Microsoft Teams

Documentation Index

Fetch the complete documentation index at: https://docs.openclaw.ai/llms.txt

Use this file to discover all available pages before exploring further.

​

内置插件

openclaw plugins install @openclaw/msteams

openclaw plugins install ./path/to/local/msteams-plugin

​

快速设置

npm install -g @microsoft/teams.cli@preview
teams login
teams status   # verify you're logged in and see your tenant info

# One-time setup (persistent URL across sessions):
devtunnel create my-openclaw-bot --allow-anonymous
devtunnel port create my-openclaw-bot -p 3978 --protocol auto

# Each dev session:
devtunnel host my-openclaw-bot
# Your endpoint: https://<tunnel-id>.devtunnels.ms/api/messages

teams app create \
  --name "OpenClaw" \
  --endpoint "https://<your-tunnel-url>/api/messages"

• 创建 Entra ID（Azure AD）应用程序
• 生成客户端密钥
• 构建并上传 Teams 应用清单（含图标）
• 注册机器人（默认由 Teams 管理，无需 Azure 订阅）

{
  channels: {
    msteams: {
      enabled: true,
      appId: "<CLIENT_ID>",
      appPassword: "<CLIENT_SECRET>",
      tenantId: "<TENANT_ID>",
      webhook: { port: 3978, path: "/api/messages" },
    },
  },
}

teams app get <teamsAppId> --install-link

teams app doctor <teamsAppId>

​

目标

• 通过 Teams 私信、群组聊天或渠道与 OpenClaw 对话。
• 保持路由确定性：回复始终返回到接收消息的渠道。
• 默认采用安全的渠道行为（除非另有配置，否则需要提及）。

​

配置写入

{
  channels: { msteams: { configWrites: false } },
}

​

访问控制（私信 + 群组）

• 默认：channels.msteams.dmPolicy = "pairing"。未知发送者会被忽略，直到获批。
• channels.msteams.allowFrom 应使用稳定的 AAD 对象 ID。
• 不要依赖 UPN/显示名称匹配来设置允许列表，因为它们可能会变化。OpenClaw 默认禁用直接名称匹配；如需启用，请显式设置 channels.msteams.dangerouslyAllowNameMatching: true。
• 当凭据允许时，向导可以通过 Microsoft Graph 将名称解析为 ID。

• 默认：channels.msteams.groupPolicy = "allowlist"（除非添加 groupAllowFrom，否则会阻止）。使用 channels.defaults.groupPolicy 可在未设置时覆盖默认值。
• channels.msteams.groupAllowFrom 控制哪些发送者可以在群组聊天/渠道中触发（回退到 channels.msteams.allowFrom）。
• 设置 groupPolicy: "open" 可允许任何成员（默认仍需要提及才会触发）。
• 要不允许任何渠道，请设置 channels.msteams.groupPolicy: "disabled"。

{
  channels: {
    msteams: {
      groupPolicy: "allowlist",
      groupAllowFrom: ["user@org.com"],
    },
  },
}

• 通过在 channels.msteams.teams 下列出团队和渠道来限定群组/渠道回复范围。
• 键应使用来自 Teams 链接的稳定 Teams 会话 ID，而不是可变的显示名称。
• 当 groupPolicy="allowlist" 且存在团队允许列表时，只接受列出的团队/渠道（需要提及才会触发）。
• 配置向导接受 Team/Channel 条目，并为你保存。
• 启动时，OpenClaw 会将团队/渠道和用户允许列表名称解析为 ID（当 Graph 权限允许时） 并记录映射；未解析的团队/渠道名称会按输入保留，但默认会在路由中忽略，除非启用了 channels.msteams.dangerouslyAllowNameMatching: true。

{
  channels: {
    msteams: {
      groupPolicy: "allowlist",
      teams: {
        "My Team": {
          channels: {
            General: { requireMention: true },
          },
        },
      },
    },
  },
}

​

联合认证（证书加托管身份）

添加于 2026.4.11

​

选项 A：基于证书的认证

1. 生成或获取证书（带私钥的 PEM 格式）。
2. 在 Entra ID → App Registration → Certificates & secrets → Certificates 中上传公钥证书。

