Çok faktörlü kimlik doğrulaması gereksinimi

Microsoft Advertising online'da zaten çok faktörlü kimlik doğrulamasına ihtiyacımız var. Çok faktörlü kimlik doğrulaması, kimliğinizi iki farklı yolla doğrulamanızı gerektiren bir güvenlik işlemidir.

Önemli

1 Haziran 2022 itibarıyla Bing Ads API'sini, İçerik API'sini ve Otel API'sini kullanmak üzere üçüncü taraf uygulamalar aracılığıyla oturum açmış olan müşteriler için aşamalı olarak çok faktörlü kimlik doğrulamasına ihtiyacımız var.

Yeni msads.manage kapsamı kullanarak kullanıcı onayı almak için uygulamanızı güncelleştirmeniz gerekir. Yeni kapsamı kullanmak için tüm uygulama geliştiricilerin işlem yapması gerekir.

Yeni msads.manage kapsam , uygulamanızın tüm kullanıcılarından yenilenen onay gerektirir. Çok faktörlü kimlik doğrulamasını açıp açmadıklarına bakılmaksızın yeni msads.manage kapsamı kullanarak kullanıcılardan onay istemeniz gerekir. Bu, uygulamanıza onay verme sırasında ikinci bir kimlik veya kanıt biçimi sağlamalarını sağlar.

Eylem gerekiyor

Uygulamanızı güncelleştirmeniz ve Microsoft kimlik platformu uç noktası aracılığıyla kapsamı kullanarak msads.manage kullanıcılardan onay istemeniz gerekir. Tüm Microsoft Advertising geliştiricilerinin yeni kapsamı kullanmak için işlem yapması gerekir.

Her API isteğinde, kullanıcının yeni msads.manage kapsam üzerinden onay vermesini sağlamak için erişim belirtecini denetleyeceğiz. Çok faktörlü kimlik doğrulamasının uygulanmasından sonra, aksi takdirde sağlanan erişim belirteci kabul edilmeyecektir.

Gerekli değişiklikleri en kısa sürede yapmanızı öneririz.

Ayrıca, herhangi bir uygulama için izin verdikleri zaman ikinci bir kanıt gerekmesi için kullanıcıları MFA'yı ayarlamaları konusunda bilgilendirmenizi ve yönlendirmenizi öneririz. Microsoft Advertising gereksinimi için MFA'yı açmaları yeterli değildir. Her iki durumda da kapsamı sorarak msads.manage kullanıcı onayı almanız gerekir.

Zorlamadan sonra

MFA'yı zorunlu kılmanın ardından, erişim belirteçlerini yalnızca Microsoft kimlik platformu uç noktasındakimsads.manage kapsam aracılığıyla uygulamanıza onay veren bir kullanıcı adına doğrularız.

• MFA zorlamadan önce Microsoft kimlik platformu uç noktası kapsamı desteklerads.manage. Kullanıcılar için ads.manage kapsamı aracılığıyla edindiğiniz erişim belirteçleri artık kabul edilmeyecektir.

• MFA zorlamadan önce Live Connect uç noktası kapsamı desteklerbingads.manage. Live Connect uç noktası zaten kullanım dışıdır ve artık desteklenmeyecektir. Kapsam aracılığıyla bingads.manage kullanıcılar için aldığınız erişim belirteçleri artık kabul edilmeyecektir.

SDK desteği

Yeni msads.manage kapsam desteği Bing Ads SDK'larının (.NET, Java, Python ve PHP) 13.0.10 sürümünden itibaren kullanılabilir.

