如何将Cosmos DB Built-in Data Contributor角色限定到指定数据库或容器

Azure RBAC是基于范围分配权限的，不需要修改内置角色本身，只要把角色分配的范围限定到特定数据库或容器就行，具体操作如下：

门户操作步骤 #

• 打开Azure门户，进入你的Cosmos DB账户页面
• 左侧菜单栏找到「访问控制(IAM)」选项
• 点击页面上方的「添加」→「添加角色分配」
• 在角色列表里选中「Cosmos DB Built-in Data Contributor」
• 切换到「成员」标签，选择要授权的用户、组或服务主体
• 重点在「范围」标签：别用默认的「Cosmos DB账户」，点击「选择范围」，在弹出的层级菜单里选目标数据库；如果要更细粒度到容器，就继续往下选对应的容器
• 确认所有信息无误后，点击「保存」完成分配

命令行批量配置（可选） #

如果需要批量操作，用Azure CLI更高效，示例命令如下：

限定到特定数据库 #

az role assignment create --assignee <主体ID> --role "Cosmos DB Built-in Data Contributor" --scope "/subscriptions/<订阅ID>/resourceGroups/<资源组>/providers/Microsoft.DocumentDB/databaseAccounts/<CosmosDB账户名>/databases/<数据库名>"

限定到特定容器 #

az role assignment create --assignee <主体ID> --role "Cosmos DB Built-in Data Contributor" --scope "/subscriptions/<订阅ID>/resourceGroups/<资源组>/providers/Microsoft.DocumentDB/databaseAccounts/<CosmosDB账户名>/databases/<数据库名>/containers/<容器名>"

权限验证 #

分配完成后，用被授权的主体登录测试：

• 尝试访问未授权的数据库/容器，会收到权限不足的错误提示
• 访问指定的授权资源，能正常执行读写等操作

内容的提问来源于stack exchange，提问作者Shuzheng