Microsoft Fabric 中的 Cosmos DB 是一种经过 AI 优化的 NoSQL 数据库，可借助简化的管理体验自动为典型开发需求配置。 Fabric 为 Fabric 中的 Cosmos DB 提供内置的安全性、访问控制和监视。 虽然 Fabric 提供内置安全功能来保护数据，但必须遵循最佳做法来进一步增强帐户、数据和网络配置的安全性。
本文提供了有关如何在 Fabric 部署中最好地保护 Cosmos DB 的指导。
标识管理
使用托管标识从其他 Azure 服务访问帐户：托管标识无需通过在 Microsoft Entra ID 中提供自动托管标识来管理凭据。 使用托管标识从其他 Azure 服务安全地访问 Cosmos DB，而无需在代码中嵌入凭据。 虽然 Fabric 中的 Cosmos DB 支持多种类型的标识类型（服务主体），但托管标识是首选选择，因为它们不需要解决方案直接处理凭据。 有关详细信息，请参阅 来自 Azure 主机服务的身份验证。
使用 Microsoft Entra 身份验证在开发解决方案时查询、创建和访问容器中的项：使用您的人工身份和 Microsoft Entra 身份验证访问 Cosmos DB 容器中的项。 对查询、创建和其他操作强制实施最低特权访问。 此措施有助于保护您的数据操作。 关于更多信息，请参阅 如何从开发环境安全连接。
将用于数据和控制平面访问的 Azure 标识分开：对控制平面和数据平面作使用不同的 Azure 标识，以减少特权提升的风险，并确保更好的访问控制。 这种分离通过限制每个标识的范围来提高安全性。 有关详细信息，请参阅 配置授权。
用户权限
- 配置最低权限的 Fabric 工作区访问权限：用户权限是基于当前工作区访问级别强制实施的。 如果用户从 Fabric 工作区中删除，它们也会自动失去对关联的 Cosmos DB 数据库和基础数据的访问权限。 有关详细信息，请参阅 Fabric 权限模型。
执行上下文和身份考虑
了解笔记本执行标识：在 Fabric 工作区中使用笔记本时，请注意，无论谁执行，Fabric 项目始终使用创建笔记本的用户标识执行。 这意味着数据访问权限和审核线索将反映笔记本创建者的标识，而不是执行程序的标识。 相应地规划笔记本的创建和共享策略，以确保适当的访问控制。
规划工作区标识限制：目前，Fabric 不支持
run-as工作区标识的功能。 操作使用创建它们的用户身份执行，而不是使用共享工作区身份。 在设计多用户方案时考虑这一点，并确保相应的用户创建将在工作区中共享的项目。