Подключение к Azure DocumentDB с помощью управления доступом на основе ролей и идентификатора Microsoft Entra

Откройте новый терминал.

Войдите в Azure CLI.

Используйте az group show для получения метаданных для текущей группы ресурсов.

az group show \
    --name "<name-of-existing-resource-group>"

Просмотрите выходные данные предыдущей команды. Запишите значение id свойства для этой группы ресурсов, так как оно необходимо использовать на следующем шаге.

{
  "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example",
  "location": "westus",
  "name": "msdocs-identity-example",
  "type": "Microsoft.Resources/resourceGroups"
}

Создайте файл JSON с именем role-definition.json. В файле создайте это определение ресурса, указывающее значения, перечисленные здесь. В списке AssignableScopes добавьте id свойство группы ресурсов, записанной на предыдущем шаге.

{
  "Name": "Azure DocumentDB RBAC Owner",
  "IsCustom": true,
  "Description": "Can perform all Azure role-based access control actions for Azure DocumentDB clusters.",
  "Actions": [
    "Microsoft.DocumentDb/mongoClusters/*"
  ],
  "AssignableScopes": [
    "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example"
  ]
}

Создайте новое определение роли с помощью az role definition create. Используйте файлrole-definition.json в качестве входных данных для аргумента --role-definition .

az role definition create \
    --role-definition role-definition.json

Просмотрите выходные данные команды создания определения. Выходные данные содержат уникальный идентификатор определения роли в свойстве id . Запишите это значение, так как оно необходимо использовать на шаге назначения далее в этом руководстве.

{
  "assignableScopes": [
    "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example"
  ],
  "description": "Can perform all Azure role-based access control actions for Azure DocumentDB clusters.",
  "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.Authorization/roleDefinitions/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1",
  "name": "e4e4e4e4-ffff-aaaa-bbbb-c5c5c5c5c5c5",
  "permissions": [
    {
      "actions": [
        "Microsoft.DocumentDb/*"
      ]
    }
  ],
  "roleName": "Azure DocumentDB RBAC Owner",
  "roleType": "CustomRole"
}

Откройте новый терминал.

Войдите в Azure CLI.

Создайте новый файл Bicep для определения роли. Назовите файл control-plane-role-definition.bicep. Добавьте эти actions в определение.

metadata description = 'Create RBAC definition for Azure role-based access control access to Azure DocumentDB.'

@description('Name of the role definition.')
param roleDefinitionName string = 'Azure DocumentDB RBAC Owner'

@description('Description of the role definition.')
param roleDefinitionDescription string = 'Can perform all Azure role-based access control actions for Azure DocumentDB clusters.'

resource definition 'Microsoft.Authorization/roleDefinitions@2022-04-01' = {
  name: guid(subscription().id, resourceGroup().id, roleDefinitionName)
  scope: resourceGroup()
  properties: {
    roleName: roleDefinitionName
    description: roleDefinitionDescription
    type: 'CustomRole'
    permissions: [
      {
        actions: [
          'Microsoft.DocumentDb/mongoClusters/*'
        ]
      }
    ]
    assignableScopes: [
      resourceGroup().id
    ]
  }
}

output definitionId string = definition.id

Разверните шаблон Bicep с помощью az deployment group create. Укажите имя шаблона Bicep и группы ресурсов Azure.

az deployment group create \
    --resource-group "<name-of-existing-resource-group>" \
    --template-file control-plane-role-definition.bicep

Просмотрите выходные данные развертывания. Выходные данные содержат уникальный идентификатор определения роли в свойстве properties.outputs.definitionId.value . Запишите это значение, так как оно необходимо использовать на шаге назначения далее в этом руководстве.

{
  "properties": {
    "outputs": {
      "definitionId": {
        "type": "String",
        "value": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/msdocs-identity-example/providers/Microsoft.Authorization/roleDefinitions/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"
      }
    }
  }
}

Создайте новый файл Bicep для определения вашего назначения роли. Назовите файл control-plane-role-assignment.bicep.

metadata description = 'Assign RBAC role for Azure role-based access control access to Azure DocumentDB.'

