Verwenden der rollenbasierten Datenebenen-Zugriffssteuerung mit Azure Cosmos DB für NoSQL

2025-05-09
適用対象: ✅ NoSQL

GILT FÜR: NoSQL

In diesem Artikel werden die Schritte zum Gewähren eines Identitätszugriffs zum Verwalten von Daten in einem Azure Cosmos DB für NoSQL-Konto erläutert.

Von Bedeutung

Die Schritte in diesem Artikel umfassen nur den Zugriff auf Datenebene, um Vorgänge für einzelne Elemente und Abfragen auszuführen. Informationen zum Verwalten von Datenbanken und Containern für die Steuerungsebene finden Sie unter Gewähren von rollenbasiertem Zugriff auf die Steuerungsebene.

Voraussetzungen

Ein Azure-Konto mit einem aktiven Abonnement. Sie können kostenlos ein Konto erstellen.
Ein bestehendes Azure Cosmos DB-Konto für NoSQL.
Eine oder mehrere vorhandene Identitäten in Microsoft Entra ID.

Verwenden Sie die Bash-Umgebung in Azure Cloud Shell. Weitere Informationen finden Sie unter Erste Schritte mit Azure Cloud Shell.
Wenn Sie CLI-Referenzbefehle lieber lokal ausführen, installieren Sie die Azure CLI. Wenn Sie mit Windows oder macOS arbeiten, sollten Sie die Azure CLI in einem Docker-Container ausführen. Weitere Informationen finden Sie unter Ausführen der Azure CLI in einem Docker-Container.
- Wenn Sie eine lokale Installation verwenden, melden Sie sich mithilfe des Befehls az login bei der Azure CLI an. Um den Authentifizierungsprozess abzuschließen, führen Sie die schritte aus, die in Ihrem Terminal angezeigt werden. Weitere Anmeldeoptionen finden Sie unter Authentifizieren bei Azure mithilfe der Azure CLI.
- Wenn Sie dazu aufgefordert werden, installieren Sie die Azure CLI-Erweiterung bei der ersten Verwendung. Weitere Informationen zu Erweiterungen finden Sie unter Verwenden und Verwalten von Erweiterungen mit der Azure CLI.
- Führen Sie az version aus, um die installierte Version und die abhängigen Bibliotheken zu ermitteln. Führen Sie az upgrade aus, um auf die neueste Version zu aktualisieren.

Bei lokaler Verwendung von Azure PowerShell:
- Installieren der aktuellen Version des Azure PowerShell-Moduls.
- Stellen Sie eine Verbindung mit Ihrem Azure-Konto mit dem Cmdlet Connect-AzAccount her.
Bei Verwendung von Azure Cloud Shell:
- Weitere Informationen finden Sie in der Übersicht über Azure Cloud Shell.

Vorbereiten der Rollendefinition

まず、Azure Cosmos DB for NoSQL のデータの読み取り、クエリ、管理を実行する権利を与えるために、dataActions の一覧を含むロールの定義を準備する必要があります。

Integrierte Definition
Benutzerdefinierte Definition

Von Bedeutung

Zum Abrufen einer vorhandenen Rollendefinition für datenebenen sind die folgenden Berechtigungen für die Steuerungsebene erforderlich:

Microsoft.DocumentDB/databaseAccounts/sqlRoleDefinitions/read

詳しくは、コントロールプレーンのロールベースのアクセスの許可に関する記事をご覧ください。

Listet alle Rollendefinitionen auf, die Ihrem Azure Cosmos DB für NoSQL-Konto zugeordnet sind.az cosmosdb sql role definition list 出力を確認し、Cosmos DB 組み込みデータ共同作成者というロールの定義を見つけます。 Die Ausgabe enthält den eindeutigen Bezeichner der Rollendefinition in der id-Eigenschaft. Notieren Sie diesen Wert, da er im Zuweisungsschritt weiter unten in diesem Leitfaden verwendet werden muss.

az cosmosdb sql role definition list \
    --resource-group "<name-of-existing-resource-group>" \
    --account-name "<name-of-existing-nosql-account>"

