如何通过Azure CLI为Cosmos DB防火墙添加IP且不覆盖现有规则

核心逻辑：az cosmosdb update的--ip-range-filter参数为全量覆盖模式，不会自动合并新IP，因此必须先拉取当前实例已配置的全部IP规则，将本地公网IP追加到规则集后，再执行更新操作，全程不丢失原有配置。

操作流程 #

1. 预置环境变量 #

先在终端中配置好实例的基础信息，避免重复输入硬编码参数：

# 替换为你实际的资源组与Cosmos DB实例名称
RESOURCE_GROUP="你的资源组名称"
COSMOS_DB_ACCOUNT="你的Cosmos DB实例名"

2. 读取实例当前的防火墙规则 #

直接调用查询命令拉取现有IP规则列表，输出为逗号拼接的纯文本格式，和更新命令要求的入参格式完全匹配：

CURRENT_IP_RULES=$(az cosmosdb show \
  --resource-group $RESOURCE_GROUP \
  --name $COSMOS_DB_ACCOUNT \
  --query ipRules \
  --output tsv)

3. 获取本地公网IP #

适配MacOS环境，直接拉取本机出口公网地址：

MY_PUBLIC_IP=$(curl -s ifconfig.me)

4. 拼接完整规则集并执行更新 #

做三层兜底判断，避免重复加规则、避免空值报错：

• 原有规则为空时，直接将当前IP作为唯一规则配置
• 原有规则非空时，先检查当前IP是否已经在规则列表中，不存在才追加
• 单IP统一补充/32子网掩码，避免被误识别为网段导致权限过度放开

if [ -z "$CURRENT_IP_RULES" ]; then
  # 防火墙无任何规则的场景
  NEW_IP_RULES="$MY_PUBLIC_IP/32"
else
  # 校验IP是否已存在，避免重复配置
  if [[ "$CURRENT_IP_RULES" != *"$MY_PUBLIC_IP/32"* ]]; then
    NEW_IP_RULES="$CURRENT_IP_RULES,$MY_PUBLIC_IP/32"
  else
    NEW_IP_RULES="$CURRENT_IP_RULES"
    echo "当前公网IP已存在于防火墙规则中，无需重复添加"
  fi
fi

# 执行更新，传入完整规则集合
az cosmosdb update \
  --resource-group $RESOURCE_GROUP \
  --name $COSMOS_DB_ACCOUNT \
  --ip-range-filter $NEW_IP_RULES

常见踩坑提醒：

• 严禁在更新命令中仅传入本地IP作为--ip-range-filter的参数，该操作会直接清空所有原有防火墙规则
• 拉取现有规则时必须使用tsv格式输出，若使用json格式会附带引号、换行符，导致更新时参数解析失败

内容的提问来源于stack exchange，提问作者Mosko