Microsoft Teams

​

Plugin incluido

openclaw plugins install @openclaw/msteams

openclaw plugins install ./path/to/local/msteams-plugin

​

Configuración rápida

npm install -g @microsoft/teams.cli@preview
teams login
teams status   # verify you're logged in and see your tenant info

# One-time setup (persistent URL across sessions):
devtunnel create my-openclaw-bot --allow-anonymous
devtunnel port create my-openclaw-bot -p 3978 --protocol auto

# Each dev session:
devtunnel host my-openclaw-bot
# Your endpoint: https://<tunnel-id>.devtunnels.ms/api/messages

teams app create \
  --name "OpenClaw" \
  --endpoint "https://<your-tunnel-url>/api/messages"

{
  channels: {
    msteams: {
      enabled: true,
      appId: "<CLIENT_ID>",
      appPassword: "<CLIENT_SECRET>",
      tenantId: "<TENANT_ID>",
      webhook: { port: 3978, path: "/api/messages" },
    },
  },
}

teams app get <teamsAppId> --install-link

teams app doctor <teamsAppId>

​

Objetivos

• Hablar con OpenClaw mediante DM de Teams, chats grupales o canales.
• Mantener el enrutamiento determinista: las respuestas siempre vuelven al canal desde el que llegaron.
• Usar de forma predeterminada un comportamiento de canal seguro (menciones obligatorias salvo que se configure lo contrario).

​

Escrituras de configuración

{
  channels: { msteams: { configWrites: false } },
}

​

Control de acceso (DM + grupos)

• Valor predeterminado: channels.msteams.dmPolicy = "pairing". Los remitentes desconocidos se ignoran hasta que se aprueban.
• channels.msteams.allowFrom debe usar ID de objeto AAD estables o grupos estáticos de acceso de remitentes como accessGroup:core-team.
• No dependas de coincidencias por UPN/nombre visible para listas de permitidos; pueden cambiar. OpenClaw desactiva la coincidencia directa de nombres de forma predeterminada; actívala con channels.msteams.dangerouslyAllowNameMatching: true.
• El asistente puede resolver nombres a ID mediante Microsoft Graph cuando las credenciales lo permiten.

• Valor predeterminado: channels.msteams.groupPolicy = "allowlist" (bloqueado salvo que agregues groupAllowFrom). channels.defaults.groupPolicy puede sobrescribir el valor compartido predeterminado cuando channels.msteams.groupPolicy no está definido.
• channels.msteams.groupAllowFrom controla qué remitentes o grupos estáticos de acceso de remitentes pueden activar en chats grupales/canales (recurre a channels.msteams.allowFrom).
• Define groupPolicy: "open" para permitir cualquier miembro (sigue condicionado a mención de forma predeterminada).
• Para bloquear todos los canales, define channels.msteams.groupPolicy: "disabled".

{
  channels: {
    msteams: {
      groupPolicy: "allowlist",
      groupAllowFrom: ["00000000-0000-0000-0000-000000000000", "accessGroup:core-team"],
    },
  },
}

• Limita las respuestas de grupos/canales enumerando equipos y canales en channels.msteams.teams.
• Usa ID de conversación de Teams estables tomados de enlaces de Teams como claves, no nombres visibles mutables (consulta ID de equipo y canal).
• Cuando groupPolicy="allowlist" y hay una lista de permitidos de equipos, solo se aceptan los equipos/canales enumerados (condicionados a mención).
• El asistente de configuración acepta entradas Team/Channel y las almacena por ti.
• Al inicio, OpenClaw resuelve nombres de equipo/canal y de listas de permitidos de usuarios a ID (cuando los permisos de Graph lo permiten) y registra la asignación. Los nombres sin resolver se conservan tal como se escribieron, pero se ignoran para el enrutamiento salvo que channels.msteams.dangerouslyAllowNameMatching: true esté definido.

{
  channels: {
    msteams: {
      groupPolicy: "allowlist",
      teams: {
        "My Team": {
          channels: {
            General: { requireMention: true },
          },
        },
      },
    },
  },
}

​

Autenticación federada (certificado más identidad administrada)

​

Opción A: Autenticación basada en certificado

1. Genera u obtén un certificado (formato PEM con clave privada).
2. Entra ID → Registro de aplicación → Certificados y secretos → Certificados → carga el certificado público.

