为Azure托管标识分配Cosmos DB数据平面RBAC后无法查询到分配？

为什么Get-AzRoleAssignment查不到数据平面角色分配？ #

Get-AzRoleAssignment是Azure全局RBAC（控制平面）的查询命令，仅用于管理和查询订阅/资源组层级的控制平面角色（比如Contributor、Reader）。而Cosmos DB的数据平面角色是一套独立的权限体系，专门用于管控Cosmos DB内部的数据操作权限，和全局RBAC完全分离，所以用这个命令根本查不到数据平面的角色分配记录。

正确查询Cosmos DB数据平面角色分配的方法 #

必须使用Cosmos DB专属的角色分配查询命令：

• Azure CLI：

  az cosmosdb sql role assignment list --account-name <你的CosmosDB账户名> --resource-group <资源组名>
  

• PowerShell：

  Get-AzCosmosDBSqlRoleAssignment -AccountName <你的CosmosDB账户名> -ResourceGroupName <资源组名>
  

  也可以通过指定RoleAssignmentId精准查询：

  Get-AzCosmosDBSqlRoleAssignment -AccountName <你的CosmosDB账户名> -ResourceGroupName <资源组名> -RoleAssignmentId <返回的角色分配ID>
  

未被Get-AzRoleAssignment显示的角色分配是否有效？ #

只要创建命令执行成功（CLI无报错、PowerShell返回了合法的RoleAssignmentId），角色分配就是有效的。可以通过以下方式验证：

• 使用该系统分配托管标识，尝试执行对应的Cosmos DB数据平面操作（比如调用接口读取元数据，或者执行SQL查询读写数据）
• 用上述专属查询命令确认分配记录存在

内容的提问来源于stack exchange，提问作者pumpkinchugger