使用角色访问控制和 Microsoft Entra ID 连接到 Azure DocumentDB

打开新的终端。

登录到Azure CLI。

使用 az group show 获取当前资源组的元数据。

az group show \
    --name "<name-of-existing-resource-group>"

观察上一命令的输出。 记录此资源组的属性 id 值，因为下一步需要使用此属性。

{
  "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example",
  "location": "chinanorth3",
  "name": "msdocs-identity-example",
  "type": "Microsoft.Resources/resourceGroups"
}

创建名为 role-definition.json的新 JSON 文件。 在文件中，创建此资源定义，指定此处列出的值。 在AssignableScopes列表中，添加上一步中记录的资源组的id属性。

{
  "Name": "Azure DocumentDB RBAC Owner",
  "IsCustom": true,
  "Description": "Can perform all Azure role-based access control actions for Azure DocumentDB clusters.",
  "Actions": [
    "Microsoft.DocumentDb/mongoClusters/*"
  ],
  "AssignableScopes": [
    "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example"
  ]
}

使用 az role definition create 创建新的角色定义。 使用 role-definition.json 文件作为 --role-definition 参数的输入。

az role definition create \
    --role-definition role-definition.json

查看定义创建命令的输出。 输出包含属性中 id 角色定义的唯一标识符。 记下此值，因为本指南后面的工作分配步骤需要使用此值。

{
  "assignableScopes": [
    "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example"
  ],
  "description": "Can perform all Azure role-based access control actions for Azure DocumentDB clusters.",
  "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.Authorization/roleDefinitions/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
  "name": "e4e4e4e4-ffff-aaaa-bbbb-c5c5c5c5c5c5",
  "permissions": [
    {
      "actions": [
        "Microsoft.DocumentDb/*"
      ]
    }
  ],
  "roleName": "Azure DocumentDB RBAC Owner",
  "roleType": "CustomRole"
}

打开新的终端。

登录到Azure CLI。

创建新的 Bicep 文件以定义角色定义。 将文件 control-plane-role-definition.bicep 命名。 将以下项 actions 添加到定义：

metadata description = 'Create RBAC definition for Azure role-based access control access to Azure DocumentDB.'

@description('Name of the role definition.')
param roleDefinitionName string = 'Azure DocumentDB RBAC Owner'

@description('Description of the role definition.')
param roleDefinitionDescription string = 'Can perform all Azure role-based access control actions for Azure DocumentDB clusters.'

resource definition 'Microsoft.Authorization/roleDefinitions@2022-04-01' = {
  name: guid(subscription().id, resourceGroup().id, roleDefinitionName)
  scope: resourceGroup()
  properties: {
    roleName: roleDefinitionName
    description: roleDefinitionDescription
    type: 'CustomRole'
    permissions: [
      {
        actions: [
          'Microsoft.DocumentDb/mongoClusters/*'
        ]
      }
    ]
    assignableScopes: [
      resourceGroup().id
    ]
  }
}

output definitionId string = definition.id

使用 az deployment group create 部署 Bicep 模板。 指定 Bicep 模板的名称和 Azure 资源组。

az deployment group create \
    --resource-group "<name-of-existing-resource-group>" \
    --template-file control-plane-role-definition.bicep

查看部署的输出。 输出包含属性中 properties.outputs.definitionId.value 角色定义的唯一标识符。 记下此值，因为本指南后面的工作分配步骤需要使用此值。

{
  "properties": {
    "outputs": {
      "definitionId": {
        "type": "String",
        "value": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.Authorization/roleDefinitions/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"
      }
    }
  }
}

创建新的 Bicep 文件以定义角色分配。 将文件命名为 control-plane-role-assignment.bicep。

metadata description = 'Assign RBAC role for Azure role-based access control access to Azure DocumentDB.'

@description('Id of the role definition to assign to the targeted principal in the context of the cluster.')
param roleDefinitionId string

@description('Id of the identity/principal to assign this role in the context of the cluster.')
param identityId string

resource assignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(subscription().id, resourceGroup().id, roleDefinitionId, identityId)
  scope: resourceGroup()
  properties: {
    roleDefinitionId: roleDefinitionId
    principalId: identityId
  }
}

创建名为 control-plane-role-assignment 的新 Bicep 参数文件。bicepparam 在此参数文件中。将以前记录的角色定义标识符分配给参数 roleDefinitionId，将您身份的唯一标识符分配给参数 identityId。

using './control-plane-role-assignment.bicep'

param roleDefinitionId = '<id-of-new-role-definition>'
param identityId = '<id-of-existing-identity>'