{
  channels: {
    msteams: {
      enabled: true,
      appId: "<APP_ID>",
      tenantId: "<TENANT_ID>",
      authType: "federated",
      certificatePath: "/path/to/cert.pem",
      webhook: { port: 3978, path: "/api/messages" },
    },
  },
}

• MSTEAMS_AUTH_TYPE=federated
• MSTEAMS_CERTIFICATE_PATH=/path/to/cert.pem

​

Opción B: Azure Managed Identity

1. El pod/VM del bot tiene una identidad administrada (asignada por el sistema o por el usuario).
2. Una credencial de identidad federada vincula la identidad administrada con el registro de aplicación de Entra ID.
3. En tiempo de ejecución, OpenClaw usa @azure/identity para adquirir tokens desde el extremo IMDS de Azure.
4. El token se pasa al SDK de Teams para la autenticación del bot.

• Infraestructura de Azure con identidad administrada habilitada (identidad de carga de trabajo de AKS, App Service, VM).
• Credencial de identidad federada creada en el registro de aplicación de Entra ID.
• Acceso de red a IMDS (169.254.169.254:80) desde el pod/VM.

{
  channels: {
    msteams: {
      enabled: true,
      appId: "<APP_ID>",
      tenantId: "<TENANT_ID>",
      authType: "federated",
      useManagedIdentity: true,
      webhook: { port: 3978, path: "/api/messages" },
    },
  },
}

• MSTEAMS_AUTH_TYPE=federated
• MSTEAMS_USE_MANAGED_IDENTITY=true
• MSTEAMS_MANAGED_IDENTITY_CLIENT_ID=<client-id> (solo asignada por el usuario)

​

Configuración de AKS Workload Identity

1. Habilita la identidad de carga de trabajo en tu clúster de AKS.
2. Crea una credencial de identidad federada en el registro de aplicación de Entra ID:
   az ad app federated-credential create --id <APP_OBJECT_ID> --parameters '{
     "name": "my-bot-workload-identity",
     "issuer": "<AKS_OIDC_ISSUER_URL>",
     "subject": "system:serviceaccount:<NAMESPACE>:<SERVICE_ACCOUNT>",
     "audiences": ["api://AzureADTokenExchange"]
   }'
   
3. Anota la cuenta de servicio de Kubernetes con el ID de cliente de la aplicación:
   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: my-bot-sa
     annotations:
       azure.workload.identity/client-id: "<APP_CLIENT_ID>"
   
4. Etiqueta el pod para la inyección de identidad de carga de trabajo:
   metadata:
     labels:
       azure.workload.identity/use: "true"
   
5. Permite el acceso de red a IMDS (169.254.169.254): si usas NetworkPolicy, agrega una regla de salida para 169.254.169.254/32 en el puerto 80.

​

Comparación de tipos de autenticación

​

Desarrollo local (túneles)

# One-time setup:
devtunnel create my-openclaw-bot --allow-anonymous
devtunnel port create my-openclaw-bot -p 3978 --protocol auto

# Each dev session:
devtunnel host my-openclaw-bot

teams app update <teamsAppId> --endpoint "https://<new-url>/api/messages"

​

Probar el bot

teams app doctor <teamsAppId>

1. Instala la aplicación de Teams (enlace de instalación desde teams app get <id> --install-link).
2. Busca el bot en Teams y envía un DM.
3. Revisa los registros de Gateway para ver la actividad entrante.

​

Variables de entorno

​

Acción de información de miembros

• Permiso RSC Member.Read.Group (ya incluido en el manifiesto recomendado).
• Para búsquedas entre equipos: permiso de aplicación de Graph User.Read.All con consentimiento de administrador.

​

Contexto de historial

• channels.msteams.historyLimit controla cuántos mensajes recientes de canal/grupo se envuelven en el prompt. Recurre a messages.groupChat.historyLimit y luego usa 50 de forma predeterminada. Establece 0 para deshabilitarlo.
• El historial de hilos obtenido se filtra por listas de remitentes permitidos (allowFrom / groupAllowFrom), por lo que la inicialización del contexto del hilo solo incluye mensajes de remitentes permitidos.
• El contexto de adjuntos citados (analizado desde el HTML del esquema de respuesta de Skype en los adjuntos propios de una respuesta) se pasa sin filtrar; actualmente, solo la inicialización del historial de hilos aplica el filtro de lista de remitentes permitidos.
• El historial de DM se puede limitar con channels.msteams.dmHistoryLimit (turnos de usuario). Sustituciones por usuario: channels.msteams.dms["<user_id>"].historyLimit.

