AppRegistration - OAuth2.0?

[MGR 2]

Hallo Zusammen, 

ich hätte mal eine Verständnisfrage: 

OAuth2.0 kann ja u.a. als Token Authentifizierung genutzt werden, um die schwächere Basic Authentifizierung abzulösen.  

-> Bspw. Anbindungen von SMTP Third Party Tools. 

Was ich nicht verstehe ist, dass trotzdem bei diversen Applikationen neben Token/Secret noch das Passwort für das Postfach benötigt wird.

-> genau das soll doch unterbunden werden? 
-> was hat man da gewonnen wenn man neben dem UPN/PW jetzt noch AppID&Secret eingibt. 

Ggf. kann mich ja einer aufklären. 

Besten Dank im Voraus! 
 

[cj_berlin 1.315]

Wenn AppID und AppSecret verlangt werden, ist es nicht OAUTH, zumindest nicht mit den von Dir genannten Protokollen:

 

https://learn.microsoft.com/de-de/exchange/client-developer/legacy-protocols/how-to-authenticate-an-imap-pop-smtp-application-by-using-oauth

[MGR 2]

Grüß dich CJ_Berlin & sorry für das späte Feedback. 

Hoffentlich seid ihr alle gut in das neue Jahr gestartet. 


Ich würde hier gerne einige Beispiele nennen sofern das mit den Hyperlinks erlaubt ist und funktioniert:

Youtube Video:
https://www.youtube.com/watch?v=bAqPoUvNBH4  Minute15:35

oder auch dieses SAP Artikel:
https://blogs.sap.com/2020/08/20/cloud-intgration-connect-to-microsoft-365-mail-with-oauth2/ 


Bei dem Youtube Video wird Benutzername & Passwort neben der Clied ID /Secret eingetragen.
-> gefühlt wie bei jedem billigen MFP Device nur halt entsprechend mit dem Verweis über die AppRegistration.

In dem SAP Artikel wird beim Autorisieren der Config am Ende des Artikel eine Authentifizierung erzwungen, welche dann auch entsprechend als hinterlegte Benutzerdaten genutzt wird. 


Meine Frage: 

Bleiben wir rein beim Thema SMTP Permissions sprich, reines E-Mail versenden.

Wenn ich der AppRegistration die entsprechenden Berechtigungen zum versenden gebe, und ich die ThirdParty mit Clied ID & Secret ebenfalls entsprechend anbinde, warum muss ich mich dann überhaupt authentifizieren? 
Ich meine ich gebe der AppRegistration schon explizit folgende die Berechtigung "send as any user without a signed-in user"



Bedeutet doch im Klartext:

-> wenn ich diese AppRegistration bei einer X-Beliebigen ThirdParty-App anbinde, sollte diese Anwendung als Absender auch anonym E-Mails über meinen Exchange Online (zu mindest nach intern) versenden können, oder nicht?



Im Endeffekt wäre dann eine OAuth Anbindung via AppRegistration ja gefühlt nur ein redirect nach https://outlook.office.com wo man sich anmelden kann, um die Mail Features zu nutzen.


Hoffentlich könnt ihr meinen Knoten in der Leitung lösen 

Danke & beste Grüße!

 

bearbeitet 4. Januar von MGR