使用 az deployment group create 部署此 Bicep 模板。

az deployment group create \
    --resource-group "<name-of-existing-resource-group>" \
    --parameters control-plane-role-assignment.bicepparam \
    --template-file control-plane-role-assignment.bicep

登录到 Azure portal （https://portal.azure.cn）。

在global search栏中输入 Resource group。

在 “服务”中，选择 “资源组”。

在“ 资源组 ”窗格中，选择现有的资源组。

在资源组的窗格中，在服务菜单中选择Access control （IAM）。

在 Access control （IAM） 窗格中，选择 Add。 然后选择 “添加自定义角色”。

在 “基本信息 ”窗格中，配置以下选项，然后选择“ 下一步” ：

在“ 权限 ”窗格中，选择“ 添加权限”。 然后，在权限对话框中搜索 DocumentDB 。 最后，选择 Microsoft.DocumentDB/mongoClusters 选项。

在“权限”对话框中，为 选择所有 Microsoft.DocumentDB/mongoClusters。 然后选择 “添加 ”以返回到“权限 ”窗格。

返回“ 权限 ”窗格，观察权限列表。 然后选择 “查看 + 创建”。

在 “审阅 + 创建 ”窗格中，查看新角色定义的指定选项。 最后，选择“ 创建”。

等待门户完成角色定义创建。

在 Access control （IAM） 窗格中，选择 Add，然后选择 Add 角色分配。

在 Role 窗格中，搜索 Azure DocumentDB，然后选择本指南前面创建的 Azure DocumentDB RBAC 所有者角色。 然后选择下一步。

在“ 成员 ”窗格中，选择“ 选择成员 ”选项。 在成员对话框中，选择要为 Azure DocumentDB 群集授予此级别access的标识，然后使用 Select 选项确认选择。

返回“ 成员 ”窗格，查看所选成员[s]，然后选择“ 审阅 + 分配”。

在 “审阅 + 分配 ”窗格中，查看新角色分配的指定选项。 最后，选择“ 审阅 + 分配”。

等待门户完成创建角色分配。

打开新的终端。

登录到Azure CLI。

检查目标Azure订阅。

az account show

创建新的 Terraform 文件以定义角色定义。 将文件 control-plane-role-definition 命名。tf 将以下项 actions 添加到定义：

variable "role_definition_name" {
  type        = string
  description = "Name of the role definition."
  default     = "Azure DocumentDB RBAC Owner"
}

variable "role_definition_description" {
  type        = string
  description = "Description of the role definition."
  default     = "Can perform all Azure role-based access control actions for Azure DocumentDB clusters."
}

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 4.0"
    }
  }
}

provider "azurerm" {
  features {}
}

data "azurerm_client_config" "current" {}

data "azurerm_resource_group" "existing" {
  name = "<name-of-existing-resource-group>"
}

resource "azurerm_role_definition" "control_plane" {
  name               = var.role_definition_name
  scope              = data.azurerm_resource_group.existing.id
  description        = var.role_definition_description

  permissions {
    actions = [
      "Microsoft.DocumentDb/mongoClusters/*"
    ]
  }

  assignable_scopes = [
    data.azurerm_resource_group.existing.id
  ]
}

output "definition_id" {
  value = azurerm_role_definition.control_plane.id
}

初始化 Terraform 部署。

terraform init --upgrade

为角色定义创建执行计划，并将其保存到名为 role-definition.tfplan 的文件。

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform plan --out "role-definition.tfplan"

应用执行计划将角色定义部署到Azure。

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform apply "role-definition.tfplan"

查看部署的输出。 输出包含属性中 definition_id 角色定义的唯一标识符。 记下此值，因为本指南后面的工作分配步骤需要使用此值。

创建新的 Terraform 文件以定义角色分配。 将文件 control-plane-role-assignment 命名。tf

variable "role_definition_id" {
  type        = string
  description = "Id of the role definition to assign to the targeted principal in the context of the cluster."
}

variable "identity_id" {
  type        = string
  description = "Id of the identity/principal to assign this role in the context of the cluster."
}

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 4.0"
    }
  }
}

provider "azurerm" {
  features {}
}

data "azurerm_resource_group" "existing" {
  name = "<name-of-existing-resource-group>"
}

resource "azurerm_role_assignment" "control_plane" {
  scope              = data.azurerm_resource_group.existing.id
  role_definition_id = var.role_definition_id
  principal_id       = var.identity_id
}

