M365 Copilot Connectors

Een M365 Copilot Connector is de brug die Microsoft 365 Copilot verbindt met databronnen buiten de Microsoft-wereld. SharePoint, OneDrive, Exchange en Teams zijn standaard toegankelijk voor Copilot. Al het andere (Jira, Confluence, Salesforce, ServiceNow, Notion, Dropbox, Google Drive, Snowflake en tientallen meer) bereikt Copilot uitsluitend via Connectors. Zonder Connectors blijft Copilot een assisterende AI-laag op M365. Met Connectors wordt het een kennislaag die de daadwerkelijke operationele systemen van jullie bedrijf kent.

1.1 Voorgeschiedenis · van Graph Connector naar Copilot Connector

Wie de term nog niet kent, heeft mogelijk wel van de voorganger gehoord: Microsoft Graph Connectors. Het concept bestaat sinds 2019 en was oorspronkelijk bedoeld om externe data in de Microsoft Search-index te voeren. Sinds 2025 heeft Microsoft de term hernoemd: "Graph Connectors" zijn "Microsoft 365 Copilot Connectors" geworden, kortweg Copilot Connectors. De reden: Connectors zijn allang niet meer alleen een zoekbron. Ze zijn de ankerpunten waarmee Copilot Chats, Researcher Agent, Pages en (sinds mei 2026) Cowork-sessies toegang krijgen tot externe kennis.

In de Microsoft-documentatie duiken beide termen nog naast elkaar op. Praktisch voor jullie: lees je in een oudere handleiding "Graph Connector", dan wordt precies hetzelfde bedoeld.

1.2 Het centrale onderscheid · Synced vs. Federated

Sinds mei 2026 zijn er twee Connector-architecturen die jullie absoluut uit elkaar moeten houden:

Synced Connectors

Data wordt vanuit het bronsysteem in de Microsoft Graph geïndexeerd en daar bijgehouden. Een crawler haalt regelmatig content op, een tweede haalt regelmatig permission-updates op. Wanneer Copilot een vraag beantwoordt, doorzoekt het de Graph, niet het bronsysteem. Synced Connectors worden door de tenant-admin eenmalig op organisatie-niveau ingericht, waarna alle bevoegde gebruikers ervan profiteren. Ze zijn geschikt voor kennisdatabases, documentatiebibliotheken, ticket-historie en alles waarbij volume en zoekprestaties belangrijker zijn dan actualiteit op de seconde.

Federated Connectors

Hier wordt niets geïndexeerd. Copilot laat de vraag bij runtime op het bronsysteem lopen, via het open Model Context Protocol (MCP). Authenticatie gebeurt per gebruiker met de eigen identiteit (OAuth-login in het bronsysteem), het antwoord wordt live opgehaald en met citations teruggegeven. Federated Connectors zijn de juiste keuze voor CRM-pipelines, dynamische roadmaps, sales-data, kortom alles wat elk uur of sneller verandert en waarbij elke persoon alleen mag zien wat zij toch al ziet.

Self-serve Sync Connectors (Preview)

Sinds augustus 2026 voert Microsoft in de Connectors-documentatie een derde model op, dat inmiddels officieel Self-serve sync connectors heet. In het Connectors-overzicht draaien ze als eigen configuratie-variant van de Synced Connectors: Synced connectors, Self-serve configuration, naast Tenant configuration en de Federated Connectors. De eerdere doc-term Personal Sync Connectors is daarmee achterhaald, de URL van de doc-pagina draagt hem nog. De Learn-documentatie voert ze verder als Preview voor een beperkte klantenkring, maar het Message Center is inmiddels concreter: volgens MC1459140 loopt de Public Preview van eind augustus tot half september 2026, de GA rolt van half september tot half oktober 2026 wereldwijd uit. Wie in het najaar een Copilot-rollout plant, moet het derde model dus niet meer als voetnoot behandelen, maar vooraf beslissen of het aan blijft. Technisch zijn ze Synced (de content landt in de Microsoft Graph), organisatorisch gedragen ze zich als Federated: elke persoon zet de Connector zelf op, meldt zich met de eigen credentials aan, en alleen de eigen content wordt geïndexeerd. De admin geeft de Connector vrij in het Admin Center, verbergt hem of deactiveert hem, maar configureert hem niet. Verbreekt een persoon de verbinding of deactiveert de admin de Connector, dan wordt de index gewist en stopt de synchronisatie.

Ze bestaan uitsluitend als Microsoft-published Connectors, tot nu toe voor twee bronnen:

De inrichting gebeurt niet in het Admin Center, maar door de persoon zelf in de Microsoft-365-Copilot-app of in de web-client via + → Change data sources. De eerste indexering duurt 30 minuten tot enkele uren, daarna loopt een incrementele sync ongeveer elke 15 minuten en een Full Sync ongeveer elke 7 dagen. Ook hier geldt het 7-daagse review-window voor admins, voordat een nieuwe Personal-Sync-Connector voor gebruikers zichtbaar wordt. Ondersteund zijn tot nu toe twee surfaces: Microsoft 365 Copilot Chat en Microsoft 365 Copilot Search. Loskoppelen gebeurt via Settings → Sources, dat verwijdert de index en stopt de synchronisatie direct. Microsoft kondigt meer databronnen aan.

1.3 Synced vs. Federated · vergelijkingstabel

De tabel zet de twee hoofdarchitecturen tegenover elkaar. Self-serve Sync (zie 1.2) is een bijzonder geval van de Synced-kolom: hetzelfde data-model, maar user-level setup en user-level scope.

1.4 Connectors vs. Plugins vs. Agents

Drie termen die in de Copilot-wereld dicht naast elkaar leven en vaak worden verward:

• Connectors zijn databronnen. Synced of Federated. Ze leveren kennis.
• Plugins (Actions) zijn acties. Ze veroorzaken iets in het derde systeem (ticket aanmaken, afspraak boeken, record updaten). Plugins komen doorgaans via Power Platform Connectors of Declarative Agents in Copilot terecht.
• Agents zijn persona's met Knowledge, Skills en Instructions, gebouwd voor een specifieke use case. Een Agent kan Connectors als Knowledge gebruiken en Plugins als Skills binden, maar is zelf geen van beide.

1.5 Waar Copilot Connectors opduiken

Connector-content verschijnt afhankelijk van het type in verschillende Copilot-surfaces:

• Microsoft 365 Copilot Chat · Synced en Federated, beide
• Researcher Agent (Deep Research Mode) · Federated vooral, Synced als achtergrondkennis
• Copilot in Excel · Federated voor live-data, Synced voor stamdata
• Copilot in Word/PowerPoint/Outlook · Synced, volgens de doc-update van 30 september 2026 nu ook Federated
• Microsoft 365 Copilot Search · de AI-ondersteunde enterprise-zoekfunctie in de M365-Copilot-app (Desktop, Web, Mobile). Geïndexeerde Connector-content vloeit daar zonder extra setup in, inclusief citatie naar de originele bron.
• Microsoft Search (SharePoint Start, Bing for Business) · alleen Synced

1.6 Copilot Cowork · GA sinds juni 2026

In mei 2026 startte Copilot Cowork als Frontier-preview, sinds 16 juni 2026 is Cowork algemeen beschikbaar (GA) voor alle tenants met een M365-Copilot-licentie (Tier-1-talen). Cowork is een omgeving voor long-running multi-step-taken (vergelijkbaar met Anthropics Claude Computer Use of OpenAIs Operator). Cowork kan Synced Connectors als Knowledge consumeren en Federated Connectors via MCP aanspreken. Cowork is off by default, de admin moet het activeren. Cowork-plugins en Cowork-Connector-slots gelden alleen binnen Cowork-sessies, niet in de reguliere Copilot Chat.

Met de GA zijn meerdere voor Connector-admins relevante punten toegevoegd: plugins en skills worden nu via een geconsolideerde Customize-pagina (in plaats van gescheiden plekken) doorzocht, geïnstalleerd en gedeeld, inclusief een geleide Skill-Builder; Cowork is volledig geïntegreerd met Agent 365 (observability, security en governance, dus ook nood-disable-paden via een centrale control plane); nieuw is MCP Apps Support (Cowork rendert interactieve UI-widgets vanuit de MCP-server); en de model-line-up is in september 2026 flink verschoven. De picker staat standaard op Auto, Cowork kiest dan zelf. Handmatig zijn volgens de Cowork-documentatie (stand 14 september 2026) GPT 5.5 (Frontier), GPT 5.6 Sol, GPT 5.6 Terra, GPT 6 Astra, Opus 5, Claude Sonnet 5 en Claude Fable 5.1 beschikbaar. Opus 5 heeft Opus 4.8 vervangen, Fable 5.1 de eerdere preview-versie Fable 5 (aangekondigd op 1 september 2026), en GPT 6 Astra kwam er op 4 september 2026 bij. Microsoft voert Fable 5.1 niet langer als preview-uitzondering, maar als reguliere optie voor veeleisend werk. Cowork rekent af via usage-based billing (verbruik en per-user-/per-group-limieten in het M365 Admin Center) en is mobiel (iOS en Android) beschikbaar in de Microsoft-365-Copilot-app.

