Si prevede di concedere a specifici account utente di Azure AD l'accesso in lettura ai database Azure Cosmos DB che utilizzano l'API SQL. Quale dei seguenti elementi si dovrebbe utilizzare per fornire tale accesso?

La risposta corretta è un token di risorsa combinato con un'assegnazione di ruolo di Azure (Controllo di accesso/IAM). Azure Cosmos DB supporta il controllo degli accessi in base al ruolo (RBAC) di Azure, che consente di assegnare ruoli predefiniti o personalizzati agli utenti di Azure AD per concedere autorizzazioni specifiche. Per l'API SQL, è possibile creare un'assegnazione di ruolo che concede l'accesso in lettura e associarla a un token di risorsa generato da Cosmos DB. Questo token di risorsa viene quindi utilizzato dall'applicazione o dall'utente per autenticarsi e accedere ai dati. Le Shared Access Signatures (SAS) non sono supportate direttamente per l'API SQL di Cosmos DB per l'accesso a livello di database o contenitore; sono più comuni per l'accesso a risorse di archiviazione come i BLOB. I certificati e Azure Key Vault sono utilizzati per la gestione delle chiavi e dei segreti, non per l'autorizzazione diretta degli utenti di Azure AD ai database Cosmos DB. Le chiavi master sono credenziali ad alta privilegi che concedono l'accesso completo al database e non sono adatte per concedere un accesso granulare in lettura a specifici account utente; i criteri di Azure Information Protection sono per la classificazione e la protezione dei dati, non per il controllo degli accessi a livello di database.