Referenční informace k zabezpečení roviny dat ve službě Azure Cosmos DB pro tabulky

Azure Cosmos DB for Table zveřejňuje jedinečnou sadu akcí a rolí dat v rámci implementace řízení přístupu na základě nativní role. Tento článek obsahuje seznam těchto akcí a rolí s popisy oprávnění udělených pro jednotlivé prostředky.

Výstraha

Nativní řízení přístupu na základě role v Azure Cosmos DB pro tabulku nepodporuje notDataActions vlastnost. Všechny akce, které nejsou zadány jako povolené dataAction , jsou vyloučeny automaticky.

Předdefinované akce

Tady je seznam akcí dat, které je možné v definici role nastavit jednotlivě.

	Description
Microsoft.DocumentDB/databaseAccounts/readMetadata	Čtení metadat účtu
Microsoft.DocumentDB/databaseAccounts/tables/containers/executeQuery	Spustí dotaz na tabulku.
Microsoft.DocumentDB/databaseAccounts/tables/containers/executeStoredProcedure	Provede transakci tabulky (proceduru).
Microsoft.DocumentDB/databaseAccounts/tables/containers/entities/create	Vytvoří novou entitu (položku).
Microsoft.DocumentDB/databaseAccounts/tables/containers/entities/read	Bod přečte jednotlivou entitu (položku) pomocí klíče řádku a oddílu.
Microsoft.DocumentDB/databaseAccounts/tables/containers/entities/replace	Zcela nahrazuje existující entitu (položku).
Microsoft.DocumentDB/databaseAccounts/tables/containers/entities/upsert	Vytvoří entitu (položku), pokud neexistuje nebo nahradí entitu, pokud již existuje.
Microsoft.DocumentDB/databaseAccounts/tables/containers/entities/delete	Odstraní entitu (položku).
Microsoft.DocumentDB/databaseAccounts/throughputSettings/read	Čtení aktuální propustnosti
Microsoft.DocumentDB/databaseAccounts/throughputSettings/write	Úprava aktuální propustnosti
Microsoft.DocumentDB/databaseAccounts/tables/write	Vytvoření nebo aktualizace tabulky
Microsoft.DocumentDB/databaseAccounts/tables/delete	Odstraňte tabulku
Microsoft.DocumentDB/databaseAccounts/tables/containers/write	Vytvoření nebo aktualizace kontejneru
Microsoft.DocumentDB/databaseAccounts/tables/containers/delete	Odstranění kontejneru
Microsoft.DocumentDB/databaseAccounts/tables/containers/readChangeFeed	Čtení z kanálu změn kontejneru
Microsoft.DocumentDB/databaseAccounts/tables/containers/manageConflicts	Správa konfliktů pro účty s více oblastmi zápisu (výpis a odstranění položek z konfliktních kanálů)

Zástupné cardy akcí dat

Operátor se zástupným znakem (*) je podporován na tablesúrovních , containersa entities pro akce. Zástupný znak slouží k udělení širokého přístupu ke konkrétnímu typu prostředku.

	Description
Microsoft.DocumentDB/databaseAccounts/tables/*	Provádění všech operací s tabulkami
Microsoft.DocumentDB/databaseAccounts/tables/containers/*	Provádění všech operací s kontejnery
Microsoft.DocumentDB/databaseAccounts/tables/containers/entities/*	Provádění všech operací s entitami (položkami)
Microsoft.DocumentDB/databaseAccounts/throughputSettings/*	Provádění všech operací souvisejících s propustností

Požadovaná metadata pro akce

Sady Sdk (Software Development Kit) služby Azure Cosmos DB vydávají požadavky na metadata jen pro čtení během inicializace a obsluhují konkrétní požadavky na data. Tyto požadavky načítají různé podrobnosti o konfiguraci, například:

• Globální konfigurace vašeho účtu, která zahrnuje oblasti Azure, ve kterých je účet dostupný
• Klíč oddílu kontejnerů nebo jejich zásad indexování
• Seznam fyzických oddílů, které tvoří kontejner a jejich adresy
• Nenačítají žádná data uložená ve vašem účtu.

Aby byla zajištěna nejlepší transparentnost modelu oprávnění, jsou tyto požadavky na metadata explicitně Microsoft.DocumentDB/databaseAccounts/readMetadata pokryty akcí dat. Tato akce musí být povolená v každé situaci, kdy je váš účet služby Azure Cosmos DB přístupný prostřednictvím jedné ze sad SDK služby Azure Cosmos DB.

Akce se dá přiřadit na libovolné úrovni v hierarchii účtu služby Azure Cosmos DB, včetně účtu, databáze nebo kontejneru. Povolené skutečné požadavky na metadata závisí na rozsahu:

• Účet
  • Výpis databází pod účtem
  • Pro každou databázi v rámci účtu povolené akce v oboru databáze
• tabulka
  • Čtení metadat tabulky
  • Výpis kontejnerů pod tabulkou
  • Pro každý kontejner v tabulce jsou povolené akce v oboru kontejneru.
• Kontejner
  • Čtení metadat kontejneru
  • Výpis fyzických oddílů v tabulce
  • Řešení adresy každého fyzického oddílu

Důležité

Propustnost nemůžete spravovat pomocí Microsoft.DocumentDB/databaseAccounts/readMetadata akce dat.

Předdefinované role

Azure Cosmos DB for Table definuje definice role specifické pro rovinu dat. Tyto role se liší od definic rolí řízení přístupu na základě role v Azure.

Integrovaná čtečka dat ve službě Cosmos DB

ID: 00000000-0000-0000-0000-000000000001

• Zahrnuté akce
  • Microsoft.DocumentDB/databaseAccounts/readMetadata
  • Microsoft.DocumentDB/databaseAccounts/tables/containers/entities/read

Integrovaný přispěvatel dat ve službě Cosmos DB

ID: 00000000-0000-0000-0000-000000000002

• Zahrnuté akce
  • Microsoft.DocumentDB/databaseAccounts/readMetadata
  • Microsoft.DocumentDB/databaseAccounts/tables/*
  • Microsoft.DocumentDB/databaseAccounts/tables/containers/entities/*

Související obsah

• osvědčené postupy zabezpečení