Je hebt een single-page application (SPA) die een Azure App Service Web API (API A) aanroept. API A moet namens de aangemelde gebruiker een downstream API (API B) aanroepen en de gebruikersrechten in API B afdwingen. API B exposeert al scopes in zijn app-registratie. Je moet de identiteit van de gebruiker behouden bij het aanroepen van API B en voorkomen dat API A brede applicatierechten krijgt. Welke twee acties moet je uitvoeren?

De twee correcte acties zijn essentieel voor een veilige en correcte implementatie van 'on-behalf-of' flow. Ten eerste, door in Azure AD API B toe te voegen als een gedelegeerde permissie aan de app-registratie van API A en admin-toestemming te verlenen, definieer je dat API A namens de gebruiker toegang mag vragen tot API B. Dit is een voorwaarde voor de 'on-behalf-of' flow. Ten tweede, door in API A MSAL's AcquireTokenOnBehalfOf te gebruiken met de inkomende gebruikerstoken, wisselt API A de token van de gebruiker in voor een nieuwe token die specifiek is voor API B, met de juiste scopes. Dit zorgt ervoor dat de identiteit en rechten van de gebruiker behouden blijven bij de aanroep naar API B, zonder dat API A brede applicatierechten krijgt. De optie om de client credentials flow te gebruiken is onjuist omdat dit de identiteit van de gebruiker niet behoudt; API B zou dan worden aangeroepen met de identiteit van API A zelf. De optie om API B te configureren voor applicatierollen in plaats van scopes is ook onjuist, omdat dit de noodzaak van een 'on-behalf-of' tokenacquisitie niet elimineert als de gebruikersidentiteit en -rechten moeten worden gehandhaafd.