Aplikacja ASP.NET Core w usłudze Azure App Service wymaga niestandardowych oświadczeń z Microsoft Entra ID w tokenie dostępu użytkownika. Oświadczenia powinny być automatycznie usuwane, jeśli rejestracja aplikacji zostanie usunięta. Jak należy uwzględnić niestandardowe oświadczenia w tokenie dostępu?

Poprawna odpowiedź to dodanie ról do atrybutu appRoles w manifeście rejestracji aplikacji. Pozwala to na zdefiniowanie niestandardowych ról aplikacji, które mogą być przypisywane użytkownikom i grupom. Po przypisaniu, te role są automatycznie dołączane jako oświadczenia w tokenie dostępu, co umożliwia aplikacji ASP.NET Core ich odczytanie. Co ważne, role te są ściśle powiązane z rejestracją aplikacji, więc ich usunięcie skutkuje automatycznym usunięciem powiązanych oświadczeń. Pozostałe opcje są nieprawidłowe: Żądanie zakresu https://graph.microsoft.com/.default służy do uzyskiwania dostępu do Microsoft Graph API, a nie do dodawania niestandardowych oświadczeń do tokenu dostępu. Konfiguracja przepływu kodu autoryzacji OAuth 2.0 to standardowy sposób uwierzytelniania, ale nie definiuje niestandardowych oświadczeń. Dodanie niestandardowego oprogramowania pośredniczącego do pobierania informacji o rolach w czasie wykonywania jest możliwe, ale nie spełnia wymogu automatycznego usuwania oświadczeń po usunięciu rejestracji aplikacji i jest mniej efektywne niż użycie appRoles. Dodanie grup do atrybutu groupMembershipClaims spowodowałoby dodanie identyfikatorów grup, do których należy użytkownik, a nie niestandardowych oświadczeń zdefiniowanych przez aplikację.