禁用Cosmos DB本地认证后使用托管身份遇权限问题求助

我尝试禁用Cosmos DB的本地认证，改用托管身份让Web App和Function App连接数据库。已为两个应用分配Cosmos DB内置Contributor角色，且通过az cli验证了角色分配，但仍出现以下报错：

"The MAC signature found in the HTTP request is not the same as the computed signature. Server used following string to sign - . Learn more: https://aka.ms/cosmosdb-tsg-mac-signature","Local Authorization is disabled. Use an AAD token to authorize all requests."

更新后的Cosmos Client代码如下：

var cosmosClient = new CosmosClient(_endpointUrl, new DefaultAzureCredential(), options);

我已按照官方指南完成本地认证禁用操作，想确认Cosmos DB内置Contributor角色是否足够？

1. Contributor角色权限足够
   Cosmos DB内置的Contributor角色拥有对目标账户的完整管理权限，包括数据读写、资源配置等操作，完全满足托管身份的认证访问需求。

2. 报错核心原因排查
   你遇到的错误本质是请求仍在尝试使用本地密钥（MAC签名）认证，但本地认证已被禁用，导致权限验证冲突。可以从以下几点排查：

• 检查CosmosClient的配置参数：确保options中没有传入旧的账户密钥或包含密钥的连接字符串，否则会覆盖DefaultAzureCredential的托管身份认证方式。
• 确认托管身份配置：
  • 确保Web App和Function App的系统托管身份已开启
  • 角色分配的范围必须是目标Cosmos DB账户（或其下的数据库/容器层级），避免范围过大导致的权限继承问题
• 等待角色生效：Azure RBAC角色分配通常需要5-15分钟才能完全同步，即使az cli显示分配成功，也可能存在延迟
• 验证凭据获取逻辑：DefaultAzureCredential会按优先级尝试不同凭据（本地开发账户、托管身份等），建议直接在Azure环境中测试，避免本地调试时的凭据干扰

内容的提问来源于stack exchange，提问作者pumpkinchugger