Você está desenvolvendo uma API Web multi-tenant protegida pelo Azure AD. A API deve autorizar usuários com base em funções (para acesso delegado de usuário) e também permitir que serviços em segundo plano a chamem com permissões somente de aplicativo usando funções. Os tokens devem conter declarações de função que sua API possa avaliar. O que você deve implementar?

As opções corretas abordam a necessidade de autorização baseada em função para usuários e aplicativos, que é o caso de uso principal para funções de aplicativo (app roles) no Azure AD. Definir allowedMemberTypes como "User" permite atribuir usuários ou grupos a funções para acesso delegado, e a API valida a declaração "roles" no token. Da mesma forma, definir allowedMemberTypes como "Application" permite atribuir service principals a funções para acesso somente de aplicativo, com a API validando a mesma declaração "roles". A opção de usar permissões delegadas (scopes) é incorreta porque scopes definem o que um cliente pode fazer em nome de um usuário, não o que o usuário ou aplicativo é. A opção de usar grupos do Azure AD e convertê-los em funções é menos flexível e não é a maneira recomendada para definir permissões de aplicativo, além de poder atingir limites de declaração de grupo em tokens.