А в azure в группу нужную будет автоматом попадать в зависимости от того, кем работает
Я бы на твоем месте просто кронячкой вешал роли в самой графане, чем строил такой велосипед. То, что у тебя есть oauth2, не означает, что через него нужно делать всё.