Você usa atribuições de função baseadas no Azure AD para acesso ao plano de dados à API SQL do Azure Cosmos DB. Um microsserviço deve ler e consultar itens e executar stored procedures em um único container, mas não deve criar, atualizar ou excluir itens. Como você deve conceder acesso?

A opção correta é criar uma definição de função de dados personalizada porque as funções internas existentes não atendem aos requisitos exatos. A função "Cosmos DB Built-in Data Reader" permite ler e consultar itens, mas não executar stored procedures. A função "Cosmos DB Built-in Data Contributor" concede permissões para criar, atualizar e excluir itens, o que excede o acesso necessário. A criação de uma função personalizada permite especificar precisamente as dataActions para leitura, consulta e execução de stored procedures, sem conceder permissões desnecessárias, e atribuí-la no escopo do container para aderir ao princípio do menor privilégio. Usar tokens de recurso não é a abordagem preferida quando o Azure AD RBAC já está em uso para acesso ao plano de dados, pois introduz uma camada de gerenciamento de acesso separada e menos integrada.