Что необходимо настроить в первую очередь, прежде чем развертывать приложение, которое будет изменять свойства пользователей Azure AD через Microsoft Graph, чтобы приложение могло получить доступ к Azure AD?

Для того чтобы приложение могло взаимодействовать с Azure AD и изменять свойства пользователей через Microsoft Graph, оно должно быть зарегистрировано в Azure AD. Регистрация приложения предоставляет ему уникальный идентификатор (Client ID) и позволяет определить необходимые разрешения (API permissions) для доступа к ресурсам Microsoft Graph. Без регистрации приложение не сможет получить токен доступа и аутентифицироваться в Azure AD. Внешнее удостоверение (External Identity) относится к управлению доступом внешних пользователей к вашим ресурсам и не является первоначальным шагом для самого приложения. Пользовательская роль RBAC (Custom RBAC role) определяет разрешения для пользователей или групп в Azure AD, но не для самого приложения. Прокси приложения Azure AD (Azure AD Application Proxy) используется для публикации локальных веб-приложений для безопасного удаленного доступа, что не имеет отношения к аутентификации приложения для Microsoft Graph.