本指南介绍了 Google Ads 和 Google Ads API 用户的常见安全要求。
什么是两步验证？
两步验证 (2SV) 也称为双重身份验证 (2FA)，是一种多重身份验证 (MFA) 形式，除了用户名和 密码之外，还添加了 第二重所有权因素（“您拥有的物品”）。
2SV 比单重身份验证系统更安全，后者仅使用用户名和单一知识因素（“您知道的信息”，通常是密码）进行身份验证。要求使用第二重因素可让未经授权的用户更难入侵您的账号。密码可能会泄露，但使用 2SV 意味着，即使密码泄露，也无法仅凭密码获得访问权限。
两步验证要求
以下部分详细介绍了使用 Google Ads 和 Google Ads API 的两步验证要求。
Google Ads 要求
Google Ads 支持 经理账号的必要安全设置，让 经理账号管理员能够对经理账号当前 及将来拥有管理员所有权的所有子账号强制执行最低安全设置 。其中一项政策允许经理账号的管理员要求所拥有子账号的用户为其账号启用两步验证才能登录。
除了对 Google Ads API 的调用之外，现有 OAuth 刷新令牌不受此政策的影响。这些令牌将继续正常运作，系统也不会在获取 OAuth 访问令牌时提示用户重新授权。不过，
在用户在其 Google 账号中启用两步验证之前，Google Ads API 调用会失败，并显示 TWO_STEP_VERIFICATION_NOT_ENROLLED
错误。
Google Ads API 要求
Google Ads API 要求所有遵循用户身份验证 工作流生成新的 OAuth 2.0 刷新令牌的用户都启用 2SV。除了输入用户名和密码外，系统还会始终要求用户进行第二重身份验证。
如果用户未启用两步验证，系统会提示他们添加一种两步验证方法。
现有 OAuth 刷新令牌不受此政策的影响。这些令牌将继续正常运作，系统也不会在获取 OAuth 访问令牌时提示用户重新授权。
通行密钥是什么？
通行密钥是一种多重身份验证形式，它将公钥加密与设备现有的安全机制（例如指纹、面部扫描或屏幕锁定 PIN 码）相结合，以验证账号所有者的身份。通行密钥将设备的所有权（“您拥有的物品”，例如移动设备或 FIDO2 密钥）与解锁设备的方式（“您知道的信息”）相结合，提供了一种便捷的密码替代方案。
通行密钥被认为比 2FA 更安全，原因如下：
- 与网域绑定 ：通行密钥与特定网域（例如
google.com）相关联，无法在冒充原始网站的欺诈性网站（例如google-fake.com）上使用。 - 与设备绑定 ：通行密钥锁定在设备的本地身份验证机制后面，需要用户亲自解锁。
- 没有可窃取的机密信息 ：通行密钥在设备和服务器之间使用公钥加密质询-响应方法，不使用可能会被拦截的动态密码或密码。
如何设置通行密钥
如需设置通行密钥，请执行以下操作：
- 前往 g.co/passkeys。
- 点击创建通行密钥 ，登录安全密钥管理器。
- 按照设备提供的提示创建通行密钥。
通行密钥要求
以下部分详细介绍了使用 Google Ads 和 Google Ads API 的通行密钥要求。
Google Ads 要求
Google Ads 支持 使用通行密钥登录 账号。部分广告客户可能需要使用通行密钥 来授权在其 Google Ads 账号中执行敏感操作。
Google Ads API 要求
Google Ads API 可能会要求部分用户使用通行密钥进行身份验证。强制执行用户 在遵循用户 身份验证工作流为 Google Ads API 生成新的 OAuth 2.0 刷新 令牌时，必须使用通行密钥进行身份验证。如果您尚未创建通行密钥，系统会提示您创建一个通行密钥，并使用该通行密钥完成身份验证工作流。对于强制执行账号，系统不允许使用仅使用密码的其他身份验证方式，也不允许使用双重身份验证 (2FA) 机制，例如短信验证码或基于时间的一次性验证码 (TOTP)。
现有 OAuth 刷新令牌不受此政策的影响。这些令牌将继续正常运作，系统也不会在获取 OAuth 访问令牌时提示用户重新授权。