​

Permisos RSC actuales de Teams (manifiesto)

• ChannelMessage.Read.Group (Application) - recibir todos los mensajes del canal sin @mention
• ChannelMessage.Send.Group (Application)
• Member.Read.Group (Application)
• Owner.Read.Group (Application)
• ChannelSettings.Read.Group (Application)
• TeamMember.Read.Group (Application)
• TeamSettings.Read.Group (Application)

• ChatMessage.Read.Chat (Application) - recibir todos los mensajes del chat grupal sin @mention

teams app rsc add <teamsAppId> ChannelMessage.Read.Group --type Application

​

Manifiesto de ejemplo de Teams (redactado)

{
  $schema: "https://developer.microsoft.com/en-us/json-schemas/teams/v1.23/MicrosoftTeams.schema.json",
  manifestVersion: "1.23",
  version: "1.0.0",
  id: "00000000-0000-0000-0000-000000000000",
  name: { short: "OpenClaw" },
  developer: {
    name: "Your Org",
    websiteUrl: "https://example.com",
    privacyUrl: "https://example.com/privacy",
    termsOfUseUrl: "https://example.com/terms",
  },
  description: { short: "OpenClaw in Teams", full: "OpenClaw in Teams" },
  icons: { outline: "outline.png", color: "color.png" },
  accentColor: "#5B6DEF",
  bots: [
    {
      botId: "11111111-1111-1111-1111-111111111111",
      scopes: ["personal", "team", "groupChat"],
      isNotificationOnly: false,
      supportsCalling: false,
      supportsVideo: false,
      supportsFiles: true,
    },
  ],
  webApplicationInfo: {
    id: "11111111-1111-1111-1111-111111111111",
  },
  authorization: {
    permissions: {
      resourceSpecific: [
        { name: "ChannelMessage.Read.Group", type: "Application" },
        { name: "ChannelMessage.Send.Group", type: "Application" },
        { name: "Member.Read.Group", type: "Application" },
        { name: "Owner.Read.Group", type: "Application" },
        { name: "ChannelSettings.Read.Group", type: "Application" },
        { name: "TeamMember.Read.Group", type: "Application" },
        { name: "TeamSettings.Read.Group", type: "Application" },
        { name: "ChatMessage.Read.Chat", type: "Application" },
      ],
    },
  },
}

​

Advertencias del manifiesto (campos obligatorios)

• bots[].botId debe coincidir con el App ID de Azure Bot.
• webApplicationInfo.id debe coincidir con el App ID de Azure Bot.
• bots[].scopes debe incluir las superficies que planeas usar (personal, team, groupChat).
• bots[].supportsFiles: true es obligatorio para la gestión de archivos en el ámbito personal.
• authorization.permissions.resourceSpecific debe incluir lectura/envío de canales para el tráfico de canales.

​

Actualizar una aplicación existente

# Download, edit, and re-upload the manifest
teams app manifest download <teamsAppId> manifest.json
# Edit manifest.json locally...
teams app manifest upload manifest.json <teamsAppId>
# Version is auto-bumped if content changed

​

Capacidades: solo RSC frente a Graph

​

Con solo RSC de Teams (aplicación instalada, sin permisos de Graph API)

• Leer contenido de texto de mensajes de canal.
• Enviar contenido de texto de mensajes de canal.
• Recibir adjuntos de archivos personales (DM).

• Contenido de imágenes o archivos de canal/grupo (la carga útil solo incluye un stub HTML).
• Descargar adjuntos almacenados en SharePoint/OneDrive.
• Leer historial de mensajes más allá del evento Webhook en vivo.

​

Con RSC de Teams + permisos de aplicación de Microsoft Graph

• Descargar contenido hospedado (imágenes pegadas en mensajes).
• Descargar adjuntos de archivos almacenados en SharePoint/OneDrive.
• Leer historial de mensajes de canales/chats mediante Graph.

