使用適用於 NoSQL 的 Azure Cosmos DB 停用密鑰型驗證

適用於：NoSQL

部署指南順序的圖表，包括這些位置，順序如下：概觀、概念、準備、角色型訪問控制、網路和參考。 「準備」位置目前已醒目提示。

本文涵蓋針對 NoSQL 帳戶停用 Azure Cosmos DB 金鑰型授權（或資源擁有者密碼認證驗證）的程式。

停用密鑰型授權可防止您的帳戶使用，而不需要更安全的 Microsoft Entra 驗證方法。 此程式是應在安全工作負載的新帳戶上執行的步驟。 或者，在移轉至安全工作負載模式的現有帳戶上執行此程式。

必要條件

• 具有有效訂用帳戶的 Azure 帳戶。 免費建立帳戶。

• 在 Azure Cloud Shell 中使用 Bash 環境。 如需詳細資訊，請參閱 Azure Cloud Shell 中的 Bash 快速入門。

  

• 若要在本地執行 CLI 參考命令，請安裝 Azure CLI。 若您在 Windows 或 macOS 上執行，請考慮在 Docker 容器中執行 Azure CLI。 如需詳細資訊，請參閱〈如何在 Docker 容器中執行 Azure CLI〉。

  • 如果您使用的是本機安裝，請使用 az login 命令，透過 Azure CLI 來登入。 請遵循您終端機上顯示的步驟，完成驗證程序。 如需其他登入選項，請參閱使用 Azure CLI 登入。

  • 出現提示時，請在第一次使用時安裝 Azure CLI 延伸模組。 如需擴充功能詳細資訊，請參閱使用 Azure CLI 擴充功能。

  • 執行 az version 以尋找已安裝的版本和相依程式庫。 若要升級至最新版本，請執行 az upgrade。

• 如果您選擇在本機使用 Azure PowerShell：
  • 安裝最新版的 Az PowerShell 模組。
  • 使用 Connect-AzAccount Cmdlet 連線至 Azure 帳戶。
• 如果您選擇使用 Azure Cloud Shell：
  • 請參閱 Azure Cloud Shell 概觀 以取得詳細資訊。

停用金鑰型驗證

首先，停用現有帳戶的密鑰型驗證，讓應用程式必須使用Microsoft Entra 驗證。 使用 az resource update 來修改 properties.disableLocalAuth 現有的帳戶。

az resource update \
    --resource-group "<name-of-existing-resource-group>" \
    --name "<name-of-existing-account>" \
    --resource-type "Microsoft.DocumentDB/databaseAccounts" \
    --set properties.disableLocalAuth=true \
    --set properties.disableKeyBasedMetadataWriteAccess=true

首先，建立已停用密鑰型驗證的新帳戶，讓應用程式必須使用Microsoft Entra 驗證。

1. 建立新的 Bicep 檔案，以停用金鑰型驗證來部署新的帳戶。 將檔案 命名為 deploy-new-account.bicep。

   metadata description = 'Deploys a new Azure Cosmos DB account with key-based auth disabled.'
   
   @description('Name of the Azure Cosmos DB account.')
   param name string = 'csms-${uniqueString(resourceGroup().id)}'
   
   @description('Primary location for the Azure Cosmos DB account.')
   param location string = resourceGroup().location
   
   resource account 'Microsoft.DocumentDB/databaseAccounts@2024-05-15' = {
     name: name
     location: location
     kind: 'GlobalDocumentDB'
     properties: {
       databaseAccountOfferType: 'Standard'
       locations: [
         {
           locationName: location
         }
       ]
       disableLocalAuth: true,
       disableKeyBasedMetadataWriteAccess: true
     }
   }
   

2. 使用 az deployment group create 部署具有新帳戶的 Bicep 檔案。

   az deployment group create \
       --resource-group "<name-of-existing-resource-group>" \
       --template-file deploy-new-account.bicep
   

首先，停用現有帳戶的密鑰型驗證，讓應用程式必須使用Microsoft Entra 驗證。 分別使用 Get-AzResource 和 Set-AzResource 來讀取和更新現有的帳戶。

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    ResourceName = "<name-of-existing-account>"
    ResourceType = "Microsoft.DocumentDB/databaseAccounts"
}
$resource = Get-AzResource @parameters

$resource.Properties.DisableLocalAuth = $true
$resource.Properties.DisableKeyBasedMetadataWriteAccess = $true

$resource | Set-AzResource -Force

驗證已停用驗證

嘗試使用 Azure SDK，使用資源擁有者密碼認證 （ROPC） 連線到適用於 NoSQL 的 Azure Cosmos DB。 此嘗試應該會失敗。 如有必要，這裡會提供常見程序設計語言的程式代碼範例。

C#

using Microsoft.Azure.Cosmos;

string connectionString = "AccountEndpoint=<nosql-endpoint>;AccountKey=<key>;";

CosmosClient client = new(connectionString);

重要

此程式代碼範例會使用 NuGet 的連結 Microsoft.Azure.Cosmos 庫。

JavaScript

const { CosmosClient } = require('@azure/cosmos');

const connectionString = 'AccountEndpoint=<nosql-endpoint>;AccountKey=<key>;';

const client = new CosmosClient(connectionString);

重要

此程式代碼範例會使用來自 npm 的 @azure/cosmos 套件。

TypeScript

import { CosmosClient } from '@azure/cosmos'

let connectionString: string = 'AccountEndpoint=<nosql-endpoint>;AccountKey=<key>;';

const client: CosmosClient = new CosmosClient(connectionString);

重要

此程式代碼範例會使用來自 npm 的 @azure/cosmos 套件。

Python

from azure.cosmos import CosmosClient

connection_string = "AccountEndpoint=<nosql-endpoint>;AccountKey=<key>;"

client = CosmosClient(connection_string)

重要

此程式代碼範例會使用來自 PyPI 的 azure-cosmos 套件。

Go

package main

import (
    "github.com/Azure/azure-sdk-for-go/sdk/data/azcosmos"
)

const connectionString = "AccountEndpoint=<nosql-endpoint>;AccountKey=<key>;"

func main() {
    client, _ := azcosmos.NewClientFromConnectionString(connectionString, nil)
}

重要

此程式代碼範例會使用 Go 中的 azure/azure-sdk-for-go/sdk/data/azcosmos 套件。

Java

import com.azure.cosmos.CosmosClient;
import com.azure.cosmos.CosmosClientBuilder;

public class NoSQL{
    public static void main(String[] args){
        CosmosClient client = new CosmosClientBuilder()
            .endpoint("<nosql-endpoint>")
            .key("<key>")
            .buildClient();
    }
}

重要

此程式代碼範例會使用 Maven 的 com.azure/azure-cosmos 套件。

後續步驟

授與身分識別控制平面角色型存取權