创建名为 control-plane-role-assignment.tfvars 的新 Terraform 变量文件。 在此变量文件中;将以前记录的角色定义标识符分配给 role_definition_id 变量，并将标识的唯一标识符分配给 identity_id 变量。

role_definition_id = "<id-of-new-role-definition>"
identity_id        = "<id-of-existing-identity>"

初始化并应用此 Terraform 配置。

terraform init --upgrade

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform plan --var-file="control-plane-role-assignment.tfvars" --out "role-assignment.tfplan"

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform apply "role-assignment.tfplan"

使用 az ad signed-in-user 获取当前登录帐户的详细信息。

az ad signed-in-user show

该命令将输出包含各种字段的 JSON 响应。

{
  "@odata.context": "<https://microsoftgraph.chinacloudapi.cn/v1.0/$metadata#users/$entity>",
  "businessPhones": [],
  "displayName": "Kai Carter",
  "givenName": "Kai",
  "id": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
  "jobTitle": "Senior Sales Representative",
  "mail": "<kai@adventure-works.com>",
  "mobilePhone": null,
  "officeLocation": "Redmond",
  "preferredLanguage": null,
  "surname": "Carter",
  "userPrincipalName": "<kai@adventure-works.com>"
}

通过将群集资源更新为在 MicrosoftEntraID 数组中包含 authConfig.allowedModes，在群集上启用Microsoft Entra ID身份验证：

az resource patch \
    --resource-group "<resource-group>" \
    --name "<cluster-name>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters" \
    --properties '{"authConfig":{"allowedModes":["MicrosoftEntraID","NativeAuth"]}}' \
    --latest-include-preview

使用 authConfig 读取群集上的 az resource show 属性，验证是否已应用更改。

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters" \
    --query "properties.authConfig" \
    --latest-include-preview

（可选）获取计划在群集上注册的 Microsoft Entra 主体的唯一标识符。 可以使用以下命令之一通过Azure CLI获取它：

• 当前已登录身份

  az ad signed-in-user show      
  

• 使用友好名称的另一个个人身份

  az ad user show \
    --id "<user-alias-and-domain>"
  

• 服务主体使用应用程序标识符

  az ad sp show \
    --id "<application-id>"
  

• 使用资源组和名称的托管标识

  az identity show \
    --resource-group "<resource-group>" \
    --name "<managed-identity-name>"      
  

创建一个小型 Bicep 模板，用于更新群集 authConfig以包含Microsoft Entra ID（另存为 enable-entra-id.bicep）：

param clusterName string
param location string = resourceGroup().location

resource cluster 'Microsoft.DocumentDB/mongoClusters@2025-09-01' = {
  name: clusterName
  location: location
  properties: {
    authConfig: {
      allowedModes: [
        'MicrosoftEntraID'
        'NativeAuth'
      ]
    }
  }
}

部署模板以更新群集：

az deployment group create \
    --resource-group "<resource-group>" \
    --template-file enable-entra-id.bicep \
    --parameters clusterName="<cluster-name>"

使用 az resource show 验证群集上的 authConfig 属性。

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters" \
    --query "properties.authConfig" \
    --latest-include-preview

在Azure portal的 Home 窗格中，找到并选择 Microsoft Entra ID 选项。

在Microsoft Entra ID租户的 Overview 窗格中，选择服务菜单 Manage 部分中的 Users。

Microsoft Entra ID 租户的服务菜单中“用户”选项的屏幕截图。

在用户列表中，选择您要获取更多信息的用户身份。

在特定用户的详细信息窗格中，观察 对象 ID 属性的值。

导航到现有 Azure DocumentDB 群集资源。

在群集菜单中的 “设置”下，选择“ 身份验证”。

在 身份验证方法部分中，选择 Native DocumentDB 和 Microsoft Entra ID 以启用 Microsoft Entra ID 身份验证以及本机身份验证。

选择 “保存” 以保留更改。

“身份验证方法”部分现在应同时将 NativeAuth 和 MicrosoftEntraID 列为已启用的方法。

（可选）获取计划在群集上注册的 Microsoft Entra 主体的唯一标识符。 可以使用以下命令之一通过Azure CLI获取它：

• 当前已登录身份

  az ad signed-in-user show      
  

• 使用友好名称的另一个个人身份

  az ad user show \
    --id "<user-alias-and-domain>"
  

• 服务主体使用应用程序标识符

  az ad sp show \
    --id "<application-id>"
  

