Azure AD 기반 역할 할당을 사용하여 Azure Cosmos DB SQL API에 대한 데이터 평면 액세스를 사용합니다. 마이크로 서비스는 단일 컨테이너에서 항목을 읽고 쿼리하며 저장 프로시저를 실행해야 하지만, 항목을 생성, 업데이트 또는 삭제해서는 안 됩니다. 액세스 권한을 어떻게 부여해야 합니까?

정답은 특정 요구 사항을 충족하는 최소 권한 원칙을 따릅니다. 마이크로 서비스는 항목을 읽고 쿼리하며 저장 프로시저를 실행해야 하지만 생성, 업데이트 또는 삭제는 할 수 없습니다. Cosmos DB Built-in Data Reader 역할은 저장 프로시저 실행 권한을 포함하지 않으므로 부적절합니다. Cosmos DB Built-in Data Contributor 역할은 항목 생성, 업데이트 및 삭제 권한을 부여하므로 필요한 것보다 더 많은 권한을 제공합니다. 계정 키에서 생성된 리소스 토큰을 사용하는 것은 Azure AD 기반 역할 할당을 사용하는 문제의 전제 조건과 일치하지 않습니다. 따라서 필요한 dataActions만 포함하는 사용자 지정 데이터 역할을 생성하고 컨테이너 범위에서 서비스 주체에 할당하는 것이 가장 정확하고 안전한 방법입니다.