Eu tenho APIs que exigem autenticação de portador do Azure AD.

public void ConfigureAuth(IAppBuilder app)
{
   app.UseWindowsAzureActiveDirectoryBearerAuthentication(
      new WindowsAzureActiveDirectoryBearerAuthenticationOptions
      {
         // ...
      });
}

É possível consultar o Azure AD - talvez usando a API do Graph - para determinar as informações de grupo do usuário que está chamando? O objetivo final aqui é aplicar a segurança baseada em função aos métodos / controladores da API, conforme abaixo (ou similar).

[PrincipalPermission(SecurityAction.Demand, Role = "Admin")]

Além disso, como e onde as informações de identidade são aplicadas ao thread em execução?