Verbinding maken met Azure DocumentDB met behulp van op rollen gebaseerd toegangsbeheer en Microsoft Entra-id

Open een nieuwe terminal.

Meld u aan bij Azure CLI.

Gebruik az group show dit om de metagegevens voor uw huidige resourcegroep op te halen.

az group show \
    --name "<name-of-existing-resource-group>"

Bekijk de uitvoer van de vorige opdracht. Noteer de waarde van de id eigenschap voor deze resourcegroep, omdat deze in de volgende stap moet worden gebruikt.

{
  "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example",
  "location": "westus",
  "name": "msdocs-identity-example",
  "type": "Microsoft.Resources/resourceGroups"
}

Maak een nieuw JSON-bestand met de naamrole-definition.json. Maak in het bestand deze resourcedefinitie die de waarden opgeeft die hier worden vermeld. Voeg voor de AssignableScopes-lijst de id-eigenschap toe van de resource-groep die in de vorige stap is genoteerd.

{
  "Name": "Azure DocumentDB RBAC Owner",
  "IsCustom": true,
  "Description": "Can perform all Azure role-based access control actions for Azure DocumentDB clusters.",
  "Actions": [
    "Microsoft.DocumentDb/mongoClusters/*"
  ],
  "AssignableScopes": [
    "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example"
  ]
}

Maak een nieuwe roldefinitie met behulp van az role definition create. Gebruik het role-definition.json-bestand als invoer voor het --role-definition argument.

az role definition create \
    --role-definition role-definition.json

Controleer de uitvoer van de opdracht voor het maken van de definitie. De uitvoer bevat de unieke id van de roldefinitie in de id eigenschap. Noteer deze waarde omdat deze is vereist voor gebruik in de toewijzingsstap verderop in deze handleiding.

{
  "assignableScopes": [
    "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example"
  ],
  "description": "Can perform all Azure role-based access control actions for Azure DocumentDB clusters.",
  "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.Authorization/roleDefinitions/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
  "name": "e4e4e4e4-ffff-aaaa-bbbb-c5c5c5c5c5c5",
  "permissions": [
    {
      "actions": [
        "Microsoft.DocumentDb/*"
      ]
    }
  ],
  "roleName": "Azure DocumentDB RBAC Owner",
  "roleType": "CustomRole"
}

Open een nieuwe terminal.

Meld u aan bij Azure CLI.

Maak een nieuw Bicep-bestand om uw roldefinitie te definiëren. Geef het bestand de naam control-plane-role-definition.bicep. Voeg deze actions toe aan de definitie:

metadata description = 'Create RBAC definition for Azure role-based access control access to Azure DocumentDB.'

@description('Name of the role definition.')
param roleDefinitionName string = 'Azure DocumentDB RBAC Owner'

@description('Description of the role definition.')
param roleDefinitionDescription string = 'Can perform all Azure role-based access control actions for Azure DocumentDB clusters.'

resource definition 'Microsoft.Authorization/roleDefinitions@2022-04-01' = {
  name: guid(subscription().id, resourceGroup().id, roleDefinitionName)
  scope: resourceGroup()
  properties: {
    roleName: roleDefinitionName
    description: roleDefinitionDescription
    type: 'CustomRole'
    permissions: [
      {
        actions: [
          'Microsoft.DocumentDb/mongoClusters/*'
        ]
      }
    ]
    assignableScopes: [
      resourceGroup().id
    ]
  }
}

output definitionId string = definition.id

Implementeer de Bicep-sjabloon met behulp van az deployment group create. Geef de naam op van de Bicep-sjabloon en de Azure-resourcegroep.

az deployment group create \
    --resource-group "<name-of-existing-resource-group>" \
    --template-file control-plane-role-definition.bicep

Controleer de uitvoer van de implementatie. De uitvoer bevat de unieke id van de roldefinitie in de properties.outputs.definitionId.value eigenschap. Noteer deze waarde omdat deze is vereist voor gebruik in de toewijzingsstap verderop in deze handleiding.

{
  "properties": {
    "outputs": {
      "definitionId": {
        "type": "String",
        "value": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.Authorization/roleDefinitions/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"
      }
    }
  }
}

Maak een nieuw Bicep-bestand om uw roltoewijzing te definiëren. Geef het bestand de naam control-plane-role-assignment.bicep.

metadata description = 'Assign RBAC role for Azure role-based access control access to Azure DocumentDB.'

