Un'applicazione ASP.NET Core in Azure App Service richiede custom claims da Microsoft Entra ID nel token di accesso dell'utente. I claims devono essere rimossi automaticamente se la registrazione dell'app viene eliminata. Come si dovrebbero includere i custom claims nel token di accesso?

Per includere custom claims che vengono rimossi automaticamente con la registrazione dell'app, la soluzione corretta è aggiungere ruoli all'attributo appRoles nel manifest della registrazione dell'app. Questo permette di definire ruoli specifici per l'applicazione, che possono essere assegnati agli utenti e inclusi come claim nel token di accesso. Quando la registrazione dell'app viene eliminata, anche questi ruoli e i relativi claim scompaiono. Richiedere lo scope https://graph.microsoft.com/.default non aggiunge custom claims al token, ma concede all'applicazione il permesso di leggere e scrivere dati nel Microsoft Graph. Configurare il flusso del codice di autorizzazione OAuth 2.0 è un metodo di autenticazione, non un modo per aggiungere custom claims. Aggiungere un middleware personalizzato per recuperare informazioni sul ruolo da Azure AD in fase di esecuzione è una soluzione manuale e non garantisce la rimozione automatica dei claims con l'eliminazione dell'app. Aggiungere gruppi all'attributo groupMembershipClaims include i gruppi di sicurezza a cui l'utente appartiene, ma non sono "custom claims" definiti dall'applicazione nel senso di appRoles.