Azure Cosmos DB账户调用CreateContainerIfNotExistsAsync报403，缺什么权限？

• 确认角色分配的作用域
  确保Cosmos DB Built-in Data Contributor和Cosmos DB Operator角色是分配在Cosmos DB账户级别，而非仅数据库或容器级别。容器创建操作需要账户级的权限覆盖范围，作用域过小会导致权限不足。

• 等待RBAC权限生效
  Azure RBAC角色分配通常需要5-15分钟才能完全同步生效，即使刚完成角色添加操作，也需等待一段时间后再测试。可通过Azure门户的「访问控制(IAM)」页面确认角色分配状态正常。

• 验证身份验证方式正确性
  如果应用使用Azure AD身份验证调用SDK，需确认代码中正确配置了对应凭据（如托管标识或服务主体），避免误用账户密钥进行身份验证。混用身份验证方式会导致权限校验失败，返回403错误。

• 补充账户级管理角色
  尝试添加Cosmos DB Account Contributor角色（该角色拥有账户级完整管理权限，包含容器创建操作），测试是否解决问题。注意此角色权限范围较大，生产环境需按需分配。

• 排查SDK版本与代码参数
  确保使用的.NET SDK为最新稳定版本，旧版本可能存在RBAC权限兼容问题。同时检查CreateContainerIfNotExistsAsync的参数是否正确，比如目标数据库是否已存在、容器配置是否合规——部分场景下参数错误也会被返回为403，需注意区分。

内容的提问来源于stack exchange，提问作者David S.