使用基于角色的访问控制和Microsoft Entra ID 连接到 Azure DocumentDB

打开新的终端。

登录到 Azure CLI。

使用 az group show 来获取当前资源组的元数据。

az group show \
    --name "<name-of-existing-resource-group>"

观察上一命令的输出。 记录此资源组的属性 id 值，因为下一步需要使用此属性。

{
  "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example",
  "location": "westus",
  "name": "msdocs-identity-example",
  "type": "Microsoft.Resources/resourceGroups"
}

创建名为 role-definition.json的新 JSON 文件。 在文件中，创建此资源定义，指定此处列出的值。 在AssignableScopes列表中，添加上一步中记录的资源组的id属性。

{
  "Name": "Azure DocumentDB RBAC Owner",
  "IsCustom": true,
  "Description": "Can perform all Azure role-based access control actions for Azure DocumentDB clusters.",
  "Actions": [
    "Microsoft.DocumentDb/mongoClusters/*"
  ],
  "AssignableScopes": [
    "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example"
  ]
}

使用 az role definition create. 创建一个新的角色定义。 使用 role-definition.json 文件作为 --role-definition 参数的输入。

az role definition create \
    --role-definition role-definition.json

查看定义创建命令的输出。 输出包含属性中 id 角色定义的唯一标识符。 记下此值，因为本指南后面的工作分配步骤需要使用此值。

{
  "assignableScopes": [
    "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example"
  ],
  "description": "Can perform all Azure role-based access control actions for Azure DocumentDB clusters.",
  "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.Authorization/roleDefinitions/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
  "name": "e4e4e4e4-ffff-aaaa-bbbb-c5c5c5c5c5c5",
  "permissions": [
    {
      "actions": [
        "Microsoft.DocumentDb/*"
      ]
    }
  ],
  "roleName": "Azure DocumentDB RBAC Owner",
  "roleType": "CustomRole"
}

打开新的终端。

登录到 Azure CLI。

创建新的 Bicep 文件以定义角色定义。 将文件 control-plane-role-definition.bicep 命名。 将以下项 actions 添加到定义：

metadata description = 'Create RBAC definition for Azure role-based access control access to Azure DocumentDB.'

@description('Name of the role definition.')
param roleDefinitionName string = 'Azure DocumentDB RBAC Owner'

@description('Description of the role definition.')
param roleDefinitionDescription string = 'Can perform all Azure role-based access control actions for Azure DocumentDB clusters.'

resource definition 'Microsoft.Authorization/roleDefinitions@2022-04-01' = {
  name: guid(subscription().id, resourceGroup().id, roleDefinitionName)
  scope: resourceGroup()
  properties: {
    roleName: roleDefinitionName
    description: roleDefinitionDescription
    type: 'CustomRole'
    permissions: [
      {
        actions: [
          'Microsoft.DocumentDb/mongoClusters/*'
        ]
      }
    ]
    assignableScopes: [
      resourceGroup().id
    ]
  }
}

output definitionId string = definition.id

使用 az deployment group create 部署 Bicep 模板。 指定 Bicep 模板和 Azure 资源组的名称。

az deployment group create \
    --resource-group "<name-of-existing-resource-group>" \
    --template-file control-plane-role-definition.bicep

查看部署的输出。 输出包含属性中 properties.outputs.definitionId.value 角色定义的唯一标识符。 记下此值，因为本指南后面的工作分配步骤需要使用此值。

{
  "properties": {
    "outputs": {
      "definitionId": {
        "type": "String",
        "value": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.Authorization/roleDefinitions/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"
      }
    }
  }
}

创建新的 Bicep 文件以定义角色分配。 将文件命名为 control-plane-role-assignment.bicep。

metadata description = 'Assign RBAC role for Azure role-based access control access to Azure DocumentDB.'

@description('Id of the role definition to assign to the targeted principal in the context of the cluster.')
param roleDefinitionId string

@description('Id of the identity/principal to assign this role in the context of the cluster.')
param identityId string

resource assignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(subscription().id, resourceGroup().id, roleDefinitionId, identityId)
  scope: resourceGroup()
  properties: {
    roleDefinitionId: roleDefinitionId
    principalId: identityId
  }
}

创建名为 control-plane-role-assignment 的新 Bicep 参数文件。bicepparam 在此参数文件中。将以前记录的角色定义标识符分配给参数 roleDefinitionId，将您身份的唯一标识符分配给参数 identityId。

using './control-plane-role-assignment.bicep'

param roleDefinitionId = '<id-of-new-role-definition>'
param identityId = '<id-of-existing-identity>'