​

RSC frente a Graph API

​

Medios + historial habilitados con Graph (requerido para canales)

1. Registro de aplicación de Entra ID (Azure AD) → agrega permisos de aplicación de Graph:
   • ChannelMessage.Read.All (adjuntos de canal + historial)
   • Chat.Read.All o ChatMessage.Read.All (chats grupales)
2. Concede consentimiento de administrador para el tenant.
3. Incrementa la versión del manifiesto de la aplicación de Teams, vuelve a subirlo y reinstala la aplicación en Teams.
4. Sal completamente de Teams y vuelve a iniciarlo para borrar los metadatos de aplicación en caché.

​

Limitaciones conocidas

​

Tiempos de espera de Webhook

• Teams reintentando el mensaje (lo que causa duplicados).
• Respuestas descartadas.

​

Compatibilidad con la nube y la URL de servicio de Teams

• channels.msteams.cloud selecciona el preset de nube del SDK de Teams para autenticación, validación de JWT, servicios de tokens y ámbito de Graph.
• channels.msteams.serviceUrl selecciona el límite del endpoint de Bot Connector usado para validar referencias de conversación almacenadas antes de envíos, ediciones, eliminaciones, tarjetas, encuestas, mensajes de consentimiento de archivos y respuestas en cola de larga duración proactivos. Es obligatorio para las nubes SDK USGov y DoD. Para China/21Vianet, OpenClaw usa el preset China del SDK y acepta URL de servicio almacenadas/configuradas solo en hosts de canal de Azure China Bot Framework.

{
  "channels": {
    "msteams": {
      "serviceUrl": "https://smba.infra.gcc.teams.microsoft.com/teams"
    }
  }
}

{
  "channels": {
    "msteams": {
      "cloud": "USGov",
      "serviceUrl": "https://smba.infra.gov.teams.microsoft.us/teams"
    }
  }
}

​

Formato

• El formato básico funciona: negrita, cursiva, code, enlaces.
• El markdown complejo (tablas, listas anidadas) puede no renderizarse correctamente.
• Las Adaptive Cards son compatibles para encuestas y envíos de presentación semántica (ver abajo).