• 使用资源组和名称的托管标识

  az identity show \
    --resource-group "<resource-group>" \
    --name "<managed-identity-name>"      
  

创建 Terraform 配置文件，以便在现有群集上启用Microsoft Entra ID身份验证。 将文件另存为 enable-entra-id.tf：

variable "cluster_name" {
  type        = string
  description = "Name of the existing cluster"
}

variable "resource_group_name" {
  type        = string
  description = "Name of the existing resource group"
}

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 4.0"
    }
  }
}

provider "azurerm" {
  features {}
}

data "azurerm_resource_group" "existing" {
  name = var.resource_group_name
}

data "azurerm_mongo_cluster" "existing" {
  name                = var.cluster_name
  resource_group_name = data.azurerm_resource_group.existing.name
}

resource "azurerm_mongo_cluster" "enable_entra" {
  name                   = data.azurerm_mongo_cluster.existing.name
  resource_group_name    = data.azurerm_resource_group.existing.name
  location               = data.azurerm_mongo_cluster.existing.location
  administrator_username = data.azurerm_mongo_cluster.existing.administrator_username
  administrator_password = data.azurerm_mongo_cluster.existing.administrator_password
  shard_count            = data.azurerm_mongo_cluster.existing.shard_count
  compute_tier           = data.azurerm_mongo_cluster.existing.compute_tier
  high_availability_mode = data.azurerm_mongo_cluster.existing.high_availability_mode
  storage_size_in_gb     = data.azurerm_mongo_cluster.existing.storage_size_in_gb
  version                = data.azurerm_mongo_cluster.existing.version

  # Enable both Microsoft Entra ID and Native authentication
  authentication_enabled = true
}

使用群集详细信息创建名为 enable-entra-id.tfvars 的 变量文件：

cluster_name        = "<cluster-name>"
resource_group_name = "<resource-group>"

初始化并应用 Terraform 配置以启用Microsoft Entra ID身份验证：

terraform init --upgrade

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform plan --var-file="enable-entra-id.tfvars" --out "enable-entra.tfplan"

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform apply "enable-entra.tfplan"

使用 az resource show 验证群集中的 authConfig 属性。

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters" \
    --query "properties.authConfig" \
    --latest-include-preview

获取要授予访问权限的 Microsoft Entra 实体的唯一标识符（对象 ID），可以使用以下命令之一：

• 当前已登录身份

  az ad signed-in-user show      
  

• 使用友好名称的另一个个人身份

  az ad user show \
    --id "<user-alias-and-domain>"
  

• 服务主体使用应用程序标识符

  az ad sp show \
    --id "<application-id>"
  

• 使用资源组和名称的托管标识

  az identity show \
    --resource-group "<resource-group>" \
    --name "<managed-identity-name>"      
  

在群集上注册主体对象，并将其映射到 MongoDB 数据库角色。 以下示例将主体注册为 readWrite 数据库中的 sales 用户：

az resource create \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --location "<cluster-region>" \
    --properties '{"identityProvider":{"type":"MicrosoftEntraID","properties":{"principalType":"User"}},"roles":[{"db":"sales","role":"readWrite"}]}' \
    --latest-include-preview

• 将principalType替换为应用/服务主体的servicePrincipal或托管标识的ManagedIdentity。
• 若要授予管理权限，请在 {"db":"admin","role":"root"} 数组中使用 roles。

列出所有已注册主体及其映射角色（群集级别视图）：

az rest \
    --method "GET" \
    --url "https://management.chinacloudapi.cn/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.DocumentDB/mongoClusters/<cluster-name>/users?api-version=2025-09-01"

• 响应包含一组用户资源，每个资源都有 identityProvider 元数据和一个 roles 显示映射的数据库角色的数组。

获取特定注册主体的详细信息（替换 <principal-id>）：

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

删除已注册的主体（撤销数据平面访问权限）：

az resource delete \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

创建 Bicep 文件（例如 register-principal.bicep），注册主体和映射数据库角色：

param clusterName string
param principalId string
param location string = resourceGroup().location
param principalType string = 'User'
param roles array = [
  {
    db: 'sales'
    role: 'readWrite'
  }
]

resource user 'Microsoft.DocumentDB/mongoClusters/users@2025-09-01' = {
  name: '${clusterName}/users/${principalId}'
  location: location
  properties: {
    identityProvider: {
      type: 'Microsoft.EntraID'
      properties: {
        principalType: principalType
      }
    }
    roles: roles
  }
}

