Azure Function操作Cosmos DB遇RBAC权限错误，求正确内置角色配置

问题分析 #

异常明确指向托管标识缺少执行Microsoft.DocumentDB/databaseAccounts/readMetadata操作的RBAC权限，即便已分配DocumentDB Account Contributor、Cosmos DB Account Reader Role和Contributor角色，仍可能因权限作用域配置不当或角色权限覆盖导致问题。

解决方案 #

直接分配以下内置角色即可解决：

• Cosmos DB Built-in Data Reader：仅需文档读取权限时使用，包含元数据读取所需权限
• Cosmos DB Built-in Data Contributor：需要文档读取+更新权限时使用，覆盖所有数据操作及元数据读取权限

额外注意事项 #

• 角色分配的作用域需设置为Cosmos DB账户级别（或包含目标数据库/容器的父级作用域），仅分配到数据库或容器级别可能导致元数据读取权限不足。
• 若只需完成文档读取与更新，Cosmos DB Built-in Data Contributor已完全满足需求，可移除多余的账户级角色（如DocumentDB Account Contributor、Contributor）以减少权限冗余。

内容的提问来源于stack exchange，提问作者Ramesh Baddam