Eigentlich sind Apppasswort und OAuth2 zwei paar Schuhe bzw. Apppasswörter sind nötig wenn der Client kein OAuth2 unterstützt.
... stimmt, habe mal bei meinen Test-TBs mit mehreren MS-Konten diesbezüglich nachgeschaut, dort gibt es OAuth2 mit und ohne App-Kennwort.