使用AAD在C#创建Cosmos DB遇403(5300)错误，仅能用账户密钥解决？

你遇到的403错误是因为AAD身份令牌仅被授权执行数据层操作（如文档的增删改查），创建数据库这类非数据操作会被拦截。除直接使用账户密钥外，还有以下可行方案：

• 提前预创建数据库
  通过Azure门户、Azure CLI或ARM模板在应用部署前完成数据库创建，之后应用中使用AAD身份的CosmosClient仅处理数据操作即可。
  示例Azure CLI命令：

  az cosmosdb sql database create --account-name <你的Cosmos账户名> --name <目标数据库名> --resource-group <资源组名称>
  

• 通过Azure资源管理API创建数据库
  使用Azure.ResourceManager.CosmosDB NuGet包，依托AAD身份调用Azure资源管理接口创建数据库（此方式使用资源管理权限，而非Cosmos DB的数据权限）。需先给你的AAD身份分配Cosmos DB账户的「参与者」或「Cosmos DB账户贡献者」角色。
  简化代码示例：

  using Azure;
  using Azure.ResourceManager;
  using Azure.ResourceManager.CosmosDB;
  using Azure.Identity;
  
  var armClient = new ArmClient(new DefaultAzureCredential());
  var cosmosAccountId = ResourceIdentifier.Parse("/subscriptions/{订阅ID}/resourceGroups/{资源组名}/providers/Microsoft.DocumentDB/databaseAccounts/{Cosmos账户名}");
  var cosmosAccount = await armClient.GetCosmosDBAccountResource(cosmosAccountId);
  
  var sqlDatabases = cosmosAccount.GetCosmosSqlDatabases();
  var databaseData = new CosmosSqlDatabaseData();
  await sqlDatabases.CreateOrUpdateAsync(WaitUntil.Completed, "目标数据库名", databaseData);
  

• 使用「账户密钥操作员」角色获取密钥（谨慎使用）
  给AAD身份分配Cosmos DB的「账户密钥操作员」角色，该角色允许身份获取账户密钥。拿到密钥后，临时创建使用密钥认证的CosmosClient执行非数据操作。注意此角色权限较高，会暴露账户密钥，仅在必要场景使用。
  简化代码示例：

  var cosmosAccount = await armClient.GetCosmosDBAccountResource(cosmosAccountId);
  var keyResponse = await cosmosAccount.ListKeysAsync();
  var primaryKey = keyResponse.Value.PrimaryMasterKey;
  
  var tempCosmosClient = new CosmosClient("你的Cosmos账户端点", primaryKey);
  await tempCosmosClient.CreateDatabaseIfNotExistsAsync("目标数据库名");
  

优先推荐方案：提前预创建数据库，此方式无需在应用中处理高权限操作或敏感密钥，安全性最高。

内容的提问来源于stack exchange，提问作者user2423609