Замена WSO2 Gateway + Identity Server предложениями, управляемыми Azure?

Что касается безопасности приложений, сегодня моя инфраструктура работает так:

Новый веб-API развертывается в производственной среде
Группа безопасности переходит к Менеджеру API и создает новый API, используя манеру кода, разработанного выше (предположим, что все конечные точки защищены как «Пользователь приложения и приложения»)
Команда разработчиков переходит в /store и создает новое приложение
Команды разработчиков подписывают это новое приложение на новый API
Третьи стороны получают токен приложения для интеграции и межсистемной связи
Пользователь переходит к /token получить токен с использованием OAuth2 + OpenId (предоставление пароля)
пользователь и третьи стороны попадают в API, используя токен-носитель, и вуаля !: он работает

Теперь, как я могу заменить предложения WSO2 на предложения управляемых служб Azure?

Я посмотрел и думаю, что мне придется использовать комбинацию Azure Gateway + Azure AD B2C + Azure AD (Azure B2C не реализует client_credentials грант), но у меня есть лишние сомнения:

Можно ли указать Azure Gateway проверять токены на соответствие Azure AD + B2C?
Есть ли API для самостоятельной регистрации в B2C или это нужно делать в интранете?