Простейшая аутентификация / авторизация в SPA + Web API

У меня есть простая апишка на ASP.NET Core и клиент на React. В апишке нужно сделать так, чтобы один роут был не доступен без аутентификации = там данные, которые в админке будут показываться. Мне нужна ровно одна роль = или пользователь вошел(тогда это админ и у него есть возможность сделать запрос на нужный эндпоинт) или нет(и доступа тогда нет). Как проще всего это реализовать, в какую сторону смотреть ? Подойдут ли куки для этого ? (клиент только браузер).