Azure AD로 보호되는 다중 테넌트 웹 API를 구축하고 있습니다. 이 API는 역할(사용자 위임 액세스용)을 기반으로 사용자를 인증해야 하며, 백그라운드 서비스가 역할을 사용하여 앱 전용 권한으로 호출할 수 있도록 허용해야 합니다. 토큰에는 API가 평가할 수 있는 역할 클레임이 포함되어야 합니다. 무엇을 구현해야 할까요?

이 시나리오에서는 사용자 위임 액세스와 앱 전용 권한이라는 두 가지 유형의 호출자를 지원해야 합니다. 첫 번째 정답은 사용자 위임 액세스를 처리합니다. allowedMemberTypes를 "User"로 설정하여 사용자 역할(예: "Admin", "Reader")을 정의합니다. 이러한 역할은 사용자 또는 그룹에 할당될 수 있으며, 사용자 토큰의 roles 클레임을 통해 API에서 검증됩니다. 이는 사용자가 특정 권한을 가지고 API를 호출할 때 적합합니다. 두 번째 정답은 백그라운드 서비스와 같은 앱 전용 권한을 처리합니다. allowedMemberTypes를 "Application"으로 설정하여 데몬 앱 역할(예: "BatchProcessor")을 정의합니다. 호출 서비스 주체(데몬 앱)는 이러한 역할에 할당될 수 있으며, 앱 전용 토큰의 roles 클레임을 통해 API에서 검증됩니다. 이는 사용자 컨텍스트 없이 앱 자체가 API를 호출할 때 적합합니다. 세 번째 오답은 역할을 위임된 권한(scopes)으로 나타내라고 제안하지만, scopes는 API에 대한 사용자의 권한을 정의하는 데 사용되며, 앱 전용 권한이나 역할 기반 액세스 제어(RBAC)를 구현하는 데는 roles 클레임이 더 적합합니다. 네 번째 오답은 Azure AD 그룹을 역할로 사용하라고 제안하지만, 이는 그룹 멤버십을 기반으로 한 접근 방식이며, 명시적인 역할 정의 및 할당이 필요한 이 시나리오의 요구 사항을 완전히 충족하지 못합니다.