带有Azure托管身份的Azure Cosmos MongoDB API

Question

我在Azure中有一个应用程序服务使用连接字符串连接到Azure Cosmos Mongo API。我想知道是否有一种方法可以使用托管身份连接到Mongo API，而不是使用连接字符串。我知道这对于Cosmos SQL API是可行的，但是找不到任何关于Mongo API的信息。

谢谢你

Answer 1

SQL API的解决方案（在使用系统分配的托管身份访问Azure Cosmos DB数据时描述）也可以通过查询访问密钥应用于MongoDB API。节点功能应用程序的代码将需要以下包：@azure/identity、@azure/arm cosmosdb和mongodb。

import { MongoClient } from 'mongodb';
import { ManagedIdentityCredential } from '@azure/identity';
import { CosmosDBManagementClient } from '@azure/arm-cosmosdb';

async function initializeClient(): Promise<MongoClient> {
  const subscriptionId = ...;
  const resourceGroupName = ...;
  const cosmosDbUrl = ...;
  const accountName = ...;

  const armClient = new CosmosDBManagementClient(
    new ManagedIdentityCredential(), subscriptionId
  );
  const { primaryMasterKey } = await armClient.databaseAccounts.listKeys(
    resourceGroupName, accountName
  );
  return MongoClient.connect(
    cosmosDbUrl,
    { auth: { username: accountName, password: primaryMasterKey } }
  );
}

函数应用的托管标识需要 Microsoft.DocumentDB/databaseAccounts/listKeys/action 权限。因此，您可以将角色 DocumentDB 帐户参与者分配给托管标识。另请参阅 Azure Cosmos DB 中基于角色的访问控制。

Answer 2

预期的模式是授予通过托管身份检索密钥的访问权限，然后应用程序使用该访问权限通过正常方式获取密钥和连接。您需要想出自己的模式来检测主/辅密钥的回收，并相应地进行切换。

DocumentDB帐户参与者角色通过列表键API提供对读/写键的访问

Cosmos DB帐户读者角色角色通过列表只读密钥API提供对只读密钥的访问