Une application ASP.NET Core dans Azure App Service nécessite des revendications personnalisées de Microsoft Entra ID dans le jeton d'accès utilisateur. Les revendications doivent être supprimées automatiquement si l'enregistrement de l'application est supprimé. Comment devez-vous inclure les revendications personnalisées dans le jeton d'accès ?

La bonne réponse est d'ajouter des rôles à l'attribut appRoles dans le manifeste d'enregistrement de l'application. Cette méthode permet de définir des rôles d'application personnalisés directement dans l'enregistrement de l'application Microsoft Entra ID. Lorsque des utilisateurs ou des groupes sont attribués à ces rôles, les revendications de rôle correspondantes sont incluses dans le jeton d'accès. Si l'enregistrement de l'application est supprimé, ces rôles et les revendications associées sont automatiquement supprimés, répondant ainsi à l'exigence. Demander l'étendue https://graph.microsoft.com/.default permet d'accéder aux API Microsoft Graph, mais n'ajoute pas de revendications personnalisées au jeton d'accès lui-même. Configurer le flux de code d'autorisation OAuth 2.0 est une méthode d'authentification, pas une façon d'ajouter des revendications personnalisées. Ajouter un middleware personnalisé pour récupérer les informations de rôle à l'exécution est une approche manuelle et ne garantit pas la suppression automatique des revendications si l'enregistrement de l'application est supprimé. Ajouter des groupes à l'attribut groupMembershipClaims inclut les ID de groupe dans le jeton, mais ne permet pas de définir des revendications personnalisées basées sur des rôles d'application spécifiques.