能否创建Azure RBAC自定义角色：可写入Cosmos DB容器索引策略但不可创建容器

完全可以实现这个需求，关键是使用更细粒度的Cosmos DB权限，而非宽泛的Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/write权限。

核心权限选择 #

你需要使用专门的索引策略写入权限：

• Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/indexes/write：该权限仅允许修改现有容器的索引策略，不包含创建新容器的权限，完全匹配你的需求。

自定义角色创建示例（Azure CLI） #

可以通过Azure CLI创建自定义角色，先保存以下JSON定义为cosmos-index-writer-role.json：

{
  "Name": "Cosmos DB Index Policy Writer",
  "Description": "Can modify index policies for existing Cosmos DB SQL containers, cannot create new containers",
  "Actions": [
    "Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/indexes/write",
    // 可选：添加读取权限以便查看容器及索引策略
    "Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/read"
  ],
  "NotActions": [],
  "AssignableScopes": [
    "/subscriptions/<你的订阅ID>",
    "/subscriptions/<你的订阅ID>/resourceGroups/<你的资源组>",
    "/subscriptions/<你的订阅ID>/resourceGroups/<你的资源组>/providers/Microsoft.DocumentDB/databaseAccounts/<你的Cosmos账户>"
  ]
}

然后执行命令创建角色：

az role definition create --role-definition @cosmos-index-writer-role.json

效果验证 #

将该自定义角色分配给用户或服务主体后：

• 用户可正常修改现有容器的索引策略（通过Azure Portal、API或SDK）
• 用户尝试创建新容器时会触发权限不足错误，彻底规避了不必要的计费风险。

注意事项 #

• 绝对不要包含Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/write权限，该权限涵盖容器创建、删除等全生命周期操作，风险极高。
• 若无需用户查看容器信息，可仅保留indexes/write权限。

内容的提问来源于stack exchange，提问作者Mo B.