您使用基於 Azure AD 的角色指派來存取 Azure Cosmos DB SQL API 的資料平面。某個微服務必須讀取和查詢項目，並在單一容器中執行預存程序，但不得建立、更新或刪除項目。您應該如何授予存取權限？

正確答案是建立一個自訂資料角色定義，其中僅包含讀取項目/查詢 dataActions 和預存程序執行，並將其指派給服務主體，範圍為容器。這是因為內建的 Cosmos DB 角色 (例如 Data Reader 和 Data Contributor) 提供了一組固定的權限，無法精確滿足微服務的需求，該微服務需要讀取、查詢和執行預存程序，但不能建立、更新或刪除項目。透過建立自訂角色，您可以只包含所需的精確權限。資源權杖是舊版存取控制方法，不適用於基於 Azure AD 的角色指派。