{
  channels: {
    msteams: {
      enabled: true,
      appId: "<APP_ID>",
      tenantId: "<TENANT_ID>",
      authType: "federated",
      certificatePath: "/path/to/cert.pem",
      webhook: { port: 3978, path: "/api/messages" },
    },
  },
}

• MSTEAMS_AUTH_TYPE=federated
• MSTEAMS_CERTIFICATE_PATH=/path/to/cert.pem

​

选项 B：Azure 托管身份

1. 机器人 pod/VM 拥有托管身份（系统分配或用户分配）。
2. 联合身份凭据将托管身份链接到 Entra ID 应用注册。
3. 运行时，OpenClaw 使用 @azure/identity 从 Azure IMDS 端点（169.254.169.254）获取令牌。
4. 令牌会传递给 Teams SDK，用于机器人认证。

• 启用了托管身份的 Azure 基础设施（AKS 工作负载身份、App Service、VM）
• 在 Entra ID 应用注册上创建了联合身份凭据
• pod/VM 能够访问 IMDS（169.254.169.254:80）

{
  channels: {
    msteams: {
      enabled: true,
      appId: "<APP_ID>",
      tenantId: "<TENANT_ID>",
      authType: "federated",
      useManagedIdentity: true,
      webhook: { port: 3978, path: "/api/messages" },
    },
  },
}

{
  channels: {
    msteams: {
      enabled: true,
      appId: "<APP_ID>",
      tenantId: "<TENANT_ID>",
      authType: "federated",
      useManagedIdentity: true,
      managedIdentityClientId: "<MI_CLIENT_ID>",
      webhook: { port: 3978, path: "/api/messages" },
    },
  },
}

• MSTEAMS_AUTH_TYPE=federated
• MSTEAMS_USE_MANAGED_IDENTITY=true
• MSTEAMS_MANAGED_IDENTITY_CLIENT_ID=<client-id>（仅用于用户分配）

​

AKS 工作负载身份设置

1. 在你的 AKS 集群上启用工作负载身份。
2. 在 Entra ID 应用注册上创建联合身份凭据：
   az ad app federated-credential create --id <APP_OBJECT_ID> --parameters '{
     "name": "my-bot-workload-identity",
     "issuer": "<AKS_OIDC_ISSUER_URL>",
     "subject": "system:serviceaccount:<NAMESPACE>:<SERVICE_ACCOUNT>",
     "audiences": ["api://AzureADTokenExchange"]
   }'
   
3. 使用应用客户端 ID 注解 Kubernetes 服务账号：
   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: my-bot-sa
     annotations:
       azure.workload.identity/client-id: "<APP_CLIENT_ID>"
   
4. 为工作负载身份注入给 pod 添加标签：
   metadata:
     labels:
       azure.workload.identity/use: "true"
   
5. 确保网络访问 IMDS（169.254.169.254）——如果使用 NetworkPolicy，请添加一条出站规则，允许流量通过端口 80 访问 169.254.169.254/32。

​

身份验证类型对比

​

本地开发（隧道）

# One-time setup:
devtunnel create my-openclaw-bot --allow-anonymous
devtunnel port create my-openclaw-bot -p 3978 --protocol auto

# Each dev session:
devtunnel host my-openclaw-bot

teams app update <teamsAppId> --endpoint "https://<new-url>/api/messages"

​

测试 Bot

teams app doctor <teamsAppId>

1. 安装 Teams 应用（使用来自 teams app get <id> --install-link 的安装链接）
2. 在 Teams 中找到 bot 并发送私信
3. 检查 Gateway 网关日志中的传入活动

​

环境变量

• MSTEAMS_APP_ID
• MSTEAMS_APP_PASSWORD
• MSTEAMS_TENANT_ID
• MSTEAMS_AUTH_TYPE（可选："secret" 或 "federated"）
• MSTEAMS_CERTIFICATE_PATH（联合 + 证书）
• MSTEAMS_CERTIFICATE_THUMBPRINT（可选，身份验证不需要）
• MSTEAMS_USE_MANAGED_IDENTITY（联合 + 托管身份）
• MSTEAMS_MANAGED_IDENTITY_CLIENT_ID（仅用户分配的 MI）