​

Configuración

• channels.msteams.enabled: habilita/deshabilita el canal.
• channels.msteams.appId, channels.msteams.appPassword, channels.msteams.tenantId: credenciales del bot.
• channels.msteams.cloud: entorno de nube del SDK de Teams (Public, USGov, USGovDoD o China; predeterminado Public). Configúralo con serviceUrl para las nubes SDK USGov/DoD; China usa el preset del SDK y referencias de conversación almacenadas de Azure China Bot Framework, con helpers respaldados por Graph deshabilitados hasta que se publique el enrutamiento de Azure China Graph.
• channels.msteams.serviceUrl: límite de URL de servicio de Bot Connector para operaciones proactivas del SDK. La nube pública usa el valor predeterminado del SDK; configúralo para GCC (https://smba.infra.gcc.teams.microsoft.com/teams), GCC High o DoD. China acepta hosts de canal de Azure China Bot Framework cuando la referencia de conversación almacenada proviene de Teams operado por 21Vianet.
• channels.msteams.webhook.port (predeterminado 3978).
• channels.msteams.webhook.path (predeterminado /api/messages).
• channels.msteams.dmPolicy: pairing | allowlist | open | disabled (predeterminado pairing).
• channels.msteams.allowFrom: lista de permitidos de DM (se recomiendan los ID de objeto de AAD). El asistente resuelve nombres a ID durante la configuración cuando el acceso a Graph está disponible.
• channels.msteams.dangerouslyAllowNameMatching: conmutador de emergencia para volver a habilitar la coincidencia mutable por UPN/nombre visible y el enrutamiento directo por nombre de equipo/canal.
• channels.msteams.textChunkLimit: tamaño de fragmento de texto saliente en caracteres (predeterminado 4000, y limitado estrictamente a 4000 aunque se configure un valor mayor).
• channels.msteams.chunkMode: length (predeterminado) o newline para dividir en líneas en blanco (límites de párrafo) antes de fragmentar por longitud.
• channels.msteams.mediaAllowHosts: lista de permitidos para hosts de adjuntos entrantes (valores predeterminados a dominios de Microsoft/Teams: Graph, SharePoint/OneDrive, CDN de Teams, Bot Framework, Azure Media Services).
• channels.msteams.mediaAuthAllowHosts: lista de permitidos para adjuntar encabezados Authorization en reintentos de medios (valores predeterminados a hosts de Graph + Bot Framework).
• channels.msteams.mediaMaxMb: anulación del límite de tamaño de medios por canal en MB. Recurre a agents.defaults.mediaMaxMb cuando no está configurado.
• channels.msteams.requireMention: requiere @mención en canales/grupos (predeterminado true).
• channels.msteams.replyStyle: thread | top-level (consulta Estilo de respuesta).
• channels.msteams.teams.<teamId>.replyStyle: anulación por equipo.
• channels.msteams.teams.<teamId>.requireMention: anulación por equipo.
• channels.msteams.teams.<teamId>.tools: anulaciones predeterminadas de política de herramientas por equipo (allow/deny/alsoAllow) usadas cuando falta una anulación de canal.
• channels.msteams.teams.<teamId>.toolsBySender: anulaciones predeterminadas de política de herramientas por equipo y por remitente (se admite el comodín "*").
• channels.msteams.teams.<teamId>.channels.<conversationId>.replyStyle: anulación por canal.
• channels.msteams.teams.<teamId>.channels.<conversationId>.requireMention: anulación por canal.
• channels.msteams.teams.<teamId>.channels.<conversationId>.tools: anulaciones de política de herramientas por canal (allow/deny/alsoAllow).
• channels.msteams.teams.<teamId>.channels.<conversationId>.toolsBySender: anulaciones de política de herramientas por canal y por remitente (se admite el comodín "*").
• Las claves de toolsBySender deben usar prefijos explícitos: channel:, id:, e164:, username:, name: (las claves heredadas sin prefijo aún se asignan solo a id:).
• channels.msteams.authType: tipo de autenticación - "secret" (predeterminado) o "federated".
• channels.msteams.certificatePath: ruta al archivo de certificado PEM (autenticación federada + certificado).
• channels.msteams.certificateThumbprint: huella digital del certificado; se acepta, no es obligatoria para la autenticación.
• channels.msteams.useManagedIdentity: habilita autenticación con identidad administrada (modo federado).
• channels.msteams.managedIdentityClientId: ID de cliente para identidad administrada asignada por el usuario.
• channels.msteams.sharePointSiteId: ID de sitio de SharePoint para cargas de archivos en chats grupales/canales (consulta Enviar archivos en chats grupales).
• channels.msteams.welcomeCard, channels.msteams.groupWelcomeCard, channels.msteams.promptStarters: Adaptive Card de bienvenida mostrada en el primer contacto por DM/grupo, y sus botones de prompts sugeridos.
• channels.msteams.responsePrefix: texto prefijado a las respuestas salientes.
• channels.msteams.feedbackEnabled (predeterminado true), channels.msteams.feedbackReflection (predeterminado true), channels.msteams.feedbackReflectionCooldownMs: feedback de pulgar arriba/abajo en respuestas y seguimiento de reflexión ante feedback negativo.
• channels.msteams.sso, channels.msteams.delegatedAuth: conexión OAuth de Bot Framework y ámbitos delegados de Graph para flujos respaldados por SSO; sso.enabled: true requiere sso.connectionName.

​

Enrutamiento y sesiones

• Las claves de sesión siguen el formato estándar del agente (consulta /concepts/session):
  • Los mensajes directos comparten la sesión principal (agent:<agentId>:<mainKey>).
  • Los mensajes de canal/grupo usan el id de conversación:
    • agent:<agentId>:msteams:channel:<conversationId>
    • agent:<agentId>:msteams:group:<conversationId>

​

Estilo de respuesta: hilos frente a publicaciones

• thread en un canal con estilo de hilos → las respuestas aparecen anidadas de forma incómoda.
• top-level en un canal con estilo de publicaciones → las respuestas aparecen como publicaciones independientes de nivel superior en lugar de dentro del hilo.

