ASP.NET Core 8 – перенаправление авторизации на учетную запись/доступ запрещен

У меня есть страница Razor с атрибутом:

[Authorize(Policy = "Staff")]

и следующая конфигурация авторизации:

options.AddPolicy("Staff", policy =>
        {
            policy.RequireAuthenticatedUser();
            policy.AddAuthenticationSchemes("MyAdSchemeName");
            policy.RequireRole("Staff");
        });

При переходе на эту страницу меня правильно перенаправляет на страницу входа в систему, однако URL-адрес возврата, передаваемый в качестве параметра строки запроса, равен Account/AccessDenied.

Я чувствую, что, может быть, я что-то упускаю, но это кажется неправильным, поскольку, безусловно, необходимо пройти аутентификацию, прежде чем можно будет определить, следует ли возвращать 403?

Я ожидаю (что может быть ошибочным), что переход на страницу в качестве неаутентифицированного пользователя должен перенаправляться на страницу входа в систему, вход в систему обрабатывается (т.е. получаются роли), а затем перенаправляется обратно на первоначально запрошенную страницу, где он затем может определить есть ли у них доступ (т.е. необходимая роль)?

Когда я удаляю вызов RequireRole против определения политики, он работает, но, очевидно, разрешает всем аутентифицированным пользователям независимо от роли.

Кстати, Account/AccessDenied даже не существует в моем приложении, и я не вижу, как его изменить. Я пробовал следующее, но безрезультатно:

services.Configure<CookieAuthenticationOptions>("MyAdSchemeName", options => options.AccessDeniedPath = "/errors/403");

Код программы.cs:

var authentication = services.AddAuthentication();

authentication
    .AddMicrosoftIdentityWebApp(
        configuration.GetSection("AdConfig"), 
        openIdConnectScheme: "MyAdSchemeName", 
        cookieScheme: null, 
        displayName: "MyAdSchemeName");

services.Configure<CookieAuthenticationOptions>("MyAdSchemeName", options => options.AccessDeniedPath = "/errors/403");

services.ConfigureApplicationCookie(options =>
{
    options.Events = new CookieAuthenticationEvents
    {
        OnRedirectToAccessDenied = context =>
        {
            context.Response.StatusCode = 403;
            return Task.FromResult(0);
        }
    };
    options.AccessDeniedPath = "/errors/403";
    options.LoginPath = new PathString("/login");
});

services.AddAuthorization(options =>
{
    options.FallbackPolicy = options.DefaultPolicy;
    
    
    options.AddPolicy(PolicyNames.Staff, policy =>
    {
        policy.RequireAuthenticatedUser();
        policy.AddAuthenticationSchemes("MyAdSchemeName");
        policy.RequireRole("Staff");
    });
});