在本地和Azure上使用Azure Function App中的托管身份连接Azure CosmosDB

Question

我为一个功能应用程序创建了一个托管身份，并通过以下两部分将其分配给DocumentDB Account Contributor

https://docs.microsoft.com/en-us/azure/cosmos-db/managed-identity-based-authentication#assign-a-system-assigned-managed-identity-to-a-function-app

https://docs.microsoft.com/en-us/azure/cosmos-db/managed-identity-based-authentication#grant-access-to-your-azure-cosmos-account

微软蔚蓝色的服务。AppAuthentication验证

当我尝试从下面的部分运行代码时，我得到了一个异常：

https://docs.microsoft.com/en-us/azure/cosmos-db/managed-identity-based-authentication#programmatically-访问azure cosmos db密钥

无法加载文件或程序集的系统。文本编码。Web，版本=6.0.0.0，区域性=中性，PublicKeyToken=CC7B13FFCD2DD51'。系统找不到指定的文件。at系统。文本Json。序列化。元数据。JsonPropertyInfo。系统上的DeterminePropertyName（）。文本Json。序列化。元数据。JsonPropertyInfo。GetPolicys（Nullable1 ignoreCondition，Nullable1 declaringTypeNumberHandling）位于。。。系统运行时。编译器服务。任务等待者。系统上的HandleNonSuccessAndDebuggerNotification（任务任务）。运行时。编译器服务。任务等待者'1。Cosmos的GetResult（）。样品。AzureFunctions。AzureFunctionsCosmosClientMI。d\u 7。C中的MoveNext（）。ME\MyLab。Code\AzureCode\CosmosDB\azure-cosmos-dotnet-v3-usage\AzureFunctions\AzureFunctionsCosmosClientMI。cs：第85行

蔚蓝色的身份

由于MS不推荐AppAuthentiation，因此我切换到使用Azure。身份通过以下链接：https://docs.microsoft.com/en-us/dotnet/api/overview/azure/identity-readme?view=azure-dotnet

https://joonasaijala.com/2021/07/01/how-to-using-managed-identities-to-access-cosmos-db-data-via-rbac-and-disabling-authentication-via-keys/

和下面的代码

 static string cosmosUrl = "https://xxx.documents.azure.com:443/";
    private static CosmosClient client = new CosmosClient(cosmosUrl, new DefaultAzureCredential());
   var container = client.GetContainer("FamilyDatabase", "FamilyContainer");
        try
        {
            var result = await container.CreateItemAsync<Item>(data, new PartitionKey(data.LastName));
            return new OkObjectResult(result.Resource.Id);
        }
        catch (CosmosException cosmosException)
        {
            log.LogError("Creating item failed with error {0}", cosmosException.ToString());
            return new BadRequestObjectResult($"Failed to create item. Cosmos Status Code {cosmosException.StatusCode}, Sub Status Code {cosmosException.SubStatusCode}: {cosmosException.Message}.");
        }

然而，我在本地和Azure中都遇到了下面的异常。

创建项目失败。Cosmos状态代码For的，子状态代码5301：响应状态代码不表示成功：禁止（403）；子状态：5301；ActivityId：xxxx-bf03-4355-8642-5d316f9d3373；原因：（请求被Auth xxxx阻止：请求被阻止，因为主体[xxx-2bff-44e9-97be-9ffeb3aae3ee]没有在资源[/]上执行操作所需的RBAC权限[Microsoft. DocumentDB/数据库帐户/readMetadata]。了解更多：https://aka.ms/cosmos-native-rbac.ActivityId：xxx-bf03-4355-8642-5d316f9d3373，Microsoft. Azure. Documents. Common/2.14.0， Windows/10.0.14393 cosmos-netardardal-sdk/3.24.1）；。

在本地，我按照链接登录到VShttps://docs.microsoft.com/en-us/dotnet/api/overview/azure/identity-readme?view=azure-dotnet#authenticating-via-visual-studio

任何解决Azure问题的想法。身份

参考：

使用托管身份将功能应用程序连接到CosmosDB

https://github.com/Azure/azure-sdk-for-net/tree/Azure.Identity_1.5.0/sdk/identity/Azure.Identity/samples




Answer 1

今天早上，我在设置CosmosDB以使用Azure VM的托管标识时遇到了同样的错误。错误消息指出您的主体没有RBAC权限Microsoft。DocumentDB/数据库帐户/readMetadata。授予主体后，您将使用该权限使用Azure进行身份验证。身份应该有效。

DocumentDB帐户参与者没有Microsoft角色。DocumentDB/databaseAccounts/readMetadata，我找不到包含该权限的内置Azure角色，因此我按照本文中的示例创建了自己的自定义CosmosDBReadWrite角色。

若要创建自定义角色定义和分配，需要安装Azure CLI。

首先，您需要创建一个带有角色定义的json文件。这里有两个不同的自定义角色配置json文件，一个用于对CosmosDB进行只读访问，另一个具有读写角色访问权限。

{
    "RoleName": "CosmosDBReadOnlyRole",
    "Type": "CustomRole",
    "AssignableScopes": ["/"],
    "Permissions": [{
        "DataActions": [
            "Microsoft.DocumentDB/databaseAccounts/readMetadata",
            "Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/read",
            "Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/executeQuery",
            "Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/readChangeFeed"
        ]
    }]
}

{
    "RoleName": "CosmosDBReadWriteRole",
    "Type": "CustomRole",
    "AssignableScopes": ["/"],
    "Permissions": [{
        "DataActions": [
            "Microsoft.DocumentDB/databaseAccounts/readMetadata",
            "Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/*",
            "Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/*"
        ]
    }]
}

使用自定义角色定义保存json文件后，我们可以使用Azure CLI创建自定义角色，然后将其分配给正确的主体。

使用上面创建的JSON文件创建自定义角色

resourceGroupName='<myResourceGroup>'
accountName='<myCosmosAccount>'
az cosmosdb sql role definition create -a $accountName -g $resourceGroupName -b @role-definition.json

创建角色后，应返回所创建角色的定义。如果没有，请使用以下命令查找roleDefinitionId，该ID可以在name属性中找到。

az cosmosdb sql role definition list --account-name $accountName -g $resourceGroupName

最后，将自定义角色应用于需要访问CosmosDB权限的主体。

resourceGroupName='<myResourceGroup>'
accountName='<myCosmosAccount>'
roleDefinitionId = '<roleDefinitionId>'
principalId = '<ID for the Object that needs access to the CosmosDB>'
az cosmosdb sql role assignment create -a $accountName -g $resourceGroupName -s "/" -p $principalId -d $roleDefinitionId

希望这也解决了您遇到的错误！