@description('Id of the role definition to assign to the targeted principal in the context of the cluster.')
param roleDefinitionId string

@description('Id of the identity/principal to assign this role in the context of the cluster.')
param identityId string

resource assignment 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(subscription().id, resourceGroup().id, roleDefinitionId, identityId)
  scope: resourceGroup()
  properties: {
    roleDefinitionId: roleDefinitionId
    principalId: identityId
  }
}

Создайте файл параметров Bicep с именем control-plane-role-assignment.bicepparam В этом файле параметров, назначьте параметру roleDefinitionId ранее записанные идентификаторы определения ролей, а параметру identityId – уникальный идентификатор вашей учетной записи.

using './control-plane-role-assignment.bicep'

param roleDefinitionId = '<id-of-new-role-definition>'
param identityId = '<id-of-existing-identity>'

Разверните этот шаблон Bicep с помощью az deployment group create.

az deployment group create \
    --resource-group "<name-of-existing-resource-group>" \
    --parameters control-plane-role-assignment.bicepparam \
    --template-file control-plane-role-assignment.bicep

Войдите на портал Azure (https://portal.azure.com).

Введите группу ресурсов в глобальной строке поиска.

В службах выберите группы ресурсов.

В области групп ресурсов выберите существующую группу ресурсов.

На панели группы ресурсов выберите управление доступом (IAM) в служебном меню.

В области управления доступом (IAM) нажмите кнопку "Добавить". Затем нажмите кнопку "Добавить настраиваемую роль".

В области "Основные сведения" настройте следующие параметры и нажмите кнопку "Далее".

В области "Разрешения" выберите "Добавить разрешения". Затем найдите DocumentDB в диалоговом окне разрешений. Наконец, выберите параметр Microsoft.DocumentDB/mongoClusters .

В диалоговом окне разрешений выберите все действия для Microsoft.DocumentDB/mongoClusters. Затем нажмите кнопку "Добавить", чтобы вернуться в область "Разрешения".

Вернитесь в область разрешений , просмотрите список разрешений. Затем нажмите кнопку "Проверить и создать".

В области "Просмотр и создание " просмотрите указанные параметры для определения новой роли. Наконец, нажмите кнопку "Создать".

Дождитесь завершения создания определения роли на портале.

В области управления доступом (IAM) выберите "Добавить " и "Добавить назначение ролей".

На панели ролей найдите Azure DocumentDB и выберите роль владельца RBAC в Azure DocumentDB, созданную ранее в этом руководстве. Затем выберите Далее.

В области "Участники" выберите параметр "Выбрать участников". В диалоговом окне "Участники" выберите удостоверение, которое вы хотите предоставить этому уровню доступа для кластеров Azure DocumentDB, а затем используйте параметр Select , чтобы подтвердить выбор.

Вернитесь в область "Участники", просмотрите выбранных участников и выберите "Проверить + назначить".

В области "Проверка и назначение " просмотрите указанные параметры для нового назначения ролей. Наконец, нажмите кнопку "Проверить и назначить".

Подождите, пока портал завершит создание назначения роли.

Откройте новый терминал.

Войдите в Azure CLI.

Проверьте целевую подписку Azure.

az account show

Создайте файл Terraform, чтобы определить определение роли. Назовите файл control-plane-role-definition.tf. Добавьте эти actions в определение.

variable "role_definition_name" {
  type        = string
  description = "Name of the role definition."
  default     = "Azure DocumentDB RBAC Owner"
}

variable "role_definition_description" {
  type        = string
  description = "Description of the role definition."
  default     = "Can perform all Azure role-based access control actions for Azure DocumentDB clusters."
}

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 4.0"
    }
  }
}

provider "azurerm" {
  features {}
}

data "azurerm_client_config" "current" {}

data "azurerm_resource_group" "existing" {
  name = "<name-of-existing-resource-group>"
}

resource "azurerm_role_definition" "control_plane" {
  name               = var.role_definition_name
  scope              = data.azurerm_resource_group.existing.id
  description        = var.role_definition_description

  permissions {
    actions = [
      "Microsoft.DocumentDb/mongoClusters/*"
    ]
  }

  assignable_scopes = [
    data.azurerm_resource_group.existing.id
  ]
}

output "definition_id" {
  value = azurerm_role_definition.control_plane.id
}

Инициализация развертывания Terraform.

terraform init --upgrade

Создайте план выполнения для определения роли и сохраните его в файле с именем role-definition.tfplan.

