通过更改 OneNote 课堂笔记本 API 增强安全性

根据Microsoft 安全未来计划 ，为了应对越来越多的网络威胁，我们正在对 OneNote 课堂笔记本的公共 API 进行更改。  

什么是更新？

自 2025 年 3 月 31 日起，我们将弃用未连接到统一组的公共 API for OneNote 课堂笔记本中具有应用程序权限的身份验证令牌的支持， (也称为Microsoft 365 组) 。 

虽然这些仅限应用的令牌易于使用，但与更复杂的授权方法相比，它们可能更容易被利用。 

如何实现知道此更新是否会影响我的服务？

1. 如果你不使用第三方或自定义内部应用程序 (“应用”) 对 OneNote 课堂笔记本 (执行操作（例如，在学校或学区创建、预配、备份) ），则服务不会受到这些更改的影响。 

2. 如果使用“应用”，则服务不会受到这些更改的影响，但它仅使用“委托” (也称为应用+用户) 权限来执行操作。  

3. 如果使用“应用”，则服务不会受到这些更改的影响，但它仅对连接到 Microsoft Teams 中的类的统一组笔记本执行操作。 

4. 如果使用对不是连接到 Teams 的统一组笔记本的 OneNote 课堂笔记本执行操作的“应用”，则服务可能会受到影响。 例如：

   1. 如果自定义内部应用程序利用 OneDrive for Business 和 SharePoint 网站笔记本上的笔记本的服务根 URL，则服务将受到影响，如此处所述。 

   2. 如果你有一个自定义内部应用程序，该应用程序对不是连接到 Teams 的统一组笔记本的 OneNote 课堂笔记本执行操作，并使用与以下任何范围关联的令牌 (权限) ，则服务将受到影响：

      1. Notes.Read.All 和 Notes.ReadWrite.All ，如 此处所述。
      2. Notes.ReadWrite.CreatedByApp 如此处所述。

我需要执行什么操作？

在 2025 年 3 月 31 日之前，使用仅限应用令牌的第三方应用程序需要迁移到使用更安全的授权形式。 此更新是增强数据安全性所必需的。 

下面是引入更安全的授权形式时可以执行的步骤：

1. 如果你依赖系统集成商合作伙伴或其他第三方解决方案对租户中的非 Teams OneNote 课堂笔记本执行操作，请与他们共享此支持公告，以便他们可以采取进一步措施。 
2. 如果你有自己的自定义内部应用程序，该应用程序对 OneNote 课堂笔记本执行操作，这些笔记本不是连接到 Teams 的 统一组 笔记本，并且使用仅限应用的令牌，则需要转换为使用全局租户管理员或 OneDrive 所有者用户帐户来授权应用程序。 
3. 如果你是系统集成商合作伙伴，则以前作为仅应用运行的确切应用程序现在可由全局租户管理员用户帐户运行。 为此，可能需要使用应用由租户预配的全局租户管理员用户帐户。 

如果我不采取行动，会发生什么情况？

使用具有应用程序权限的令牌对 OneDrive for Business 和 SharePoint 网站 Notebooks 终结点上的 Notebooks 的请求将在 3 月底返回 401 个未经授权的错误。 

我们非常感谢你合作进行这些必要的更改，以确保数据的安全性。 任何问题或疑虑都可以发送到 apponly-cnb@microsoft.com。