新しい Azure Cosmos DB リソースで Cassandra (Cassandra API 経由) を使用する Java アプリを構築しています。Cosmos DB アカウント、データベース、コンテナーのプロビジョニングを許可するために Cosmos DB Creators という Azure AD グループを作成しますが、メンバーはデータベース キーにアクセスできないようにする必要があります。グループのアクセスを適切に制限するには、どの RBAC ロールを割り当てるべきですか？

Cosmos DB Operator ロールは、Cosmos DB アカウント、データベース、コンテナーのプロビジョニングを許可しますが、データベースキーへのアクセスは許可しません。これにより、Cosmos DB Creators グループのメンバーはリソースを管理できますが、データ自体にはアクセスできません。 DocumentDB Accounts Contributor ロールは、Cosmos DB アカウントの管理を許可しますが、キーへのアクセスも許可するため、要件を満たしません。Cosmos Backup Operator はバックアップと復元に特化しており、リソースのプロビジョニングはできません。Cosmos DB Account Reader は読み取り専用アクセスしか提供せず、リソースのプロビジョニングはできません。