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform plan --out "role-definition.tfplan"

Примените план выполнения для развертывания определения роли в Azure.

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform apply "role-definition.tfplan"

Просмотрите выходные данные развертывания. Выходные данные содержат уникальный идентификатор определения роли в свойстве definition_id . Запишите это значение, так как оно необходимо использовать на шаге назначения далее в этом руководстве.

Создайте файл Terraform для определения назначения роли. Назовите файл control-plane-role-assignment.tf.

variable "role_definition_id" {
  type        = string
  description = "Id of the role definition to assign to the targeted principal in the context of the cluster."
}

variable "identity_id" {
  type        = string
  description = "Id of the identity/principal to assign this role in the context of the cluster."
}

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 4.0"
    }
  }
}

provider "azurerm" {
  features {}
}

data "azurerm_resource_group" "existing" {
  name = "<name-of-existing-resource-group>"
}

resource "azurerm_role_assignment" "control_plane" {
  scope              = data.azurerm_resource_group.existing.id
  role_definition_id = var.role_definition_id
  principal_id       = var.identity_id
}

Создайте файл переменных Terraform с именем control-plane-role-assignment.tfvars. В этом файле переменных, назначьте ранее записанные идентификаторы определения ролей переменной role_definition_id и уникальный идентификатор вашего удостоверения переменной identity_id.

role_definition_id = "<id-of-new-role-definition>"
identity_id        = "<id-of-existing-identity>"

Инициализируйте и примените эту конфигурацию Terraform.

terraform init --upgrade

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform plan --var-file="control-plane-role-assignment.tfvars" --out "role-assignment.tfplan"

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform apply "role-assignment.tfplan"

Получите сведения об учетной записи, вошедшей в систему, с помощью az ad signed-in-user.

az ad signed-in-user show

Команда выводит ответ JSON, содержащий различные поля.

{
  "@odata.context": "<https://graph.microsoft.com/v1.0/$metadata#users/$entity>",
  "businessPhones": [],
  "displayName": "Kai Carter",
  "givenName": "Kai",
  "id": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
  "jobTitle": "Senior Sales Representative",
  "mail": "<kai@adventure-works.com>",
  "mobilePhone": null,
  "officeLocation": "Redmond",
  "preferredLanguage": null,
  "surname": "Carter",
  "userPrincipalName": "<kai@adventure-works.com>"
}

Включите проверку подлинности Microsoft Entra ID в кластере, обновив ресурс кластера и добавив MicrosoftEntraID в массив authConfig.allowedModes.

az resource patch \
    --resource-group "<resource-group>" \
    --name "<cluster-name>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters" \
    --properties '{"authConfig":{"allowedModes":["MicrosoftEntraID","NativeAuth"]}}' \
    --latest-include-preview

Убедитесь в том, что изменение применено, считывая свойство authConfig на кластере с помощью az resource show.

