MongoDB API for CosmosDB 如何实现用户库/集合级访问权限限制

核心模型基础 #

• Cosmos DB 的 MongoDB API 原生兼容 MongoDB 生态的 RBAC 权限体系，无需引入额外 Broker 组件即可实现数据库、集合级的精细化访问约束
• 权限校验逻辑由 Cosmos DB 服务端原生完成，不需要业务侧自行开发权限拦截逻辑

落地实现路径 #

• 权限体系分层隔离
  • 全局主密钥仅保留在服务端核心配置中，用于初始化资源、创建自定义角色和低权限用户，绝对不能用于终端业务用户的鉴权链路
  • 每个业务系统用户对应独立的MongoDB兼容账号，不做账号共享
• 自定义角色配置
  • 按照业务需要的资源边界创建自定义角色，直接在角色定义中绑定可访问的数据库、集合范围，可同时配置对应资源下的操作权限（读/写/索引维护等）
  • 例如可配置某角色仅允许访问user_center库下的basic_info集合，其他库、集合的操作会被服务端直接拒绝
• 用户鉴权链路打通
  • 将自定义角色绑定到对应业务用户账号，把生成的低权限账号凭证下发给业务侧使用
  • 终端用户通过MongoDB连接串接入Cosmos DB时，服务端会自动匹配账号绑定的权限范围，所有越权的查询、写入操作都会被拦截

常见踩坑点提醒 #

• Broker组件仅适用于跨系统身份联邦、统一身份认证对接的场景，单纯做库/集合级的访问权限约束属于冗余建设，不需要引入
• 不需要完全依赖裸REST请求实现权限管控：虽然所有配置操作都可以通过REST接口触发，但使用标准MongoDB驱动执行原生的createRole、createUser命令即可完成全流程配置，开发成本更低、适配性更好
• 注意区分两种接口的权限体系差异：MongoDB API的权限配置遵循MongoDB原生语法，和Cosmos DB SQL API的权限规则不通用，不要跨体系混用配置逻辑

内容的提问来源于stack exchange，提问作者Magus