Vous créez une API Web mutualisée sécurisée par Azure AD. L'API doit autoriser les utilisateurs en fonction de leurs rôles (pour l'accès délégué par l'utilisateur) et également permettre aux services d'arrière-plan de l'appeler avec des autorisations "application seule" à l'aide de rôles. Les jetons doivent contenir des revendications de rôle que votre API peut évaluer. Que devez-vous implémenter ?

Les rôles d'application (App Roles) sont la méthode recommandée dans Azure AD pour implémenter l'autorisation basée sur les rôles, à la fois pour les utilisateurs (accès délégué) et les applications (accès "application seule" ou démon). En définissant des rôles d'application avec allowedMemberTypes appropriés ("User" pour les utilisateurs, "Application" pour les démons), vous pouvez attribuer ces rôles aux utilisateurs, groupes ou principaux de service. Azure AD inclura alors une revendication roles dans le jeton d'accès, que votre API peut facilement valider. L'utilisation de scopes (autorisations déléguées) est pour définir ce qu'une application cliente peut faire au nom d'un utilisateur, pas pour définir les rôles de l'utilisateur ou de l'application elle-même. Les groupes Azure AD peuvent être utilisés pour l'autorisation, mais la conversion des groupes en rôles via le manifeste n'est pas la méthode standard pour définir des rôles d'application distincts pour l'autorisation fine et ne fournit pas la flexibilité des rôles d'application pour les scénarios "application seule".