背景 我正在构建一个我想使用ASP.NET身份来管理我对web api模块的授权的应用程序，我将部署到azure（1个项目是一个azure web应用程序，另一个是azure api服务）。
我对如何利用角色和声明与如何构建应用程序以及身份系统中是否有其他内置功能更好地解决我的解决方案感到困惑。
我的前端是使用Angular构建的，我的API是在C＃（。net 4.6）
中构建的我的项目是： 每个用户属于一个或多个组。每个用户在每个组中具有不同的权限。用户可以在登录后在组之间切换（或在他们所属的所有组中查看聚合数据）（即每次登录1个jwt令牌，并且该令牌需要定义用户拥有的每个组的组和权限）。
问题： 我不完全确定Asp.net身份最佳实践是如何构建这一点的。我应该为系统中存在的每个组创建一个角色（可能是数千个），然后为用户在该组（角色）中拥有的每个权限提出声明吗？