Azure App Service Web API(API A)를 호출하는 단일 페이지 애플리케이션(SPA)이 있습니다. API A는 로그인한 사용자를 대신하여 다운스트림 API(API B)를 호출해야 하며 API B에서 사용자의 권한을 적용해야 합니다. API B는 이미 앱 등록에 범위를 노출하고 있습니다. API B를 호출할 때 사용자 ID를 유지하고 API A에 광범위한 애플리케이션 권한을 부여하지 않아야 합니다. 어떤 두 가지 작업을 수행해야 합니까?

이 시나리오는 온-비하프 오브(On-Behalf-Of, OBO) 흐름을 사용하여 사용자 ID를 유지하면서 API A가 API B를 호출하도록 요구합니다. 첫 번째 정답은 MSAL의 AcquireTokenOnBehalfOf 메서드를 사용하여 들어오는 사용자 토큰을 API B에 대한 새 토큰으로 교환하는 방법을 설명합니다. 이는 API A가 사용자 대신 API B를 호출하고 사용자 ID를 유지하도록 합니다. 두 번째 정답은 API A의 앱 등록에 API B에 대한 위임된 권한을 추가하고 필요한 범위에 대해 관리자 동의를 부여하는 것이 필수적입니다. 이 구성은 API A가 API B에 액세스할 수 있는 권한을 부여합니다. 클라이언트 자격 증명 흐름을 사용하는 것은 사용자 ID를 유지하지 않으므로 올바르지 않습니다. API B가 애플리케이션 역할을 요구하도록 구성하는 것은 OBO 흐름의 목적을 벗어나며 사용자 ID를 유지하는 데 적합하지 않습니다.