Office 插件的新嵌套应用认证：2024年10月默认关闭遗留的Exchange令牌
内容提要
微软将于2024年10月关闭遗留的Exchange用户身份令牌和回调令牌，推出Nested App Authentication（NAA）提供更简单的认证和顶级身份保护。插件开发者应尽快采用NAA，并在2024年10月之前迁移受影响的插件。
延伸解读
迁移紧迫性：2024年10月前必须行动
文章明确，2024年10月Exchange Online将默认阻止遗留Exchange用户身份令牌和回调令牌。若插件依赖这些令牌访问EWS或Outlook REST，且未迁移至NAA，将无法调用相关服务，除非管理员选择继续启用遗留令牌。开发者需立即评估插件，识别使用遗留令牌的API调用，并制定迁移计划，确保在截止日期前完成。
NAA优势：简化认证与增强安全
NAA专为Office宿主中的插件设计，提供更简单的认证流程和顶级身份保护。它解决了插件在宿主应用中获取用户同意、接受最新认证因素等难题，并允许管理员通过Entra ID策略保护环境。与遗留Exchange令牌相比，NAA基于Entra ID令牌，能更好地应对当前威胁，是受影响插件的最佳认证选项。
新插件开发：优先采用NAA与Microsoft Graph
对于新插件，文章建议优先使用NAA，也可考虑Office.js的SSO getAccessToken API、自定义MSAL.js或Entra ID SSO。但明确禁止使用遗留Exchange令牌及EWS或Outlook REST解决方案。访问Exchange资源应使用Microsoft Graph，因为EWS正逐步退役，且Exchange Online将停止颁发遗留令牌。
本地环境例外：无需更新
文章指出，Exchange 2019及其他本地Exchange版本不会阻止遗留Exchange用户身份令牌和回调令牌。因此，仅用于本地环境的插件无需更新。但若插件同时用于Exchange Online，则必须迁移至NAA，以保持兼容性。开发者需根据插件部署范围决定迁移优先级。
Q&A
微软为什么要关闭遗留的Exchange用户身份令牌？
微软关闭遗留的Exchange用户身份令牌是为了增强身份保护，响应当前的网络威胁，并推动使用更安全的Nested App Authentication（NAA）。
什么是Nested App Authentication（NAA）？
Nested App Authentication（NAA）是一种新的认证方式，旨在简化Office插件的认证过程并提供更高的身份保护。
插件开发者应该如何迁移到NAA？
插件开发者应尽快评估使用遗留Exchange令牌的插件，并按照技术步骤注册插件、更新重定向URI和MSAL.js配置等进行迁移。
NAA的推出对Outlook插件开发者有什么影响？
NAA的推出为Outlook插件开发者提供了更简单和安全的认证方式，帮助他们更好地保护用户身份和数据。
在2024年10月之后，未迁移的插件会发生什么？
在2024年10月之后，未迁移到NAA的插件将无法调用EWS和Outlook REST，除非管理员选择继续使用遗留令牌。
如何评估现有插件是否使用遗留Exchange令牌？
开发者可以通过检查插件是否调用EWS和Outlook REST API来评估是否使用遗留Exchange令牌。
