NoSQL için Azure Cosmos DB veri düzlemi güvenlik başvurusu

NoSQL için Azure Cosmos DB, yerel rol tabanlı erişim denetimi uygulaması içinde benzersiz bir veri eylemleri ve rolleri kümesini kullanıma sunar. Bu makale, her kaynak için hangi izinlerin verildiğine ilişkin açıklamalarla birlikte bu eylemlerin ve rollerin listesini içerir.

Warning

NoSQL için Azure Cosmos DB'nin yerel rol tabanlı erişim denetimi, notDataActions özelliğini desteklememektedir. İzin verilen dataAction olarak belirtilmeyen tüm eylemler otomatik olarak dışlanır.

Yerleşik eylem

Aşağıda, rol tanımında ayrı ayrı ayarlanabilen veri eylemlerinin listesi yer alır.

	Description
Microsoft.DocumentDB/databaseAccounts/readMetadata	Veri düzlemi işlemleri için hesaptan gerekli meta verileri okuma
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/create	Yeni öğeler oluşturur
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/read	Bölüm anahtarını ve benzersiz tanımlayıcıyı kullanarak bir nokta okuma gerçekleştirerek belirli öğeleri okur
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/replace	Var olan öğeleri değiştirir
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/upsert	Yoksa yeni bir öğe oluşturur veya mevcut bir öğeyi değiştirir
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/delete	Öğeyi siler
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/unmask	Özgün değerleri göstermek için Dinamik Veri Maskeleme'yi atlayan öğeleri okur
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/executeQuery	NoSQL sorgusu yürütür
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/readChangeFeed	Kapsayıcının değişiklik akışından okur
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/executeStoredProcedure	Saklı yordamları yürütür
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/manageConflicts	Çakışma akışını kullanarak hesaplar için çakışmaları yönetme

Note

Yazılım geliştirme setlerini (SDK' lar) kullanarak NoSQL sorguları gerçekleştirmek için hem ve Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/executeQueryMicrosoft.DocumentDB/databaseAccounts/sqlDatabases/containers/readChangeFeed izinlerine sahip olmanız gerekir.

Veri eylemi joker karakterleri

Joker karakterler hem kapsayıcılarda hem de öğe düzeylerinde desteklenir.

	Description
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/*	Sorguları yürütme, değişiklik akışını okuma, çakışmaları yönetme ve saklı yordamları yürütme gibi kapsayıcıya özgü tüm işlemleri gerçekleştirme
Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/*	Öğeleri oluşturma, okuma, güncelleştirme, değiştirme ve silme gibi öğeye özgü tüm işlemleri gerçekleştirme

Yerleşik roller

NoSQL için Azure Cosmos DB, veri düzlemlerine özgü rol tanımlarını tanımlar. Bu roller Azure rol tabanlı erişim denetimi rol tanımlarından farklıdır.

Cosmos DB Yerleşik Veri Okuyucusu

Kimlik: 00000000-0000-0000-0000-000000000001

• Dahil edilen eylemler
  • Microsoft.DocumentDB/databaseAccounts/readMetadata
  • Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/read
  • Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/executeQuery
  • Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/readChangeFeed

Cosmos DB Yerleşik Veri Katkı Sağlayıcısı

Kimlik: 00000000-0000-0000-0000-000000000002

• Dahil edilen eylemler
  • Microsoft.DocumentDB/databaseAccounts/readMetadata
  • Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/*
  • Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/*

Gerekli meta veriler

Azure Cosmos DB yazılım geliştirme setleri (SDK) başlatma sırasında ve belirli veri isteklerine hizmet vermek için salt okunur meta veri istekleri oluşturur. Bu istekler aşağıdakiler gibi çeşitli yapılandırma ayrıntılarını getirir:

• Hesabınızın, hesabın bulunduğu Azure bölgelerini içeren genel yapılandırması
• Kapsayıcılarınızın bölüm anahtarı veya dizin oluşturma ilkesi
• Kapsayıcıyı ve bunların adreslerini oluşturan fiziksel bölümlerin listesi
• Hesabınızda depolanan verilerin hiçbirini getirmez

İzin modelimizin en iyi saydamlığını sağlamak için bu meta veri istekleri veri eylemi tarafından Microsoft.DocumentDB/databaseAccounts/readMetadata açıkça ele alınmıştır. Azure Cosmos DB hesabınıza Azure Cosmos DB SDK'larından biri aracılığıyla erişildiği her durumda bu eyleme izin verilmelidir.

Eylem, Azure Cosmos DB hesabının hiyerarşisinde hesap, veritabanı veya kapsayıcı gibi herhangi bir düzeyde atanabilir. İzin verilen gerçek meta veri istekleri kapsama bağlıdır:

• Hesabı
  • Hesabın altındaki veritabanlarını listeleme
  • Hesabın altındaki her veritabanı için veritabanı kapsamında izin verilen eylemler
• Veritabanı
  • Veritabanı meta verilerini okuma
  • Veritabanının altındaki kapsayıcıları listeleme
  • Veritabanının altındaki her kapsayıcı için kapsayıcı kapsamında izin verilen eylemler
• Kapsayıcı
  • Kapsayıcı meta verilerini okuma
  • Kapsayıcının altındaki fiziksel bölümleri listeleme
  • Her fiziksel bölümün adresini çözümleme

Important

Veri eylemiyle Microsoft.DocumentDB/databaseAccounts/readMetadata aktarım hızını yönetemezsiniz.

İlgili içerik

• En iyi güvenlik uygulamaları