Eine ASP.NET Core-App in Azure App Service benötigt benutzerdefinierte Claims von Microsoft Entra ID im Benutzerzugriffstoken. Die Claims sollen automatisch entfernt werden, wenn die App-Registrierung gelöscht wird. Wie sollten Sie die benutzerdefinierten Claims in das Zugriffstoken aufnehmen?

Das Hinzufügen von Rollen zum Attribut appRoles im Manifest der App-Registrierung ist die korrekte Methode, um benutzerdefinierte Claims in das Zugriffstoken aufzunehmen, die automatisch entfernt werden, wenn die App-Registrierung gelöscht wird. App-Rollen sind eine native Funktion von Microsoft Entra ID, die es ermöglicht, Berechtigungen und Zugriffsrechte für Benutzer oder Gruppen innerhalb einer Anwendung zu definieren. Diese Rollen werden direkt in das Zugriffstoken als Claims aufgenommen und sind eng an die Lebensdauer der App-Registrierung gebunden. Das Anfordern des Bereichs https://graph.microsoft.com/.default ist für den Zugriff auf Microsoft Graph API-Berechtigungen gedacht, nicht für benutzerdefinierte Claims. Die Konfiguration des OAuth 2.0-Autorisierungscode-Flows ist ein Authentifizierungsmechanismus, der die Art und Weise beschreibt, wie Tokens erworben werden, aber nicht, welche Claims sie enthalten. Eine benutzerdefinierte Middleware zum Abrufen von Rolleninformationen zur Laufzeit wäre ineffizient und würde die Claims nicht direkt in das Zugriffstoken integrieren. Das Hinzufügen von Gruppen zum Attribut groupMembershipClaims würde Gruppen-Claims hinzufügen, aber keine spezifischen, benutzerdefinierten Rollen-Claims, die in der App definiert sind.