你使用基于 Azure AD 的角色分配来访问 Azure Cosmos DB SQL API 的数据平面。一个微服务需要读取和查询单个容器中的项目并执行存储过程，但不能创建、更新或删除项目。你应如何授予访问权限？

正确答案是创建自定义数据角色定义，其中仅包含读取项目/查询 dataActions 和存储过程执行，并在容器范围将其分配给服务主体。这是因为微服务需要细粒度的权限控制，包括读取和查询项目以及执行存储过程，但不能修改数据。Cosmos DB 内置角色（如数据读取器和数据贡献者）提供的权限要么太宽泛（数据贡献者），要么不包含存储过程执行（数据读取器）。自定义角色允许您精确定义所需的权限集，从而遵循最小权限原则。使用资源令牌虽然可以提供只读访问，但与基于 Azure AD 的角色分配结合使用时会增加复杂性，并且通常用于应用程序用户而不是微服务。