Azure AD ベースのロール割り当てを Azure Cosmos DB SQL API へのデータプレーンアクセスに使用しています。マイクロサービスは、単一のコンテナー内の項目を読み取り、クエリし、ストアドプロシージャを実行する必要がありますが、項目を作成、更新、または削除してはなりません。どのようにアクセスを許可すべきですか？

マイクロサービスは項目を読み取り、クエリし、ストアドプロシージャを実行できますが、作成、更新、削除はできません。組み込みの Cosmos DB Built-in Data Reader ロールはストアドプロシージャの実行を許可しません。Cosmos DB Built-in Data Contributor ロールは、作成、更新、削除のアクセス許可も付与するため、要件を超過します。したがって、項目読み取り、データクエリ、ストアドプロシージャの実行に必要な最小限の dataActions のみを含むカスタムデータロール定義を作成し、それをコンテナーのスコープでサービスプリンシパルに割り当てるのが、最小特権の原則に最も合致します。アカウントキーから生成されたリソーストークンはAzure AD RBACを使用しないため、このシナリオには不適切です。