本地Azure Function凭证在Azure Portal可用却失效？RBAC权限原因解析

1. 本地与Azure Portal的身份主体存在差异 #

• 本地运行Azure Function时，你使用的是个人Azure AD账号凭证（对应错误信息里的主体ID 4eaac860-308b-4a42-b70e-f727181e69d8）访问Cosmos DB。
• 而在Azure Portal中操作时，要么默认使用Portal的会话身份，要么直接采用Cosmos DB的密钥/连接字符串——这类方式不受RBAC权限管控，因此能正常执行读写操作。

2. Cosmos DB的RBAC权限拦截了本地请求 #

当Cosmos DB启用RBAC权限控制后，所有通过Azure AD身份发起的请求都必须具备对应权限：

• 错误信息中提到的Microsoft.DocumentDB/databaseAccounts/readMetadata是读取Cosmos DB账户元数据的基础权限，你的个人主体此前未被分配包含该操作的角色（比如Cosmos DB Contributor、Cosmos DB Reader这类内置角色），因此请求被直接拦截。
• 为你的主体添加对应RBAC角色后，Azure AD会认可该主体具备访问Cosmos DB的权限，本地函数的请求就能顺利通过身份验证与权限检查。

3. 本地开发环境的身份验证逻辑更严格 #

本地运行Azure Function时，默认会通过Visual Studio或Azure CLI中登录的个人账号凭证，以Azure AD身份向Cosmos DB发起请求——这种方式严格遵循RBAC权限规则。不像Portal里可直接使用密钥绕开RBAC限制，所以权限缺失的问题会直接暴露出来。

内容的提问来源于stack exchange，提问作者user33276346