Je bouwt een multi-tenant Web API die beveiligd is met Azure AD. De API moet gebruikers autoriseren op basis van rollen (voor door de gebruiker gedelegeerde toegang) en moet ook achtergrondservices toestaan om deze aan te roepen met app-only permissies met behulp van rollen. Tokens moeten rolclaims bevatten die je API kan evalueren. Wat moet je implementeren?

De twee correcte opties beschrijven de standaard en meest flexibele manier om rollen te implementeren in een Azure AD-beveiligde API voor zowel gedelegeerde toegang (gebruikers) als app-only toegang (achtergrondservices). Door app-rollen te definiëren in de API-app-registratie en allowedMemberTypes correct in te stellen, kunnen rollen worden toegewezen aan gebruikers/groepen of aan service-principals. De API kan vervolgens de roles-claim in het token evalueren voor autorisatie. De optie om rollen als gedelegeerde permissies (scopes) te representeren is onjuist omdat scopes bepalen wat een client mag doen namens een gebruiker, niet welke rol de gebruiker of applicatie heeft binnen de API. De scp-claim is voor gedelegeerde permissies, niet voor rollen. De optie om alleen Azure AD-groepen te gebruiken en de groups-claim te lezen, is minder flexibel en complexer voor autorisatie dan specifieke app-rollen. Hoewel groepen kunnen worden geconfigureerd om als rollen te worden uitgegeven, is het definiëren van app-rollen de aanbevolen methode voor fijnmazige autorisatie binnen de applicatie zelf.