使用 az deployment group create 部署此 Bicep 模板。

az deployment group create \
    --resource-group "<name-of-existing-resource-group>" \
    --parameters control-plane-role-assignment.bicepparam \
    --template-file control-plane-role-assignment.bicep

登录到 Azure 门户 (https://portal.azure.com)。

在全局搜索栏中输入 资源组 。

在 “服务”中，选择 “资源组”。

在“ 资源组 ”窗格中，选择现有的资源组。

在资源组的窗格中，在服务菜单中选择 访问控制（IAM ）。

在 “访问控制”（IAM） 窗格中，选择“ 添加”。 然后选择 “添加自定义角色”。

在 “基本信息 ”窗格中，配置以下选项，然后选择“ 下一步” ：

在“ 权限 ”窗格中，选择“ 添加权限”。 然后，在权限对话框中搜索 DocumentDB 。 最后，选择 Microsoft.DocumentDB/mongoClusters 选项。

在“权限”对话框中，为 选择所有 Microsoft.DocumentDB/mongoClusters。 然后选择 “添加 ”以返回到“权限 ”窗格。

返回“ 权限 ”窗格，观察权限列表。 然后选择 “查看 + 创建”。

在 “审阅 + 创建 ”窗格中，查看新角色定义的指定选项。 最后，选择“ 创建”。

等待门户完成角色定义创建。

在 “访问控制”（IAM） 窗格中，选择“ 添加 ”，然后选择 “添加角色分配”。

在 “角色 ”窗格中，搜索 Azure DocumentDB 并选择本指南前面创建的 Azure DocumentDB RBAC 所有者 角色。 然后选择下一步。

在“ 成员 ”窗格中，选择“ 选择成员 ”选项。 在成员对话框中，选择要为 Azure DocumentDB 群集授予此级别访问权限的标识，然后使用 “选择 ”选项确认选择。

返回“ 成员 ”窗格，查看所选成员[s]，然后选择“ 审阅 + 分配”。

在 “审阅 + 分配 ”窗格中，查看新角色分配的指定选项。 最后，选择“ 审阅 + 分配”。

等待门户完成创建角色分配。

打开新的终端。

登录到 Azure CLI。

检查目标 Azure 订阅。

az account show

创建新的 Terraform 文件以定义角色定义。 将文件 control-plane-role-definition 命名。tf 将以下项 actions 添加到定义：

variable "role_definition_name" {
  type        = string
  description = "Name of the role definition."
  default     = "Azure DocumentDB RBAC Owner"
}

variable "role_definition_description" {
  type        = string
  description = "Description of the role definition."
  default     = "Can perform all Azure role-based access control actions for Azure DocumentDB clusters."
}

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 4.0"
    }
  }
}

provider "azurerm" {
  features {}
}

data "azurerm_client_config" "current" {}

data "azurerm_resource_group" "existing" {
  name = "<name-of-existing-resource-group>"
}

resource "azurerm_role_definition" "control_plane" {
  name               = var.role_definition_name
  scope              = data.azurerm_resource_group.existing.id
  description        = var.role_definition_description

  permissions {
    actions = [
      "Microsoft.DocumentDb/mongoClusters/*"
    ]
  }

  assignable_scopes = [
    data.azurerm_resource_group.existing.id
  ]
}

output "definition_id" {
  value = azurerm_role_definition.control_plane.id
}

初始化 Terraform 部署。

terraform init --upgrade

为角色定义创建执行计划，并将其保存到名为 role-definition.tfplan 的文件。

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform plan --out "role-definition.tfplan"

应用执行计划将角色定义部署到 Azure。

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform apply "role-definition.tfplan"

查看部署的输出。 输出包含属性中 definition_id 角色定义的唯一标识符。 记下此值，因为本指南后面的工作分配步骤需要使用此值。

创建新的 Terraform 文件以定义角色分配。 将文件 control-plane-role-assignment 命名。tf

variable "role_definition_id" {
  type        = string
  description = "Id of the role definition to assign to the targeted principal in the context of the cluster."
}

variable "identity_id" {
  type        = string
  description = "Id of the identity/principal to assign this role in the context of the cluster."
}

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 4.0"
    }
  }
}

provider "azurerm" {
  features {}
}

data "azurerm_resource_group" "existing" {
  name = "<name-of-existing-resource-group>"
}

resource "azurerm_role_assignment" "control_plane" {
  scope              = data.azurerm_resource_group.existing.id
  role_definition_id = var.role_definition_id
  principal_id       = var.identity_id
}