​

成员信息操作

• Member.Read.Group RSC 权限（已在推荐清单中）
• 对于跨团队查询：需要已获管理员同意的 User.Read.All Graph 应用程序权限

​

历史上下文

• channels.msteams.historyLimit 控制将多少条最近的渠道/群组消息包装进提示词。
• 回退到 messages.groupChat.historyLimit。设置为 0 可禁用（默认 50）。
• 拉取的线程历史会按发送者允许列表（allowFrom / groupAllowFrom）过滤，因此线程上下文种子只包含允许的发送者的消息。
• 引用附件上下文（从 Teams 回复 HTML 派生的 ReplyTo*）当前会按收到的形式传递。
• 换句话说，允许列表会限制谁可以触发智能体；目前只有特定的补充上下文路径会被过滤。
• 私信历史可通过 channels.msteams.dmHistoryLimit（用户轮次）限制。按用户覆盖：channels.msteams.dms["<user_id>"].historyLimit。

​

当前 Teams RSC 权限（清单）

• ChannelMessage.Read.Group（Application）- 无需 @mention 即可接收所有渠道消息
• ChannelMessage.Send.Group（Application）
• Member.Read.Group（Application）
• Owner.Read.Group（Application）
• ChannelSettings.Read.Group（Application）
• TeamMember.Read.Group（Application）
• TeamSettings.Read.Group（Application）

• ChatMessage.Read.Chat（Application）- 无需 @mention 即可接收所有群聊消息

teams app rsc add <teamsAppId> ChannelMessage.Read.Group --type Application

​

Teams 清单示例（已脱敏）

{
  $schema: "https://developer.microsoft.com/en-us/json-schemas/teams/v1.23/MicrosoftTeams.schema.json",
  manifestVersion: "1.23",
  version: "1.0.0",
  id: "00000000-0000-0000-0000-000000000000",
  name: { short: "OpenClaw" },
  developer: {
    name: "Your Org",
    websiteUrl: "https://example.com",
    privacyUrl: "https://example.com/privacy",
    termsOfUseUrl: "https://example.com/terms",
  },
  description: { short: "OpenClaw in Teams", full: "OpenClaw in Teams" },
  icons: { outline: "outline.png", color: "color.png" },
  accentColor: "#5B6DEF",
  bots: [
    {
      botId: "11111111-1111-1111-1111-111111111111",
      scopes: ["personal", "team", "groupChat"],
      isNotificationOnly: false,
      supportsCalling: false,
      supportsVideo: false,
      supportsFiles: true,
    },
  ],
  webApplicationInfo: {
    id: "11111111-1111-1111-1111-111111111111",
  },
  authorization: {
    permissions: {
      resourceSpecific: [
        { name: "ChannelMessage.Read.Group", type: "Application" },
        { name: "ChannelMessage.Send.Group", type: "Application" },
        { name: "Member.Read.Group", type: "Application" },
        { name: "Owner.Read.Group", type: "Application" },
        { name: "ChannelSettings.Read.Group", type: "Application" },
        { name: "TeamMember.Read.Group", type: "Application" },
        { name: "TeamSettings.Read.Group", type: "Application" },
        { name: "ChatMessage.Read.Chat", type: "Application" },
      ],
    },
  },
}

​

清单注意事项（必备字段）

• bots[].botId 必须与 Azure Bot App ID 匹配。
• webApplicationInfo.id 必须与 Azure Bot App ID 匹配。
• bots[].scopes 必须包含你计划使用的界面（personal、team、groupChat）。
• 个人范围内的文件处理需要 bots[].supportsFiles: true。
• 如果你想要渠道流量，authorization.permissions.resourceSpecific 必须包含渠道读取/发送权限。

​

更新现有应用

# Download, edit, and re-upload the manifest
teams app manifest download <teamsAppId> manifest.json
# Edit manifest.json locally...
teams app manifest upload manifest.json <teamsAppId>
# Version is auto-bumped if content changed

​

能力：仅 RSC 与 Graph

​

仅使用 Teams RSC（已安装应用，无 Graph API 权限）

• 读取渠道消息文本内容。
• 发送渠道消息文本内容。
• 接收**个人（私信）**文件附件。

• 渠道/群组图片或文件内容（载荷只包含 HTML 占位）。
• 下载存储在 SharePoint/OneDrive 中的附件。
• 读取消息历史（超出实时 webhook 事件）。

