Używasz przypisań ról opartych na usłudze Azure AD do dostępu do płaszczyzny danych w usłudze Azure Cosmos DB SQL API. Mikroserwis musi odczytywać i wysyłać zapytania do elementów oraz wykonywać procedury składowane w pojedynczym kontenerze, ale nie może tworzyć, aktualizować ani usuwać elementów. Jak należy udzielić dostępu?

Poprawna odpowiedź to utworzenie niestandardowej definicji roli danych. Wbudowane role, takie jak "Cosmos DB Built-in Data Reader", zapewniają dostęp tylko do odczytu, ale nie obejmują wykonywania procedur składowanych. "Cosmos DB Built-in Data Contributor" daje zbyt szerokie uprawnienia, włączając tworzenie, aktualizowanie i usuwanie elementów. Tworząc niestandardową rolę z precyzyjnie zdefiniowanymi dataActions dla odczytu, zapytań i wykonywania procedur składowanych, można zapewnić zasadę najmniejszych uprawnień. Przypisanie tej roli do jednostki usługi w zakresie kontenera gwarantuje, że mikroserwis ma dokładnie te uprawnienia, których potrzebuje, bez nadmiernego dostępu. Użycie tokenów zasobów jest alternatywną metodą autoryzacji, ale pytanie wyraźnie odnosi się do przypisań ról opartych na Azure AD.