Você está projetando o Azure AD B2C para um aplicativo móvel que deve oferecer suporte a contas locais, Google e o SAML IdP de um parceiro. Durante o registro/login, você deve chamar uma API REST para validar um número de cliente e incluir o nível retornado como uma declaração personalizada no token de acesso. Qual abordagem você deve recomendar?

A abordagem correta é usar políticas personalizadas (Identity Experience Framework) no Azure AD B2C. Elas permitem a integração de provedores de identidade externos como Google (OIDC) e SAML IdP, que não são totalmente configuráveis com fluxos de usuário padrão para cenários complexos. As políticas personalizadas também possibilitam a adição de um perfil técnico de API REST para chamar um serviço externo para validação e a inclusão de declarações personalizadas no token de acesso. Fluxos de usuário internos não suportam a complexidade de múltiplos IdPs externos e chamadas de API REST para validação e emissão de declarações personalizadas. Azure AD B2B é para colaboração com usuários de outras organizações, não para autenticação de clientes em um aplicativo móvel. O Microsoft Graph não injeta declarações em tempo real durante o fluxo de autenticação. O API Management não é o mecanismo para injetar declarações em tokens de autenticação do B2C.