Autentikasi nama pengguna dan kata sandi

Warning

Alur Resource Owner Password Credential (ROPC) telah ditinggalkan untuk aplikasi klien publik karena risiko keamanan. Microsoft merekomendasikan penggunaan alur autentikasi yang lebih aman. Ikuti panduan resmi tentang cara Bermigrasi dari ROPC.

Konten di bawah ini berlaku untuk semua pustaka MSAL, bukan hanya Python MSAL.

Alur nama pengguna dan kata sandi tidak disarankan

Microsoft menyarankan Anda untuk tidak menggunakan alur nama pengguna dan kata sandi. Dalam sebagian besar skenario, alternatif yang lebih aman tersedia dan direkomendasikan. Alur ini membutuhkan tingkat kepercayaan yang sangat tinggi dalam aplikasi, dan membawa risiko yang tidak ada dalam alur lain. Anda seharusnya hanya menggunakan alur ini saat alur lain yang lebih aman tidak dapat digunakan. Untuk informasi selengkapnya tentang mengapa Anda ingin menghindari penggunaan hibah ini, lihat mengapa Microsoft bekerja untuk membuat kata sandi sebagai hal dari masa lalu.

Constraints

• Secara desain dan kebijakan, autentikasi nama pengguna/kata sandi hanya berfungsi untuk akun Kantor dan sekolah, tetapi tidak untuk Akun Microsoft (MSA). Lihat definisi dari 2 jenis akun ini di sini.
• Autentikasi Nama Pengguna/Kata Sandi tidak kompatibel dengan akses bersyarkat dan autentikasi multifaktor, karena ini bukan alur interaktif, platform identitas Microsoft tidak memiliki kesempatan untuk menyajikan dialog berbasis web bagi pengguna akhir untuk berinteraksi. Akibatnya, jika aplikasi Anda berjalan di penyewa Microsoft Entra di mana admin penyewa memerlukan autentikasi multifaktor (banyak organisasi melakukan itu), alur ini tidak akan berfungsi.
• Karena Autentikasi Kata Sandi Nama Pengguna adalah alur non-interaktif:
  • pengguna aplikasi Anda sebelumnya harus telah menyetujui untuk menggunakan aplikasi
  • atau admin penyewa sebelumnya harus menyetujui semua pengguna di penyewa untuk menggunakan aplikasi.
  • Ini berarti bahwa:
    • entah Anda sebagai pengembang telah menekan tombol Grant di portal Azure untuk diri Anda sendiri,
    • atau admin penyewa telah menekan tombol Berikan/cabut persetujuan admin untuk {domain penyewa} di tab izin API pendaftaran untuk aplikasi (Lihat Menambahkan izin untuk mengakses API web)
    • atau Anda telah memberikan cara bagi pengguna untuk menyetujui aplikasi (Lihat Meminta persetujuan pengguna individual)
    • atau Anda telah memberikan cara bagi admin penyewa untuk menyetujui aplikasi (Lihat persetujuan admin)

Recommendations

Bahkan jika Anda memilih untuk menggunakan Autentikasi Kata Sandi Nama Pengguna, Anda tidak boleh mempertahankan kata sandi pengguna akhir. Setelah autentikasi awal menggunakan nama pengguna dan kata sandi berhasil, cache token MSAL akan mulai berfungsi dan secara otomatis menyimpan token penyegaran (RT) ke dalam cache. Mulai sekarang, aplikasi Anda hanya dapat memanggil MSAL acquire_token_silent() untuk mendapatkan token akses baru tanpa nama pengguna dan kata sandi.

Siapkan

platform identitas Microsoft mendukung alur kata sandi nama pengguna pada aplikasi klien publik dan aplikasi klien Rahasia. Jika Anda perlu mengonfigurasi aplikasi sebagai aplikasi klien publik, aktifkan tombol di bawah cuplikan layar untuk mengizinkannya.