רוב האנשים מתייחסים ל-SharePoint כמו למצודה עם שער אחד: ממשק הווב של מיקרוסופט. אבל אם רוצים שסוכן AI, לקוח REST מותאם, או כלי חיצוני אחר באמת יעשה משהו בתוך Office 365 — לקרוא קבצים, לכתוב קבצים, ואחר כך אולי גם מיילים ופעולות Copilot — צריך קודם לבנות לו מפתח. המפתח הזה הוא Entra App Registration.
הסרטון הזה הוא מדריך מלא בלי קיצורי דרך: פותחים את Microsoft Admin Center, יוצרים את האפליקציה, מעתיקים את המזהים הנכונים, מייצרים סיקרט, מוסיפים הרשאות Graph, ומבקשים ממנהל גלובלי ללחוץ על כפתור הקסם “Consent”. ברגע שזה מוכן, כל AI שמחברים יכול לפעול ב-SharePoint בשם משתמש אמיתי, עם לוגים ומגבלות במקום.
למה App Registration הוא השער
Office 365 לא נותן לסקריפטים אקראיים לדפוק בדלת. כל תוכנה שרוצה לדבר עם SharePoint, Exchange, Teams או כל דבר אחר חייבת להזדהות דרך Entra (לשעבר Azure AD). הרישום נותן לאפליקציה:
- Tenant ID — באיזה עולם של Microsoft 365 היא נמצאת.
- Application ID — שם המשתמש של האפליקציה.
- Client Secret — הסיסמה של האפליקציה.
- API permissions — רשימת הדברים שהיא רשאית לבקש.
- Admin consent — האישור הארגוני הסופי.
בלי חמשת האלה, הסוכן שלכם הוא סתם עני מסודר שמחכה מחוץ למצודה.
המדריך, שלב אחר שלב
פותחים את Microsoft Admin Center. לוחצים על משגר האפליקציות (שלוש הנקודות), מחפשים Admin, או עוברים ל-More apps → Show all your apps אם הוא מוסתר. צריך לפחות הרשאות מנהל SharePoint; אם אין, שולחים את הסרטון הזה למי שיש לו.
נכנסים ל-Microsoft Entra. בתוך Admin Center, פותחים את התפריט השמאלי, בוחרים All admin centers, ואז Microsoft Entra. מחפשים “app” ולוחצים על App registrations.
יוצרים רישום חדש. לוחצים New registration, נותנים שם לאפליקציה, ובוחרים Single tenant. Single tenant מתאים ללקוח ספציפי או פרויקט פנימי; multi-tenant רק כשבונים משהו שארגונים אחרים יתקינו.
מגדירים Redirect URI. לאפליקציית REST או ווב שמשתמשת ב-OAuth, מוסיפים Redirect URI שמסתיים ב-
/callback. השתמשו בדומיין שבשליטתכם או בשם שרת שאתם סומכים עליו. אם צריך רק גישה ל-SharePoint Graph, ה-URI עדיין חייב להיות קיים — אז בוחרים משהו אמיתי.מעתיקים את המזהים. אחרי הרישום, מעתיקים את Tenant ID ו-Application ID. מתייחסים אליהם כמו לאישורים — לא מדביקים בצ’אטים קבוצתיים.
יוצרים Client Secret. עוברים ל-Certificates and secrets → Client secrets → New client secret. נותנים שם, בוחרים תוקף (ברירת המחדל 24 חודשים מתאימה לרוב הפיילוטים), ומעתיקים את ערך הסיקרט מיד. מיקרוסופט מסתירה אותו אחרי שעוזבים את העמוד, ומישהו יצטרך לחדש אותו בעתיד.
מוסיפים הרשאות API. פותחים API permissions → Add a permission → Microsoft Graph → Delegated permissions. עבור קבצי SharePoint, מסמנים Files.ReadWrite. מוסיפים גם offline_access כדי שהאפליקציה תוכל להחזיק refresh token ולרוץ ברקע בלי לגרום למשתמש להתחבר שוב כל פעם.
נותנים Admin consent. זה החלק שמפחיד את IT. מחפשים את האפליקציה לפי השם, פותחים את הכניסה שלה תחת Enterprise application, עוברים ל-Permissions, ולוחצים Grant admin consent for [tenant]. מנהל גלובלי צריך להתאמת ולאשר את ההרשאות פעם אחת. אחרי זה האפליקציה יכולה באמת לפעול.