​

使用 Teams RSC + Microsoft Graph 应用程序权限

• 下载托管内容（粘贴到消息中的图片）。
• 下载存储在 SharePoint/OneDrive 中的文件附件。
• 通过 Graph 读取渠道/聊天消息历史。

​

RSC 与 Graph API

​

支持 Graph 的媒体 + 历史（渠道必需）

1. 在 Entra ID（Azure AD）应用注册中，添加 Microsoft Graph 应用程序权限：
   • ChannelMessage.Read.All（渠道附件 + 历史）
   • Chat.Read.All 或 ChatMessage.Read.All（群聊）
2. 为租户授予管理员同意。
3. 提升 Teams 应用的清单版本，重新上传，并在 Teams 中重新安装应用。
4. 完全退出并重新启动 Teams，以清除缓存的应用元数据。

​

已知限制

​

Webhook 超时

• Gateway 网关超时
• Teams 重试消息（导致重复）
• 回复丢失

​

格式

• 基本格式可用：粗体、斜体、code、链接
• 复杂 Markdown（表格、嵌套列表）可能无法正确渲染
• Adaptive Cards 支持投票和语义化演示发送（见下文）

​

配置

• channels.msteams.enabled：启用/禁用该渠道。
• channels.msteams.appId、channels.msteams.appPassword、channels.msteams.tenantId：机器人凭证。
• channels.msteams.webhook.port（默认 3978）
• channels.msteams.webhook.path（默认 /api/messages）
• channels.msteams.dmPolicy：pairing | allowlist | open | disabled（默认：pairing）
• channels.msteams.allowFrom：私信允许列表（建议使用 AAD 对象 ID）。当 Graph 访问可用时，向导会在设置期间将名称解析为 ID。
• channels.msteams.dangerouslyAllowNameMatching：应急开关，用于重新启用可变的 UPN/显示名称匹配以及直接的团队/渠道名称路由。
• channels.msteams.textChunkLimit：出站文本分块大小。
• channels.msteams.chunkMode：length（默认）或 newline，用于在按长度分块前先按空行（段落边界）拆分。
• channels.msteams.mediaAllowHosts：入站附件主机允许列表（默认为 Microsoft/Teams 域名）。
• channels.msteams.mediaAuthAllowHosts：媒体重试时允许附加 Authorization 标头的主机允许列表（默认为 Graph + Bot Framework 主机）。
• channels.msteams.requireMention：在渠道/群组中要求 @提及（默认 true）。
• channels.msteams.replyStyle：thread | top-level（见回复样式）。
• channels.msteams.teams.<teamId>.replyStyle：按团队覆盖。
• channels.msteams.teams.<teamId>.requireMention：按团队覆盖。
• channels.msteams.teams.<teamId>.tools：当缺少渠道覆盖时使用的默认按团队工具策略覆盖（allow/deny/alsoAllow）。
• channels.msteams.teams.<teamId>.toolsBySender：默认按团队、按发送者工具策略覆盖（支持 "*" 通配符）。
• channels.msteams.teams.<teamId>.channels.<conversationId>.replyStyle：按渠道覆盖。
• channels.msteams.teams.<teamId>.channels.<conversationId>.requireMention：按渠道覆盖。
• channels.msteams.teams.<teamId>.channels.<conversationId>.tools：按渠道工具策略覆盖（allow/deny/alsoAllow）。
• channels.msteams.teams.<teamId>.channels.<conversationId>.toolsBySender：按渠道、按发送者工具策略覆盖（支持 "*" 通配符）。
• toolsBySender 键应使用显式前缀： id:、e164:、username:、name:（旧版无前缀键仍只映射到 id:）。
• channels.msteams.actions.memberInfo：启用或禁用由 Graph 支持的成员信息操作（默认：当 Graph 凭证可用时启用）。
• channels.msteams.authType：身份验证类型 — "secret"（默认）或 "federated"。
• channels.msteams.certificatePath：PEM 证书文件路径（联合 + 证书身份验证）。
• channels.msteams.certificateThumbprint：证书指纹（可选，身份验证不需要）。
• channels.msteams.useManagedIdentity：启用托管身份身份验证（联合模式）。
• channels.msteams.managedIdentityClientId：用户分配托管身份的客户端 ID。
• channels.msteams.sharePointSiteId：群聊/渠道中文件上传使用的 SharePoint 站点 ID（见在群聊中发送文件）。

