Azure AD ile güvenliği sağlanmış çok kiracılı bir Web API'si oluşturuyorsunuz. API, kullanıcıları rollere göre yetkilendirmeli (kullanıcı tarafından devredilen erişim için) ve ayrıca arka plan hizmetlerinin yalnızca uygulama izinleriyle, rolleri kullanarak API'yi çağırmasına izin vermelidir. Token'lar, API'nizin değerlendirebileceği rol talepleri taşımalıdır. Ne uygulamalısınız?

Doğru cevaplar, hem kullanıcı hem de uygulama yetkilendirmesi için Azure AD uygulama rollerinin nasıl kullanılacağını açıklar. İlk doğru cevap, kullanıcıların belirli rollerde yetkilendirilmesi için allowedMemberTypes değerini "User" olarak ayarlayarak uygulama rollerinin nasıl tanımlanacağını ve kullanıcı veya grupların bu rollere nasıl atanacağını belirtir. API daha sonra kullanıcı token'larındaki roles talebini doğrulayabilir. İkinci doğru cevap, arka plan hizmetlerinin (daemon uygulamaları) yalnızca uygulama izinleriyle API'yi çağırması gerektiğinde allowedMemberTypes değerini "Application" olarak ayarlayarak uygulama rollerinin nasıl tanımlanacağını açıklar. Çağıran hizmet sorumluları bu rollere atanır ve API, yalnızca uygulama token'larındaki roles talebini doğrular. Bu yaklaşım, hem kullanıcı hem de uygulama senaryoları için ayrı ve net bir rol tabanlı yetkilendirme sağlar. Yanlış cevaplar şunlardır: Rolleri delege edilmiş izinler (scopes) olarak temsil etmek, yalnızca uygulama yetkilendirmesi için uygun değildir ve scp talebi genellikle izinleri belirtir, rolleri değil. Yalnızca Azure AD gruplarını kullanmak ve groups talebini okumak, grupları rollere dönüştürmek için ek yapılandırma gerektirse de, uygulama rolleri, hem kullanıcı hem de uygulama yetkilendirmesi için daha yapılandırılmış ve yönetilebilir bir yöntem sunar.