{
  channels: {
    msteams: {
      replyStyle: "thread",
      teams: {
        "19:abc...@thread.tacv2": {
          channels: {
            "19:xyz...@thread.tacv2": {
              replyStyle: "top-level",
            },
          },
        },
      },
    },
  },
}

​

Precedencia de resolución

1. Por canal - channels.msteams.teams.<teamId>.channels.<conversationId>.replyStyle
2. Por equipo - channels.msteams.teams.<teamId>.replyStyle
3. Global - channels.msteams.replyStyle
4. Predeterminado implícito - derivado de requireMention:
   • requireMention: true → thread
   • requireMention: false → top-level

​

Conservación del contexto de hilo

​

Adjuntos e imágenes

• DM: las imágenes y los archivos adjuntos funcionan mediante las API de archivos de bot de Teams.
• Canales/grupos: los adjuntos viven en el almacenamiento de M365 (SharePoint/OneDrive). La carga del Webhook solo incluye un fragmento HTML, no los bytes reales del archivo. Se requieren permisos de Graph API para descargar adjuntos de canal.
• Para envíos explícitos centrados en archivos, usa action=upload-file con media / filePath / path; el message opcional se convierte en el texto/comentario que acompaña, y filename (o title) sobrescribe el nombre subido.

​

Enviar archivos en chats grupales

​

Por qué los chats grupales necesitan SharePoint

​

Configuración

1. Agrega permisos de Graph API en Entra ID (Azure AD) → Registro de aplicación:
   • Sites.ReadWrite.All (Aplicación) - subir archivos a SharePoint.
   • Chat.Read.All (Aplicación) - opcional, habilita enlaces para compartir por usuario.
2. Concede consentimiento de administrador para el inquilino.
3. Obtén el ID de tu sitio de SharePoint:
   # Via Graph Explorer or curl with a valid token:
   curl -H "Authorization: Bearer $TOKEN" \
     "https://graph.microsoft.com/v1.0/sites/{hostname}:/{site-path}"
   
   # Example: for a site at "contoso.sharepoint.com/sites/BotFiles"
   curl -H "Authorization: Bearer $TOKEN" \
     "https://graph.microsoft.com/v1.0/sites/contoso.sharepoint.com:/sites/BotFiles"
   
   # Response includes: "id": "contoso.sharepoint.com,guid1,guid2"
   
4. Configura OpenClaw:
   {
     channels: {
       msteams: {
         // ... other config ...
         sharePointSiteId: "contoso.sharepoint.com,guid1,guid2",
       },
     },
   }
   

​

Comportamiento al compartir

​

Comportamiento de reserva

​

Ubicación de archivos almacenados

​

Encuestas (Adaptive Cards)

• CLI: openclaw message poll --channel msteams --target conversation:<id> --poll-question "..." --poll-option "..." --poll-option "...".
• Los votos se registran por el Gateway en el estado de Plugin SQLite de OpenClaw bajo state/openclaw.sqlite.
• Los archivos msteams-polls.json existentes son importados por openclaw doctor --fix, no por el Plugin en ejecución.
• El Gateway debe permanecer en línea para registrar votos.
• Las encuestas no publican automáticamente resúmenes de resultados, y todavía no hay una CLI de resultados de encuesta.

​

Tarjetas de presentación

{
  action: "send",
  channel: "msteams",
  target: "user:<id>",
  presentation: {
    title: "Hello",
    blocks: [{ type: "text", text: "Hello!" }],
  },
}

openclaw message send --channel msteams \
  --target "conversation:19:abc...@thread.tacv2" \
  --presentation '{"title":"Hello","blocks":[{"type":"text","text":"Hello!"}]}'

​

Formatos de destino

# Send to a user by ID
openclaw message send --channel msteams --target "user:40a1a0ed-..." --message "Hello"

# Send to a user by display name (triggers Graph API lookup)
openclaw message send --channel msteams --target "user:John Smith" --message "Hello"

# Send to a group chat or channel
openclaw message send --channel msteams --target "conversation:19:abc...@thread.tacv2" --message "Hello"

# Send a presentation card to a conversation
openclaw message send --channel msteams --target "conversation:19:abc...@thread.tacv2" \
  --presentation '{"title":"Hello","blocks":[{"type":"text","text":"Hello"}]}'

{
  action: "send",
  channel: "msteams",
  target: "user:John Smith",
  message: "Hello!",
}

{
  action: "send",
  channel: "msteams",
  target: "conversation:19:abc...@thread.tacv2",
  presentation: {
    title: "Hello",
    blocks: [{ type: "text", text: "Hello" }],
  },
}

​

Mensajería proactiva

• Los mensajes proactivos solo son posibles después de que un usuario haya interactuado, porque OpenClaw almacena referencias de conversación en ese momento.
• Consulta /gateway/configuration para dmPolicy y el control por lista de permitidos.

