Вы используете назначения ролей на основе Azure AD для доступа к плоскости данных Azure Cosmos DB SQL API. Микросервис должен читать и запрашивать элементы, а также выполнять хранимые процедуры в одном контейнере, но он не должен создавать, обновлять или удалять элементы. Как следует предоставить доступ?

Правильный ответ — создание пользовательского определения роли. Встроенная роль Cosmos DB Built-in Data Reader предоставляет разрешения только на чтение и запрос элементов, но не включает выполнение хранимых процедур. Встроенная роль Cosmos DB Built-in Data Contributor предоставляет слишком широкие разрешения, включая создание, обновление и удаление элементов, что не соответствует требованиям. Токены ресурсов не используют Azure AD RBAC для авторизации, а вопрос явно указывает на использование назначений ролей на основе Azure AD. Поэтому необходимо создать пользовательскую роль, которая точно соответствует требуемым разрешениям: чтение, запрос элементов и выполнение хранимых процедур, без возможности создания, обновления или удаления.