Nieuw gedocumenteerd is bovendien het reasoning-effort-niveau naast de model-picker: Light, Medium (standaard), High, Extra High en Max. Het gekozen niveau blijft staan tot iemand het wijzigt en is in Cowork beschikbaar voor web, Windows en macOS. Voor connector-projecten is dat een kostenthema, niet alleen een kwaliteitsthema: een hoger niveau is grondiger, maar trager en verbruikt meer credits. Volgens de documentatie hangt het verbruik daarnaast af van modelkeuze, contextomvang, orkestratie en de gebruikte tools, dus ook van de connectors die een taak aantrekt. Wie Cowork met veel aangesloten bronnen uitrolt, bekijkt het niveau daarom samen met de per-user-limieten uit het admin center.

1.7 Copilot Pages

Pages is de collaboratieve canvas-surface (vergelijkbaar met Notion of Confluence-pages, maar binnen Copilot). Connectors worden indirect in Pages ingebonden: wanneer een chat-antwoord Connector-data citeert, kan het antwoord in een Page worden overgenomen, inclusief bronlinks. Er is geen aparte Connector-setup voor Pages.

Voordat we naar de setup gaan, loont een blik op de authenticatiemethoden, want die bepalen wie aan wie welke rechten geeft en wat er uiteindelijk in de Microsoft Graph of in het bronsysteem gebeurt.

2.1 OAuth 2.0 · de standaard

OAuth 2.0 is de default voor praktisch elke Connector-setup. Het werkt in beide werelden (Synced en Federated), zij het met een verschillend karakter.

Voor Synced: de AI Admin registreert bij de bronsysteem-aanbieder een Connected App (Salesforce noemt het zo, Atlassian noemt het "OAuth Integration", ServiceNow noemt het "Application Registry"). Deze app krijgt een Client ID en Client Secret. De redirect-URL moet exact overeenkomen met de waarde die het Admin Center tijdens de setup opgeeft. Permissions in het bronsysteem worden zo verleend dat de Connector alles mag zien wat het moet indexeren (doorgaans read-scope op het object-bereik).

Voor Federated: hier authenticeert niet een app-identiteit zich, maar elke persoon met de eigen identiteit. Bij het activeren van de Connector in Copilot Chat opent een login-pop-up van het bronsysteem, de persoon logt in, bevestigt scopes, klaar. Het token wordt in het Microsoft Identity-platform veilig opgeslagen en voor elke aanvraag opnieuw ingezet.

2.2 Service Accounts vs. User-OAuth

Synced Connectors hebben een account in het bronsysteem nodig, waar de crawler namens loopt. Daarvoor zijn er twee opties:

• Service Account · aanbevolen voor productie. Een technische identiteit zonder menselijke login, toegewijd aan de Connector. Voordeel: draait ook door wanneer de persoon die hem heeft ingericht het bedrijf verlaat. Nadeel: heeft in het bronsysteem een aparte (vaak betaalde) licentie nodig.
• Persoonlijk account · theoretisch mogelijk, in de praktijk riskant. Wordt het account gedeactiveerd, dan valt de Connector zonder waarschuwing om.

Voor de twee ServiceNow-Connectors (Knowledge en Catalog) is er inmiddels een derde, door Microsoft aanbevolen weg: Federated Auth, in de documentatie ook Federated Identity Credentials genoemd. Daarbij authenticeert de Connector zich via OpenID Connect tegen jullie ServiceNow-instantie, zonder dat ergens een Client Secret hoeft te worden opgeslagen of geroteerd. Praktisch leggen jullie in ServiceNow een OIDC-provider aan met de Microsoft-Client-ID en daarbij een Integration User van het type Machine, wiens User-ID de Service-Principal-Object-ID van de Microsoft-Connector-app is. De Integration User krijgt de rollen knowledge_admin respectievelijk catalog_admin plus user_criteria_admin en user_admin. De inspanning bedraagt eenmalig krap een uur, in ruil daarvoor vervalt het secret-handling volledig. Voor nieuwe ServiceNow-setups is dit de aanbeveling.

Federated Connectors hebben geen Service Account nodig, omdat elke persoon zich zelf verbindt. Het woord "Federated" betekent hier trouwens iets anders dan in Federated Connectors: Federated Auth is een authenticatiemethode voor een Synced Connector, geen Connector-type.

2.3 Basic Auth · op zijn retour

Basic Auth (gebruikersnaam + wachtwoord) is in 2026 vrijwel volledig uitgefaseerd. Microsoft heeft in de meeste Connectors de optie verwijderd. De weinige overgebleven gevallen: Confluence Cloud kan nog via API-token + e-mail worden geauthenticeerd, wat technisch Basic Auth is. Verder geldt: laat een handleiding een username+wachtwoord-veld zien, dan is die waarschijnlijk uit 2022.

2.4 Model Context Protocol (MCP) · het protocol achter Federated

MCP is een open standaard, oorspronkelijk eind 2024 door Anthropic geïntroduceerd, die de communicatie tussen AI-platforms en tools standaardiseert. Microsoft heeft het protocol begin 2026 voor Federated Connectors overgenomen. Praktisch betekent dat: registreren jullie een MCP-server in de tenant, dan kunnen jullie hem zonder verder Microsoft-code-pad als Federated Connector gebruiken.

Architectonisch ziet dat er zo uit: Copilot is de MCP-client. De MCP-server (gehost bij de bronsysteem-aanbieder of zelf beheerd) biedt tools aan (zoeken, lezen, acties). Copilot roept de tools aan met de user-permissions, de server antwoordt met data of vraagt om bevestiging.

Streamable HTTP Transport is per mei 2026 het enige ondersteunde MCP-transport in Copilot. Stdio en andere transports zijn om veiligheidsredenen niet toegestaan.

2.5 Microsoft Entra SSO · het schone pad voor Custom MCP

Willen jullie zelf een MCP-server bouwen die als Federated Connector dient: Microsoft beveelt Entra ID SSO aan als auth-methode. Voordelen: geen aparte user-database in de MCP-server, Conditional Access grijpt automatisch, audit-logs zijn beschikbaar in Microsoft Purview, en gebruikers hoeven niet dubbel in te loggen.

Als alternatief kunnen jullie klassiek OAuth 2.0 met een eigen Authorization Server gebruiken. Dat wordt ondersteund, maar heeft meer operationele last aan jullie kant.

Dit hoofdstuk is voor tenant-admins. End-users kunnen het overslaan, maar moeten weten dat Connectors niets doen zolang deze stappen niet zijn afgerond. Wie hier netjes werkt, bespaart zichzelf later de klassieker "Copilot vindt onze data niet".

3.1 Wie mag wat · AI Administrator-rol

Connector-setup vereist minstens de rol AI Administrator (vroeger heette hij "Copilot Administrator"). Global Admin werkt uiteraard ook, maar is voor pure Connector-setup overgedimensioneerd.

In het Microsoft Entra Admin Center onder Roles & Admins → All Roles → AI Administrator kan de rol gericht worden toegekend aan personen die alleen het Copilot-domein moeten beheren. Dat is de nette scheiding ten opzichte van het standaard IT-admin-team.

3.2 Licentie-matrix · wat kost wat

Voor M365 Copilot Connectors zijn er in wezen drie licentie-paden:

In het bronsysteem vallen bovendien licentiekosten aan, afhankelijk van de tool. Meer daarover in 3.7.

3.3 Tenant-voorwaarden · Commercial, GCC, GCC-H, DoD

Per mei 2026 zijn Copilot Connectors beschikbaar in:

• Commercial Cloud · volledig, alle Connectors
• GCC (Government Community Cloud) · beschikbaar met beperkingen, niet alle partner-Connectors
• GCC High · alleen Microsoft-built Connectors, beperkte catalogus
• DoD · alleen geselecteerde Microsoft-built Connectors

Voor klanten in de Benelux in gereguleerde branches (verzekering, health, publieke sector) loont een blik in de regio-lijst voordat jullie een Connector beloven.

3.4 IP-firewall-whitelist · wordt vaak vergeten

Synced Connectors draaien vanuit Microsoft-datacenters tegen jullie bronsysteem. Ligt het bronsysteem achter een firewall, dan moeten de Microsoft-IP-blokken op de whitelist. Getoetst aan de documentatie op 31 augustus 2026 en ongewijzigd, per regio:

Microsoft onderhoudt de lijst in de officiële documentatie op learn.microsoft.com/en-us/microsoft-365/copilot/connectors/manage. Controleer de lijst voor elke setup tegen de actuele documentatie, omdat hij af en toe wordt uitgebreid.

3.5 Navigatie in het Admin Center

Zo vinden jullie het Connector-gebied:

1. In de browser admin.microsoft.com openen.
2. In de linker sidebar via het "Show all"-menu de sectie Copilot openklappen.
3. Op Connectors klikken.
4. Jullie zien twee tabs: Gallery (alle beschikbare Connectors) en Your Connections (wat al is ingericht).

De Gallery is filterbaar op Microsoft-built / Partner-built en op categorieën (Collaboration, CRM, Files, ITSM, HR enzovoort).

