Sie planen, bestimmten Azure AD-Benutzerkonten Lesezugriff auf Azure Cosmos DB-Datenbanken zu gewähren, die die SQL-API verwenden. Welches der folgenden Elemente sollten Sie verwenden, um diesen Zugriff bereitzustellen?

Um bestimmten Azure AD-Benutzerkonten Lesezugriff auf Azure Cosmos DB-Datenbanken mit der SQL-API zu gewähren, ist ein Ressourcen-Token in Kombination mit einer Azure-Rollenzuweisung (Zugriffssteuerung/IAM) die empfohlene Methode. Azure Cosmos DB unterstützt die rollenbasierte Zugriffssteuerung (RBAC) von Azure, mit der Sie präzise Berechtigungen für Azure AD-Identitäten festlegen können. Ein Ressourcen-Token wird von Cosmos DB generiert, um den Zugriff auf bestimmte Ressourcen zu authentifizieren, während die Azure-Rollenzuweisung definiert, welche Aktionen (z.B. Lesen) ein Benutzer auf diese Ressourcen ausführen darf. Shared Access Signatures (SAS) werden hauptsächlich für Azure Storage verwendet, nicht direkt für Azure Cosmos DB SQL API-Datenbanken. Zertifikate und Azure Key Vault sind für die Verwaltung von Geheimnissen und Schlüsseln gedacht, nicht für die direkte Zugriffssteuerung auf Datenbanken für Azure AD-Benutzer. Master Keys bieten vollständigen Zugriff auf die Cosmos DB-Konten und sind nicht für die Gewährung von differenziertem Lesezugriff an einzelne Benutzer geeignet; Azure Information Protection-Richtlinien sind für den Schutz von Dateninhalten, nicht für die Zugriffssteuerung auf Datenbanken.