[
  ...,
  {
    "assignableScopes": [
      "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/msdocs-identity-example/providers/Microsoft.DocumentDB/databaseAccounts/msdocs-identity-example-nosql"
    ],
    "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/msdocs-identity-example/providers/Microsoft.DocumentDB/databaseAccounts/msdocs-identity-example-nosql/sqlRoleDefinitions/00000000-0000-0000-0000-000000000002",
    "name": "00000000-0000-0000-0000-000000000002",
    "permissions": [
      {
        "dataActions": [
          "Microsoft.DocumentDB/databaseAccounts/readMetadata",
          "Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/*",
          "Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/*"
        ],
        "notDataActions": []
      }
    ],
    "resourceGroup": "msdocs-identity-example",
    "roleName": "Cosmos DB Built-in Data Contributor",
    "type": "Microsoft.DocumentDB/databaseAccounts/sqlRoleDefinitions",
    "typePropertiesType": "BuiltInRole"
  }
  ...
]

Hinweis

この例では、id の値は /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/msdocs-identity-example/providers/Microsoft.DocumentDB/databaseAccounts/msdocs-identity-example-nosql/sqlRoleDefinitions/00000000-0000-0000-0000-000000000002 になります。 In diesem Beispiel werden fiktive Daten verwendet, Ihr Bezeichner unterscheidet sich von diesem Beispiel.

Verwenden Sie Get-AzCosmosDBSqlRoleDefinition, um alle Rollendefinitionen aufzulisten, die Ihrem Azure Cosmos DB für NoSQL-Konto zugeordnet sind. 出力を確認し、Cosmos DB 組み込みデータ共同作成者というロールの定義を見つけます。 Die Ausgabe enthält den eindeutigen Bezeichner der Rollendefinition in der Id-Eigenschaft. Notieren Sie diesen Wert, da er im Zuweisungsschritt weiter unten in diesem Leitfaden verwendet werden muss.

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    AccountName = "<name-of-existing-nosql-account>"
}
Get-AzCosmosDBSqlRoleDefinition @parameters

Id                         : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/msdocs-identity-example/providers/Microsoft.DocumentDB/databaseAccounts/msdocs-identity-example-nosql/sqlRoleDefinitions/00000000-0000-0000-0000-000000000002
RoleName                   : Cosmos DB Built-in Data Contributor
Type                       : BuiltInRole
AssignableScopes           : {/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/msdocs-identity-example/providers/Microsoft.DocumentDB/databaseAccountsmsdocs-identity-example-nosql}
Permissions.DataActions    : {Microsoft.DocumentDB/databaseAccounts/readMetadata, Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/*, Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/*}
Permissions.NotDataActions :

Hinweis

In diesem Beispiel wäre der Id-Wert /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/msdocs-identity-example/providers/Microsoft.DocumentDB/databaseAccounts/msdocs-identity-example-nosql/sqlRoleDefinitions/00000000-0000-0000-0000-000000000002. In diesem Beispiel werden fiktive Daten verwendet, Ihr Bezeichner unterscheidet sich von diesem Beispiel. Der Bezeichner (00000000-0000-0000-0000-000000000002) ist jedoch für alle Rollendefinitionen in Ihrem Konto eindeutig.

Von Bedeutung

Zum Erstellen einer neuen Rollendefinition für datenebenen sind die folgenden Berechtigungen für die Steuerungsebene erforderlich:

Microsoft.DocumentDB/databaseAccounts/sqlRoleDefinitions/read
Microsoft.DocumentDB/databaseAccounts/sqlRoleDefinitions/write

詳しくは、コントロールプレーンのロールベースのアクセスの許可に関する記事をご覧ください。

Warnung

Die native rollenbasierte Zugriffssteuerung von Azure Cosmos DB for NoSQL unterstützt die Eigenschaft notDataActions nicht. Jede Aktion, die nicht als zulässig dataAction angegeben ist, wird automatisch ausgeschlossen.