创建名为 control-plane-role-assignment.tfvars 的新 Terraform 变量文件。 在此变量文件中;将以前记录的角色定义标识符分配给 role_definition_id 变量，并将标识的唯一标识符分配给 identity_id 变量。

role_definition_id = "<id-of-new-role-definition>"
identity_id        = "<id-of-existing-identity>"

初始化并应用此 Terraform 配置。

terraform init --upgrade

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform plan --var-file="control-plane-role-assignment.tfvars" --out "role-assignment.tfplan"

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform apply "role-assignment.tfplan"

使用 az ad signed-in-user 获取当前登录帐户的详细信息。

az ad signed-in-user show

该命令将输出包含各种字段的 JSON 响应。

{
  "@odata.context": "<https://graph.microsoft.com/v1.0/$metadata#users/$entity>",
  "businessPhones": [],
  "displayName": "Kai Carter",
  "givenName": "Kai",
  "id": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
  "jobTitle": "Senior Sales Representative",
  "mail": "<kai@adventure-works.com>",
  "mobilePhone": null,
  "officeLocation": "Redmond",
  "preferredLanguage": null,
  "surname": "Carter",
  "userPrincipalName": "<kai@adventure-works.com>"
}

通过将 authConfig.allowedModes 包含在 MicrosoftEntraID 数组中并更新群集资源，以在群集上启用 Microsoft Entra ID 身份验证：

az resource patch \
    --resource-group "<resource-group>" \
    --name "<cluster-name>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters" \
    --properties '{"authConfig":{"allowedModes":["MicrosoftEntraID","NativeAuth"]}}' \
    --latest-include-preview

使用 az resource show 读取 authConfig 群集上的属性，以验证更改是否已应用。

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters" \
    --query "properties.authConfig" \
    --latest-include-preview

（可选）获取计划在群集上注册的 Microsoft Entra 主体的唯一标识符。 可以使用以下命令之一通过 Azure CLI 获取它：

• 当前已登录身份

  az ad signed-in-user show      
  

• 使用友好名称的另一个个人身份

  az ad user show \
    --id "<user-alias-and-domain>"
  

• 服务主体使用应用程序标识符

  az ad sp show \
    --id "<application-id>"
  

• 使用资源组和名称的托管标识

  az identity show \
    --resource-group "<resource-group>" \
    --name "<managed-identity-name>"      
  

创建一个小型 Bicep 模板，用于更新群集 authConfig 以包含 Microsoft Entra ID（另存为 enable-entra-id.bicep）：

param clusterName string
param location string = resourceGroup().location

resource cluster 'Microsoft.DocumentDB/mongoClusters@2025-09-01' = {
  name: clusterName
  location: location
  properties: {
    authConfig: {
      allowedModes: [
        'MicrosoftEntraID'
        'NativeAuth'
      ]
    }
  }
}

部署模板以更新群集：

az deployment group create \
    --resource-group "<resource-group>" \
    --template-file enable-entra-id.bicep \
    --parameters clusterName="<cluster-name>"

使用 az resource show 验证群集上的 authConfig 属性。

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters" \
    --query "properties.authConfig" \
    --latest-include-preview

在 Azure 门户的 “主页 ”窗格中，找到并选择 Microsoft Entra ID 选项。

在Microsoft Entra ID 租户的“概述”窗格中，选择“服务”菜单的“管理”部分内的“用户”。

在用户列表中，选择您要获取更多信息的用户身份。

在特定用户的详细信息窗格中，观察 对象 ID 属性的值。

导航到现有的 Azure DocumentDB 群集资源。

在群集菜单中的 “设置”下，选择“ 身份验证”。

在 “身份验证方法” 部分中，选择 “本机 DocumentDB 身份验证”和“Microsoft Entra ID”，以启用 Microsoft Entra ID 身份验证以及本机身份验证。

选择 “保存” 以保留更改。

“身份验证方法”部分现在应同时将 NativeAuth 和 MicrosoftEntraID 列为已启用的方法。

（可选）获取计划在群集上注册的 Microsoft Entra 主体的唯一标识符。 可以使用以下命令之一通过 Azure CLI 获取它：

• 当前已登录身份

  az ad signed-in-user show      
  

• 使用友好名称的另一个个人身份

  az ad user show \
    --id "<user-alias-and-domain>"
  

• 服务主体使用应用程序标识符

  az ad sp show \
    --id "<application-id>"
  

