azure - Cosmos dB 正在阻止更新插入请求，即使它具有所需的 RBAC 角色

Question

我有一个azure函数来读取和更新cosmos文档。我启用了身份并将以下角色分配给 azure 函数身份(服务主体)。不知怎的，我看到了以下异常。您能否让我知道我应该分配的 RBAC 角色构建。

1. DocumentDB 帐户贡献者
2. Cosmos DB 帐户读取者角色
3. 贡献者

异常详细信息:

请求被阻止，因为主体不具备对资源执行操作 [Microsoft.DocumentDB/databaseAccounts/readMetadata] 所需的 RBAC 权限。

Answer 1

您需要为数据平面而不是管理平面配置 RBAC:

• Configure role-based access control with Azure Active Directory for your Azure Cosmos DB account

有两个内置角色，但您也可以创建自定义角色:

• Cosmos DB 内置数据读取器(ID:00000000-0000-0000-0000-000000000001)
• Cosmos DB 内置数据贡献器(ID:00000000-0000-0000-0000-000000000002)

您可以使用 Az Powershell、Az CLI 或 ARM API 来 create role asisgnment .

AzCLI 示例:

$resourceGroupName="<myResourceGroup>"
$accountName="<myCosmosAccount>"
$dataContributorRoleId="00000000-0000-0000-0000-000000000002"
$principalId="<aadPrincipalId>" # Often called Object ID
az cosmosdb sql role assignment create `
  --account-name $accountName `
  --resource-group $resourceGroupName `
  --scope "/" `
  --principal-id $principalId `
  --role-definition-id $dataContributorRoleId