需为用户分配何种角色以读写Cosmos DB容器？及403权限故障排查

解决Microsoft.DocumentDB/databaseAccounts/readMetadata权限缺失的403错误 #

• 分配Cosmos DB Account Reader Role内置角色：该角色明确包含读取数据库账户元数据的权限，可直接解决报错。
• 检查数据操作角色的分配与生效：若你尝试过Cosmos DB Built-in Data Contributor或Cosmos DB Built-in Data Reader，这类角色默认也包含元数据读取权限，需确认角色已正确分配到目标用户，且等待5-15分钟让RBAC权限生效（权限并非即时生效）。
• 验证身份验证方式：确保你使用的是Azure AD RBAC身份验证，而非Cosmos DB账户密钥（密钥连接不受RBAC权限控制）。

容器读写操作所需角色 #

• 全读写权限：分配Cosmos DB Built-in Data Contributor，允许对容器执行所有数据操作（增删改查文档、执行存储过程/触发器等），同时包含元数据访问权限。
• 只读权限：分配Cosmos DB Built-in Data Reader，仅允许读取容器内的文档及元数据，无法修改数据。

注意：角色分配时遵循最小权限原则，根据实际需求选择分配范围（账户/数据库/容器级别），避免过度授权。

内容的提问来源于stack exchange，提问作者Michael Tontchev