​

路由与会话

• 会话键遵循标准智能体格式（见 /concepts/session）：
  • 私信共享主会话（agent:<agentId>:<mainKey>）。
  • 渠道/群组消息使用会话 ID：
    • agent:<agentId>:msteams:channel:<conversationId>
    • agent:<agentId>:msteams:group:<conversationId>

​

回复样式：线程与帖子

• 在线程样式渠道中使用 thread → 回复会显得嵌套别扭
• 在帖子样式渠道中使用 top-level → 回复会显示为单独的顶层帖子，而不是在线程内

{
  channels: {
    msteams: {
      replyStyle: "thread",
      teams: {
        "19:abc...@thread.tacv2": {
          channels: {
            "19:xyz...@thread.tacv2": {
              replyStyle: "top-level",
            },
          },
        },
      },
    },
  },
}

​

附件与图片

• 私信： 图片和文件附件可通过 Teams 机器人文件 API 使用。
• 渠道/群组： 附件存放在 M365 存储（SharePoint/OneDrive）中。Webhook 载荷只包含 HTML 存根，而不是实际文件字节。需要 Graph API 权限才能下载渠道附件。
• 对于明确以文件为先的发送，使用带有 media / filePath / path 的 action=upload-file；可选的 message 会成为随附文本/评论，filename 会覆盖上传名称。

​

在群聊中发送文件

​

为什么群聊需要 SharePoint

​

设置

1. 在 Entra ID (Azure AD) → App Registration 中添加 Graph API 权限：
   • Sites.ReadWrite.All（Application）- 将文件上传到 SharePoint
   • Chat.Read.All（Application）- 可选，启用按用户共享链接
2. 为租户授予管理员同意。
3. 获取你的 SharePoint 站点 ID：
   # Via Graph Explorer or curl with a valid token:
   curl -H "Authorization: Bearer $TOKEN" \
     "https://graph.microsoft.com/v1.0/sites/{hostname}:/{site-path}"
   
   # Example: for a site at "contoso.sharepoint.com/sites/BotFiles"
   curl -H "Authorization: Bearer $TOKEN" \
     "https://graph.microsoft.com/v1.0/sites/contoso.sharepoint.com:/sites/BotFiles"
   
   # Response includes: "id": "contoso.sharepoint.com,guid1,guid2"
   
4. 配置 OpenClaw：
   {
     channels: {
       msteams: {
         // ... other config ...
         sharePointSiteId: "contoso.sharepoint.com,guid1,guid2",
       },
     },
   }
   

​

共享行为

​

回退行为

​

文件存储位置

​

投票（Adaptive Cards）

• CLI：openclaw message poll --channel msteams --target conversation:<id> ...
• 投票由 Gateway 网关记录在 ~/.openclaw/msteams-polls.json 中。
• Gateway 网关必须保持在线才能记录投票。
• 投票还不会自动发布结果摘要（如有需要，请检查存储文件）。

​

演示卡片

{
  action: "send",
  channel: "msteams",
  target: "user:<id>",
  presentation: {
    title: "Hello",
    blocks: [{ type: "text", text: "Hello!" }],
  },
}

openclaw message send --channel msteams \
  --target "conversation:19:abc...@thread.tacv2" \
  --presentation '{"title":"Hello","blocks":[{"type":"text","text":"Hello!"}]}'

​

目标格式

# Send to a user by ID
openclaw message send --channel msteams --target "user:40a1a0ed-..." --message "Hello"

# Send to a user by display name (triggers Graph API lookup)
openclaw message send --channel msteams --target "user:John Smith" --message "Hello"

# Send to a group chat or channel
openclaw message send --channel msteams --target "conversation:19:abc...@thread.tacv2" --message "Hello"