Een tweede plek hoort sinds augustus 2026 erbij: de tenant-brede grondhouding, dus of Microsoft-published en third-party-Connectors überhaupt standaard mogen verschijnen, staat onder Agents → Settings → Allowed agent types. Het Connectors-gebied onder Copilot blijft de plek voor de individuele verbinding, Allowed agent types is de plek voor de principebeslissing. Waarom dat zo is gekomen en wat dat voor bestaande PowerShell-scripts betekent, staat in hoofdstuk 5.4.

3.6 Connector Checker · de diagnose-tool

In februari 2026 heeft Microsoft de Connector Checker in de Admin-Center-navigatie ingebouwd. Hij controleert per Connector:

• Verbindingsstatus met het bronsysteem
• Laatste crawl-tijdstip (Full en Incremental)
• Hoeveel items zijn geïndexeerd
• Permission-mapping-status (zijn er users wier UPN niet wordt gevonden)
• IP-whitelist-bereikbaarheid

Krijgen jullie een bug-melding vanuit de business ("Copilot vindt het Confluence-doc niet"), dan is de Connector Checker het eerste aanspreekpunt voor het Microsoft-support-ticket.

Nieuw sinds de release van 23 september 2026: Volgens de release notes (roadmap-ID 502529) krijgen connector-admins in het admin center pre-setup guides die de configuratiestappen vóór de deployment opsommen, kunnen ze instellingen na de setup bewerken en ontvangen ze actionable foutmeldingen met alerting. In de praktijk: loop vóór elke nieuwe Connector eerst de pre-setup guide door (service account, rechten, firewall) en koppel alerts aan een mailbox of groep die echt gelezen wordt. Eén uitzondering blijft: gewijzigde schema-property-waarden zoals de AccessURL bij ServiceNow kunnen volgens de deployment-docs nog steeds alleen in een nieuwe connection worden ingesteld.

3.7 Connector-licenties in het bronsysteem · de veelvoorkomende valkuil

Microsoft zelf licentieert de Connector-functie via de M365-Copilot-add-on. Maar het bronsysteem heeft daarnaast een identiteit nodig namens wie de crawler werkt, en die identiteit kost meestal extra.

• Salesforce · aanbevolen is een API-only Integration User. Salesforce verlangt daarvoor een eigen licentie, afhankelijk van het edition-level. Bij Enterprise/Unlimited-edition vaak inbegrepen, bij kleinere edities is het een add-on.
• ServiceNow · een Integration User met de rol itil (of nauwer) is nodig. ServiceNow biedt daarvoor doorgaans gratis Integration-licenties, maar dat moet in het contract staan.
• Atlassian (Jira/Confluence Cloud) · een Service Account met eigen Atlassian-licentie, dezelfde prijs als een reguliere user-seat.
• HubSpot · het account moet minstens op Professional-tier zitten, zodat alle properties via API toegankelijk zijn.

3.8 Staged Rollout · niet meteen tenant-breed

Bij elke Connector-setup kunnen jullie in de Custom Settings een Staged Rollout op Entra-groepen inschakelen. Aanbeveling: eerst een testgroep (10 tot 30 personen uit power-user-teams), na 1 tot 2 weken met feedback uitrollen, dan twee volgende golven.

Zo leggen jullie een Synced Connector aan in het M365 Admin Center. De acht stappen zijn voor Microsoft-built Synced Connectors identiek, alleen de detailvelden verschillen per Connector-type. Aansluitend tonen we drie concrete end-to-end walkthroughs (Jira Cloud, Confluence Cloud, Salesforce).

4.1 Het 8-stappen-standaardproces

1. Sign in als AI Administrator in admin.microsoft.com.
2. Navigatie: Sidebar → Copilot → Connectors → tab Gallery.
3. Connector kiezen. Klik op de tile van de gewenste tool (bijv. Jira Cloud).
4. Display Name zetten. Wordt later in Copilot als bronlabel getoond. Zinvol benoemen wanneer jullie meerdere instanties hebben ("Jira Prod", "Jira Legacy").
5. Instance URL invoeren. De basis-URL van het bronsysteem (bijv. https://yourorg.atlassian.net).
6. Authentication kiezen. OAuth (Connected App in het bronsysteem), Service Account, of API-token, afhankelijk van de Connector. Credentials invoegen.
7. Staged Rollout (optioneel). Entra-groep(en) selecteren waarvoor de Connector live gaat. Default is tenant-breed.
8. Create. Microsoft valideert de verbinding en start de initiële crawl. Bij grote bronsystemen (>100k items) kan dat uren tot 1 a 2 dagen duren.

4.2 Custom-setup tabs · de fijnafstelling

Na Create komen jullie in de detail-view van de Connector. Drie tabs zijn belangrijk:

Users-tab · wie mag wat zien

Hier configureren jullie het permission model:

• Access Permissions: twee opties.
  • Everyone · alle tenant-users mogen alle geïndexeerde items zien. Comfortabel, maar compliance-zwak. Alleen zinvol voor public wikis of marketingmateriaal.
  • Only people with access · ACLs uit het bronsysteem worden mee-geïndexeerd. Copilot toont een persoon alleen de items die zij ook in het bronsysteem mag zien. Default en juiste keuze in 95% van de gevallen.
• Map Identities: hoe koppelt Copilot de Microsoft-user (Entra-UPN) aan het user-record in het bronsysteem? Default is UPN-naar-e-mail. Gebruikt jullie bronsysteem een andere identiteit dan e-mail (bijv. Salesforce-username, ServiceNow-user-ID), dan moet je hier handmatig mappen.

Content-tab · welke velden worden hoe geïndexeerd

• Properties: elk veld in het bronsysteem (Subject, Description, Status, Created-By, Tags, Custom Fields...) heeft vier optionele flags.
  • search · fulltext-zoekindex
  • query · filterbaar (bijv. Status = Open)
  • retrieve · inhoud wordt in het Copilot-antwoord getoond
  • refine · facet-filter in de Microsoft-Search-UI
• Semantic Labels: Microsoft-standaardlabels (Title, Author, CreatedDateTime, ModifiedDateTime, ContainerWebUrl, ...) worden op jullie bron-properties gemapt. Belangrijk, omdat Copilot semantisch via deze labels werkt, niet via de rauwe bron-property-namen.
• Default Expressions: uiterlijk van het zoekresultaat in de Microsoft-Search-UI (Title, Icon, Snippet, URL).

Sync-tab · wanneer wordt gecrawld

• Full Crawl: standaard is dagelijks. Herindexeert alles, verwijdert gewiste content en herberekent alle permissions. Kan per tenant handmatig op uren of weken worden ingesteld.
• Incremental Crawl: standaard is elke 15 minuten. Haalt alleen changes. De afbakening is fijner dan vaak wordt geschetst: Incremental herberekent de permissions van de gewijzigde items terdege opnieuw, inclusief rechten-wijzigingen op item-niveau. Wat Incremental niet aanraakt zijn identiteiten en groepslidmaatschappen (bij ServiceNow de toewijzing van users aan User Criteria) evenals items waarvan de rechten alleen op het bovenliggende niveau zijn gewijzigd, bijvoorbeeld op de Knowledge Base in plaats van op het artikel. Precies deze twee gevallen vereisen een Full Crawl.

4.3 Crawl-strategie · de ACL-valkuil

4.4 End-to-end walkthrough: Jira Cloud

1. In Atlassian: login als Org-Admin, id.atlassian.com → Apps → OAuth 2.0 (3LO) → Create new app. App-naam: "M365 Copilot Sync".
2. Permissions: scopes read:jira-work, read:jira-user, read:project:jira, read:issue:jira toevoegen.
3. Callback URL: uit het Microsoft Admin Center kopieren (later stap 5b). Formaat is https://gcs.office.com/v1.0/admin/oauth/callback.
4. Client ID + Secret: Atlassian toont beide na opslaan, kopieer beide naar een veilige opslag.
5. In het Admin Center: Gallery → Jira Cloud → Display Name "Jira Production" → Instance URL https://yourorg.atlassian.net → OAuth-sleutels invoegen.
6. Project-filter: willen jullie niet alle projecten indexeren, geef dan in de Custom-setup onder de Content-tab een JQL-filter op (bijv. project IN ("CRM", "SALES")).
7. Permissions-model: Users-tab → "Only people with access", Map Identities op Atlassian-e-mail.
8. Create klikken. Initial crawl start, status loopt in de Connector Checker.

4.5 End-to-end walkthrough: Confluence Cloud

1. Auth: Confluence Cloud ondersteunt OAuth 2.0 of API-token (Basic). Wij bevelen OAuth aan.
2. Atlassian-setup: zoals bij Jira (4.4), maar met scopes read:confluence-content.all, read:confluence-space.summary, read:user:confluence.
3. Space-filter: in het Admin Center bij setup eventueel spaces beperken (invoer als komma-lijst van de space-keys, bijv. SALES,HR,ENG).
4. Permission-model-valkuil: Confluence erft page-permissions niet automatisch naar beneden. Is een page beschermd, dan zijn de child-pages onder omstandigheden open. De Connector indexeert exact het bron-permission-model, dus kan het gebeuren dat Copilot child-pages toont die een user via de browser ook zou vinden, alleen minder prominent. Controleer dat voor productie-rollout aan een steekproef.

