如何在Cosmos DB中为特定容器配置专属读写权限？

一、权限区分：容器运维 vs 数据操作 #

你提到的Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/write属于容器运维权限（用于创建、删除、修改容器本身），而你需要的数据项读写权限是另外两个：

• Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/read：读取容器内的文档项
• Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/write：创建、更新、删除容器内的文档项

二、自定义角色创建：门户直接支持，无需PowerShell #

之前要求用PowerShell的资料已过时，现在Azure门户可直接完成自定义角色创建，步骤如下：

1. 进入目标Cosmos DB账户，打开「访问控制(IAM)」面板
2. 切换到「角色定义」标签，点击「添加自定义角色」
3. 填写角色基本信息（比如命名为「容器1项读写角色」）
4. 在「权限」步骤，搜索并勾选上述两个数据项权限
5. 在「可分配范围」步骤，精准指定到目标容器：
   • 点击「添加范围」，选择当前Cosmos DB账户，再逐级选择对应的数据库和容器1
6. 保存角色后，切换到「角色分配」标签，给对应团队的用户/组分配该角色
7. 重复上述步骤创建「容器2项读写角色」，范围指定到容器2

三、权限累加与角色叠加说明 #

• Azure RBAC权限是累加性质的：用户拥有的所有角色权限会合并生效
• 可将自定义角色与「Cosmos DB Account Reader Role」叠加：
  • 叠加后，用户除了能读写指定容器的项，还能查看Cosmos DB账户的基本配置、数据库/容器列表等只读信息
  • 若不需要额外权限，仅分配自定义角色即可，无需包含通用角色的基础权限

内容的提问来源于stack exchange，提问作者Jimminybob