Azure CosmosDB RBAC权限缺失：无readMetadata权限排查求助

1. 验证现有角色的权限覆盖 #

先确认已分配的DocumentDB Account Contributor和Cosmos DB Operator角色是否包含报错中提到的readMetadata动作：

# 查看DocumentDB Account Contributor的权限动作
az role definition list --name "DocumentDB Account Contributor" --output json | jq '.[] | .permissions[].actions'

# 查看Cosmos DB Operator的权限动作
az role definition list --name "Cosmos DB Operator" --output json | jq '.[] | .permissions[].actions'

如果输出中没有Microsoft.DocumentDB/databaseAccounts/readMetadata，说明现有角色确实不覆盖该权限。

2. 确认角色分配的作用域正确性 #

检查角色分配的作用域是否与Cosmos DB账户完全匹配，避免拼写或路径错误：

az role assignment show --assignee be4a3128-... --scope "/subscriptions/a/resourceGroups/b/providers/Microsoft.DocumentDB/databaseAccounts/redacted-db-account" --output json

重点确认scope字段与Cosmos DB账户的资源ID完全一致，包括订阅ID、资源组名和账户名。

3. 排查应用的身份验证流程 #

• 确认Kubernetes应用是否正确使用了目标用户分配托管标识redacted-agentpool，检查应用配置/环境变量中是否指定了该标识的clientId（bcaf6b6b-...）。
• 验证应用获取的访问令牌受众是否为Cosmos DB的正确资源标识（https://cosmos.azure.com/），可通过以下命令模拟获取令牌：

  az account get-access-token --resource "https://cosmos.azure.com/" --identity "/subscriptions/a/resourcegroups/b/providers/Microsoft.ManagedIdentity/userAssignedIdentities/redacted-agentpool"
  

  解码令牌（可使用JWT解码工具），确认aud字段为https://cosmos.azure.com/。

4. 补充缺失的权限 #

如果现有角色不包含目标动作，可通过以下两种方式补充：

方式一：使用内置角色

添加Cosmos DB Account Reader Role（该内置角色包含readMetadata权限）：

az role assignment create --assignee be4a3128-... --role "Cosmos DB Account Reader Role" --scope "/subscriptions/a/resourceGroups/b/providers/Microsoft.DocumentDB/databaseAccounts/redacted-db-account"

方式二：创建自定义角色

定义仅包含所需权限的自定义角色（示例JSON）：

{
  "Name": "Cosmos DB Metadata Reader",
  "IsCustom": true,
  "Description": "允许读取Cosmos DB账户元数据",
  "Actions": [
    "Microsoft.DocumentDB/databaseAccounts/readMetadata/*"
  ],
  "NotActions": [],
  "AssignableScopes": [
    "/subscriptions/a/resourceGroups/b"
  ]
}

创建角色并分配：

az role definition create --role-definition ./cosmos-metadata-reader-role.json
az role assignment create --assignee be4a3128-... --role "Cosmos DB Metadata Reader" --scope "/subscriptions/a/resourceGroups/b/providers/Microsoft.DocumentDB/databaseAccounts/redacted-db-account"

5. 验证权限生效 #

• 角色分配通常需要5-10分钟生效，等待后重新运行应用测试。
• 用以下命令验证托管标识的有效权限：

  az role assignment list --assignee be4a3128-... --all --output json | jq 'map({role: .roleDefinitionName, actions: .roleDefinitionId | az role definition show --id "\(.)" --output json | fromjson | .permissions[].actions})'
  

内容的提问来源于stack exchange，提问作者Victor