Você planeja conceder a contas de usuário específicas do Azure AD acesso de leitura a bancos de dados Azure Cosmos DB que usam a SQL API. Qual das seguintes opções você deve usar para fornecer esse acesso?

Para conceder acesso de leitura a usuários específicos do Azure AD a bancos de dados Azure Cosmos DB usando a SQL API, a abordagem correta é usar um token de recurso combinado com uma atribuição de função do Azure (Controle de Acesso/IAM). O Azure Cosmos DB suporta o controle de acesso baseado em função (RBAC) do Azure, permitindo que você atribua funções internas ou personalizadas a usuários, grupos ou entidades de serviço do Azure AD. Um token de recurso é gerado pelo Azure Cosmos DB para autenticar o acesso a recursos específicos. As Shared Access Signatures (SAS) são usadas principalmente para conceder acesso limitado a recursos de armazenamento do Azure, não diretamente para o Cosmos DB com usuários do Azure AD. Certificados e Azure Key Vault são para gerenciamento de segredos e autenticação de aplicativos, não para controle de acesso de usuários do Azure AD ao Cosmos DB. Chaves mestras e políticas do Azure Information Protection não são o mecanismo primário para controle de acesso granular de usuários do Azure AD ao Cosmos DB.