Está creando una API web multi-tenant protegida por Azure AD. La API debe autorizar a los usuarios basándose en roles (para acceso delegado por el usuario) y también permitir que los servicios en segundo plano la llamen con permisos de solo aplicación utilizando roles. Los tokens deben contener claims de rol que su API pueda evaluar. ¿Qué debe implementar?

Las opciones correctas abordan ambos escenarios de autorización. Para usuarios (acceso delegado), se definen roles de aplicación con allowedMemberTypes en "User", asignando usuarios o grupos a estos roles y validando el claim roles en el token. Para servicios en segundo plano (permisos de solo aplicación), se definen roles de aplicación con allowedMemberTypes en "Application", asignando service principals a estos roles y validando el claim roles en el token de solo aplicación. Esto permite que la API evalúe los roles para ambos tipos de llamadores de manera estándar. La opción de usar permisos delegados (scopes) es incorrecta porque los scopes controlan el acceso a recursos, no los roles internos de la aplicación para autorización. La opción de usar solo grupos de Azure AD es incorrecta porque, aunque los grupos pueden emitirse como roles, la práctica recomendada para la autorización basada en roles en Azure AD es usar roles de aplicación explícitamente definidos, que ofrecen mayor control y claridad sobre los permisos dentro de la aplicación.