@description('Id of the role definition to assign to the targeted principal in the context of the cluster.')
param roleDefinitionId string

@description('Id of the identity/principal to assign this role in the context of the cluster.')
param identityId string

resource assignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(subscription().id, resourceGroup().id, roleDefinitionId, identityId)
  scope: resourceGroup()
  properties: {
    roleDefinitionId: roleDefinitionId
    principalId: identityId
  }
}

Maak een nieuw Bicep-parametersbestand met de naam control-plane-role-assignment.bicepparam. In dit parameterbestand; wijs de eerder vastgelegde roldefinitie-id's toe aan de roleDefinitionId parameter en de unieke id voor uw identiteit aan de identityId parameter.

using './control-plane-role-assignment.bicep'

param roleDefinitionId = '<id-of-new-role-definition>'
param identityId = '<id-of-existing-identity>'

Implementeer deze Bicep-sjabloon met behulp van az deployment group create.

az deployment group create \
    --resource-group "<name-of-existing-resource-group>" \
    --parameters control-plane-role-assignment.bicepparam \
    --template-file control-plane-role-assignment.bicep

Meld u aan bij Azure Portal (https://portal.azure.com).

Voer de resourcegroep in de algemene zoekbalk in.

Selecteer resourcegroepen in Services.

Selecteer uw bestaande resourcegroep in het deelvenster Resourcegroepen .

Selecteer in het deelvenster voor de resourcegroep toegangsbeheer (IAM) in het servicemenu.

Selecteer Toevoegen in het deelvenster Toegangsbeheer (IAM). Selecteer vervolgens Aangepaste rol toevoegen.

Configureer in het deelvenster Basisbeginselen de volgende opties en selecteer vervolgens Volgende:

Selecteer Machtigingen toevoegen in het deelvenster Machtigingen. Zoek vervolgens in het dialoogvenster Machtigingen naar DocumentDB. Selecteer ten slotte de optie Microsoft.DocumentDB/mongoClusters .

Selecteer in het machtigingen-dialoogvenster alle acties voor Microsoft.DocumentDB/mongoClusters. Selecteer Vervolgens Toevoegen om terug te keren naar het deelvenster *Machtigingen .

Ga weer naar het deelvenster Machtigingen en bekijk hoe de lijst met machtigingen eruitziet. Selecteer vervolgens Beoordelen en maken.

Controleer in het deelvenster Beoordelen en maken de opgegeven opties voor de nieuwe roldefinitie. Ten slotte, selecteer Maken.

Wacht totdat de portal klaar is met het maken van de roldefinitie.

Selecteer In het deelvenster Toegangsbeheer (IAM)de optie Toevoegen en vervolgens Roltoewijzing toevoegen.

Zoek en selecteer in het deelvenster Azure DocumentDB de rol Azure DocumentDB RBAC-eigenaar die eerder in deze handleiding is gemaakt. Klik vervolgens op Volgende.

Selecteer in het deelvenster Leden de optie Leden selecteren . Selecteer in het dialoogvenster Leden de identiteit die u dit toegangsniveau wilt verlenen voor uw Azure DocumentDB-clusters en gebruik vervolgens de optie Selecteren om uw keuze te bevestigen.

Terug in het deelvenster Leden controleert u het geselecteerde lid[s] en selecteert u Beoordelen en toewijzen.

Controleer in het deelvenster Beoordelen en toewijzen de opgegeven opties voor de nieuwe roltoewijzing. Selecteer ten slotte Beoordelen en toewijzen.

Wacht totdat de portal klaar is met het maken van de roltoewijzing.

Open een nieuwe terminal.

Meld u aan bij Azure CLI.