4.6 End-to-end walkthrough: Salesforce CRM

1. In Salesforce: Setup → App Manager → New Connected App. Naam: "M365 Copilot Sync". OAuth Settings: Enable OAuth, Callback URL uit Admin Center, Selected OAuth Scopes: api, refresh_token, offline_access.
2. Service Account: een API-only Integration User in Salesforce aanleggen. Profiel: minimaal Read op alle object-typen die Copilot moet zien (typisch: Accounts, Contacts, Opportunities, Cases, Knowledge-articles). Licentie zoals beschreven in 3.7.
3. In het Admin Center: Gallery → Salesforce → Display Name, Instance URL (bijv. https://yourorg.my.salesforce.com), Client ID + Secret uit de Connected App.
4. Content-tab: welke Salesforce-objects moeten erin? Default stelt Accounts, Contacts, Opportunities, Cases voor. Custom Objects handmatig toevoegen indien relevant. Per object properties markeren (Name = search+retrieve, AccountId = query, etc.).
5. Identity Mapping: UPN-to-Salesforce-e-mail default. Heeft jullie Salesforce een eigen user-login (geen Microsoft SSO), handmatig mappen.
6. Crawl-frequentie: bij Salesforce bevelen wij Full daily, Incremental elke 15 min aan.

4.7 Meest voorkomende setup-fouten

• UPN-mismatch: komt de Microsoft-UPN niet overeen met de e-mail in het bronsysteem (bijv. persoon heeft in MS een @xyz.onmicrosoft.com-UPN, in Salesforce echter @xyz.de), dan ziet zij in Copilot niets. Handmatige mapping in de Users-tab configureren.
• Schema-wijziging niet mogelijk: willen jullie na de initial crawl properties toevoegen, dan moet je de Connector opnieuw aanleggen. Het schema-edit-pad bestaat niet. Plan de mapping vooraf zorgvuldig.
• IP-whitelisting vergeten: Connector toont "Connection failed" in de Checker. Oplossing in 3.4.
• Service-account-licentie ontbreekt: crawler faalt met 401 of 403. Oplossing in 3.7.

Federated Connectors zijn sinds 2 juni 2026 algemeen beschikbaar (GA), nadat ze in mei als eerste golf waren gestart. Ze verschillen op drie punten fundamenteel van Synced: geen indexering, user-level auth, live-ophaling bij runtime. Voor use cases waarin actualiteit en realtime belangrijker zijn dan volume, is Federated de juiste architectuur.

5.1 Wat Federated anders maakt

• Geen index: niets wordt in de Microsoft Graph opgeslagen. Elke vraag gaat live naar de bron-MCP-server.
• User-level auth: elke persoon verbindt zich zelf via OAuth in het bronsysteem. Haar permissions worden bij runtime gecontroleerd.
• MCP-protocol: in plaats van Microsofts propriëtaire Connector-API spreekt Copilot Model Context Protocol met het bronsysteem.
• Surface-beperking: Federated-data verschijnen niet overal waar Synced opduikt. Sinds de doc-update van 30 september 2026 noemt Microsoft deze surfaces: Microsoft 365 Copilot Chat, Agents, Cowork, Copilot in Word, Excel, PowerPoint en Outlook en de Researcher Agent. Microsoft Search en SharePoint Start blijven Synced-only.

5.2 De Federated Connectors Gallery (178 entries, stand 30 september 2026)

Entries zijn ofwel Microsoft-published ofwel door partners ingediend en door Microsoft gecontroleerd. In de release notes van 23 september 2026 vermeldt Microsoft Federated Copilot Connectors als uitgerolde functie (roadmap-ID 501120). Met de doc-update van 30 september 2026 is de Gallery daarna bijna verdubbeld: van 94 naar 178 entries. Tegelijk heeft Microsoft de categorieën opnieuw ingedeeld, het zijn er nu zestien. Het actuele, gecategoriseerde overzicht:

Wat er in deze golf bij is gekomen. 93 nieuwe entries plus vijf hernoemingen. De belangrijkste clusters voor het mkb:

• Project- en samenwerkingsstandaarden · Asana, monday.com, Smartsheet, Airtable, Miro, Trello, Make en Gmail. Daarmee staan voor het eerst de PM- en whiteboard-tools in de Gallery die in veel teams naast Microsoft 365 draaien. Met awork zit er ook een Duitse PM-tool uit Hamburg bij.
• Documenten en content · Egnyte, PandaDoc, TextMine, Gamma, SlidesGPT, Fireflies, Goodnotes en GoLinks.
• Financiën · D&B Finance Analytics, D&B Risk Analytics, Morningstar Credit Analytics, MT Newswires, Quartr, S&P Kensho, PrivCo, Fiscal.ai, Square en Zoho Books.
• Recht en HR · Litera, Relativity, NetDocuments US, LegalZoom, Midpage Legal Research, Teamtailor en SeekOut. Legal en HR delen nu één categorie.
• Research, analytics en leren · IBISWorld, EIU, Mixpanel, Contentsquare, Dovetail, Ask Rystad en Tastewise, plus leerbronnen zoals Articulate, Articulate EU, Learn365, Padlet en Siemens.
• Health, life sciences en referentie · BioRender, DrugBank, ChEMBL, Cortellis Regulatory Intelligence, FDA Safety (openFDA), ICD-10 Diagnosis Codes en meer. Overwegend US-registers en vakdatabases, voor Nederlandse en Belgische klinieken en pharma-klanten dus eerder onderzoeksmiddel dan primaire bron.

Voor mkb in de Benelux zijn HubSpot (live-CRM), Notion (wiki), Linear (PM-roadmaps), Intercom (support) en Canva (design-assets) meestal de eerste kandidaten, sinds 30 september 2026 ook Asana, monday.com, Smartsheet, Miro en Trello, plus de financiële bronnen (LSEG, Moody's, Morningstar, FactSet, S&P Kensho) voor investment- en adviesbureaus. Direct aansluitbaar in het mkb zijn Klardaten DATEV-Connector (fiscale en boekhoudkundige data uit DATEV live in Copilot, de eerste echt DACH-specifieke entry van de Gallery), awork, Statista en DeepL MCP. Met Articulate EU volgt een tweede aanbieder het Harvey-patroon van een eigen EU-variant. Actuele stand: learn.microsoft.com/en-us/microsoft-365/copilot/connectors/federated-connectors-overview.

5.3 Admin-setup · 7-daagse review-window

Microsoft heeft voor Federated Connectors een 7-daagse review-window ingebouwd: wanneer een nieuwe Microsoft-published Federated Connector in de tenant verschijnt, is hij de eerste zeven dagen alleen zichtbaar voor AI Admins. End-users zien hem nog niet. Daarmee heeft het admin-team tijd om hem te controleren, te blokkeren of selectief vrij te geven.

Settings in het Admin Center:

• Enable / Disable per Connector: elke Connector afzonderlijk tenant-breed aan- of uitzetten. Default bij Microsoft-published is "na 7 dagen automatisch aan".
• Staged Rollout: in de kolom Staged Rollout via Add staging een of meer Entra-ID-groepen instellen waarvoor de Connector zichtbaar wordt. Alle anderen zien hem niet.
• Tenant-brede grondhouding: of Microsoft-published en third-party-Connectors überhaupt standaard verschijnen, hangt sinds augustus 2026 af van de instelling Allowed agent types in Agent 365. Deze geldt ook voor toekomstige gepubliceerde Connectors. Details in 5.4.

5.4 Tenant-brede bulk-disable · het governance-pad verschuift

Het nieuwe pad: Allowed agent types in Agent 365

De tenant-brede grondhouding zetten jullie nu in het Agent-365-oppervlak van het Admin Center:

admin.microsoft.com → Agents → Settings → Allowed agent types

Daar staan drie schakelaars die samen bepalen wat in de catalogus verschijnt:

• Allow apps and agents built by Microsoft · dekt de Microsoft-published Federated Connectors af.
• Allow apps and agents built by your organization · dekt jullie eigen, in de tenant gepubliceerde Connectors en Agents af.
• Allow apps and agents built by external publishers · dekt de partner-Connectors af, dus alles wat door derde partijen is ingediend en door Microsoft goedgekeurd.

Zetten jullie de Microsoft-published- en de third-party-optie uit, dan zijn Federated Connectors in de tenant niet meer standaard actief, ook toekomstig gepubliceerde niet. Jullie schakelen dan elke Connector afzonderlijk vrij in het Admin Center. Dat is precies het gedrag dat eerder de PowerShell-toggle leverde, alleen dan in de UI en gezamenlijk met de agent-governance.