Erstellen Sie eine neue JSON-Datei namens role-definition.json. Erstellen Sie in dieser Datei eine Ressourcendefinition, und geben Sie dabei die hier aufgeführten Datenaktionen an:

	BESCHREIBUNG
`Microsoft.DocumentDB/databaseAccounts/readMetadata`	Kann Metadaten auf Kontoebene lesen
*`Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/`**	Kann beliebige Datenvorgänge auf Containerebene ausführen
*`Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/`**	Kann einen beliebigen Vorgang für Elemente mit Containern ausführen

{
  "RoleName": "Azure Cosmos DB for NoSQL Data Plane Owner",
  "Type": "CustomRole",
  "AssignableScopes": [
    "/"
  ],
  "Permissions": [
    {
      "DataActions": [
        "Microsoft.DocumentDB/databaseAccounts/readMetadata",
        "Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/*",
        "Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/*"
      ]
    }
  ]
}

Als Nächstes verwenden Sie az cosmosdb sql role definition create, um die Rollendefinition zu erstellen. Verwenden Sie die role-definition.json als Eingabe für das --body Argument.

az cosmosdb sql role definition create \
    --resource-group "<name-of-existing-resource-group>" \
    --account-name "<name-of-existing-nosql-account>" \
    --body "@role-definition.json"

Listen Sie nun alle Rollendefinitionen auf, die Ihrem Azure Cosmos DB für NoSQL-Konto zugeordnet sind.az cosmosdb sql role definition list

az cosmosdb sql role definition list \
    --resource-group "<name-of-existing-resource-group>" \
    --account-name "<name-of-existing-nosql-account>"

前のコマンドの出力を確認します。 Suchen Sie die soeben erstellte Rollendefinition namens Azure Cosmos DB für NOSQL Data Plane Owner. Die Ausgabe enthält den eindeutigen Bezeichner der Rollendefinition in der id-Eigenschaft. Notieren Sie diesen Wert, da er im Zuweisungsschritt weiter unten in diesem Leitfaden verwendet werden muss.

{
  "assignableScopes": [
    "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.DocumentDB/databaseAccounts/msdocs-identity-example-nosql"
  ],
  "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.DocumentDB/databaseAccounts/msdocs-identity-example-nosql/sqlRoleDefinitions/bbbbbbbb-1111-2222-3333-cccccccccccc",
  "name": "bbbbbbbb-1111-2222-3333-cccccccccccc",
  "permissions": [
    {
      "dataActions": [
        "Microsoft.DocumentDB/databaseAccounts/readMetadata",
        "Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/*",
        "Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/*"
      ],
      "notDataActions": []
    }
  ],
  "resourceGroup": "msdocs-identity-example",
  "roleName": "Azure Cosmos DB for NoSQL Data Plane Owner",
  "type": "Microsoft.DocumentDB/databaseAccounts/sqlRoleDefinitions",
  "typePropertiesType": "CustomRole"
}

Hinweis

In diesem Beispiel wäre der id-Wert /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.DocumentDB/databaseAccounts/msdocs-identity-example-nosql/sqlRoleDefinitions/bbbbbbbb-1111-2222-3333-cccccccccccc. In diesem Beispiel werden fiktive Daten verwendet, Ihr Bezeichner unterscheidet sich von diesem Beispiel.

Erstellen Sie eine neue Bicep-Datei, um Ihre Rollendefinition zu definieren. Geben Sie der Datei den Namen data-plane-role-definition.bicep. Fügen Sie der Definition diese dataActions hinzu:

	BESCHREIBUNG
`Microsoft.DocumentDB/databaseAccounts/readMetadata`	Kann Metadaten auf Kontoebene lesen
*`Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/`**	Kann beliebige Datenvorgänge auf Containerebene ausführen
*`Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/`**	Kann einen beliebigen Vorgang für Elemente mit Containern ausführen

metadata description = 'Create RBAC definition for data plane access to Azure Cosmos DB for NoSQL.'

@description('Name of the Azure Cosmos DB for NoSQL account.')
param accountName string

@description('Name of the role definition.')
param roleDefinitionName string = 'Azure Cosmos DB for NoSQL Data Plane Owner'

resource account 'Microsoft.DocumentDB/databaseAccounts@2024-05-15' existing = {
  name: accountName
}

resource definition 'Microsoft.DocumentDB/databaseAccounts/sqlRoleDefinitions@2024-05-15' = {
  name: guid(account.id, roleDefinitionName)
  parent: account
  properties: {
    roleName: roleDefinitionName
    type: 'CustomRole'
    assignableScopes: [
      account.id
    ]
    permissions: [
      {
        dataActions: [
          'Microsoft.DocumentDB/databaseAccounts/readMetadata'
          'Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/*'
          'Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/*'
        ]
      }
    ]
  }
}

output definitionId string = definition.id

Erstellen Sie eine neue Bicep-Parameterdatei namens data-plane-role-definition.bicepparam. Weisen Sie in dieser Parameterdatei dem accountName-Parameter den Namen Ihres vorhandenen Azure Cosmos DB für NoSQL-Kontos zu.
```
using './data-plane-role-definition.bicep'

param accountName = '<name-of-existing-nosql-account>'
```

az deployment group create を使用して Bicep テンプレートをデプロイします。

az deployment group create \
    --resource-group "<name-of-existing-resource-group>" \
    --parameters data-plane-role-definition.bicepparam \
    --template-file data-plane-role-definition.bicep