# Send a presentation card to a conversation
openclaw message send --channel msteams --target "conversation:19:abc...@thread.tacv2" \
  --presentation '{"title":"Hello","blocks":[{"type":"text","text":"Hello"}]}'

{
  action: "send",
  channel: "msteams",
  target: "user:John Smith",
  message: "Hello!",
}

{
  action: "send",
  channel: "msteams",
  target: "conversation:19:abc...@thread.tacv2",
  presentation: {
    title: "Hello",
    blocks: [{ type: "text", text: "Hello" }],
  },
}

​

主动消息传递

• 只有在用户交互之后，才可以发送主动消息，因为我们会在那时存储会话引用。
• 有关 dmPolicy 和允许列表门控，请参阅 /gateway/configuration。

​

团队和渠道 ID（常见陷阱）

https://teams.microsoft.com/l/team/19%3ABk4j...%40thread.tacv2/conversations?groupId=...
                                    └────────────────────────────┘
                                    团队会话 ID（对此进行 URL 解码）

https://teams.microsoft.com/l/channel/19%3A15bc...%40thread.tacv2/ChannelName?groupId=...
                                      └─────────────────────────┘
                                      渠道 ID（对此进行 URL 解码）

• 团队键 = /team/ 之后的路径段（URL 解码后，例如 19:Bk4j...@thread.tacv2；较旧的租户可能显示 @thread.skype，这也是有效的）
• 渠道键 = /channel/ 之后的路径段（URL 解码后）
• 忽略用于 OpenClaw 路由的 groupId 查询参数。它是 Microsoft Entra 组 ID，而不是传入 Teams 活动中使用的 Bot Framework 会话 ID。

​

私有渠道

1. 使用标准渠道进行机器人交互
2. 使用私信 - 用户始终可以直接给机器人发消息
3. 使用 Graph API 访问历史记录（需要 ChannelMessage.Read.All）

​

故障排除

​

常见问题

• 图片未显示在渠道中： 缺少 Graph 权限或管理员同意。重新安装 Teams 应用，并完全退出后重新打开 Teams。
• 渠道中没有响应： 默认需要提及；设置 channels.msteams.requireMention=false，或按团队/渠道配置。
• 版本不匹配（Teams 仍显示旧清单）： 移除并重新添加应用，然后完全退出 Teams 以刷新。
• webhook 返回 401 Unauthorized： 手动测试时没有 Azure JWT 时属于预期情况 - 表示端点可访问，但认证失败。使用 Azure Web Chat 正确测试。

​

清单上传错误

• “图标文件不能为空”： 清单引用的图标文件为 0 字节。创建有效的 PNG 图标（outline.png 为 32x32，color.png 为 192x192）。
• “webApplicationInfo.Id 已被使用”： 应用仍安装在另一个团队/聊天中。先找到并卸载它，或等待 5-10 分钟让变更传播。
• 上传时显示“出现问题”： 改为通过 https://admin.teams.microsoft.com 上传，打开浏览器 DevTools（F12）→ 网络标签页，并检查响应正文中的实际错误。
• 旁加载失败： 尝试使用“将应用上传到组织的应用目录”，而不是“上传自定义应用” - 这通常可以绕过旁加载限制。

​

RSC 权限无法工作

1. 验证 webApplicationInfo.id 与你的机器人 App ID 完全匹配
2. 重新上传应用，并在团队/聊天中重新安装
3. 检查你的组织管理员是否阻止了 RSC 权限
4. 确认你使用了正确范围：团队使用 ChannelMessage.Read.Group，群聊使用 ChatMessage.Read.Chat

​

参考

• 创建 Azure Bot - Azure Bot 设置指南
• Teams 开发者门户 - 创建/管理 Teams 应用
• Teams 应用清单架构
• 使用 RSC 接收渠道消息
• RSC 权限参考
• Teams 机器人文件处理（渠道/群组需要 Graph）
• 主动消息
• @microsoft/teams.cli - 用于机器人管理的 Teams CLI

​

相关

• 渠道概览 — 所有支持的渠道
• 配对 — 私信认证和配对流程
• 群组 — 群聊行为和提及门控
• 渠道路由 — 消息的会话路由
• 安全 — 访问模型和加固