https://thedotnetblog.com/de/tags/rbac/Articles, tutorials and insights from the .NET community.Hugode@thedotnetblog (The .NET Blog)@thedotnetblogThu, 16 Jul 2026 00:00:00 +0000https://thedotnetblog.com/de/news/emiliano-montesdeoca/cosmosdb-role-assignment-without-secrets/Thu, 16 Jul 2026 00:00:00 +0000Emiliano Montesdeocahttps://thedotnetblog.com/de/news/emiliano-montesdeoca/cosmosdb-role-assignment-without-secrets/Wenn Ihre Cosmos DB-App immer noch von Schlüsseln abhängt, sind Sie bei der Betriebssicherheit bereits zurück.<p>Originalquelle: <a href="https://devblogs.microsoft.com/cosmosdb/which-azure-cosmos-db-role-does-my-app-need/">Which Azure Cosmos DB Role Does My App Need?</a></p> <p>Die wichtigste Idee in dieser Cosmos DB-Anleitung ist nicht ein Befehl, eine Rollen-ID oder ein CLI-Trick. Sie ist architektonisch: <strong>Hören Sie auf, Anmeldeinformationen als App-Konfiguration zu behandeln</strong> und beginnen Sie, Identität als Laufzeitzustand zu betrachten.</p> <p>Zu viele Teams liefern immer noch mit Verbindungszeichenfolgen aus, weil es sich schnell anfühlt. Es ist nicht schnell. Es ist aufgeschobenes Risiko. Jeder Schlüssel in einer Konfigurationsdatei wird zu einem Vorfall, der auf einen überstürzten Commit, eine kopierte Pipeline-Variable oder ein durchgesickertes Log wartet. Managed Identity plus Data-Plane-RBAC entfernt diese Fehlerklasse fast vollständig.</p> <p>Die praktische Herausforderung ist die Verwirrung zwischen <strong>Control-Plane-</strong> und <strong>Data-Plane-Autorisierung</strong>. Hier verlieren viele sonst starke Teams Tage. Azure RBAC-Rollen auf Ressourcen gewähren nicht automatisch Dokumentenzugriff, und Cosmos-Data-Plane-Rollen gewähren keine Kontoverwaltung. Wenn Ihr Team diese Trennt nicht explizit in Ihren Runbooks dokumentiert, werden Sie weiterhin fragile Deployments und schwer zu debuggende 403s erhalten.</p> <h3 id="meine-meinung-für-produktionsteams">Meine Meinung für Produktionsteams</h3> <ul> <li><strong>Beginnen Sie mit Data Reader</strong> für Lesepfade und Data Contributor nur, wo Schreibvorgänge wirklich erforderlich sind.</li> <li><strong>Weit eingrenzen nur</strong>, wenn Sie eine einzige Anwendungsgrenze pro Konto haben.</li> <li><strong>Wenn Sie ein Konto über Dienste hinweg teilen</strong>, grenzen Sie den Bereich früh auf Datenbank- oder Container-Grenzen ein, anstatt auf Audit-Druck zu warten.</li> </ul> <p>Dies ist eine dieser Entscheidungen, die sich <strong>verstärken</strong>. Wenn Sie Ihre .NET-App mit <code>DefaultAzureCredential</code> und reiner Endpunkt-Konfiguration verdrahten, wird jede Umgebung sauberer: lokal, CI, Staging und Produktion. Sie machen auch die Incident-Reaktion schneller, weil Sie über Berechtigungen durch Rollenzuweisungen nachdenken können, anstatt mysteriöse Schlüssel zu jagen.</p> <p>Wenn Sie nur eines aus diesem Beitrag übernehmen, machen Sie dies: <strong>Entfernen Sie zuerst Secrets, optimieren Sie dann Rollen</strong>. Teams, die diese Reihenfolge umkehren, bleiben normalerweise in Meetings stecken. Teams, die zuerst Secrets entfernen, liefern normalerweise aus und härten dann nach.</p>