Controleer uw Azure-doelabonnement.

az account show

Maak een nieuw Terraform-bestand om uw roldefinitie te definiëren. Noem het bestand control-plane-role-definition.tf. Voeg deze actions toe aan de definitie:

variable "role_definition_name" {
  type        = string
  description = "Name of the role definition."
  default     = "Azure DocumentDB RBAC Owner"
}

variable "role_definition_description" {
  type        = string
  description = "Description of the role definition."
  default     = "Can perform all Azure role-based access control actions for Azure DocumentDB clusters."
}

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 4.0"
    }
  }
}

provider "azurerm" {
  features {}
}

data "azurerm_client_config" "current" {}

data "azurerm_resource_group" "existing" {
  name = "<name-of-existing-resource-group>"
}

resource "azurerm_role_definition" "control_plane" {
  name               = var.role_definition_name
  scope              = data.azurerm_resource_group.existing.id
  description        = var.role_definition_description

  permissions {
    actions = [
      "Microsoft.DocumentDb/mongoClusters/*"
    ]
  }

  assignable_scopes = [
    data.azurerm_resource_group.existing.id
  ]
}

output "definition_id" {
  value = azurerm_role_definition.control_plane.id
}

Initialiseer de Terraform-implementatie.

terraform init --upgrade

Maak een uitvoeringsplan voor de roldefinitie en sla het op in een bestand met de naam role-definition.tfplan.

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform plan --out "role-definition.tfplan"

Pas het uitvoeringsplan toe om de roldefinitie te implementeren in Azure.

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform apply "role-definition.tfplan"

Controleer de uitvoer van de implementatie. De uitvoer bevat de unieke id van de roldefinitie in de definition_id eigenschap. Noteer deze waarde omdat deze is vereist voor gebruik in de toewijzingsstap verderop in deze handleiding.

Maak een nieuw Terraform-bestand om uw roltoewijzing te definiëren. Geef het bestand control-plane-role-assignmenttf de naam.

variable "role_definition_id" {
  type        = string
  description = "Id of the role definition to assign to the targeted principal in the context of the cluster."
}

variable "identity_id" {
  type        = string
  description = "Id of the identity/principal to assign this role in the context of the cluster."
}

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 4.0"
    }
  }
}

provider "azurerm" {
  features {}
}

data "azurerm_resource_group" "existing" {
  name = "<name-of-existing-resource-group>"
}

resource "azurerm_role_assignment" "control_plane" {
  scope              = data.azurerm_resource_group.existing.id
  role_definition_id = var.role_definition_id
  principal_id       = var.identity_id
}

Maak een nieuw Terraform-variabelenbestand met de naam control-plane-role-assignment.tfvars. In dit variabelenbestand; wijs de eerder vastgelegde roldefinitie-id's toe aan de role_definition_id variabele en de unieke id voor uw identiteit aan de identity_id variabele.

role_definition_id = "<id-of-new-role-definition>"
identity_id        = "<id-of-existing-identity>"

Initialiseer en pas deze Terraform-configuratie toe.

terraform init --upgrade

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform plan --var-file="control-plane-role-assignment.tfvars" --out "role-assignment.tfplan"

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform apply "role-assignment.tfplan"

Verkrijg de gegevens voor het momenteel aangemelde account met behulp van az ad signed-in-user.

az ad signed-in-user show

Met de opdracht wordt een JSON-antwoord uitgevoerd dat verschillende velden bevat.

{
  "@odata.context": "<https://graph.microsoft.com/v1.0/$metadata#users/$entity>",
  "businessPhones": [],
  "displayName": "Kai Carter",
  "givenName": "Kai",
  "id": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
  "jobTitle": "Senior Sales Representative",
  "mail": "<kai@adventure-works.com>",
  "mobilePhone": null,
  "officeLocation": "Redmond",
  "preferredLanguage": null,
  "surname": "Carter",
  "userPrincipalName": "<kai@adventure-works.com>"
}

Schakel Microsoft Entra ID-verificatie in op het cluster door de clusterresource bij te werken om MicrosoftEntraID op te nemen in de authConfig.allowedModes array.

az resource patch \
    --resource-group "<resource-group>" \
    --name "<cluster-name>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters" \
    --properties '{"authConfig":{"allowedModes":["MicrosoftEntraID","NativeAuth"]}}' \
    --latest-include-preview

Controleer of de wijziging is toegepast door de authConfig eigenschap op het cluster te lezen met behulp van az resource show.