Erstellen Sie eine neue Rollendefinition mithilfe von New-AzCosmosDBSqlRoleDefinition. Geben Sie für den DataAction Parameter die hier aufgelisteten Datenaktionen an:

	BESCHREIBUNG
`Microsoft.DocumentDB/databaseAccounts/readMetadata`	Kann Metadaten auf Kontoebene lesen
*`Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/`**	Kann beliebige Datenvorgänge auf Containerebene ausführen
*`Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/`**	Kann einen beliebigen Vorgang für Elemente mit Containern ausführen

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    AccountName = "<name-of-existing-nosql-account>"
    RoleName = "Azure Cosmos DB for NoSQL Data Plane Owner"
    Type = "CustomRole"
    AssignableScope = @(
        "/"
    )
    DataAction = @(
        "Microsoft.DocumentDB/databaseAccounts/readMetadata",
        "Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/*",
        "Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/*"
    )
}
New-AzCosmosDBSqlRoleDefinition @parameters

Verwenden Sie Get-AzCosmosDBSqlRoleDefinition, um alle Rollendefinitionen aufzulisten, die Ihrem Azure Cosmos DB für NoSQL-Konto zugeordnet sind.

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    AccountName = "<name-of-existing-nosql-account>"
}
Get-AzCosmosDBSqlRoleDefinition @parameters

Überprüfen Sie das Ergebnis des vorherigen Befehls. Suchen Sie die soeben erstellte Rollendefinition namens Azure Cosmos DB für NOSQL Data Plane Owner. Die Ausgabe enthält den eindeutigen Bezeichner der Rollendefinition in der Id-Eigenschaft. Notieren Sie diesen Wert, da er im Zuweisungsschritt weiter unten in diesem Leitfaden verwendet werden muss.

Id                         : /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.DocumentDB/databaseAccounts/msdocs-identity-example-nosql/sqlRoleDefinitions/bbbbbbbb-1111-2222-3333-cccccccccccc
RoleName                   : Azure Cosmos DB for NoSQL Data Plane Owner
Type                       : CustomRole
AssignableScopes           : {/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.DocumentDB/databaseAccounts/msdocs-identity-example-nosql}
Permissions.DataActions    : {Microsoft.DocumentDB/databaseAccounts/readMetadata, Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/*, Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/*}
Permissions.NotDataActions :

Hinweis

この例では、Id の値は /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.DocumentDB/databaseAccounts/msdocs-identity-example-nosql/sqlRoleDefinitions/bbbbbbbb-1111-2222-3333-cccccccccccc になります。 In diesem Beispiel werden fiktive Daten verwendet, Ihr Bezeichner unterscheidet sich von diesem Beispiel.

ID にロールを割り当てる

Weisen Sie nun der neu definierten Rolle eine Identität zu, damit Ihre Anwendungen auf Daten in Azure Cosmos DB für NoSQL zugreifen können.

Von Bedeutung

Zum Erstellen einer neuen Rollenzuweisung für datenebenen sind die folgenden Berechtigungen für die Steuerungsebene erforderlich:

Microsoft.DocumentDB/databaseAccounts/sqlRoleDefinitions/read
Microsoft.DocumentDB/databaseAccounts/sqlRoleAssignments/read
Microsoft.DocumentDB/databaseAccounts/sqlRoleAssignments/write

詳しくは、コントロールプレーンのロールベースのアクセスの許可に関する記事をご覧ください。

Verwenden Sie az cosmosdb show, um den eindeutigen Bezeichner für Ihr aktuelles Konto abzurufen.

az cosmosdb show \
    --resource-group "<name-of-existing-resource-group>" \
    --name "<name-of-existing-nosql-account>" \
    --query "{id:id}"

