Je bouwt een Java-app die Cassandra (via de Cassandra API) gebruikt op een nieuwe Azure Cosmos DB-resource. Je maakt een Azure AD-groep met de naam Cosmos DB Creators om het provisionen van Cosmos DB-accounts, databases en containers toe te staan, maar leden mogen geen toegang hebben tot de databasesleutels. Welke RBAC-rol moet je toewijzen om de toegang van de groep op passende wijze te beperken?

De rol Cosmos DB Operator is de juiste keuze omdat deze leden toestaat Azure Cosmos DB-accounts, databases en containers te provisionen, maar geen toegang geeft tot de databasesleutels of gegevens. Dit voldoet aan de vereiste dat leden geen toegang mogen hebben tot de sleutels. De rol DocumentDB Accounts Contributor is te breed, omdat deze volledige toegang geeft tot het beheren van Cosmos DB-accounts, inclusief het lezen van sleutels, wat in strijd is met de vereiste. De rol Cosmos Backup Operator is specifiek voor back-up- en herstelbewerkingen en biedt niet de benodigde rechten voor het provisionen van resources. De rol Cosmos DB Account Reader is te beperkt; deze staat alleen het lezen van accountgegevens toe en geen provisioning.