Azure ActiveDirectory (B2Cでない方)を認証に使う

ログインユーザーの権限管理でサンプルにもある、ロールベースやポリシーベースを使おうとしていた。
AzureAD(Free)での権限管理はいろいろ方法があるみたい。ドキュメントもちょっと散らかってる感あってわかりにくい…

紹介されているやりかた（全部ではないかも）

アプリケーションにアプリロールを追加してトークンで受け取る

参照）https://docs.microsoft.com/ja-jp/azure/active-directory/develop/howto-add-app-roles-in-azure-ad-apps
ちなみにですがB2Cのテナントだと画面が違います。アプリロールやトークン構成のメニューはありません。
ただB2Cでも同じ設定はマニフェストの編集により可能です。
(ずっとB2Cの画面で探しててそれにもハマった…）

参考：ロールベース

テナントにカスタムロール追加

https://docs.microsoft.com/ja-jp/azure/active-directory/roles/custom-create
AzureAD(Free)では使えません。
ADテナント全体にロールを作成する方法（ビルトインロール以外）

ポリシーベース

一番カスタム可能な内容、ユーザークレーム（属性）に条件付与してポリシーを適用できたりする。
ここでグループクレームからポリシーを適用しようとしたが、groupがAPI側で取れていなかった。（後述）
参考）
https://docs.microsoft.com/ja-jp/azure/active-directory/hybrid/how-to-connect-fed-group-claims
サンプル）
https://github.com/Azure-Samples/active-directory-aspnetcore-webapp-openidconnect-v2/blob/master/5-WebApp-AuthZ/5-2-Groups/README.md

クレームベース

クレームベース∈ポリシーベース
ということかな。

ユーザーをグループに割り当ててグループによりポリシーを適用しようとした。

ここから本題

今回の構成はSPA（Blazor WASM＋ASP.NET Core）なので、公式参照しながら設定
参考）
https://docs.microsoft.com/ja-jp/aspnet/core/blazor/security/webassembly/hosted-with-azure-active-directory?view=aspnetcore-6.0
このへんから。

逸る気持ちを抑えて、じっくり読めばちゃんと動くはず。いらちを発動するとよくハマるので。笑

では次に別のチュートリアル参照しながら、特定のグループに所属しているユーザーのみコールできるAPI（ASP）を作成する。

https://docs.microsoft.com/ja-jp/azure/active-directory/develop/active-directory-optional-claims?WT.mc_id=translate-blog-yoterada#configuring-groups-optional-claims
このへんでまずはクライアント（SPA側）にGroupsが入るように設定した。
ちなみにこのドキュメント内の「[管理] で、 [トークン構成] を選択します。」はB2Cテナントでは表示されません。（再

ここでハマりポイント（自分的）だったのはトークン発行されるのはSPA側なので、上記のトークン構成はクライアント側しかやっていなかった。

本当はサーバー側も設定が必要だった。

起こっていた状態

id_tokenにはgroupsのclaimがあったが、
access_tokenにはgroupsが入っていない。
→ASP側でgroupsが判別できない。

jwt.ioで確認しまくった…

やったこと（解決）

サーバー側アプリケーションのトークン構成でもgroupsの設定をする。

ちなみに、Audienceがない、と言われてログインもできないとき

https://docs.microsoft.com/ja-jp/aspnet/core/blazor/security/webassembly/hosted-with-azure-active-directory?view=aspnetcore-6.0#app-settings
上記参照、ちょっと日本語わかりにくいがAudienceの設定がsettings.jsonあたりに必要なようす。