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters" \
    --query "properties.authConfig" \
    --latest-include-preview

(Optioneel) Haal de unieke identificatie op voor de Microsoft Entra-principal (hoofdgebruiker) die je wilt registreren op het cluster. U kunt deze verkrijgen met de Azure CLI met behulp van een van de volgende opdrachten:

• Huidige aanmeldingsidentiteit

  az ad signed-in-user show      
  

• Een andere menselijke identiteit met een vriendelijke naam

  az ad user show \
    --id "<user-alias-and-domain>"
  

• Service-principal met app-identificatie

  az ad sp show \
    --id "<application-id>"
  

• Beheerde identiteit met behulp van resourcegroep en naam

  az identity show \
    --resource-group "<resource-group>" \
    --name "<managed-identity-name>"      
  

Maak een kleine Bicep-sjabloon waarmee het cluster authConfig wordt bijgewerkt om Microsoft Entra-id op te nemen (opslaan als enable-entra-id.bicep):

param clusterName string
param location string = resourceGroup().location

resource cluster 'Microsoft.DocumentDB/mongoClusters@2025-09-01' = {
  name: clusterName
  location: location
  properties: {
    authConfig: {
      allowedModes: [
        'MicrosoftEntraID'
        'NativeAuth'
      ]
    }
  }
}

Implementeer de sjabloon om het cluster bij te werken:

az deployment group create \
    --resource-group "<resource-group>" \
    --template-file enable-entra-id.bicep \
    --parameters clusterName="<cluster-name>"

Controleer de authConfig eigenschap op het cluster met behulp van az resource show.

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters" \
    --query "properties.authConfig" \
    --latest-include-preview

Zoek en selecteer in het deelvenster Start van Azure Portal de optie Microsoft Entra-id .

Selecteer in het deelvenster Overzicht voor de Microsoft Entra ID-tenant Gebruikers in de sectie Beheren van het servicemenu.

Selecteer in de lijst met gebruikers de identiteit (gebruiker) waarover u meer informatie wilt krijgen.

Bekijk in het detailvenster voor de specifieke gebruiker de waarde van de eigenschap Object-id .

Navigeer naar de bestaande Azure DocumentDB-clusterresource.

Selecteer Verificatie in het clustermenu onder Instellingen.

Selecteer in de sectie Verificatiemethodensysteemeigen DocumentDB en Microsoft Entra ID om Microsoft Entra ID-verificatie in te schakelen naast systeemeigen verificatie.

Selecteer Opslaan om de wijziging te behouden.

In de sectie Verificatiemethoden moeten nu zowel NativeAuth als MicrosoftEntraID worden vermeld als ingeschakelde methoden.

(Optioneel) Haal de unieke identificatie op voor de Microsoft Entra-principal (hoofdgebruiker) die je wilt registreren op het cluster. U kunt deze verkrijgen met de Azure CLI met behulp van een van de volgende opdrachten:

• Huidige aanmeldingsidentiteit

  az ad signed-in-user show      
  

• Een andere menselijke identiteit met een vriendelijke naam

  az ad user show \
    --id "<user-alias-and-domain>"
  

• Service-principal met app-identificatie

  az ad sp show \
    --id "<application-id>"
  

• Beheerde identiteit met behulp van resourcegroep en naam

  az identity show \
    --resource-group "<resource-group>" \
    --name "<managed-identity-name>"      
  

Maak een Terraform-configuratiebestand om Microsoft Entra ID-verificatie in te schakelen op uw bestaande cluster. Sla het bestand op als enable-entra-id.tf:

variable "cluster_name" {
  type        = string
  description = "Name of the existing cluster"
}

variable "resource_group_name" {
  type        = string
  description = "Name of the existing resource group"
}

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 4.0"
    }
  }
}

provider "azurerm" {
  features {}
}

data "azurerm_resource_group" "existing" {
  name = var.resource_group_name
}

data "azurerm_mongo_cluster" "existing" {
  name                = var.cluster_name
  resource_group_name = data.azurerm_resource_group.existing.name
}

resource "azurerm_mongo_cluster" "enable_entra" {
  name                   = data.azurerm_mongo_cluster.existing.name
  resource_group_name    = data.azurerm_resource_group.existing.name
  location               = data.azurerm_mongo_cluster.existing.location
  administrator_username = data.azurerm_mongo_cluster.existing.administrator_username
  administrator_password = data.azurerm_mongo_cluster.existing.administrator_password
  shard_count            = data.azurerm_mongo_cluster.existing.shard_count
  compute_tier           = data.azurerm_mongo_cluster.existing.compute_tier
  high_availability_mode = data.azurerm_mongo_cluster.existing.high_availability_mode
  storage_size_in_gb     = data.azurerm_mongo_cluster.existing.storage_size_in_gb
  version                = data.azurerm_mongo_cluster.existing.version

