您打算授予特定的 Azure AD 使用者帳戶對使用 SQL API 的 Azure Cosmos DB 資料庫的讀取權限。您應該使用下列哪項來提供該存取權？

正確答案是資源權杖結合 Azure 角色指派 (存取控制/IAM)。對於使用 SQL API 的 Azure Cosmos DB，建議使用 Azure 角色型存取控制 (RBAC) 來管理資料平面存取。您可以透過 Azure AD 將特定使用者帳戶指派給內建或自訂的 Cosmos DB 角色，例如「Cosmos DB 讀取者」，以授予資料庫的讀取權限。Cosmos DB 會自動為這些使用者產生資源權杖，以便進行驗證。 Shared Access Signatures (SAS) 主要用於儲存體帳戶，不適用於 Cosmos DB SQL API 的使用者存取控制。憑證和 Azure Key Vault 通常用於應用程式驗證或加密金鑰管理，而非直接授予 Azure AD 使用者對 Cosmos DB 資料庫的資料平面權限。主金鑰 (Master Key) 是 Cosmos DB 的管理金鑰，授予完全存取權，不適合用於細粒度的使用者讀取權限，且 Azure Information Protection 原則與此情境無關。