如何在Cosmos DB的Cassandra API中创建受限访问的数据库用户？

首先明确：Cosmos DB Cassandra API不支持原生Cassandra的用户管理命令（如CREATE USER、LIST USERS），且system_auth keyspace是系统托管的，无法修改复制策略或结构，这是平台的固有限制。

以下是可行的替代方案：

方案1：使用Azure AD RBAC（推荐） #

利用Cosmos DB的内置基于角色的访问控制，通过Azure AD身份验证实现细粒度的资源访问限制：

• 1. 在Azure门户的Cosmos DB账户中，进入「访问控制（IAM）」页面。
• 2. 创建自定义角色：定义权限范围为目标keyspace（对应Cosmos DB中的「数据库」），并添加所需的Cassandra权限（如Microsoft.DocumentDB/databaseAccounts/cassandraKeyspaces/read、Microsoft.DocumentDB/databaseAccounts/cassandraKeyspaces/tables/write等）。
• 3. 将需要授权的Azure AD用户/服务主体分配到该自定义角色，限定其仅能访问指定的keyspace。
• 应用连接时，需使用Azure AD身份验证方式（如Azure AD令牌、托管身份），而非原生Cassandra用户名密码。

方案2：使用资源令牌（Resource Tokens） #

生成针对特定keyspace/table的短期访问令牌，实现细粒度访问控制：

• 通过Cosmos DB的管理SDK（如.NET/Java SDK）调用API生成资源令牌，指定目标资源（keyspace或table）和权限（读/写），并设置令牌过期时间。
• 应用连接Cassandra API时，使用账户名+资源令牌作为凭证（替代原生密码），即可限制访问范围。
• 示例伪代码（C#）：

  // 初始化Cosmos客户端
  var cosmosClient = new CosmosClient(accountEndpoint, accountKey);
  // 获取目标keyspace对应的数据库
  var database = cosmosClient.GetDatabase("target-keyspace");
  // 生成资源令牌，有效期1小时
  var resourceToken = database.GetResourceToken(permissionMode: PermissionMode.Read, expirationTime: DateTime.UtcNow.AddHours(1));
  // 使用资源令牌连接Cassandra：账户名 + resourceToken作为密码
  

方案3：应用层权限控制 #

若无法使用Azure AD或资源令牌，可在应用代码中实现权限逻辑：

• 维护应用自身的用户列表，每个用户关联允许访问的keyspace。
• 在应用处理数据库请求前，校验当前用户的权限，仅允许其访问授权的keyspace/table。
• 注意：此方案依赖应用自身的权限逻辑实现，安全性需由应用负责，适合小型或特定场景。

内容的提问来源于stack exchange，提问作者AbP