  # Enable both Microsoft Entra ID and Native authentication
  authentication_enabled = true
}

Maak een variabelenbestand met de naam enable-entra-id.tfvars met de clustergegevens:

cluster_name        = "<cluster-name>"
resource_group_name = "<resource-group>"

Initialiseer en pas de Terraform-configuratie toe om Microsoft Entra ID-verificatie in te schakelen:

terraform init --upgrade

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform plan --var-file="enable-entra-id.tfvars" --out "enable-entra.tfplan"

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform apply "enable-entra.tfplan"

Controleer de authConfig eigenschap op het cluster met behulp van az resource show.

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters" \
    --query "properties.authConfig" \
    --latest-include-preview

Haal de unieke id (object-id) op van de Microsoft Entra-principal waaraan u toegang wilt verlenen met behulp van een van de volgende opdrachten:

• Huidige aanmeldingsidentiteit

  az ad signed-in-user show      
  

• Een andere menselijke identiteit met een vriendelijke naam

  az ad user show \
    --id "<user-alias-and-domain>"
  

• Service-principal met app-identificatie

  az ad sp show \
    --id "<application-id>"
  

• Beheerde identiteit met behulp van resourcegroep en naam

  az identity show \
    --resource-group "<resource-group>" \
    --name "<managed-identity-name>"      
  

Registreer de principal in het cluster en wijs deze toe aan MongoDB-databaserollen. In het volgende voorbeeld wordt een principal geregistreerd als gebruiker readWrite in de sales database:

az resource create \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --location "<cluster-region>" \
    --properties '{"identityProvider":{"type":"MicrosoftEntraID","properties":{"principalType":"User"}},"roles":[{"db":"sales","role":"readWrite"}]}' \
    --latest-include-preview

• Vervang principalType door servicePrincipal voor app-/service-principals of ManagedIdentity voor beheerde identiteiten.
• Als u beheerdersbevoegdheden wilt verlenen, gebruikt u {"db":"admin","role":"root"} in de roles array.

Alle geregistreerde principals en hun toegewezen rollen weergeven (weergave op clusterniveau):

az rest \
    --method "GET" \
    --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.DocumentDB/mongoClusters/<cluster-name>/users?api-version=2025-09-01"

• Het antwoord bevat een matrix met gebruikersbronnen, elk met identityProvider metagegevens en een roles matrix met toegewezen databaserollen.

Details voor een specifieke geregistreerde principal ophalen (vervangen <principal-id>):

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

Een geregistreerde Principal verwijderen (toegang tot dataplane intrekken):

az resource delete \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

Maak een Bicep-bestand (bijvoorbeeld register-principal.bicep) om de principal te registreren en database rollen toe te wijzen.

param clusterName string
param principalId string
param location string = resourceGroup().location
param principalType string = 'User'
param roles array = [
  {
    db: 'sales'
    role: 'readWrite'
  }
]

resource user 'Microsoft.DocumentDB/mongoClusters/users@2025-09-01' = {
  name: '${clusterName}/users/${principalId}'
  location: location
  properties: {
    identityProvider: {
      type: 'Microsoft.EntraID'
      properties: {
        principalType: principalType
      }
    }
    roles: roles
  }
}

Implementeer de Bicep-sjabloon om de principal te registreren:

az deployment group create \
    --resource-group "<resource-group>" \
    --template-file register-principal.bicep \
    --parameters clusterName="<cluster-name>" principalId="<principal-id>"

Geef alle geregistreerde principals voor het cluster weer met behulp van de REST API (handig na bicep-implementatie):

az rest \
    --method GET \
    --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.DocumentDB/mongoClusters/<cluster-name>/users?api-version=2025-09-01"

Details ophalen voor een specifieke geregistreerde principal die door Bicep is aangemaakt (vervang <principal-id>).

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

Verwijder de principal door de resource te verwijderen (of implementeer een sjabloon zonder de gebruikersresource):

az resource delete \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

Open het Azure DocumentDB-doelcluster in Azure Portal.

Selecteer bij Instellingen de optie Verificatie.

