Anforderung für die mehrstufige Authentifizierung

Wir verlangen bereits eine mehrstufige Authentifizierung in Microsoft Advertising online. Die mehrstufige Authentifizierung ist ein Sicherheitsprozess, bei dem Sie Ihre Identität auf zwei verschiedene Arten überprüfen müssen.

Der neue msads.manage Geltungsbereich erfordert eine erneute Zustimmung aller Benutzer Ihrer Anwendung. Sie müssen Benutzer unter Verwendung des neuen msads.manage Bereichs zur Zustimmung auffordern, unabhängig davon, ob sie die mehrstufige Authentifizierung aktiviert haben oder nicht. Dadurch wird sichergestellt, dass sie eine zweite Form der Identifizierung oder des Nachweises bereitstellen, wenn sie die Zustimmung zu Ihrem Antrag erteilen.

Aktion erforderlich

Sie müssen Ihre Anwendung aktualisieren und Benutzer zur Zustimmung auffordern, indem Sie den Bereich über den Microsoft Identity Platform-Endpunkt verwendenmsads.manage. Alle Microsoft Advertising-Entwickler müssen Maßnahmen ergreifen, um den neuen Bereich zu verwenden.

Bei jeder API-Anforderung überprüfen wir das Zugriffstoken, um sicherzustellen, dass der Benutzer seine Zustimmung über den neuen msads.manage Bereich erteilt hat. Bei der Erzwingung der mehrstufigen Authentifizierung werden ansonsten bereitgestellte Zugriffstoken nicht akzeptiert.

Wir empfehlen Ihnen, die notwendigen Änderungen so bald wie möglich vorzunehmen.

Es wird außerdem empfohlen, Benutzer Ihrer Anwendung zu informieren und anleiten, MFA einzurichten, damit ein zweiter Nachweis erforderlich ist, wenn sie Berechtigungen für eine Anwendung erteilen. Für die Microsoft Advertising-Anforderung reicht es nicht aus, MFA zu aktivieren. In beiden Fällen müssen Sie die Zustimmung des Benutzers einholen, indem Sie den Bereich angeben msads.manage .

Nach der Erzwingung

Bei Erzwingung der MFA authentifizieren wir Zugriffstoken nur im Namen eines Benutzers, der Ihrer Anwendung über den Bereich auf dem msads.manageEndpunkt der Microsoft Identity Platform zugestimmt hat.

• Vor der Erzwingung der MFA unterstützt der Microsoft Identity Platform-Endpunkt den ads.manage Bereich. Zugriffstoken, die Sie für Benutzer über den Bereich "ads.manage" erwerben, werden nicht mehr akzeptiert.

• Vor der Erzwingung der MFA unterstützt der Live Connect-Endpunkt den bingads.manage Bereich. Der Live Connect-Endpunkt ist bereits veraltet und wird nicht mehr unterstützt. Zugriffstoken, die Sie über den bingads.manage Bereich für Benutzer erwerben, werden nicht mehr akzeptiert.

SDK-Support

Unterstützung für den neuen msads.manage Bereich ist ab Version 13.0.10 der Bing Ads SDKs (.NET, Java, Python und PHP) verfügbar.

Der neue msads.manage Bereich wird standardmäßig verwendet. Aus Gründen der Abwärtskompatibilität können Sie bis zum Erzwingungsdatum die ads.manage Bereiche ODER bingads.manage mit einer kurzen Problemumgehung verwenden.

var oAuthDesktopMobileAuthCodeGrant = new OAuthDesktopMobileAuthCodeGrant(
    Settings.Default["ClientId"].ToString(),
    apiEnvironment,
    OAuthScope.ADS_MANAGE // temporary workaround; remove or use MSADS_MANAGE instead
);

OAuthDesktopMobileAuthCodeGrant oAuthDesktopMobileAuthCodeGrant = new OAuthDesktopMobileAuthCodeGrant(
    ClientId, 
    ApiEnvironment,
    OAuthScope.ADS_MANAGE // temporary workaround; remove or use MSADS_MANAGE instead
);

$authentication = (new OAuthDesktopMobileAuthCodeGrant())
    ->withClientId(ClientId)
    ->withEnvironment(ApiEnvironment)
    ->withOAuthScope(OAuthScope::ADS_MANAGE); // temporary workaround; remove or use MSADS_MANAGE instead

oauth_web_auth_code_grant = OAuthDesktopMobileAuthCodeGrant(
    client_id=CLIENT_ID,
    env=ENVIRONMENT,
    oauth_scope="ads.manage" # temporary workaround; remove or use "msads.manage" instead
)

Beispielszenarien

Hier finden Sie Beispielszenarien, die auf Ihr Unternehmen zutreffen könnten.

Beispiel: Abrufen eines neuen Zugriffstokens durch Aktualisieren mit einem anderen Bereich

Ein Zugriffstoken stellt die Berechtigungen eines Benutzers dar, in seinem Namen mit eingeschränkten Berechtigungen basierend auf Bereichen zu handeln. Wenn Sie die Zustimmung zur Verwaltung ihrer Konten anfordern, legen Sie den scope-Parameter entweder auf ads.manage oder msads.manage fest. Sie fragen wirklich nach einem Benutzerzugriffstoken, das über Berechtigungen für alles verfügt, was durch den Bereich definiert ist.

Um zu bestätigen, dass ein Zugriffstoken bei der Erzwingung der mehrstufigen Authentifizierung akzeptiert wird, können Sie den Antwortbereich überprüfen. Wenn der Bereich "msads.manage" enthält, wird er akzeptiert.

Angenommen, derzeit stimmt ein Benutzer zu, dass Ihre Anwendung seine Konten sowohl über die Bereiche "ads.manage " als auch " msads.manage" verwaltet. Möglicherweise haben sie im letzten Monat die Zustimmung über ads.manage und dann diesen Monat die Zustimmung über msads.manage erteilt.

Wenn Sie das Token mit ads.manage aktualisieren, enthält die Tokenaktualisierungsantwort den Bereich ads.manage . Bei der Erzwingung der mehrstufigen Authentifizierung wird "MyAccessToken-1" nicht akzeptiert.

{
    "token_type":"Bearer",
    "scope":"https://ads.microsoft.com/ads.manage",
    "expires_in":3600,
    "ext_expires_in":3600,
    "access_token":"MyAccessToken-1",
    "refresh_token":"MyRefreshToken-1"
}

Wenn Sie das Token mit msads.manage aktualisieren, enthält die Tokenaktualisierungsantwort sowohl ads.manage - als auch msads.manage-Bereiche . Bei Erzwingung der mehrstufigen Authentifizierung wird "MyAccessToken-2" akzeptiert.

{
    "token_type":"Bearer",
    "scope":"https://ads.microsoft.com/msads.manage https://ads.microsoft.com/ads.manage",
    "expires_in":3600,
    "ext_expires_in":3600,
    "access_token":"MyAccessToken-2",
    "refresh_token":"MyRefreshToken-2"
}

Wenn Sie versuchen, das Token in einem Bereich zu aktualisieren, in dem der Benutzer derzeit keine Zustimmung erteilt, wird ein invalid_grant Fehler zurückgegeben.

{
    "error":"invalid_grant",
    "error_description":"AADSTS70000: The request was denied because one or more scopes requested are unauthorized or expired. The user must first sign in and grant the client application access to the requested scope."
}

Siehe auch

Häufig gestellte Fragen zu OAuthBenutzereinwilligung anfordern