Yeni msads.manage kapsam varsayılan olarak kullanılır. Geriye dönük uyumluluk için, zorlama tarihine kadar veya bingads.manage kapsamlarını kısa bir geçici çözümle kullanabilirsinizads.manage.

var oAuthDesktopMobileAuthCodeGrant = new OAuthDesktopMobileAuthCodeGrant(
    Settings.Default["ClientId"].ToString(),
    apiEnvironment,
    OAuthScope.ADS_MANAGE // temporary workaround; remove or use MSADS_MANAGE instead
);

OAuthDesktopMobileAuthCodeGrant oAuthDesktopMobileAuthCodeGrant = new OAuthDesktopMobileAuthCodeGrant(
    ClientId, 
    ApiEnvironment,
    OAuthScope.ADS_MANAGE // temporary workaround; remove or use MSADS_MANAGE instead
);

$authentication = (new OAuthDesktopMobileAuthCodeGrant())
    ->withClientId(ClientId)
    ->withEnvironment(ApiEnvironment)
    ->withOAuthScope(OAuthScope::ADS_MANAGE); // temporary workaround; remove or use MSADS_MANAGE instead

oauth_web_auth_code_grant = OAuthDesktopMobileAuthCodeGrant(
    client_id=CLIENT_ID,
    env=ENVIRONMENT,
    oauth_scope="ads.manage" # temporary workaround; remove or use "msads.manage" instead
)

Örnek senaryolar

İşletmeniz için geçerli olabilecek örnek senaryolar aşağıda verilmiştir.

Örnek: Farklı bir kapsamla yenileyerek yeni erişim belirteci alma

Erişim belirteci, bir kullanıcının kapsamlara göre sınırlı izinlerle kendi adına işlem yapma izinlerini temsil eder. Hesaplarını yönetmek için onay istediğinizde kapsam parametresini ads.manage ve msads.manage olarak ayarlarsınız. Kapsam tarafından tanımlanan her şey için izinlere sahip bir kullanıcı erişim belirteci istiyorsunuz.

Önemli

Çok faktörlü kimlik doğrulamasının uygulanmasından sonra, erişim belirteci yalnızca msads.manage kapsamı aracılığıyla sağlandıysa veya yenilendiyse kabul edilir. Ads.manage aracılığıyla belirteçleri yenilemeye devam edebilirsiniz, ancak Bing Ads API'si bunları kabul etmez.

Çok faktörlü kimlik doğrulamasının uygulanmasıyla erişim belirtecinin kabul edildiğini onaylamak için yanıt kapsamını de kontrol edebilirsiniz. Kapsam msads.manage içeriyorsa kabul edilir.

Örneğin, şu anda bir kullanıcının uygulamanızın hesaplarını hem ads.manage hem de msads.manage kapsamları aracılığıyla yönetmesine izin verdiğinizi varsayalım. Geçen ay ads.manage üzerinden onay vermiş ve ardından bu ay msads.manage aracılığıyla onay vermiş olabilirler.

Belirteci ads ile yenilerseniz.belirteç yenileme yanıtı ads.manage kapsamını içerir. Çok faktörlü kimlik doğrulamasının uygulanmasından sonra "MyAccessToken-1" kabul edilmeyecektir.

{
    "token_type":"Bearer",
    "scope":"https://ads.microsoft.com/ads.manage",
    "expires_in":3600,
    "ext_expires_in":3600,
    "access_token":"MyAccessToken-1",
    "refresh_token":"MyRefreshToken-1"
}

Belirteci msads.manage ile yenilerseniz, belirteç yenileme yanıtı hem ads.manage hem de msads.manage kapsamlarını içerir. Çok faktörlü kimlik doğrulamasının uygulanmasından sonra "MyAccessToken-2" kabul edilir.

{
    "token_type":"Bearer",
    "scope":"https://ads.microsoft.com/msads.manage https://ads.microsoft.com/ads.manage",
    "expires_in":3600,
    "ext_expires_in":3600,
    "access_token":"MyAccessToken-2",
    "refresh_token":"MyRefreshToken-2"
}

Kullanıcının şu anda onay vermediği herhangi bir kapsamı kullanarak belirteci yenilemeye çalışırsanız bir invalid_grant hatası döndürülür.

{
    "error":"invalid_grant",
    "error_description":"AADSTS70000: The request was denied because one or more scopes requested are unauthorized or expired. The user must first sign in and grant the client application access to the requested scope."
}

Ayrıca Bkz

OAuth SSSKullanıcı onayı isteme