Delen via

Azure Cosmos DB for Table Data Plane Security Reference

  • Van toepassing op: ✅ Table

Azure Cosmos DB for Table maakt een unieke set gegevensacties en rollen beschikbaar binnen de systeemeigen implementatie van op rollen gebaseerd toegangsbeheer. Dit artikel bevat een lijst met deze acties en rollen met beschrijvingen over welke machtigingen worden verleend voor elke resource.

Waarschuwing

Azure Cosmos DB voor systeemeigen op rollen gebaseerd toegangsbeheer van Azure Cosmos DB biedt geen ondersteuning voor de notDataActions eigenschap. Elke actie die niet is opgegeven als toegestaan dataAction , wordt automatisch uitgesloten.

Ingebouwde acties

Hier volgt een lijst met gegevensacties die afzonderlijk kunnen worden ingesteld in een roldefinitie.

Description
Microsoft.DocumentDB/databaseAccounts/readMetadata Enkele accountmetagegevens lezen
Microsoft.DocumentDB/databaseAccounts/tables/containers/executeQuery Voert een query uit op een tabel
Microsoft.DocumentDB/databaseAccounts/tables/containers/executeStoredProcedure Hiermee wordt een tabeltransactie (procedure) uitgevoerd
Microsoft.DocumentDB/databaseAccounts/tables/containers/entities/create Hiermee maakt u een nieuwe entiteit (item)
Microsoft.DocumentDB/databaseAccounts/tables/containers/entities/read Punt leest een afzonderlijke entiteit (item) met behulp van de rij- en partitiesleutels
Microsoft.DocumentDB/databaseAccounts/tables/containers/entities/replace Vervangt een bestaande entiteit (item) volledig
Microsoft.DocumentDB/databaseAccounts/tables/containers/entities/upsert Hiermee maakt u een entiteit (item) als deze niet bestaat of vervangt de entiteit als deze al bestaat
Microsoft.DocumentDB/databaseAccounts/tables/containers/entities/delete Hiermee verwijdert u een entiteit (item)
Microsoft.DocumentDB/databaseAccounts/throughputSettings/read De huidige doorvoer lezen
Microsoft.DocumentDB/databaseAccounts/throughputSettings/write De huidige doorvoer wijzigen
Microsoft.DocumentDB/databaseAccounts/tables/write Een tabel maken of bijwerken
Microsoft.DocumentDB/databaseAccounts/tables/delete Een tabel verwijderen
Microsoft.DocumentDB/databaseAccounts/tables/containers/write Een container maken of bijwerken
Microsoft.DocumentDB/databaseAccounts/tables/containers/delete Een container verwijderen
Microsoft.DocumentDB/databaseAccounts/tables/containers/readChangeFeed Lezen uit de wijzigingenfeed van de container
Microsoft.DocumentDB/databaseAccounts/tables/containers/manageConflicts Conflicten beheren voor accounts met meerdere schrijfregio's (items uit de conflictfeed weergeven en verwijderen)

Jokertekens voor gegevensacties

De jokertekenoperator (*) wordt ondersteund op de tables, containersen entities niveaus voor acties. Gebruik het jokerteken om brede toegang te verlenen tot een specifiek resourcetype.

Description
Microsoft.DocumentDB/databaseAccounts/tables/* Alle bewerkingen uitvoeren op tabellen
Microsoft.DocumentDB/databaseAccounts/tables/containers/* Alle bewerkingen uitvoeren op containers
Microsoft.DocumentDB/databaseAccounts/tables/containers/entities/* Alle bewerkingen uitvoeren op entiteiten (items)
Microsoft.DocumentDB/databaseAccounts/throughputSettings/* Alle bewerkingen uitvoeren met betrekking tot doorvoer

Vereiste metagegevens voor acties

De Sdk's (Software Development Kits) van Azure Cosmos DB geven alleen-lezen metagegevensaanvragen uit tijdens de initialisatie en om specifieke gegevensaanvragen te verwerken. Met deze aanvragen worden verschillende configuratiegegevens opgehaald, zoals:

  • De globale configuratie van uw account, waaronder de Azure-regio's waarin het account beschikbaar is, is beschikbaar in
  • De partitiesleutel van uw containers of hun indexeringsbeleid
  • De lijst met fysieke partities die een container en hun adressen maken
  • Ze halen geen gegevens op die zijn opgeslagen in uw account

Om de beste transparantie van ons machtigingsmodel te garanderen, worden deze metagegevensaanvragen expliciet gedekt door de Microsoft.DocumentDB/databaseAccounts/readMetadata gegevensactie. Deze actie moet worden toegestaan in elke situatie waarin uw Azure Cosmos DB-account wordt geopend via een van de Azure Cosmos DB SDK's.

De actie kan op elk niveau worden toegewezen in de hiërarchie van een Azure Cosmos DB-account, inclusief account, database of container. De werkelijke toegestane metagegevensaanvragen zijn afhankelijk van het bereik:

  • Account
    • De databases onder het account weergeven
    • Voor elke database onder het account zijn de toegestane acties in het databasebereik
  • Tabel
    • Metagegevens van tabel lezen
    • De containers onder de tabel weergeven
    • Voor elke container onder de tabel zijn de toegestane acties in het containerbereik
  • Container
    • Containermetagegevens lezen
    • Fysieke partities onder de tabel weergeven
    • Het adres van elke fysieke partitie oplossen

Belangrijk

U kunt de doorvoer niet beheren met de Microsoft.DocumentDB/databaseAccounts/readMetadata gegevensactie.

Ingebouwde rollen

Azure Cosmos DB for Table definieert gegevensvlakspecifieke roldefinities. Deze rollen verschillen van azure-roldefinities voor op rollen gebaseerd toegangsbeheer.

Ingebouwde gegevenslezer van Cosmos DB

Id: 00000000-0000-0000-0000-000000000001

  • Opgenomen acties
    • Microsoft.DocumentDB/databaseAccounts/readMetadata
    • Microsoft.DocumentDB/databaseAccounts/tables/containers/entities/read

Inzender voor ingebouwde Cosmos DB-gegevens

Id: 00000000-0000-0000-0000-000000000002

  • Opgenomen acties
    • Microsoft.DocumentDB/databaseAccounts/readMetadata
    • Microsoft.DocumentDB/databaseAccounts/tables/*
    • Microsoft.DocumentDB/databaseAccounts/tables/containers/entities/*

Verwante inhoud