Azure CosmosDB .NET库RBAC权限错误排查：所有者账号遇403拦截

错误信息 #

Response status code does not indicate success: Forbidden (403);
Substatus: 5301; ActivityId: [ActivityId]; Reason:
({"code":"Forbidden","message":"Request blocked by Auth
[cosmosdbaccountname] : Request is blocked because principal
[PrincipalID] does not have required RBAC permissions to perform
action [Microsoft.DocumentDB/databaseAccounts/readMetadata] on
resource [/]. RequestUri:
https://[cosmosdbaccountname].documents.azure.com/;\r\nRequestMethod:
GET;\r\nHeader: Authorization Length:
[AuthorizationLength];\r\nHeader: Cache-Control Length:
8;\r\nHeader: User-Agent Length: [UserAgentLength];\r\nHeader:
x-ms-version Length: 10;\r\nHeader:
x-ms-cosmos-sdk-supportedcapabilities Length: 1;\r\nHeader: Accept
Length: 16;\r\n, Request URI: /, RequestStats: , SDK:
Windows/10.0.19045
cosmos-netstandard-sdk/3.37.1);"}Microsoft.Azure.Cosmos.CosmosException"

场景说明 #

• 自身为数据库账号的唯一所有者，已重新添加Owner角色
• 已通过az login和azd auth login完成登录
• 数据库及容器已提前创建
• 测试代码（使用DefaultAzureCredential认证）：

using Azure.Identity;
using Microsoft.Azure.Cosmos;

CosmosClient client = new CosmosClient(
    accountEndpoint: "https://[censored].documents.azure.com:[censored]/",
    tokenCredential: new DefaultAzureCredential()
);
Database database = client.GetDatabase("SampleDB");
Container container = database.GetContainer("Foo");

Foo foo = new()
{
    id = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
    Name = "Lorem Ipsum",
    Description = "Lorem Ipsum...",
    Category = (Categories)1 //Enum
};

ItemResponse<Foo> response = await container.CreateItemAsync(foo); //错误触发点

• 调用CreateContainerIfNotExists时同样触发该错误，VS Code及Visual Studio环境均存在此问题

错误原因 #

Azure的Owner角色属于管理平面RBAC角色，仅涵盖资源的创建、删除等管理操作，并不包含Cosmos DB数据平面的操作权限（包括元数据读取readMetadata、数据增删改查等）。即使你是资源的Owner，默认也无法直接通过RBAC方式访问Cosmos DB的数据平面资源，必须分配Cosmos DB专属的数据平面RBAC角色。

解决方案 #

1. 分配Cosmos DB内置数据角色
   为出现错误的PrincipalID分配Cosmos DB Built-in Data Contributor角色，作用范围选择你的Cosmos DB账号级别。该角色包含了元数据读取、数据增删改查等全量数据平面操作权限。
2. 自定义角色（可选）
   如果不需要全量权限，可以创建自定义RBAC角色，至少包含Microsoft.DocumentDB/databaseAccounts/readMetadata权限，以及你需要的数据操作权限（如Microsoft.DocumentDB/databaseAccounts/databases/containers/items/create）。
3. 等待角色生效
   RBAC角色分配通常需要5-10分钟才能完全生效，分配完成后不要立即测试，等待权限同步完成。

内容的提问来源于stack exchange，提问作者Kk.cs