用RBAC在Azure Cosmos DB帐户内创建数据库

Question

我为azure cosmos db使用java版本4 SDK。我想在azure cosmos db帐户中使用服务主体创建数据库，而不是使用主密钥。

根据该文档，我为服务主体分配了< code > document DB Account Contributor 和< code>Cosmos DB Operator内置角色定义:

https://docs.microsoft.com/pl-pl/azure/role-based-access-control/built-in-roles#cosmos-db-operator

我无法创建 CosmosAsyncClient，直到我添加了新的自定义角色，该角色仅包含读取元数据。上面提到的内置角色定义不包含它...

 TokenCredential ServicePrincipal = new ClientSecretCredentialBuilder()
            .authorityHost("https://login.microsoftonline.com")
            .tenantId(tenant_here)
            .clientId(clientid_here)
            .clientSecret(secret_from_above_client)
            .build();

 client = new CosmosClientBuilder()
                            .endpoint(AccountSettings.HOST)
                            .credential(ServicePrincipal)
                            .buildAsyncClient();

添加此角色后，创建了客户端，但下一步我无法在其中创建数据库实例和容器。在权限改造中，我可以看到角色已分配，因此此处的服务主体是正确的。

更重要的是，当我首先用主密钥创建数据库和容器，然后我想使用服务主体读/写数据时，它工作了(显然在添加了用于写的自定义角色之后)。

然后我不知道为什么DocumentDB帐户贡献者和Cosmos DB操作员不适用于创建数据库。

Answer 1

看起来这是java SDK中的一个错误，DocumentDB帐户贡献者角色足以创建数据库和容器，因为它具有Microsoft.DocumentDb/databaseAccounts/*权限（*是一个通配符，它还包括您提到的Microsoft.DocumentDB/databaseAccounts/readMetadata）。

当我测试使用具有此角色的服务主体来创建带有powershell＜code＞新AzCosmosDBSqlDatabase＜code＞的数据库时，它运行良好。当使用服务主体运行此命令时，它本质上使用Azure AD客户端凭据流获取令牌，然后使用令牌调用REST API-＜code＞PUThttps://management.azure.com/subscriptions/xxxx/resourceGroups/xxxx/providers/Microsoft.DocumentDB/databaseAccounts/xxxx/sqlDatabases/testdb1?api-version=2020-04-01为了创建数据库，java SDK本质上也做了同样的事情，因此它也应该工作。