret s nimi nedistribuujte.

Ověření postupu prvního uživatele

1. Správce nasazení nastaví tenant ID, client ID a přihlašovací údaj serveru v privátní instanci. Přihlašovací údaje patří do úložiště tajných údajů daného nasazení.
2. Nastavte Organization Security, role uživatele a členství v týmech Siesta AI. Pokud má podniková aplikace v Entra zapnuté Assignment required, přiřaďte tam i pilotního uživatele nebo jeho skupinu.
3. V anonymním okně prohlížeče otevřete URL Siesta AI a zvolte přihlášení přes Microsoft. Přihlaste pilotního uživatele ze správného tenantu a dokončete požadované MFA nebo kroky Conditional Access.
4. Ověřte návrat do stejné instance Siesta AI a přístup k zamýšlenému agentovi. Pokud se objeví požadavek na schválení správcem, před dalším pokusem ověřte tenant a souhlas.
5. Pro SharePoint nebo OneDrive vytvořte či znovu připojte connection pomocí účtu s přístupem k testovacím dokumentům. Importujte malou známou složku a ověřte dokumenty v kolekci i odpověď přiřazeného agenta.
6. Přihlášení zopakujte na každém povoleném desktopovém nebo mobilním klientovi. Pokud používáte synchronizaci skupin, spusťte ji a před pozváním dalších uživatelů ověřte očekávaná členství.

Připraveno pro uživatele: pilotní uživatel se přihlásí, dostane se do správné instance ke správnému agentovi a využije nastavený konektor. Při předání nasazení zaznamenejte otestované klienty a expiraci přihlašovacího údaje.

Řešení problémů

Příznak	Co zkontrolovat
Need admin approval	Udělte souhlas správce pro oprávnění požadovaná povolenými funkcemi.
Request sent to your admin	U více tenantů zkontrolujte souhlas v domovském tenantu uživatele.
AADSTS50011 — neshoda přesměrování	Porovnejte požadované a zaregistrované URI včetně schématu, hostitele, portu, cesty, velikosti písmen a koncového lomítka.
Přihlášení ve Windows se nevrátí do aplikace	Zkontrolujte http://localhost:23847/callback a zda bezpečnostní software neblokuje lokální naslouchání.
Přihlášení v macOS se nevrátí do aplikace	Zkontrolujte vlastní desktopové URI msauth.ai.siesta.desktop.macos://auth.
Synchronizace skupin selže nebo nevrací skupiny	Zkontrolujte aplikační oprávnění Group.Read.All, souhlas správce, tenant ID a platný client secret.
Uživatel se nemůže přihlásit ani po udělení souhlasu	Zkontrolujte Enterprise applications → Properties → Assignment required, přiřazení uživatelů a zásady Conditional Access.
Oprávnění je nastavené, ale nebylo uděleno	Zkontrolujte Enterprise applications → Security → Permissions a udělte chybějící souhlas.

Před onboardingem uživatelů otestujte přihlášení pilotním účtem v každém povoleném klientovi. Otestujte jednu operaci každého nakonfigurovaného konektoru Microsoft 365 a případně spusťte synchronizaci skupin.