• 使用资源组和名称的托管标识

  az identity show \
    --resource-group "<resource-group>" \
    --name "<managed-identity-name>"      
  

创建 Terraform 配置文件，以便在现有群集上启用Microsoft Entra ID 身份验证。 将文件另存为 enable-entra-id.tf：

variable "cluster_name" {
  type        = string
  description = "Name of the existing cluster"
}

variable "resource_group_name" {
  type        = string
  description = "Name of the existing resource group"
}

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 4.0"
    }
  }
}

provider "azurerm" {
  features {}
}

data "azurerm_resource_group" "existing" {
  name = var.resource_group_name
}

data "azurerm_mongo_cluster" "existing" {
  name                = var.cluster_name
  resource_group_name = data.azurerm_resource_group.existing.name
}

resource "azurerm_mongo_cluster" "enable_entra" {
  name                   = data.azurerm_mongo_cluster.existing.name
  resource_group_name    = data.azurerm_resource_group.existing.name
  location               = data.azurerm_mongo_cluster.existing.location
  administrator_username = data.azurerm_mongo_cluster.existing.administrator_username
  administrator_password = data.azurerm_mongo_cluster.existing.administrator_password
  shard_count            = data.azurerm_mongo_cluster.existing.shard_count
  compute_tier           = data.azurerm_mongo_cluster.existing.compute_tier
  high_availability_mode = data.azurerm_mongo_cluster.existing.high_availability_mode
  storage_size_in_gb     = data.azurerm_mongo_cluster.existing.storage_size_in_gb
  version                = data.azurerm_mongo_cluster.existing.version

  # Enable both Microsoft Entra ID and Native authentication
  authentication_enabled = true
}

使用群集详细信息创建名为 enable-entra-id.tfvars 的 变量文件：

cluster_name        = "<cluster-name>"
resource_group_name = "<resource-group>"

初始化并应用 Terraform 配置以启用Microsoft Entra ID 身份验证：

terraform init --upgrade

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform plan --var-file="enable-entra-id.tfvars" --out "enable-entra.tfplan"

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform apply "enable-entra.tfplan"

使用 az resource show 验证群集上的 authConfig 属性。

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters" \
    --query "properties.authConfig" \
    --latest-include-preview

获取要授予访问权限的 Microsoft Entra 主体的唯一标识符（对象 ID），使用以下命令之一：

• 当前已登录身份

  az ad signed-in-user show      
  

• 使用友好名称的另一个个人身份

  az ad user show \
    --id "<user-alias-and-domain>"
  

• 服务主体使用应用程序标识符

  az ad sp show \
    --id "<application-id>"
  

• 使用资源组和名称的托管标识

  az identity show \
    --resource-group "<resource-group>" \
    --name "<managed-identity-name>"      
  

在群集上注册主体对象，并将其映射到 MongoDB 数据库角色。 以下示例将主体注册为 sales 数据库中的 readWrite 用户：

az resource create \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --location "<cluster-region>" \
    --properties '{"identityProvider":{"type":"MicrosoftEntraID","properties":{"principalType":"User"}},"roles":[{"db":"sales","role":"readWrite"}]}' \
    --latest-include-preview

• 将principalType替换为应用/服务主体的servicePrincipal或托管标识的ManagedIdentity。
• 若要授予管理权限，请在 roles 数组中使用 {"db":"admin","role":"root"}。

列出所有已注册主体及其映射角色（群集级别视图）：

az rest \
    --method "GET" \
    --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.DocumentDB/mongoClusters/<cluster-name>/users?api-version=2025-09-01"

• 响应包含一组用户资源，每个资源都有 identityProvider 元数据和一个 roles 显示映射的数据库角色的数组。

获取特定注册主体的详细信息（替换 <principal-id>）：

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

删除已注册主体（撤销数据平面访问）：

az resource delete \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

创建 Bicep 文件（例如 register-principal.bicep），以注册主体和映射数据库角色：

param clusterName string
param principalId string
param location string = resourceGroup().location
param principalType string = 'User'
param roles array = [
  {
    db: 'sales'
    role: 'readWrite'
  }
]

resource user 'Microsoft.DocumentDB/mongoClusters/users@2025-09-01' = {
  name: '${clusterName}/users/${principalId}'
  location: location
  properties: {
    identityProvider: {
      type: 'Microsoft.EntraID'
      properties: {
        principalType: principalType
      }
    }
    roles: roles
  }
}

