основное сделано

backend/Tnsu.ApprovalRoute.Api/Auth/AuthSchemes.cs

@@ -1,6 +1,30 @@
+using Microsoft.AspNetCore.Authentication.JwtBearer;
+
 namespace Tnsu.ApprovalRoute.Api.Auth;
 
 public static class AuthSchemes
 {
+    /// <summary>Локальная разработка и тесты — Entra не настроен (см. AuthSetup).</summary>
     public const string Dev = "Dev";
+
+    /// <summary>Токен пользователя (делегированный) — обычная работа админки.</summary>
+    public const string Bearer = JwtBearerDefaults.AuthenticationScheme;
+
+    /// <summary>
+    /// Токен приложения (client_credentials) — вызовы без участия пользователя,
+    /// например Power Automate, который по расписанию забирает напоминания.
+    /// </summary>
+    public const string AppOnly = "AppOnly";
+}
+
+public static class AuthPolicies
+{
+    /// <summary>Только пользовательские токены.</summary>
+    public const string Delegated = "Delegated";
+
+    /// <summary>Только токены приложений.</summary>
+    public const string AppOnly = "AppOnlyPolicy";
+
+    /// <summary>Любой из двух — политика по умолчанию для всех контроллеров.</summary>
+    public const string Any = "AnyAuth";
 }