​

ID de equipo y canal (problema común)

https://teams.microsoft.com/l/team/19%3ABk4j...%40thread.tacv2/conversations?groupId=...
                                    └────────────────────────────┘
                                    Team conversation ID (URL-decode this)

https://teams.microsoft.com/l/channel/19%3A15bc...%40thread.tacv2/ChannelName?groupId=...
                                      └─────────────────────────┘
                                      Channel ID (URL-decode this)

• Clave de equipo = segmento de ruta después de /team/ (decodificado de URL, por ejemplo, 19:Bk4j...@thread.tacv2; los inquilinos más antiguos pueden mostrar @thread.skype, que también es válido).
• Clave de canal = segmento de ruta después de /channel/ (decodificado de URL).
• Ignora el parámetro de consulta groupId para el enrutamiento de OpenClaw. Es el ID de grupo de Microsoft Entra, no el ID de conversación de Bot Framework usado en las actividades entrantes de Teams.

​

Canales privados

1. Usa canales estándar para las interacciones del bot.
2. Usa DMs; los usuarios siempre pueden enviar mensajes directamente al bot.
3. Usa Graph API para acceso histórico (requiere ChannelMessage.Read.All).

​

Solución de problemas

​

Problemas comunes

• Las imágenes no aparecen en los canales: faltan permisos de Graph o consentimiento del administrador. Reinstala la aplicación de Teams y cierra por completo/vuelve a abrir Teams.
• No hay respuestas en el canal: las menciones son obligatorias de forma predeterminada; establece channels.msteams.requireMention=false o configúralo por equipo/canal.
• Incompatibilidad de versión (Teams sigue mostrando el manifiesto antiguo): elimina y vuelve a agregar la aplicación, y cierra por completo Teams para actualizar.
• 401 Unauthorized desde Webhook: es esperado al probar manualmente sin un JWT de Azure; significa que el endpoint es accesible, pero falló la autenticación. Usa Azure Web Chat para probar correctamente.

​

Errores de carga del manifiesto

• “Icon file cannot be empty”: el manifiesto referencia archivos de icono que tienen 0 bytes. Crea iconos PNG válidos (32x32 para outline.png, 192x192 para color.png).
• “webApplicationInfo.Id already in use”: la aplicación aún está instalada en otro equipo/chat. Encuéntrala y desinstálala primero, o espera de 5 a 10 minutos para la propagación.
• “Something went wrong” al cargar: carga mediante https://admin.teams.microsoft.com en su lugar, abre las herramientas de desarrollo del navegador (F12) → pestaña Network, y revisa el cuerpo de la respuesta para ver el error real.
• Falla de sideload: prueba “Upload an app to your org’s app catalog” en lugar de “Upload a custom app”; esto a menudo evita las restricciones de sideload.

​

Los permisos RSC no funcionan

1. Verifica que webApplicationInfo.id coincida exactamente con el App ID de tu bot.
2. Vuelve a cargar la aplicación y reinstálala en el equipo/chat.
3. Comprueba si el administrador de tu organización ha bloqueado los permisos RSC.
4. Confirma que estás usando el ámbito correcto: ChannelMessage.Read.Group para equipos, ChatMessage.Read.Chat para chats grupales.

​

Referencias

• Crear Azure Bot - guía de configuración de Azure Bot
• Portal para desarrolladores de Teams - crear/administrar aplicaciones de Teams
• Esquema del manifiesto de la aplicación de Teams
• Recibir mensajes de canal con RSC
• Referencia de permisos RSC
• Manejo de archivos del bot de Teams (canal/grupo requiere Graph)
• Mensajería proactiva
• @microsoft/teams.cli - CLI de Teams para la administración del bot

​

Relacionado

• Descripción general de canales - todos los canales compatibles
• Emparejamiento - flujo de autenticación y emparejamiento por DM
• Grupos - comportamiento de chat grupal y control por menciones
• Enrutamiento de canales - enrutamiento de sesiones para mensajes
• Seguridad - modelo de acceso y endurecimiento