Sehen Sie sich die Ausgabe des vorherigen Befehls an. Notieren Sie den Wert der id-Eigenschaft für dieses Konto, da er im nächsten Schritt verwendet werden muss.
```
{
  "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/msdocs-identity-example/providers/Microsoft.DocumentDB/databaseAccounts/msdocs-identity-example-nosql"
}
```
Hinweis

この例では、id の値は /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/msdocs-identity-example/providers/Microsoft.DocumentDB/databaseAccounts/msdocs-identity-example-nosql になります。 In diesem Beispiel werden fiktive Daten verwendet, Ihr Bezeichner unterscheidet sich von diesem Beispiel.
Weisen Sie die neue Rolle mithilfe von az cosmosdb sql role assignment create zu. Verwenden Sie die zuvor aufgezeichneten Rollendefinitions-IDs für das --role-definition-id Argument und den eindeutigen Bezeichner für Ihre Identität für das --principal-id Argument. Verwenden Sie schließlich den Bezeichner Ihres Kontos für das --scope Argument.
```
az cosmosdb sql role assignment create \
    --resource-group "<name-of-existing-resource-group>" \
    --account-name "<name-of-existing-nosql-account>" \
    --role-definition-id "<id-of-new-role-definition>" \
    --principal-id "<id-of-existing-identity>" \
    --scope "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/msdocs-identity-example/providers/Microsoft.DocumentDB/databaseAccounts/msdocs-identity-example-nosql"
```
Tipp

Wenn Sie versuchen, rollenbasierte Zugriffssteuerung auf der Datenebene für Ihre eigene Identität zu gewähren, können Sie diesen Befehl verwenden, um die Identität abzurufen:
```
az ad signed-in-user show
```
Weitere Informationen finden Sie unter az ad signed-in-user.
Verwenden Sie az cosmosdb sql role assignment list, um alle Rollenzuweisungen für Ihr Azure Cosmos DB NoSQL-Konto aufzulisten. Bitte überprüfen Sie die Ausgabe, um sicherzugehen, dass Ihre Rollenzuweisung erstellt wurde.
```
az cosmosdb sql role assignment list \
    --resource-group "<name-of-existing-resource-group>" \
    --account-name "<name-of-existing-nosql-account>"
```

Erstellen Sie eine neue Bicep-Datei, um Ihre Rollenzuweisung zu definieren. Benennen Sie die Datei data-plane-role-assignment.bicep.

metadata description = 'Assign RBAC role for data plane access to Azure Cosmos DB for NoSQL.'

@description('Name of the Azure Cosmos DB for NoSQL account.')
param accountName string

@description('Id of the role definition to assign to the targeted principal in the context of the account.')
param roleDefinitionId string

@description('Id of the identity/principal to assign this role in the context of the account.')
param identityId string = deployer().objectId

resource account 'Microsoft.DocumentDB/databaseAccounts@2024-05-15' existing = {
  name: accountName
}

resource assignment 'Microsoft.DocumentDB/databaseAccounts/sqlRoleAssignments@2024-05-15' = {
  name: guid(roleDefinitionId, identityId, account.id)
  parent: account
  properties: {
    principalId: identityId
    roleDefinitionId: roleDefinitionId
    scope: account.id
  }
}

output assignmentId string = assignment.id

data-plane-role-assignment.bicepparam という新しい Bicep パラメーターファイルを作成します。 Weisen Sie in dieser Parameterdatei den Namen Ihres vorhandenen Azure Cosmos DB für NoSQL-Kontos dem accountName Parameter, den zuvor aufgezeichneten Rollendefinitionsbezeichnern dem roleDefinitionId Parameter und dem eindeutigen Bezeichner für Ihre Identität für den identityId Parameter zu.
```
using './data-plane-role-assignment.bicep'

param accountName = '<name-of-existing-nosql-account>'
param roleDefinitionId = '<id-of-new-role-definition>'
param identityId = '<id-of-existing-identity>'
```
Tipp

データプレーンのロールベースのアクセス制御を独自の ID に付与しようとしている場合は、identityId パラメーターを省略できます。その後、Bicep テンプレートは deployer().objectId を使用して、テンプレートをデプロイしたプリンシパルの ID を取得します。 Weitere Informationen finden Sie unter deployer.

