Azure App Service Web API'yi (API A) çağıran tek sayfalık bir uygulamanız (SPA) var. API A, oturum açmış kullanıcı adına bir alt akış API'sini (API B) çağırmalı ve kullanıcının API B'deki izinlerini uygulamalıdır. API B, uygulama kaydında zaten kapsamları (scope) ifşa etmektedir. API B'yi çağırırken kullanıcının kimliğini korumanız ve API A'ya geniş uygulama izinleri vermekten kaçınmanız gerekir. Hangi iki eylemi gerçekleştirmelisiniz?

Bu senaryoda, API A'nın kullanıcının kimliğini koruyarak ve API A'ya geniş izinler vermeden API B'yi çağırması gerekmektedir. İlk doğru seçenek, API A'nın gelen kullanıcı belirtecini (SPA'dan gelen) bir alt akış belirteciyle değiştirmek için MSAL'deki AcquireTokenOnBehalfOf yöntemini kullanmasını gerektirir. Bu, On-Behalf-Of (OBO) akışıdır. API A, SPA'dan aldığı belirteci bir UserAssertion olarak kullanarak Azure AD'den API B için yeni bir belirteç alır. Bu belirteç, kullanıcının kimliğini ve API B'deki izinlerini korur. İkinci doğru seçenek, API B'yi API A'nın uygulama kaydına delege edilmiş bir izin olarak eklemeyi ve yönetici onayı vermeyi içerir. Bu adım, API A'nın kullanıcının adına API B'yi çağırmasına izin veren gerekli izinleri sağlar. Delege edilmiş izinler, API A'nın yalnızca kullanıcının sahip olduğu izinler dahilinde hareket etmesini sağlar ve geniş uygulama izinleri vermekten kaçınır. Yanlış seçeneklerden ilki olan istemci kimlik bilgileri akışı, API A'nın kendi kimliğiyle API B'yi çağırmasına neden olur ve kullanıcının kimliğini korumaz. İkinci yanlış seçenek ise API B'yi uygulama rolleriyle yapılandırmak, belirteç alımını atlayarak kullanıcının kimliğini ve izinlerini doğru şekilde iletmez, bu da güvenlik ve yetkilendirme sorunlarına yol açar.