Requisito dell'autenticazione a più fattori

È già richiesta l'autenticazione a più fattori in Microsoft Advertising online. L'autenticazione a più fattori è un processo di sicurezza che richiede di verificare la propria identità in due modi diversi.

Il nuovo msads.manage ambito richiede il rinnovo del consenso da parte di tutti gli utenti dell'applicazione. È necessario richiedere il consenso agli utenti usando il nuovo msads.manage ambito, indipendentemente dal fatto che abbiano attivato o meno l'autenticazione a più fattori. Ciò garantisce che forniscano una seconda forma di identificazione o prova quando concedono il consenso alla tua domanda.

Azione richiesta

È necessario aggiornare l'applicazione e richiedere agli utenti il consenso usando msads.manage l'ambito tramite l'endpoint di Microsoft Identity Platform. Tutti gli sviluppatori di Microsoft Advertising devono intervenire per utilizzare il nuovo ambito.

Con ogni richiesta API, controlleremo il token di accesso per assicurarci che l'utente abbia concesso il consenso tramite il nuovo msads.manage ambito. Dopo l'applicazione dell'autenticazione a più fattori, qualsiasi token di accesso di cui è stato effettuato il provisioning in altro modo non verrà accettato.

Si consiglia di apportare le modifiche necessarie il prima possibile.

È anche consigliabile informare e guidare gli utenti dell'applicazione per configurare l'autenticazione a più fattori , in modo che sia necessaria una seconda prova quando concedono le autorizzazioni per un'applicazione. Per il requisito di Microsoft Advertising, non è sufficiente attivare l'autenticazione a più fattori. In entrambi i casi, è necessario ottenere il consenso dell'utente richiedendo l'ambito msads.manage .

Dopo l'applicazione

Dopo l'applicazione dell'autenticazione a più fattori, i token di accesso verranno autenticati solo per conto di un utente che ha concesso il consenso all'applicazione tramite l'ambito nell'endpoint msads.manage di Microsoft Identity Platform.

• Prima dell'applicazione dell'autenticazione a più fattori, l'endpoint di Microsoft Identity Platform supporta l'ambitoads.manage. I token di accesso acquisiti per gli utenti tramite l'ambito ads.manage non verranno più accettati.

• Prima dell'applicazione dell'autenticazione a più fattori, l'endpoint di Live Connect supporta l'ambitobingads.manage. L'endpoint Live Connect è già deprecato e non sarà più supportato. I token di accesso acquisiti per gli utenti tramite l'ambito bingads.manage non verranno più accettati.

Supporto SDK

Il supporto per il nuovo msads.manage ambito è disponibile a partire dalla versione 13.0.10 di Bing Ads SDK (.NET, Java, Python e PHP).

Il nuovo msads.manage ambito viene usato per impostazione predefinita. Per garantire la compatibilità con le versioni precedenti, fino alla data di applicazione è possibile usare gli ads.manage ambiti OR bingads.manage con una breve soluzione alternativa.

var oAuthDesktopMobileAuthCodeGrant = new OAuthDesktopMobileAuthCodeGrant(
    Settings.Default["ClientId"].ToString(),
    apiEnvironment,
    OAuthScope.ADS_MANAGE // temporary workaround; remove or use MSADS_MANAGE instead
);

OAuthDesktopMobileAuthCodeGrant oAuthDesktopMobileAuthCodeGrant = new OAuthDesktopMobileAuthCodeGrant(
    ClientId, 
    ApiEnvironment,
    OAuthScope.ADS_MANAGE // temporary workaround; remove or use MSADS_MANAGE instead
);

$authentication = (new OAuthDesktopMobileAuthCodeGrant())
    ->withClientId(ClientId)
    ->withEnvironment(ApiEnvironment)
    ->withOAuthScope(OAuthScope::ADS_MANAGE); // temporary workaround; remove or use MSADS_MANAGE instead

oauth_web_auth_code_grant = OAuthDesktopMobileAuthCodeGrant(
    client_id=CLIENT_ID,
    env=ENVIRONMENT,
    oauth_scope="ads.manage" # temporary workaround; remove or use "msads.manage" instead
)

Scenari di esempio

Ecco alcuni scenari di esempio che potrebbero essere applicabili alla tua azienda.

Esempio: ottenere un nuovo token di accesso eseguendo l'aggiornamento con un ambito diverso

Un token di accesso rappresenta le autorizzazioni di un utente ad agire per suo conto con autorizzazioni limitate in base agli ambiti. Quando richiedi il consenso per gestire i loro account, imposti il parametro scope su ads.manage e msads.manage. In realtà stai chiedendo un token di accesso utente che abbia le autorizzazioni per qualsiasi cosa sia definita dall'ambito.

Per verificare che un token di accesso venga accettato dopo l'applicazione dell'autenticazione a più fattori, è possibile controllare l'ambito della risposta. Se l'ambito include msads.manage , verrà accettato.

Si supponga, ad esempio, che attualmente un utente acconsenta affinché l'applicazione gestisca i propri account tramite gli ambiti ads.manage e msads.manage . Potrebbero aver concesso il consenso tramite ads.manage il mese scorso e quindi concesso il consenso tramite msads.manage questo mese.

Se si aggiorna il token con ads.manage , la risposta di aggiornamento del token includerà l'ambito ads.manage . Dopo l'applicazione dell'autenticazione a più fattori, "MyAccessToken-1" non verrà accettato.

{
    "token_type":"Bearer",
    "scope":"https://ads.microsoft.com/ads.manage",
    "expires_in":3600,
    "ext_expires_in":3600,
    "access_token":"MyAccessToken-1",
    "refresh_token":"MyRefreshToken-1"
}

Se si aggiorna il token con msads.manage , la risposta di aggiornamento del token includerà entrambi gli ambiti ads.manage e msads.manage . Dopo l'applicazione dell'autenticazione a più fattori, "MyAccessToken-2" verrebbe accettato.

{
    "token_type":"Bearer",
    "scope":"https://ads.microsoft.com/msads.manage https://ads.microsoft.com/ads.manage",
    "expires_in":3600,
    "ext_expires_in":3600,
    "access_token":"MyAccessToken-2",
    "refresh_token":"MyRefreshToken-2"
}

Se si tenta di aggiornare il token usando un ambito in cui l'utente attualmente non fornisce il consenso, verrà restituito un errore di invalid_grant .

{
    "error":"invalid_grant",
    "error_description":"AADSTS70000: The request was denied because one or more scopes requested are unauthorized or expired. The user must first sign in and grant the client application access to the requested scope."
}

Vedere anche

Domande frequenti su OAuthRichiedere il consenso dell'utente