如何配置MongoDB Compass经Azure AD RBAC连接Azure Cosmos DB

你之前直接替换连接字符串里用户名密码的操作逻辑完全不对：Azure Cosmos DB for MongoDB 的 Azure AD RBAC 认证，根本不支持直接填AAD账号邮箱+明文密码走原生MongoDB的SCRAM认证流程。你之前尝试修改authSource、切换SCRAM-SHA-1等认证方式没用，本质是这些配置只对Cosmos DB生成的主/辅访问密钥、以及库内手动创建的原生MongoDB用户生效，AAD身份必须走OAuth2令牌交换流程才能完成认证，直接填账号密码要么被服务端判定为无效密钥，要么直接被服务端断开连接。

• 先给需要访问的AAD用户、安全组分配对应Cosmos DB的RBAC角色，内置可选Cosmos DB Built-in Data Reader（只读权限）、Cosmos DB Built-in Data Contributor（读写权限），也可以按需自定义细粒度权限角色，角色分配范围要覆盖你需要访问的库、集合或者整个Cosmos DB账户。
• 确认你用的MongoDB Compass版本不低于1.33，低版本不支持MongoDB OIDC认证机制，根本走不通AAD登录流程。
• 确认你的Cosmos DB for MongoDB实例版本：vCore架构实例默认支持AAD认证，RU架构实例需要服务端版本不低于4.2才能开启该能力，版本不满足的实例只能用密钥或者原生数据库用户认证，没法用AAD RBAC。

别直接修改你之前用的密钥连接串，按下面的参数新建连接：

1. 打开Compass新建连接，选择高级连接选项，不要用快速连接的简单表单填账号密码。
2. 主机栏填写实例地址和端口：cosmos-instance-name-001.mongo.cosmos.azure.com:10255
3. 切换到认证标签页，认证机制选择MONGODB-OIDC，不要选你之前试过的SCRAM-SHA-1、SCRAM-SHA-256、Default等任何其他机制。
4. OIDC配置项里，认证数据库（Auth Source）留空，绝对不要填admin；OIDC登录流选择Azure Interactive或者Azure Device Code，不要选用户名密码流——只要你的AAD租户开了多因素认证（MFA），用户名密码流会直接被AAD拦截，这也是你之前填密码连不上的常见原因。
5. 切换到TLS/SSL标签页，勾选「对所有连接使用TLS」，TLS版本选择1.2及以上。
6. 切换到高级连接参数标签页，添加以下参数，删掉原连接串里带的authSource=admin配置：
   • replicaSet：值设为globaldb
   • maxIdleTimeMS：值设为120000
   • readPreference：值设为primary
   • appname：值设为@cosmos-instance-name-001@
   • retryWrites：值设为false
7. 点击连接，此时会自动弹出浏览器跳转到AAD登录页面，用已经被授权的AAD账号完成登录、过MFA验证后，Compass会自动获取访问令牌完成连接。

如果需要给其他授权用户统一发连接配置，用下面的串即可，不需要在串里写任何用户名、密码，用户连接时会自动触发自己的AAD登录流程：

mongodb://cosmos-instance-name-001.mongo.cosmos.azure.com:10255/?authMechanism=MONGODB-OIDC&replicaSet=globaldb&maxIdleTimeMS=120000&readPreference=primary&appname=%40cosmos-instance-name-001%40&retryWrites=false&ssl=true

后续要收回某用户的访问权限，直接在Azure RBAC配置里删掉该用户的角色分配即可，不需要轮换密钥、也不需要给其他用户重新发配置，完全满足你的运维需求。

• 不要尝试把AAD账号的明文密码填到连接串的密码位，Cosmos DB不会接受AAD账号的密码作为认证凭证，所有AAD认证必须走OAuth2令牌交换流程。
• 刚分配完RBAC角色不要立刻连接，角色分配最长有5分钟的生效延迟，等权限同步完成再连。
• 如果你用的是世纪互联运营的国内版Azure，需要在OIDC配置里把云环境指定为Azure中国，默认的全局Azure云端点拿不到国内租户的认证令牌。
• 如果连接时报权限不足，先检查角色分配的范围有没有覆盖你要访问的资源，不要只给订阅级别的权限，必须分配到Cosmos DB账户或者对应库、集合的范围。

内容的提问来源于stack exchange，提问作者Camilo Torres