部署 Bicep 模板以注册主体：

az deployment group create \
    --resource-group "<resource-group>" \
    --template-file register-principal.bicep \
    --parameters clusterName="<cluster-name>" principalId="<principal-id>"

使用 REST API 列出群集的所有已注册主体（在 Bicep 部署后很有用）：

az rest \
    --method GET \
    --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.DocumentDB/mongoClusters/<cluster-name>/users?api-version=2025-09-01"

获取 Bicep 创建的特定注册主体的详细信息（替换 <principal-id>）：

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

通过删除资源（或部署没有用户资源的模板）删除主体：

az resource delete \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

在 Azure 门户中打开目标 Azure DocumentDB 群集。

在“设置”下选择“身份验证”。

在 “Microsoft Entra ID 身份验证 ”部分中，门户按对象 ID 列出已注册的Microsoft Entra 主体。 使用此视图可以：

• 扫描列表以查找预期的对象标识符。
• 通过选择列出的条目（或使用门户的搜索功能）检查单个主体的详细信息。
• 使用对应条目旁边的“删除”操作，立即撤销用户的数据平面访问权限。

若要获取门户列表中显示的对象标识符的友好名称，请使用“Microsoft Entra ID”部分内的“用户”页。 然后，按对象 ID 或友好名称进行搜索。

获取要授予访问权限的 Microsoft Entra 主体的唯一标识符（对象 ID），使用以下命令之一：

• 当前已登录身份

  az ad signed-in-user show      
  

• 使用友好名称的另一个个人身份

  az ad user show \
    --id "<user-alias-and-domain>"
  

• 服务主体使用应用程序标识符

  az ad sp show \
    --id "<application-id>"
  

• 使用资源组和名称的托管标识

  az identity show \
    --resource-group "<resource-group>" \
    --name "<managed-identity-name>"      
  

创建 Terraform 文件（例如 register-principal.tf），以使用 AzAPI 提供程序来注册主体并映射数据库角色：

variable "cluster_name" {
  type        = string
  description = "Name of the existing cluster"
}

variable "resource_group_name" {
  type        = string
  description = "Name of the existing resource group"
}

variable "principal_id" {
  type        = string
  description = "Object ID of the Microsoft Entra principal"
}

variable "principal_type" {
  type        = string
  description = "Type of principal: User, ServicePrincipal, or ManagedIdentity"
  default     = "User"
}

variable "roles" {
  type = list(object({
    db   = string
    role = string
  }))
  description = "Database roles to assign"
  default = [
    {
      db   = "sales"
      role = "readWrite"
    }
  ]
}

terraform {
  required_providers {
    azapi = {
      source  = "azure/azapi"
      version = "~> 2.0"
    }
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 4.0"
    }
  }
}

provider "azurerm" {
  features {}
}

provider "azapi" {}

data "azurerm_resource_group" "existing" {
  name = var.resource_group_name
}

data "azurerm_mongo_cluster" "existing" {
  name                = var.cluster_name
  resource_group_name = var.resource_group_name
}

resource "azapi_resource" "mongo_cluster_user" {
  type      = "Microsoft.DocumentDB/mongoClusters/users@2025-09-01"
  name      = var.principal_id
  parent_id = data.azurerm_mongo_cluster.existing.id
  location  = data.azurerm_resource_group.existing.location

  body = {
    properties = {
      identityProvider = {
        type = "MicrosoftEntraID"
        properties = {
          principalType = var.principal_type
        }
      }
      roles = var.roles
    }
  }
}

创建名为 ： 的 register-principal.tfvars变量文件：

cluster_name        = "<cluster-name>"
resource_group_name = "<resource-group>"
principal_id        = "<principal-id>"
principal_type      = "User"
roles = [
  {
    db   = "sales"
    role = "readWrite"
  }
]

初始化并应用 Terraform 配置以注册主体：

terraform init --upgrade

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform plan --var-file="register-principal.tfvars" --out "register-principal.tfplan"

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform apply "register-principal.tfplan"

使用 REST API 列出群集的所有已注册主体（在 Terraform 部署后很有用）：

az rest \
    --method GET \
    --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.DocumentDB/mongoClusters/<cluster-name>/users?api-version=2025-09-01"

获取由 Terraform 创建的特定注册主体的详细信息（替换 <principal-id>）：

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

通过销毁 Terraform 资源移除主体：

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform destroy --var-file="register-principal.tfvars"

导航到 Azure DocumentDB 群集。

选择 连接字符串 导航菜单选项。

复制或记录 连接字符串 字段中的值。