Sie erstellen eine mandantenfähige Web-API, die durch Azure AD gesichert ist. Die API muss Benutzer basierend auf Rollen autorisieren (für benutzerdelegierten Zugriff) und auch Hintergrunddiensten erlauben, sie mit Nur-App-Berechtigungen unter Verwendung von Rollen aufzurufen. Token sollten Rollen-Claims enthalten, die Ihre API auswerten kann. Was sollten Sie implementieren?

Die Definition von App-Rollen in der API-App-Registrierung ist der korrekte Ansatz, um sowohl benutzerdelegierten Zugriff als auch Nur-App-Berechtigungen über Rollen zu verwalten. Für Benutzerrollen setzen Sie allowedMemberTypes auf "User" und weisen Benutzern oder Gruppen diese Rollen zu. Die API validiert dann den roles-Claim im Benutzertoken. Für Hintergrunddienste (Daemon-Apps) setzen Sie allowedMemberTypes auf "Application", weisen den Dienstprinzipalen diese Rollen zu und validieren den roles-Claim in Nur-App-Token. Die Option, Rollen als delegierte Berechtigungen (Scopes) darzustellen, ist falsch, da Scopes Berechtigungen definieren, die eine Client-App im Namen eines Benutzers anfordern kann, aber nicht direkt für die Autorisierung von Rollen für Benutzer oder Anwendungen gedacht sind. Der scp-Claim würde nur die angeforderten Berechtigungen anzeigen, nicht die zugewiesenen Rollen. Die Verwendung von Azure AD-Gruppen mit der Einstellung "emit groups as roles" ist eine Alternative, aber die direkte Definition von App-Rollen ist flexibler und klarer für die Verwaltung spezifischer Anwendungsberechtigungen, insbesondere wenn Sie unterschiedliche Rollen für Benutzer und Anwendungen benötigen.