部署 Bicep 模板以注册主体：

az deployment group create \
    --resource-group "<resource-group>" \
    --template-file register-principal.bicep \
    --parameters clusterName="<cluster-name>" principalId="<principal-id>"

使用 REST API 列出群集的所有已注册主体（在 Bicep 部署后很有用）：

az rest \
    --method GET \
    --url "https://management.chinacloudapi.cn/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.DocumentDB/mongoClusters/<cluster-name>/users?api-version=2025-09-01"

获取 Bicep 创建的特定注册主体的详细信息（替换 <principal-id>）：

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

通过删除资源（或部署没有用户资源的模板）删除主体：

az resource delete \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

在Azure portal中打开目标Azure DocumentDB 群集。

在“设置”下选择“身份验证”。

在Microsoft Entra ID身份验证部分中，门户按对象 ID 列出已注册的Microsoft Entra 主体。 使用此视图可以：

• 扫描列表以查找预期的对象标识符。
• 通过选择列出的条目（或使用门户的搜索功能）检查单个主体的详细信息。
• 使用条目旁边的Remove以立即撤销该主体的数据平面访问。

若要获取门户列表中显示的对象标识符的友好名称，请使用 Microsoft Entra ID 节中的 Users 页。 然后，按对象 ID 或友好名称进行搜索。

获取要授予访问权限的 Microsoft Entra 实体的唯一标识符（对象 ID），可以使用以下命令之一：

• 当前已登录身份

  az ad signed-in-user show      
  

• 使用友好名称的另一个个人身份

  az ad user show \
    --id "<user-alias-and-domain>"
  

• 服务主体使用应用程序标识符

  az ad sp show \
    --id "<application-id>"
  

• 使用资源组和名称的托管标识

  az identity show \
    --resource-group "<resource-group>" \
    --name "<managed-identity-name>"      
  

创建 Terraform 文件（例如 register-principal.tf），以使用 AzAPI 提供程序来注册主体并映射数据库角色：

variable "cluster_name" {
  type        = string
  description = "Name of the existing cluster"
}

variable "resource_group_name" {
  type        = string
  description = "Name of the existing resource group"
}

variable "principal_id" {
  type        = string
  description = "Object ID of the Microsoft Entra principal"
}

variable "principal_type" {
  type        = string
  description = "Type of principal: User, ServicePrincipal, or ManagedIdentity"
  default     = "User"
}

variable "roles" {
  type = list(object({
    db   = string
    role = string
  }))
  description = "Database roles to assign"
  default = [
    {
      db   = "sales"
      role = "readWrite"
    }
  ]
}

terraform {
  required_providers {
    azapi = {
      source  = "azure/azapi"
      version = "~> 2.0"
    }
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 4.0"
    }
  }
}

provider "azurerm" {
  features {}
}

provider "azapi" {}

data "azurerm_resource_group" "existing" {
  name = var.resource_group_name
}

data "azurerm_mongo_cluster" "existing" {
  name                = var.cluster_name
  resource_group_name = var.resource_group_name
}

resource "azapi_resource" "mongo_cluster_user" {
  type      = "Microsoft.DocumentDB/mongoClusters/users@2025-09-01"
  name      = var.principal_id
  parent_id = data.azurerm_mongo_cluster.existing.id
  location  = data.azurerm_resource_group.existing.location

  body = {
    properties = {
      identityProvider = {
        type = "MicrosoftEntraID"
        properties = {
          principalType = var.principal_type
        }
      }
      roles = var.roles
    }
  }
}

创建名为 ： 的 register-principal.tfvars变量文件：

cluster_name        = "<cluster-name>"
resource_group_name = "<resource-group>"
principal_id        = "<principal-id>"
principal_type      = "User"
roles = [
  {
    db   = "sales"
    role = "readWrite"
  }
]

初始化并应用 Terraform 配置以注册主体：

terraform init --upgrade

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform plan --var-file="register-principal.tfvars" --out "register-principal.tfplan"

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform apply "register-principal.tfplan"

使用 REST API 列出群集的所有已注册主体（在 Terraform 部署后很有用）：

az rest \
    --method GET \
    --url "https://management.chinacloudapi.cn/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.DocumentDB/mongoClusters/<cluster-name>/users?api-version=2025-09-01"

获取由 Terraform 创建的特定注册主体的详细信息（替换 <principal-id>）：

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

通过销毁 Terraform 资源删除主体：

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform destroy --var-file="register-principal.tfvars"

导航到 Azure DocumentDB 群集。

选择 连接字符串 导航菜单选项。

从 Connection string 字段中复制或记录值。