Stellen Sie die Bicep-Vorlage mithilfe von az deployment group create bereit.

az deployment group create \
    --resource-group "<name-of-existing-resource-group>" \
    --parameters data-plane-role-assignment.bicepparam \
    --template-file data-plane-role-assignment.bicep

Wiederholen Sie diese Schritte, um den Zugriff auf das Konto von allen anderen Identitäten zu gewähren, die Sie verwenden möchten.

Tipp

Sie können diese Schritte für beliebig viele Identitäten wiederholen. In der Regel werden diese Schritte mindestens wiederholt, um Entwicklern den Zugriff auf ein Konto mithilfe ihrer menschlichen Identität zu ermöglichen. Sie können diese Schritte auch wiederholen, um Anwendungen den Zugriff auf Ressourcen mithilfe einer verwalteten Identität zu ermöglichen.

Verwenden Sie Get-AzCosmosDBAccount, um die Metadaten für Ihr aktuelles Konto zu erhalten.

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    Name = "<name-of-existing-nosql-account>"
}    
Get-AzCosmosDBAccount @parameters | Select -Property Id

Sehen Sie sich die Ausgabe des vorherigen Befehls an. Notieren Sie den Wert der Id-Eigenschaft für dieses Konto, da er im nächsten Schritt verwendet werden muss.
```
Id
--    
/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/msdocs-identity-example/providers/Microsoft.DocumentDB/databaseAccounts/msdocs-identity-example-nosql
```
Hinweis

この例では、Id の値は /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/msdocs-identity-example/providers/Microsoft.DocumentDB/databaseAccounts/msdocs-identity-example-nosql になります。 In diesem Beispiel werden fiktive Daten verwendet, Ihr Bezeichner unterscheidet sich von diesem Beispiel.
Verwenden Sie New-AzCosmosDBSqlRoleAssignment, um die neue Rolle zuzuweisen. Verwenden Sie die zuvor aufgezeichneten Rollendefinitions-IDs für den RoleDefinitionId Parameter und den eindeutigen Bezeichner für Ihre Identität für den PrincipalId Parameter. Verwenden Sie schließlich den Bezeichner Ihres Kontos für den Scope Parameter.
```
$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    AccountName = "<name-of-existing-nosql-account>"
    RoleDefinitionId = "<id-of-new-role-definition>"
    PrincipalId = "<id-of-existing-identity>"
    Scope = "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/msdocs-identity-example/providers/Microsoft.DocumentDB/databaseAccounts/msdocs-identity-example-nosql"
}    
New-AzCosmosDBSqlRoleAssignment @parameters
```
Tipp

データプレーンのロールベースのアクセス制御を独自の ID に付与しようとしている場合は、次のコマンドを使用して ID を取得できます。
```
Get-AzADUser -SignedIn | Format-List `
    -Property Id, DisplayName, Mail, UserPrincipalName
```
Weitere Informationen finden Sie unter Get-AzADUser.
Liste aller Rollenzuweisungen für Ihr Azure Cosmos DB-Konto für NoSQL mithilfe von Get-AzCosmosDBSqlRoleAssignment. 出力に目を通して、ロールの割り当てが作成されたことを確認します。
```
$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    AccountName = "<name-of-existing-nosql-account>"
}
Get-AzCosmosDBSqlRoleAssignment @parameters
```

コードでデータプレーンのアクセスを検証する

Überprüfen Sie schließlich mithilfe von Anwendungscode und dem Azure SDK in Ihrer bevorzugten Sprache, ob Sie den Zugriff ordnungsgemäß gewährt haben.

using Azure.Core;
using Azure.Identity;
using Microsoft.Azure.Cosmos;

string endpoint = "<account-endpoint>";

TokenCredential credential = new DefaultAzureCredential();

CosmosClient client = new(endpoint, credential);

Container container = client.GetContainer("<database-name>", "<container-name>");

await container.ReadItemAsync<dynamic>("<item-id>", new PartitionKey("<partition-key>"));

Von Bedeutung

In diesem Codebeispiel werden die Bibliotheken Microsoft.Azure.Cosmos und Azure.Identity von NuGet verwendet.

const { CosmosClient } = require('@azure/cosmos');
const { DefaultAzureCredential } = require('@azure/identity');

const endpoint = '<account-endpoint>';

const credential = new DefaultAzureCredential();

const client = new CosmosClient({ endpoint, aadCredentials:credential});

const container = client.database('<database-name>').container('<container-name>');

await container.item('<item-id>', '<partition-key>').read<String>();

