Una aplicación ASP.NET Core en Azure App Service requiere notificaciones personalizadas de Microsoft Entra ID en el token de acceso del usuario. Las notificaciones deben eliminarse automáticamente si se elimina el registro de la aplicación. ¿Cómo se deben incluir las notificaciones personalizadas en el token de acceso?

La opción correcta es "Agregar roles al atributo appRoles en el manifiesto de registro de la aplicación". Al definir appRoles en el manifiesto de la aplicación, se pueden crear roles personalizados que luego se asignan a usuarios o grupos. Cuando un usuario autentica la aplicación, los roles asignados se incluyen automáticamente como notificaciones (claims) en el token de acceso, permitiendo que la aplicación implemente autorización basada en roles. Esta configuración se gestiona directamente en el registro de la aplicación en Microsoft Entra ID y las notificaciones se eliminan automáticamente si el registro de la aplicación se elimina, cumpliendo con el requisito. Las opciones incorrectas son: Solicitar el ámbito https://graph.microsoft.com/.default es para acceder a Microsoft Graph, no para añadir notificaciones personalizadas al token de acceso. Configurar el flujo de código de autorización de OAuth 2.0 es un método de autenticación, no una forma de definir notificaciones personalizadas. Agregar middleware personalizado para obtener información de roles de Azure AD en tiempo de ejecución es una solución de implementación, pero no el método para incluir las notificaciones directamente en el token de acceso de forma gestionada por Entra ID. Agregar grupos al atributo groupMembershipClaims incluiría la pertenencia a grupos, pero no roles personalizados definidos por la aplicación.