Wat er bij uitzetten technisch gebeurt

Sinds de doc-update van 27 augustus 2026 beschrijft Microsoft ook de mechaniek erachter, en die is voor de bedrijfspraktijk belangrijker dan de schakelaar zelf. Deactiveren jullie het agent-type dat de Copilot Connectors gebruiken, dan verdwijnen de Connectors niet uit de tenant:

• End-users verliezen direct de toegang. De Connectors zijn niet meer beschikbaar in Copilot.
• Admins zien nog steeds alles. Bestaande Connectors blijven zichtbaar in het Admin Center, zodat beheer en governance mogelijk blijven.
• De gebruikerskring wordt automatisch op No users gezet. Niet de Connector wordt verwijderd, maar zijn Allowed-User-scope wordt op nul getrokken. Dat is de eigenlijke knop.

Daaruit volgt het weer-inschakelen-pad voor individuele bronnen: jullie openen de instellingen van de betreffende Connector en zetten zijn Allowed-User-scope op de gewenste personen of groepen. De tenant-brede blokkade blijft daarbij bestaan. Voor gereguleerde omgevingen is dat de nette staat: globaal dicht, punctueel en gedocumenteerd weer open.

Het oude pad, zolang het nog draagt

Voor de volledigheid, omdat het in veel runbooks nog staat: Microsoft levert daarvoor een eigen PowerShell-module Connector.Cmd (versie 2.1 of hoger). Voorwaarde is de rol Global Administrator of Search Administrator. Aanroep:

# Module eenmalig installeren (versie 2.1 of hoger)
Install-Module Connector.Cmd

# Toggle zetten: toont de huidige stand en vraagt om Enable/Disable
Set-FederatedConnectorToggle

Het cmdlet vraagt interactief om authenticatie, toont de huidige status van de toggle en laat jullie vervolgens kiezen tussen Disable (alle Federated Connectors uit) en Enable (default-gedrag). Zolang het nog antwoordt, is een tweede aanroep zonder wijziging de eenvoudigste weg om de huidige stand uit te lezen. Nieuwe automatisering bouwen jullie daar niet meer op.

Individuele Connectors kunnen jullie ondanks actieve global-disable gericht weer vrijschakelen, direct in het Admin Center. Dat is het aanbevolen pad voor gereguleerde omgevingen: globaal uit, dan bewust Connector voor Connector aan.

5.5 End-user-ervaring · hoe een Federated Connector aanvoelt

Vanuit het perspectief van de end-user ziet de Federated-flow er zo uit:

1. Copilot Chat openen. Op m365.cloud.microsoft.com of in de Teams- of Outlook-zijbalk.
2. Researcher Agent selecteren (in de mode-selector) of de Deep Research-mode activeren.
3. Sources-menu openen. Standaard Web, Files, Mail. Via het plus-icoon meer bronnen toevoegen.
4. Bijvoorbeeld "HubSpot" selecteren. De eerste keer opent een OAuth-pop-up, login in het bronsysteem, permissions bevestigen.
5. Vraag stellen: "Hoe ziet mijn pipeline voor Q2 in de Benelux eruit? Vergelijk met Q1." Copilot roept de HubSpot-MCP-server live aan en schrijft het antwoord met citations.

De OAuth-connectie wordt per user opgeslagen, de volgende keer is het one-click.

5.6 Waar Federated Connectors werken (surface-lijst)

• Copilot Chat · altijd
• Researcher Agent / Deep Research Mode · hoofdafnemer, plural-source-antwoorden, blijft ook met de schrijfacties uit 5.7 read-only
• Copilot in Excel · Federated Connectors als selecteerbare gegevensbron in de werkmap, niet als formulefunctie
• Copilot in Word, PowerPoint en Outlook · nieuw in de doc-update van 30 september 2026
• Agents · eveneens nieuw gedocumenteerd, Federated Connectors zijn daarmee ook in agents beschikbaar
• Cowork-sessies (GA sinds juni 2026) · ja, met eigen Cowork-plugin-lijst
• Niet in Microsoft Search / SharePoint Start (dat is alleen Synced)

Wat in Excel daadwerkelijk aankomt, is inmiddels apart gedocumenteerd. Microsoft voert voor Copilot in Excel een eigen lijst van bruikbare Federated Connectors, en die is korter dan de gallery uit 5.2. Als eerste rij noemt de support-documentatie Canva, CB Insights, Daloopa, FactSet, Google Calendar, Google Contacts, HubSpot, Intercom, Linear, LSEG, Moody's, Morningstar, Notion, PitchBook en S&P Global. Daaronder staat een tweede rij met verdere bronnen, onder meer Article Galaxy, Autodesk, Blockscout, BoardWise, Clarify, Clarity AI, Cloudinary, Context7, Customer.io, Dice, Excalidraw, Fellow.ai, Fitch Solutions, Forrester, GoDaddy, Grain, GraphOS MCP Tools, Harvey, HG Insights, Hugging Face, Infor Nexus Digital Assistant, Jam, Kindora Funder Discovery, Legal Data Hunter, MailerLite, Malwarebytes, Microsoft Learn, NyquistAI, pg-aiguide, Polar Analytics, Pulse by PassBy, Sight Machine, Sprouts Data Intelligence, Taskrabbit Booking Assistance, Wolfram en ZipRecruiter. Voorwaarde is een commercieel Copilot-abonnement, iedere persoon moet uitdrukkelijk met de verbinding instemmen, en de admin-vrijgave uit 5.3 geldt hier net zo goed. Voor finance-, controlling- en research-teams is Excel daarmee naast de Researcher-agent de praktisch belangrijkste plek waar Federated Connectors aankomen. Controleer de lijst voordat je iets toezegt: support.microsoft.com/excel/copilot/copilot-in-excel-data-sources. Stand 30 september 2026 noemt de Excel-pagina nog Daloopa, PitchBook, S&P Global, Blockscout, Forrester, Infor Nexus Digital Assistant en Sight Machine, die niet meer in het Learn-overzicht uit 5.2 staan. Test deze bronnen in de eigen tenant voordat je ze aan teams toezegt.

5.7 Schrijfacties · Write, Update en Delete vanaf oktober 2026

Tot nu toe waren Federated Connectors read-only. Met MC1476316 van 22 september 2026 kondigt Microsoft aan dat Copilot via Federated Connectors ook data in het bronsysteem kan aanmaken, wijzigen en verwijderen, mits de aanbieder de passende MCP-tools meelevert. De rollout loopt wereldwijd van begin tot eind oktober 2026. Voorbeelden uit de docs: van een escalatie-mail een issue in de projecttool maken, een CRM-record bijwerken of een ticket becommentariëren, direct vanuit Copilot Chat.

• Eigen rechten: Acties lopen met de rechten van de gebruiker in het externe systeem. Copilot kan alleen wijzigen wat de gebruiker daar al mag wijzigen.
• Geen extra schakelaar: Write-, Update- en Delete-tools horen bij de Connector en worden niet apart geactiveerd. Wie een Connector vrijgeeft, geeft ook diens schrijf-tools vrij.
• Researcher blijft read-only: In de Researcher Agent voeren Federated Connectors geen schrijfacties uit.
• Datastroom naar buiten: Schrijfacties exporteren klantdata naar het gekoppelde systeem. Zolang een bevestiging openstaat, wordt niets verstuurd.

Vrijgaven gelden per tool, niet per Connector. Onder Settings → Sources ziet iedere gebruiker de tools van een Connector gesplitst in Read tools (altijd toegestaan) en Write/Delete tools (standaard Needs approval) en kan daar een "Always allow" intrekken. Voegt de aanbieder een nieuwe schrijvende tool toe of wijzigt hij er een, dan staat die automatisch weer op Needs approval.

In mei 2026 zijn er meer dan 100 Microsoft-built Connectors beschikbaar, plus tientallen partner-built. In de februari-2026-GA-golf heeft Microsoft alleen al 35 nieuwe Synced Connectors live gezet. We werken in drie stappen: eerst Microsoft-built op categorie, dan partners, dan Federated.

6.1 Microsoft-built Synced Connectors (100+, stand augustus 2026)

Gecategoriseerd zoals in de Microsoft-Gallery, die laatst op 20 augustus 2026 is bijgewerkt. Alle entries zijn bereikbaar via het Admin Center onder Gallery. Connectors met de toevoeging Preview vereisen in het admin-account de Targeted release-optie, anders duiken ze in de Gallery überhaupt niet op.

Een leeshulp bij de documentatie: Microsoft mengt in de Microsoft-built-Gallery inmiddels beide architecturen. Entries als HubSpot, Notion of Linear staan daar deels als Preview met verwijzing naar de Federated-documentatie, en een verzamelcategorie Others lijst zuivere Federated Connectors (Canva, Google Calendar, Google Contacts, HubSpot, Intercom, Linear, LSEG, Moody's, Notion). Zien jullie een naam in de Gallery, controleer dan altijd of er Synced of Federated achter zit. De architectuur bepaalt setup, auth en kosten, niet de naam.

