使用DefaultAzureCredential本地连接Cosmos DB时遭遇403权限不足错误求助

看起来你遇到的是Cosmos DB权限体系里典型的「管理平面与数据平面权限分离」问题——虽然你手握订阅级Owner角色，还有Cosmos DB Account Reader这类管理角色，但这些权限管不到数据平面的操作（比如读取文档、访问数据库元数据），这就是403错误的根源。

问题拆解 #

错误提示里提到的Microsoft.DocumentDB/databaseAccounts/readMetadata是数据平面权限，而你当前拥有的Owner、Reader、Cosmos DB Account Reader都属于管理平面角色，两类权限是相互独立的：管理角色管账户创建、配置修改这类操作，数据角色才管文档读写、元数据访问这类业务操作，所以哪怕是Owner也没法自动获得数据操作权限。

具体解决步骤 #

给你本地登录VS Code的Azure AD账户分配Cosmos DB内置的数据平面角色就能解决：

1. 打开Azure门户，找到你的Cosmos DB账户
2. 左侧菜单选择Access control (IAM)
3. 点击添加 → 添加角色分配
4. 在角色列表里选对应权限的角色：
   • 只读需求选Cosmos DB Built-in Data Reader
   • 需要读写操作选Cosmos DB Built-in Data Contributor
5. 在「成员」选项里找到你本地使用的Azure AD账户
6. 确认作用范围默认是整个Cosmos DB账户，直接保存即可

额外提醒 #

• 角色分配不是即时生效的，需要等5-10分钟再测试脚本
• 可以顺便核对下DATABASE_ENDPOINT环境变量的正确性，避免因端点错误导致的权限类误报

你的代码逻辑没有问题，DefaultAzureCredential在VS Code已登录Azure的情况下，会自动获取你的身份凭证，这部分是正常的。

备注：内容来源于stack exchange，提问作者rjjdv