Von Bedeutung

In diesem Codebeispiel werden die Pakete @azure/cosmos und @azure/identity von npm verwendet.

import { Container, CosmosClient, CosmosClientOptions } from '@azure/cosmos'
import { TokenCredential, DefaultAzureCredential } from '@azure/identity'

let endpoint: string = '<account-endpoint>';

let credential: TokenCredential = new DefaultAzureCredential();

let options: CosmosClientOptions = {
  endpoint: endpoint,
  aadCredentials: credential
};

const client: CosmosClient = new CosmosClient(options);

const container: Container = client.database('<database-name>').container('<container-name>');

await container.item('<item-id>', '<partition-key>').read<String>();

Von Bedeutung

In diesem Codebeispiel werden die Pakete @azure/cosmos und @azure/identity von npm verwendet.

from azure.cosmos import CosmosClient
from azure.identity import DefaultAzureCredential

endpoint = "<account-endpoint>"

credential = DefaultAzureCredential()

client = CosmosClient(endpoint, credential=credential)

container = client.get_database_client("<database-name>").get_container_client("<container-name>")

container.read_item(
    item="<item-id>",
    partition_key="<partition-key>",
)

Von Bedeutung

In diesem Codebeispiel werden die Pakete azure-cosmos und azure-identity von PyPI verwendet.

import (
    "context"
    
    "github.com/Azure/azure-sdk-for-go/sdk/azidentity"
    "github.com/Azure/azure-sdk-for-go/sdk/data/azcosmos"
)

const endpoint = "<account-endpoint>"

func main() {
    credential, _ := azidentity.NewDefaultAzureCredential(nil)
    client, _ := azcosmos.NewClient(endpoint, credential, nil)
    
    database, _ := client.NewDatabase("<database-name>")
    container, _ := database.NewContainer("<container-name>")
    
    _, err := container.ReadItem(context.TODO(), azcosmos.NewPartitionKeyString("<partition-key>"), "<item-id>", nil)
    if err != nil {
        panic(err)
    }
}

Von Bedeutung

In diesem Codebeispiel werden die azure/azure-sdk-for-go/sdk/data/azcosmosazure/azure-sdk-for-go/azidentity Pakete von Go verwendet.

import com.azure.cosmos.CosmosClient;
import com.azure.cosmos.CosmosClientBuilder;
import com.azure.cosmos.CosmosContainer;
import com.azure.cosmos.models.PartitionKey;
import com.azure.identity.DefaultAzureCredential;
import com.azure.identity.DefaultAzureCredentialBuilder;

public class NoSQL {
    public static void main(String[] args) {   
        DefaultAzureCredential credential = new DefaultAzureCredentialBuilder()
            .build();
            
        CosmosClient client = new CosmosClientBuilder()
            .endpoint("<account-endpoint>")
            .credential(credential)
            .buildClient();

        CosmosContainer container = client.getDatabase("<database-name>").getContainer("<container-name>");

        container.readItem("<item-id>", new PartitionKey("<partition-key>"), Object.class);
    }
}

Von Bedeutung

In diesem Codebeispiel werden die Pakete com.azure/azure-cosmos und com.azure/azure-identity von Maven verwendet.

use azure_data_cosmos::CosmosClient;
use azure_identity::DefaultAzureCredential;

fn main() {
    let credential = DefaultAzureCredential::new().unwrap();
    let client = CosmosClient::new("<account-endpoint>", credential, None).unwrap();

    let container = client.database_client("<database-name>").container_client("<container-name>");

    let response = container.read_item("<partition-key>", "<item-id>", None);
    tokio::runtime::Runtime::new().unwrap().block_on(response).unwrap();
}

Von Bedeutung

このコードサンプルでは、Cargo の azure_data_cosmos と azure_identity のクレートを使用しています。

次の方法で共有

Verwenden der rollenbasierten Datenebenen-Zugriffssteuerung mit Azure Cosmos DB für NoSQL

Voraussetzungen

Vorbereiten der Rollendefinition

ID にロールを割り当てる

コードでデータ プレーンのアクセスを検証する

Verwandte Inhalte

フィードバック

その他のリソース

コードでデータプレーンのアクセスを検証する