Referensi keamanan sarana data Azure Cosmos DB untuk NoSQL

Azure Cosmos DB for NoSQL memaparkan serangkaian tindakan dan peran data unik dalam implementasi kontrol akses berbasis peran aslinya. Artikel ini menyertakan daftar tindakan dan peran tersebut dengan deskripsi tentang izin apa yang diberikan untuk setiap sumber daya.

Peringatan

Kontrol akses berbasis peran asli Azure Cosmos DB for NoSQL tidak mendukung properti notDataActions. Tindakan apa pun yang tidak ditentukan sebagai yang diizinkan dataAction dikecualikan secara otomatis.

Tindakan bawaan

Berikut adalah daftar tindakan data yang dapat diatur secara individual dalam definisi peran.

	Description
Microsoft.DocumentDB/databaseAccounts/readMetadata	Membaca metadata yang diperlukan dari akun untuk operasi sarana data
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/create	Membuat item baru
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/read	Membaca item tertentu dengan melakukan pembacaan titik menggunakan kunci partisi dan pengidentifikasi unik
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/replace	Mengganti item yang ada
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/upsert	Membuat item baru jika tidak ada atau mengganti item yang sudah ada
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/delete	Menghapus item
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/executeQuery	Menjalankan kueri NoSQL
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/readChangeFeed	Membaca dari umpan perubahan kontainer
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/executeStoredProcedure	Menjalankan prosedur tersimpan
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/manageConflicts	Mengelola konflik untuk akun menggunakan umpan konflik

Nota

Untuk melakukan kueri NoSQL menggunakan kit pengembangan perangkat lunak (SDK), Anda harus memiliki Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/executeQuery izin dan Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/readChangeFeed .

Kartubebas tindakan data

Kartubebas didukung di tingkat kontainer dan item.

	Description
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/*	Lakukan semua operasi khusus kontainer seperti menjalankan kueri, membaca umpan perubahan, mengelola konflik, dan menjalankan prosedur tersimpan
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/*	Melakukan semua operasi khusus item seperti membuat, membaca, memperbarui, mengganti, dan menghapus item

Peran bawaan

Azure Cosmos DB for NoSQL mendefinisikan definisi peran khusus bidang data. Peran ini berbeda dari definisi peran kontrol akses berbasis peran Azure.

Pembaca Data Bawaan Cosmos DB

ID: 00000000-0000-0000-0000-000000000001

• Tindakan yang disertakan
  • Microsoft.DocumentDB/databaseAccounts/readMetadata
  • Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/read
  • Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/executeQuery
  • Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/readChangeFeed

Kontributor Data Bawaan Cosmos DB

ID: 00000000-0000-0000-0000-000000000002

• Tindakan yang disertakan
  • Microsoft.DocumentDB/databaseAccounts/readMetadata
  • Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/*
  • Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/*

Metadata yang diperlukan

Kit pengembangan perangkat lunak (SDK) Azure Cosmos DB mengeluarkan permintaan metadata baca-saja selama inisialisasi dan untuk melayani permintaan data tertentu. Permintaan ini mengambil berbagai detail konfigurasi seperti:

• Konfigurasi global akun Anda, yang mencakup wilayah Azure tempat akun tersedia
• Kunci partisi kontainer Anda atau kebijakan pengindeksannya
• Daftar partisi fisik yang membuat kontainer dan alamatnya
• Mereka tidak mengambil data apa pun yang disimpan di akun Anda

Untuk memastikan transparansi terbaik dari model izin kami, permintaan metadata ini secara eksplisit dicakup oleh Microsoft.DocumentDB/databaseAccounts/readMetadata tindakan data. Tindakan ini harus diizinkan dalam setiap situasi di mana akun Azure Cosmos DB Anda diakses melalui salah satu SDK Azure Cosmos DB.

Tindakan ini dapat ditetapkan pada tingkat apa pun dalam hierarki akun Azure Cosmos DB termasuk akun, database, atau kontainer. Permintaan metadata aktual yang diizinkan bergantung pada cakupan:

• Rekening
  • Mencantumkan database di bawah akun
  • Untuk setiap database di bawah akun, tindakan yang diizinkan di cakupan database
• Database
  • Membaca metadata database
  • Mencantumkan kontainer di bawah database
  • Untuk setiap kontainer di bawah database, tindakan yang diizinkan di cakupan kontainer
• Kontainer
  • Membaca metadata kontainer
  • Mencantumkan partisi fisik di bawah kontainer
  • Menyelesaikan alamat setiap partisi fisik

Penting

Anda tidak dapat mengelola throughput dengan Microsoft.DocumentDB/databaseAccounts/readMetadata tindakan data.

Konten terkait

• Praktik terbaik keamanan