מה “Delegated” באמת אומר
אריאל מדגיש Delegated permissions, לא Application permissions. ההבדל משנה:
- Delegated — האפליקציה פועלת בשם המשתמש המחובר. היא יכולה לעשות רק מה שהמשתמש עצמו מורשה לעשות ב-SharePoint. הלוגים מראים את שם המשתמש. אם המשתמש עוזב את החברה, האפליקציה מאבדת גישה.
- Application — האפליקציה פועלת בשם עצמה, עם הרשאות רחבות משלה, בלי קשר למי משתמש בה. זה עוצמתי ומסוכן, ולכן מנהלים גלובלים בדרך כלל אומרים לא.
עבור סוכן שקורא ועורך קבצים בשם אדם, delegated הוא כמעט תמיד הבחירה הנכונה.
למה זה חשוב לסוכני AI
ברגע שהאפליקציה רשומה ומוסכמת, אפשר למסור לסוכן AI את ארבעת החתיכות של המידע — Tenant ID, Application ID, Client Secret, ותחום המשתמש — ולומר לו, “לך לעבוד ב-SharePoint.” הסוכן יכול לרשום אתרים, לקרוא מסמכים, להעלות קבצים, או בהמשך להרחיב למייל וללוח שנה. ההגדרה זהה לכל כלי שמחברים אחריה; רק תיבת ההרשאות משתנה.
הסרטון גם מרמז על המשך שבו אריאל יראה את צד הקוד עצמו: איך הסוכן מתאמת, מנהל טוקנים, ונשאר בתוך אתר SharePoint אחד. אבל הצנרת מתחילה כאן.
🔥 Roast Corner
בואו נהיה כנים: לרשום אפליקציה ב-Entra לוקח יותר קליקים מאשר להקים שרת לינוקס שלם. מיקרוסופט הפכה את “תן לסקריפט שלי לגעת בקובץ” למסע רב-מסכי דרך Admin Center, Entra, Enterprise Apps, ודיאלוג consent שנראה כאילו עוצב כדי להפחיד מנהלי טכנולוגיות.
“Certificates and secrets” נשמע כמו תדרוך של ג’יימס בונד, אבל זה בעצם פשוט עמוד סיסמאות עם לוח שנה. והעובדה שהסיקרט נעלם אם לא מעתיקים אותו בעשר שניות היא פסיבו-אגרסיביות במיטבה של מיקרוסופט. כן, אבטחה חשובה. לא, לגרום למשתמשים להרגיש כאילו הם מנתקים פצצה זה לא חוויית משתמש טובה.
ואז יש את ה-admin consent. בונים את האפליקציה, מוסיפים הרשאות, בודקים הכל לוקאלי, ואז פוגשים קיר שרק מנהל גלובלי יכול להזיז. בעסק קטן של חמישה אנשים שקנה Office 365 דרך משווק, אף אחד לא יודע מי המנהל הגלובלי. בחצי מהמקרים זה יועץ שהקים את הטננט ב-2019 ולא נכנס מאז. בהצלחה.
🤖 AI for Humans
חשבו על Entra App Registration כמו להנפיק כרטיס כניסה לעובד חדש במשרד.
- Tenant ID הוא כתובת הבניין.
- Application ID הוא מספר העובד שעל הכרטיס.
- Client Secret הוא הכרטיס עצמו — והוא פג תוקף, אז משאבי אנוש צריכים להנפיק חדש כל כמה שנים.
- API permissions הן הדלתות שהכרטיס רשאי לפתוח.
- Admin consent הוא מנהל הבניין שבא פיזית ומפעיל את הכרטיס.
הרשאות delegated אומרות שהכרטיס עובד רק כשהעובד האמיתי נמצא במקום. העובד החדש לא יכול להסתובב בחדרים שהעובד עצמו לא רשאי להיכנס אליהם. אם העובד עוזב, הכרטיס מפסיק לעבוד. זה בדיוק מה שרוצים כשסוכן AI מתחבר לקבצי החברה: הוא מקבל כוח דרך אדם, לא במקום אדם.
הסיבה שכל התהליך הזה מרגיש ביורוקרטי היא כי הוא באמת ביורוקרטי — בכוונה. מיקרוסופט מוכרת לארגונים שבהן “מי נגע באיזה קובץ מתי” היא שאלה ברמת דירקטוריון. אותו תהליך מגן על סטארט-אפ של אדם אחד ועל בנק של עשרת אלפים עובדים. הטריק הוא לדעת איזה תיבות לסמן כדי שהסוכן יוכל להתחיל לעבוד מבלי להפוך את הטננט לקרקס חופשי.
פורסם בתאריך 2026-08-12 מתוך הסרטון ב-YouTube של אריאל רובינשטיין.
💬 תגובות