Collaboration & Productivity

• Aha! · Roadmaps, Ideas, Features
• Azure DevOps · Work Items, Repos, Pipelines
• Jira Cloud · Issues, Projects, Workflows (Cloud-only)
• Jira Data Center · on-prem variant
• Linear · Issues, Projects (ook Federated, zie 5.2)
• Miro · Boards, Frames, Content
• Notion · Pages, databases (ook Federated)
• Shortcut · Stories, Epics, Iterations
• Trello · Boards, Lists, Cards
• Zoom · Meetings, Recordings, Transcripts
• Egnyte · content-platform, files en workflows

Content Management & Knowledge

• Confluence Cloud · Spaces, Pages, Comments
• Confluence Server / Data Center · on-prem variant
• Coda · Docs, Tables, Views
• Adobe Experience Manager Assets · gepubliceerde assets uit AEM (Preview)
• Adobe Experience Manager Sites · gepubliceerde webinhoud uit AEM (Preview)
• Enterprise Websites Cloud · willekeurige niet-SharePoint-websites indexeren
• Enterprise Websites On-premises · hetzelfde voor interne websites achter de firewall
• Guru · Knowledge Cards
• MediaWiki · content uit MediaWiki-installaties
• Salesforce Knowledge · knowledge-articles uit Salesforce, aparte Connector naast Salesforce CRM
• ServiceNow Knowledge · knowledge-articles uit ServiceNow KB
• Unily · intranet- en digital-workplace-content
• WordPress.com · gehoste WordPress-sites
• WordPress.org · zelf gehoste WordPress-installaties
• SharePoint Server · on-prem SharePoint (niet te verwarren met SharePoint Online, dat is native in de Graph)
• Stack Overflow for Teams · Q&A-content
• Veeva QualityDocs · quality-documenten uit Veeva Vault
• Veeva Vault PromoMats · goedgekeurde promo- en regulatory-content incl. approval-status en versiehistorie
• Veeva Vault RIM · Regulatory Information Management

CRM

• HubSpot · Contacts, Companies, Deals, Tickets (ook Federated)
• Salesforce CRM · Accounts, Contacts, Opportunities, Cases, Knowledge

Databases

• Azure SQL · Microsoft-eigen cloud-SQL
• Microsoft SQL Server · on-prem
• Oracle Database · via Tabular Connector
• PostgreSQL · standaard-OSS (Preview)
• Airtable · Bases, Tables, Records (Preview)
• DataStax · realtime-datatoegang op Cassandra-workloads (Preview)
• CSV · content uit CSV-bestanden indexeren

Developer Tools

• Bitbucket · Atlassian-code-hosting
• GitHub · Repos, Issues, Discussions (GitHub Cloud)
• GitHub Server · self-hosted GitHub Enterprise Server, Issues, Pull Requests, Knowledge (nieuw juli 2026)
• GitLab · self-hosted en SaaS

Files & Storage

• Amazon S3 · bucket-content indexeren
• Azure Data Lake Storage · Gen2
• Dropbox · files en folders
• Google Drive · files (gespiegeld, niet te verwarren met de Federated Google Drive)
• Azure File Share · content uit Azure-file-shares
• File Share · klassieke Windows-bestandsshares on-premises, de klassieker in het mkb

HR

• BambooHR · medewerkers, absenties, documents
• Workday · HCM-data
• SAP SuccessFactors · enterprise-HR
• 15Five Priorities · OKRs en team-prioriteiten uit 15Five (nieuw juni 2026, momenteel Preview)
• 15Five High Fives · recognition en kudos uit 15Five (nieuw juni 2026, momenteel Preview)
• Credly · digitale certificaten en badges van het personeel (Preview)

IT Service Management

• Freshservice · Tickets, Knowledge
• PagerDuty · Incidents, Schedules, Services
• ServiceNow Catalog · Service-Catalog-items
• ServiceNow Tickets · Incident, Change, Problem

Project Management

• Asana · Tasks, Projects
• monday.com · Boards, Items, Updates
• Smartsheet · Sheets, Rows

Data Visualization

• Tableau Cloud · dashboards en BI-content uit Tableau Cloud (Preview). Tot nu toe de enige databron in deze categorie.

Sales & Customer Engagement

• Gong · call-recordings, transcripts

Support

• Zendesk Help Center · self-service-knowledge-base
• Zendesk Ticket · tickets uit de Zendesk-servicedesk (Preview)

6.2 Partner-built Synced Connectors

Microsoft cureert een groeiend ecosysteem van third-party-Connectors. De belangrijkste:

• BA Insight (onderdeel van Upland) · >40 Connectors, waaronder Documentum, FileNet, ECM-systemen, zeer sterk in de enterprise-content-hoek
• RheinInsights · >20 Connectors, vaak DACH-specifiek, goede Confluence- en Jira-uitbreidingen
• ServiceNow Connectors Suite · >15 ServiceNow-specifieke modules
• Accenture Aspire · >25 Connectors, vaak voor grote enterprise-omgevingen met custom backends

6.3 Certified for Microsoft 365 Copilot · het premium-label

Microsoft heeft in 2026 een keurmerk geïntroduceerd: "Certified for Microsoft 365 Copilot". Het wordt na handmatige toetsing toegekend, Microsoft bevestigt daarmee enterprise-volwassenheid en een over Copilot en Microsoft Search heen consistent retrieval-gedrag. Per 7 september 2026 dragen slechts drie partner-Connectors het:

• Box
• CB Insights
• getAbstract

Het zegel wordt in het Admin Center naast de Connector-tile getoond.

Nieuw en makkelijk te verwarren: Box staat sinds de Gallery-update van 1 september 2026 tweemaal in de catalogus. Een keer als gecertificeerde partner-Connector in de Synced-architectuur (indexeert Box-content in de Microsoft Graph), en een keer als Microsoft-published Federated Connector onder Files & Documents (leest bestanden en mappen live). Beide kunnen in dezelfde tenant naast elkaar staan. Kies bewust een van beide varianten, anders produceren jullie precies het dubbel-effect dat we in 8.1 als veelvoorkomende praktijkfout beschrijven. Het certificaat geldt alleen voor de Synced-variant.

6.4 Federated Connectors (178 entries, stand 30 september 2026)

Zie hoofdstuk 5.2 voor de volledige, gecategoriseerde lijst.

6.5 Wat belangrijk is voor mkb en Benelux

Zetten jullie tenants op in mkb-omgevingen in de Benelux, dan zijn de volgende Connectors bijna altijd erbij:

De volledige officiële lijst onderhoudt Microsoft op learn.microsoft.com/en-us/microsoft-365/copilot/connectors/connectors-gallery.

Bestaat een bronsysteem noch als Microsoft-built noch als partner-Connector, dan kunnen jullie zelf bouwen. Er zijn twee paden: Custom Synced (Graph Connectors API) of Custom Federated (eigen MCP-server). Welke de juiste is, hangt ervan af of jullie data willen indexeren of live willen bevragen.

7.1 Custom Synced Connector · Graph Connectors API

De klassieke weg om eigen data in de Microsoft Graph te pompen:

1. App-registratie in Entra ID. In het Entra Admin Center de app registreren, de application permissions ExternalConnection.ReadWrite.OwnedBy en ExternalItem.ReadWrite.OwnedBy toevoegen, admin consent verlenen.
2. Schema-definitie. In code definiëren: welke properties heeft een item? Welke zijn searchable, queryable, retrievable, refinable? Welke Semantic Labels gelden? Het schema wordt eenmaal geüpload en is daarna onveranderlijk.
3. Connection aanmaken. Via de Microsoft Graph API een ExternalConnection aanmaken. ID, naam, beschrijving.
4. Items pushen. Per item een update-call. Inhoud + properties + ACLs. ACLs zijn verplicht, anders is het item niet toegankelijk.
5. Adaptive Cards rendering. Willen jullie de resultaten met een custom UI in Microsoft Search tonen, lever dan een Adaptive Card voor de item-layout mee.

De Microsoft Teams Toolkit / Agents Toolkit (in VS Code) heeft een template dat de meeste van deze stappen tot een klik-setup maakt. Hands-on tutorial: learn.microsoft.com/en-us/microsoft-365/copilot/connectors/build-tutorial.

7.2 Custom Federated Connector · eigen MCP-server

Moet jullie bronsysteem live worden bevraagd, dan bouwen jullie een MCP-server en hangen die als Connector in de eigen tenant. Microsoft heeft dit pad inmiddels concreet gedocumenteerd, en het loopt niet via een wizard in Copilot Studio, maar via het Teams Developer Portal plus het M365 Admin Center.

Voorwaarden

• MCP-server met read-only tools op een bereikbare URL, doorgaans search, fetch of query. Voor Copilot is Streamable HTTP Transport verplicht (zie 2.4).
• Rollen: Global Administrator of AI Administrator in het M365 Admin Center, plus een passende Entra-admin-rol als jullie SSO inrichten, en toegang tot het Teams Developer Portal.
• Formaliteiten die worden opgevraagd: ontwikkelaars- of bedrijfsnaam, website-URL met de documentatie van de MCP-server, link naar de privacyverklaring en link naar de gebruiksvoorwaarden. Zonder deze vier gegevens komen jullie niet door het formulier.