In de sectie Verificatie van Microsoft Entra-id's worden in de portal de geregistreerde Microsoft Entra-principals per object-id vermeld. Gebruik deze weergave om het volgende te doen:

• Scan de lijst op verwachte object-id's.
• Inspecteer de details voor een enkele principal door een vermelde entry te selecteren (of gebruik de zoekfunctie in de portal).
• Gebruik de actie Verwijderen naast een vermelding om de toegang tot de gegevensvlak van die principal onmiddellijk in te trekken.

Als u vriendelijke namen wilt ophalen voor object-ID's die worden weergegeven in de portallijst, gebruikt u de pagina Gebruikers in de sectie van Microsoft Entra ID. Zoek vervolgens op object-ID of vriendelijke naam.

Haal de unieke id (object-id) op van de Microsoft Entra-principal waaraan u toegang wilt verlenen met behulp van een van de volgende opdrachten:

• Huidige aanmeldingsidentiteit

  az ad signed-in-user show      
  

• Een andere menselijke identiteit met een vriendelijke naam

  az ad user show \
    --id "<user-alias-and-domain>"
  

• Service-principal met app-identificatie

  az ad sp show \
    --id "<application-id>"
  

• Beheerde identiteit met behulp van resourcegroep en naam

  az identity show \
    --resource-group "<resource-group>" \
    --name "<managed-identity-name>"      
  

Maak een Terraform-bestand (bijvoorbeeld register-principal.tf) om de hoofdgebruiker te registreren en database rollen toe te wijzen met behulp van de AzAPI-provider.

variable "cluster_name" {
  type        = string
  description = "Name of the existing cluster"
}

variable "resource_group_name" {
  type        = string
  description = "Name of the existing resource group"
}

variable "principal_id" {
  type        = string
  description = "Object ID of the Microsoft Entra principal"
}

variable "principal_type" {
  type        = string
  description = "Type of principal: User, ServicePrincipal, or ManagedIdentity"
  default     = "User"
}

variable "roles" {
  type = list(object({
    db   = string
    role = string
  }))
  description = "Database roles to assign"
  default = [
    {
      db   = "sales"
      role = "readWrite"
    }
  ]
}

terraform {
  required_providers {
    azapi = {
      source  = "azure/azapi"
      version = "~> 2.0"
    }
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 4.0"
    }
  }
}

provider "azurerm" {
  features {}
}

provider "azapi" {}

data "azurerm_resource_group" "existing" {
  name = var.resource_group_name
}

data "azurerm_mongo_cluster" "existing" {
  name                = var.cluster_name
  resource_group_name = var.resource_group_name
}

resource "azapi_resource" "mongo_cluster_user" {
  type      = "Microsoft.DocumentDB/mongoClusters/users@2025-09-01"
  name      = var.principal_id
  parent_id = data.azurerm_mongo_cluster.existing.id
  location  = data.azurerm_resource_group.existing.location

  body = {
    properties = {
      identityProvider = {
        type = "MicrosoftEntraID"
        properties = {
          principalType = var.principal_type
        }
      }
      roles = var.roles
    }
  }
}

Maak een variabelenbestand met de naam register-principal.tfvars:

cluster_name        = "<cluster-name>"
resource_group_name = "<resource-group>"
principal_id        = "<principal-id>"
principal_type      = "User"
roles = [
  {
    db   = "sales"
    role = "readWrite"
  }
]

Initialiseer en pas de Terraform-configuratie toe om de principal te registreren:

terraform init --upgrade

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform plan --var-file="register-principal.tfvars" --out "register-principal.tfplan"

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform apply "register-principal.tfplan"

Geef alle geregistreerde principals voor het cluster weer met behulp van de REST API (handig na terraform-implementatie):

az rest \
    --method GET \
    --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.DocumentDB/mongoClusters/<cluster-name>/users?api-version=2025-09-01"

Details ophalen voor een specifieke geregistreerde principal die is gemaakt door Terraform (vervangen <principal-id>):

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

Verwijder de principal door de Terraform-resource te vernietigen:

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform destroy --var-file="register-principal.tfvars"

Navigeer naar het Azure DocumentDB-cluster.

Selecteer de navigatiemenuoptie Verbindingsreeksen .

Kopieer of noteer de waarde uit het veld Verbindingsreeks .