Referenční informace k zabezpečení roviny dat Azure Cosmos DB for NoSQL

Azure Cosmos DB for NoSQL zveřejňuje jedinečnou sadu akcí a rolí dat v rámci své nativní implementace řízení přístupu na základě role. Tento článek obsahuje seznam těchto akcí a rolí s popisy oprávnění udělených pro jednotlivé prostředky.

Výstraha

Nativní řízení přístupu na základě role ve službě Azure Cosmos DB for NoSQL nepodporuje notDataActions vlastnost. Všechny akce, které nejsou zadány jako povolené dataAction , jsou vyloučeny automaticky.

Integrované akce

Tady je seznam akcí dat, které je možné v definici role nastavit jednotlivě.

	Popis
Microsoft.DocumentDB/databaseAccounts/readMetadata	Čtení požadovaných metadat z účtu pro operace roviny dat
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/create	Vytvoří nové položky.
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/read	Čtení konkrétních položek provedením čtení bodu pomocí klíče oddílu a jedinečného identifikátoru
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/replace	Nahradí existující položky.
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/upsert	Vytvoří novou položku, pokud neexistuje nebo nahradí existující položku.
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/delete	Odstraní položku.
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/executeQuery	Spustí dotaz NoSQL.
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/readChangeFeed	Čte z kanálu změn kontejneru.
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/executeStoredProcedure	Spustí uložené procedury.
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/manageConflicts	Správa konfliktů pro účty pomocí informačního kanálu konfliktů

Poznámka:

Pokud chcete provádět dotazy NoSQL pomocí sad SDK (Software Development Kit), musíte mít oprávnění i Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/executeQueryMicrosoft.DocumentDB/databaseAccounts/sqlDatabases/containers/readChangeFeed oprávnění.

Zástupné cardy akcí dat

Zástupné kóty jsou podporovány na úrovních kontejnerů i položek.

	Popis
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/*	Proveďte všechny operace specifické pro kontejnery, jako jsou spouštění dotazů, čtení kanálu změn, správa konfliktů a spouštění uložených procedur.
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/*	Provádění všech operací specifických pro jednotlivé položky, jako je vytváření, čtení, aktualizace, nahrazení a odstraňování položek

Předdefinované role

Azure Cosmos DB for NoSQL definuje definice rolí specifických pro rovinu dat. Tyto role se liší od definic rolí řízení přístupu na základě role v Azure.

Integrovaná čtečka dat ve službě Cosmos DB

ID: 00000000-0000-0000-0000-000000000001

• Zahrnuté akce
  • Microsoft.DocumentDB/databaseAccounts/readMetadata
  • Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/read
  • Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/executeQuery
  • Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/readChangeFeed

Integrovaný přispěvatel dat ve službě Cosmos DB

ID: 00000000-0000-0000-0000-000000000002

• Zahrnuté akce
  • Microsoft.DocumentDB/databaseAccounts/readMetadata
  • Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/*
  • Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/*

Požadovaná metadata

Sady Sdk (Software Development Kit) služby Azure Cosmos DB vydávají požadavky na metadata jen pro čtení během inicializace a obsluhují konkrétní požadavky na data. Tyto požadavky načítají různé podrobnosti o konfiguraci, například:

• Globální konfigurace vašeho účtu, která zahrnuje oblasti Azure, ve kterých je účet dostupný
• Klíč oddílu kontejnerů nebo jejich zásad indexování
• Seznam fyzických oddílů, které tvoří kontejner a jejich adresy
• Nenačítají žádná data uložená ve vašem účtu.

Aby byla zajištěna nejlepší transparentnost modelu oprávnění, jsou tyto požadavky na metadata explicitně Microsoft.DocumentDB/databaseAccounts/readMetadata pokryty akcí dat. Tato akce musí být povolená v každé situaci, kdy je váš účet služby Azure Cosmos DB přístupný prostřednictvím jedné ze sad SDK služby Azure Cosmos DB.

Akce se dá přiřadit na libovolné úrovni v hierarchii účtu služby Azure Cosmos DB, včetně účtu, databáze nebo kontejneru. Povolené skutečné požadavky na metadata závisí na rozsahu:

• Účet
  • Výpis databází pod účtem
  • Pro každou databázi v rámci účtu povolené akce v oboru databáze
• Databáze
  • Čtení metadat databáze
  • Výpis kontejnerů v databázi
  • Pro každý kontejner v databázi povolené akce v oboru kontejneru
• Kontejner
  • Čtení metadat kontejneru
  • Výpis fyzických oddílů v kontejneru
  • Řešení adresy každého fyzického oddílu

Důležité

Propustnost nemůžete spravovat pomocí Microsoft.DocumentDB/databaseAccounts/readMetadata akce dat.

Související obsah

• osvědčené postupy zabezpečení