Stap 1 · Authenticatie kiezen en registreren

Custom Federated Connectors ondersteunen precies drie methoden:

Bij OAuth 2.0 voeren jullie in het bronsysteem als toegestane redirect-URI in:

https://teams.microsoft.com/api/platform/v1.0/oAuthRedirect

Daarna leggen jullie in het Teams Developer Portal onder Tools → OAuth Client Registration → New OAuth connection de verbinding aan: naam, Client ID, Client Secret, authorization-, token- en refresh-endpoint plus de scopes. PKCE kan optioneel worden geactiveerd als jullie provider het ondersteunt, en staat bij twijfel beter aan. Aan het eind genereert het portal een registratie-ID, bij SSO de Entra-SSO-Registration-ID, bij OAuth de OAuth-Client-Registration-ID. Die hebben jullie zo nodig, kopieer hem weg.

Stap 2 · Connector aanmaken in het Admin Center

admin.microsoft.com → Copilot → Connectors → Gallery
  → Created by your org → Create a new connector → Add
  → Connect to MCP server → Add

Daar voeren jullie drie dingen in: Display name (de naam die gebruikers later zien, bijv. "Bedrijfsintranet"), Base URL (het MCP-endpoint, bijv. https://mcp.example.com) en de registratie-ID uit stap 1. Opslaan maakt de Connector aan.

Stap 3 · Uitrollen en beheren

De aangemaakte Connector duikt op in Your Connections. Van daaruit:

• Staged rollout: Connector selecteren, Staged rollout, dan Users of Groups en de testpersonen invoeren. Houdt het stand, dan Deploy to all users.
• Enable geeft de Connector vrij voor zijn doelgroep, Disable pauzeert hem en behoudt de configuratie, Delete verwijdert Connector en configuratie definitief.

De serverkant blijft jullie verantwoordelijkheid: tools met een nette JSON-schema-definitie, hosting volgens jullie compliance-situatie (Azure App Service, containers, on-prem) en de SDKs van github.com/modelcontextprotocol.

7.3 Wanneer wat kiezen

7.4 Ecosysteem-realiteit juni 2026

Dynamic Tooling · sinds augustus 2026 vast onderdeel van de documentatie. Voor MCP-gebaseerde Federated Connectors (Microsoft-published en Custom) heeft Microsoft Dynamic Tool Discovery in juli 2026 uitgerold (voor MCP-gebaseerde Declarative Agents al sinds eind juni) en beschrijft het inmiddels als regulier feature onder de naam Dynamic Tooling. Daarmee kunnen de door de MCP-server aangeboden tools bij runtime worden bijgewerkt zonder de Connector opnieuw te publiceren. Copilot kiest bij runtime zelf welke tools van de server het voor een vraag nodig heeft, bijvoorbeeld kennis-zoekopdracht, record-lookup, project- of statusopvraging. Bepalend blijven identiteit en rechten van de aangemelde persoon in het bronsysteem. Dat verlaagt de onderhoudslast bij veranderende tool-sets merkbaar.

7.5 Eigen MCP-server in de Gallery krijgen · het partnerprogramma

De weg uit 7.2 publiceert een Custom Federated Connector alleen binnen de eigen tenant. Wie als softwareleverancier zijn MCP-server aan alle Copilot-klanten wil aanbieden, gaat via het partner-indieningsprogramma. Voor de meeste mkb-projecten is dat niet relevant, voor productteams met eigen SaaS echter het beslissende kanaal.

Twee harde voorwaarden vooraf: het vereist actieve begeleiding door een Microsoft-business-development-contactpersoon en een ondertekend contract dat Microsoft het gebruik van de MCP-server in Copilot toestaat. Zonder beide start de indiening niet.

De technische eisen aan de server:

• Alleen read-only tools. Microsoft activeert uitsluitend tools die zoeken en ophalen. Elke tool moet de annotatie readOnlyHint dragen, anders wordt hij in de Gallery niet vrijgeschakeld.
• Publiek HTTPS-endpoint voor de MCP-server, bijv. https://mcp.example.com/mcp.
• OAuth 2.0 voor alle geauthenticeerde scenario's, met een OAuth-Reference-ID uit de Microsoft-registratie.
• Metadata en assets: weergavenaam, korte beschrijving van maximaal 80 tekens, tot 10 synoniemen, logo als 192x192-kleuren-PNG en 32x32-outline-PNG, volledige tool-lijst, documentatie- en supportlinks, testcredentials en minstens drie voorbeeld-prompts met verwacht antwoord.

Indienen gebeurt via het Federated-Copilot-Connector-formulier, vragen lopen via submit-fcc@microsoft.com. Microsoft neemt doorlopend aan, de doorlooptijd van de toetsing hangt af van het volume en de volledigheid van de stukken. Tussenstanden worden niet actief gemeld, de status loopt via de Microsoft-contactpersoon.

Sinds augustus 2026 geldt voor ISVs bovendien: er is een gedeeld Connector-manifest en een gedeelde publishing-pipeline voor alle Connector-typen. Wie dus al een Synced Connector heeft ingediend, doorloopt voor de Federated Connector niet meer een tweede, gescheiden proces.

Volledige eisen: learn.microsoft.com/en-us/microsoft-365/copilot/connectors/submit-federated-connector.

7.6 Alternatief · partner-Connector inkopen

Willen jullie zelf niets bouwen, maar bestaat er geen native Connector, dan loont een blik bij partners: RheinInsights en BA Insight hebben elk meer dan 20 specialistische Connectors in het programma, meestal met DACH-relevante backends. Kostenstructuur en supportmodel zijn netjes gedocumenteerd, de verantwoordelijkheid ligt bij de partner.

7.7 Nuttige bronnen

• Documentatie-hub Connectors: learn.microsoft.com/en-us/microsoft-365/copilot/connectors/
• Graph Connectors API Reference: learn.microsoft.com/en-us/graph/api/resources/externalconnectors-overview
• MCP-specificatie: modelcontextprotocol.io
• Work IQ Dev Tools (wiqd, Preview): terminal-tools voor het bouwen, controleren, paketteren en publiceren van Copilot-uitbreidingen. Microsoft toont de melding sinds augustus 2026 boven alle Connectors-documentatiepagina's, maar markeert de tools uitdrukkelijk als experimenteel en niet productierijp, met aangekondigde breaking changes. Voor klantprojecten dus nog niets, om uit te proberen wel: aka.ms/wiqd/docs
• Build-tutorial Microsoft: developer.microsoft.com/en-us/microsoft-365/copilot
• Praktijkverslag uit de Microsoft-365-Copilot-blog (23 juli 2026) over hoe een Custom Connector naar een miljoen documenten en meer dan 300 Agents is geschaald: techcommunity.microsoft.com · Microsoft 365 Copilot Blog

De meest voorkomende valkuilen uit de Connector-praktijk, de diagnose-tools en de bronnen waarmee jullie op de hoogte blijven.

8.1 Top-10 valkuilen

1. UPN-mismatch bij permission-mapping. De Microsoft-user heeft naam@bedrijf.onmicrosoft.com, het bronsysteem kent haar als naam@bedrijf.nl. Copilot ziet geen permissions. Oplossing: handmatige identity-mapping in de Users-tab.
2. Service-account-licentie in het bronsysteem ontbreekt. Crawler krijgt 401 of 403. Oplossing in 3.7.
3. ACL-drift bij incremental-only. Permission-wijzigingen komen pas bij de volgende Full Crawl aan. Oplossing: Full Crawl minstens dagelijks.
4. Custom-URL-expressions fout. De default-expression in de Content-tab genereert een link die niet klikbaar is of nergens heen leidt. Oplossing: expression-template vergelijken met de documentatie van het bronsysteem.
5. IP-whitelisting vergeten. Connector toont "Connection failed". Oplossing in 3.4.
6. Confluence parent-page-permissions werden niet overgeërfd. Child-pages verschenen hoewel de parent-page beschermd was. Sinds 15 juli 2026 lost Microsoft dat op met Nested Permissions (zie de box hieronder). In oudere, nog niet omgezette verbindingen blijft het effect bestaan, daar helpt alleen: autorisatiemodel heroverwegen, eventueel spaces strenger indelen.
7. Schema-wijziging na setup niet mogelijk. Wie in de Content-tab properties wil toevoegen, moet de Connector volledig opnieuw aanleggen. Vooraf zorgvuldig plannen.
8. Synced en Federated parallel verwarren end-users. Zijn beide ingericht (bijv. HubSpot Synced voor knowledge-articles, HubSpot Federated voor de deal-pipeline), dan toont Copilot mogelijk verschillende antwoorden afhankelijk van de modus. Oplossing: heldere interne documentatie over "wanneer Researcher Agent, wanneer standaard-chat".
9. Rollen in het bronsysteem te zwak. De Service Account in ServiceNow heeft weliswaar oauth_user, maar niet itil, dus geen incidents. Controleer rollen per module.
10. Default-crawl-schedule te lang. Wie de default-setup laat staan, redt het met de dagelijkse Full Crawl, maar een Incremental van 4 uur is voor dynamische bronsystemen te traag. Op 15 min zetten.

8.2 Connector Checker · first-response-tool

Zodra een Connector kuren vertoont: Admin Center → Copilot → Connectors → Connector Checker. Toont per Connector: connectivity, last sync, permission-mapping-status, IP-bereikbaarheid. 80% van de bug-meldingen wordt hier al beantwoord voordat jullie een Microsoft-ticket openen. Let op: de Connector Checker dekte in de eerste golf (februari 2026) alleen de ServiceNow-KB-Connector af, meer Connectors komen er stapsgewijs bij.

8.3 Connectors Usage Report · GA-golf loopt

Sinds juni 2026 is er in het Microsoft 365 Admin Center een nieuw Connectors Usage Report. Volgens MC1404326 liep de Public Preview van eind juni tot begin juli 2026, de GA rolt van begin tot half september 2026 wereldwijd uit. In de meeste tenants is het report dus net uit de preview gekomen. Het laat zien hoe intensief Connectors daadwerkelijk worden gebruikt en levert drie zichten:

• Overall connector activity · totale activiteit over alle Connectors heen.
• Connector-powered response patterns · hoe vaak Connector-data in Copilot-antwoorden terechtkomt, over de tijd.
• User-level connector adoption · welke gebruikers Connectors hoe intensief gebruiken.

Het report dekt alle platforms af (web, desktop, Mac, iOS, Android) en is de natuurlijke aanvulling op de Connector Checker: de Checker beantwoordt "werkt de Connector?", het Usage Report "wordt hij ook gebruikt?".

admin.microsoft.com → Reporting → Usage → Microsoft 365 Copilot → Connectors

Het report is standaard actief, respecteert de bestaande rechten en heeft geen voorbereiding nodig. Twee punten die in projecten regelmatig vragen oproepen: het vereist een Microsoft 365 Copilot (Premium)-licentie, en de evaluatie per individuele persoon raakt aan medezeggenschap. Stem het gebruik van de user-level-blik af met de ondernemingsraad voordat jullie hem voor adoption-rapportages gebruiken.

8.4 Bijblijven · drie-bronnen-routine

1. Microsoft 365 Roadmap. microsoft.com/microsoft-365/roadmap. Filter op "Microsoft 365 Copilot" zetten, status "In Development" en "Rolling Out". Een wekelijkse 5-minuten-check waard.
2. Tech Community Blog · What's New in Copilot. techcommunity.microsoft.com/category/microsoft365copilot. Maandelijkse update, nieuwe Connectors, GA-golven, feature-presentaties.
3. Microsoft Learn · Release Notes. learn.microsoft.com/en-us/microsoft-365/copilot/release-notes. Officiële stand van features, GA-datum, licentievoorwaarden. Let op bij oude bladwijzers: het vroegere adres /copilot/whats-new geeft sinds september 2026 een 404, de Release Notes zijn de opvolger. Voor Cowork is er een eigen pagina: learn.microsoft.com/en-us/microsoft-365/copilot/cowork/whats-new.

8.5 Afbakening · wat Cowork met Connectors doet

Copilot Cowork (GA sinds 16 juni 2026, zie 1.6) kan Connectors meegebruiken, maar heeft een eigen, via de Customize-pagina onderhouden Cowork-plugin-lijst. Wie Cowork-gebruikers in het bedrijf heeft, moet deze plugin-lijst apart onderhouden. De verwarring op fora loopt doorgaans zo: "Mijn Connector werkt in de standaard-chat, maar niet in Cowork". Oplossing: Cowork-plugin-entry nog niet aangemaakt.

Nieuw sinds de doc-update van 1 september 2026: aan de admin-kant groeit dat samen. Microsoft beschrijft Copilot connectors → Your connections nu uitdrukkelijk als een plek voor Copilot Connectors, Synced Connectors, Federated Connectors en de ondersteunde Cowork-plugins. De Customize-pagina in Cowork blijft de zelfbedieningsplek voor de eindgebruiker, maar de governance-blik ligt niet meer op twee plekken. Voor jullie runbook betekent dat: de admin-check bij een Cowork-storing start vanaf nu in dezelfde lijst als bij elke andere Connector. Passend daarbij is met Flow Studio Cowork (toegang tot Power-Automate-workflows) de eerste Federated Connector in de Gallery geland die Cowork al in de naam draagt.

Nieuw in augustus 2026, drie punten met Connector-relevantie. Ter duiding: Microsoft voert deze drie entries in de Cowork-changelog op onder augustus 2026, niet onder juli.

• Workspace-bestanden als tool-input. Plugin-Connector-tools kunnen nu bestanden uit de lopende Cowork-sessie als invoer accepteren. De plugin-auteur declareert daarvoor een tool-parameter met contentEncoding: base64, Cowork lost het workspace-bestand voor de aanroep op in content. Daarmee kan een tool een document converteren, een afbeelding analyseren of een bestand aan een derde systeem koppelen, zonder omweg via OneDrive.
• Event-driven tasks. Cowork-taken kunnen nu aan gebeurtenissen worden gehangen in plaats van aan een tijdschema, bijvoorbeeld aan een inkomende mail met een bepaald patroon of een Teams-bericht met @-vermelding. Dat wordt in natuurlijke taal beschreven, Cowork stelt de automatisering ter bevestiging voor. Voor Connector-admins relevant, omdat zulke taken op de achtergrond verbonden bronnen benaderen: ze duiken samen met de Scheduled Prompts op de Automations-pagina op.
• Local browser use is GA. Cowork kan webtaken in een lokale Microsoft Edge op het apparaat van de persoon uitvoeren en gebruikt daarbij diens bestaande aanmeldingen en de richtlijnen van de organisatie. Het feature is in augustus 2026 van Frontier naar algemene beschikbaarheid voor alle M365-Copilot-tenants overgegaan, voorwaarde is een geïnstalleerde Edge. Voor Connector-admins relevant als afbakening: wat hier gebeurt, loopt niet via Connectors, maar via de browser-sessie van de persoon. Het duikt daarom ook niet op in de Connector-governance, maar wordt via de browser-use-sturing in de Cowork-administratie geregeld.

Nieuw in september 2026, een punt met Connector-relevantie. Microsoft heeft de Cowork-changelog op 8 september 2026 uitgebreid. Van de vier entries betreffen er drie modellen en de nieuwe app-skill, voor Connector-admins is er maar een relevant: plugins zijn nu ook in de mobile-app vindbaar en configureerbaar, te vinden via het bijlage-menu + → Skills. Dat sluit een gat dat in projecten regelmatig opviel: tot nu toe moest elke persoon haar Cowork-plugins op de desktop inrichten, ook als ze Cowork overwegend mobiel gebruikte. Voor jullie enablement betekent dat: de plugin-inrichting hoort vanaf nu in beide handleidingen, niet alleen in de desktop-variant. Voor de governance verandert er niets: wat in de mobile-app opduikt, is dezelfde vrijgegeven plugin-lijst uit het Admin Center.

8.6 EU-specifieke punten · EU Data Boundary, GDPR, Purview

• EU Data Boundary: Wie de tenant in de EU-regio heeft (EUR-IP-blokken in 3.4), profiteert van de EU Data Boundary. Connector-content wordt uitsluitend in EU-datacenters verwerkt, voor zover het bronsysteem dat toelaat.
• GDPR-gevolgen: Geïndexeerde data in de Microsoft Graph wordt formeel verwerkingsdata volgens art. 28 GDPR. Microsoft biedt een DPA (Data Processing Addendum) die dat afdekt. Bij bijzonder gevoelige databronnen (personeelsdossiers, medische data) loont een blik in de Connector-config: kan een property als sensitive worden gemarkeerd, dan wordt het door Copilot niet ongefilterd uitgegeven.
• Regionale Connector-varianten controleren: Federated Connectors indexeren weliswaar niets in Microsoft 365, maar de live-vraag belandt bij de aanbieder en daarmee in diens hosting-regio. Sinds september 2026 voert de Gallery met Harvey EU en Harvey AU voor het eerst uitdrukkelijke residentie-varianten (zie 5.2). Controleer voor elke vrijgave of er een EU-variant is, en geef dan gericht alleen die vrij.
• Microsoft Purview · audit-trail: Alle Connector-crawl-events, alle Federated-Connector-aanvragen worden in Purview audit-loggable. Voor compliance-controles is dat het centrale aanspreekpunt. Activering in het Microsoft Purview Compliance Portal.

8.7 Veelvoorkomende foutmeldingen

"Tenant not licensed for Microsoft 365 Copilot"

In het Admin Center is geen Copilot-add-on-licentie actief. Controleren in het Microsoft 365 Admin Center onder Billing → Licenses.

"Authorization failed" tijdens OAuth-setup

De callback-URL in het bronsysteem komt niet overeen met de verwachte Microsoft-URL. Precies wat Microsoft in de setup-wizard opgeeft, moet 1:1 in het bronsysteem worden gekopieerd. Geen trailing slash, geen extra parameter.

"Connector quota exceeded"

Per tenant zijn er default-limieten voor geïndexeerde items per Connector (typisch 5 miljoen per Connector, hogere tiers te koop). In de Connector Checker het volume controleren, eventueel filters restrictiever zetten of een quota-verhoging bij Microsoft aanvragen.

"Item not found in Copilot Chat" ondanks succesvolle crawl

Twee veelvoorkomende oorzaken:

• ACLs niet mee-geïndexeerd (items hebben geen Everyone en geen user-ACL-entry). Oplossing: Content-tab controleren.
• Property niet als retrieve gemarkeerd. Oplossing: properties correct flaggen.