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters" \
    --query "properties.authConfig" \
    --latest-include-preview

(Необязательно) Получите уникальный идентификатор учетной записи Microsoft Entra, которую вы планируете зарегистрировать в кластере. Его можно получить с помощью Azure CLI с помощью одной из следующих команд:

• Текущее удостоверение для входа

  az ad signed-in-user show      
  

• Другая человеческая идентичность с дружественным именем

  az ad user show \
    --id "<user-alias-and-domain>"
  

• Service principal с использованием идентификатора приложения

  az ad sp show \
    --id "<application-id>"
  

• Управляемое удостоверение с помощью группы ресурсов и имени

  az identity show \
    --resource-group "<resource-group>" \
    --name "<managed-identity-name>"      
  

Создайте небольшой шаблон Bicep, который обновляет кластер authConfig, чтобы интегрировать Microsoft Entra ID (сохраните как enable-entra-id.bicep):

param clusterName string
param location string = resourceGroup().location

resource cluster 'Microsoft.DocumentDB/mongoClusters@2025-09-01' = {
  name: clusterName
  location: location
  properties: {
    authConfig: {
      allowedModes: [
        'MicrosoftEntraID'
        'NativeAuth'
      ]
    }
  }
}

Разверните шаблон для обновления кластера:

az deployment group create \
    --resource-group "<resource-group>" \
    --template-file enable-entra-id.bicep \
    --parameters clusterName="<cluster-name>"

Проверьте свойство authConfig на кластере с помощью az resource show.

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters" \
    --query "properties.authConfig" \
    --latest-include-preview

На домашней панели портала Azure найдите и выберите параметр идентификатора Microsoft Entra .

В области "Обзор " для клиента Идентификатора Microsoft Entra выберите "Пользователи " в разделе "Управление " меню службы.

В списке пользователей выберите пользователя, о котором вы хотите получить больше сведений.

В области сведений для конкретного пользователя обратите внимание на значение свойства идентификатора объекта .

Перейдите к существующему ресурсу кластера Azure DocumentDB.

В меню кластера в разделе "Параметры" выберите "Проверка подлинности".

В разделе "Методы проверки подлинности " выберите Native DocumentDB и Microsoft Entra ID , чтобы включить проверку подлинности Microsoft Entra ID вместе с собственной проверкой подлинности.

Нажмите кнопку "Сохранить", чтобы сохранить изменение.

В разделе "Методы проверки подлинности " теперь должен быть указан как nativeAuth , так и MicrosoftEntraID в качестве включенных методов.

(Необязательно) Получите уникальный идентификатор учетной записи Microsoft Entra, которую вы планируете зарегистрировать в кластере. Его можно получить с помощью Azure CLI с помощью одной из следующих команд:

• Текущее удостоверение для входа

  az ad signed-in-user show      
  

• Другая человеческая идентичность с дружественным именем

  az ad user show \
    --id "<user-alias-and-domain>"
  

• Service principal с использованием идентификатора приложения

  az ad sp show \
    --id "<application-id>"
  

• Управляемое удостоверение с помощью группы ресурсов и имени

  az identity show \
    --resource-group "<resource-group>" \
    --name "<managed-identity-name>"      
  

Создайте файл конфигурации Terraform, чтобы включить проверку подлинности идентификатора Microsoft Entra в существующем кластере. Сохраните файл как enable-entra-id.tf:

variable "cluster_name" {
  type        = string
  description = "Name of the existing cluster"
}

variable "resource_group_name" {
  type        = string
  description = "Name of the existing resource group"
}

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 4.0"
    }
  }
}

provider "azurerm" {
  features {}
}

data "azurerm_resource_group" "existing" {
  name = var.resource_group_name
}

data "azurerm_mongo_cluster" "existing" {
  name                = var.cluster_name
  resource_group_name = data.azurerm_resource_group.existing.name
}

resource "azurerm_mongo_cluster" "enable_entra" {
  name                   = data.azurerm_mongo_cluster.existing.name
  resource_group_name    = data.azurerm_resource_group.existing.name
  location               = data.azurerm_mongo_cluster.existing.location
  administrator_username = data.azurerm_mongo_cluster.existing.administrator_username
  administrator_password = data.azurerm_mongo_cluster.existing.administrator_password
  shard_count            = data.azurerm_mongo_cluster.existing.shard_count
  compute_tier           = data.azurerm_mongo_cluster.existing.compute_tier
  high_availability_mode = data.azurerm_mongo_cluster.existing.high_availability_mode
  storage_size_in_gb     = data.azurerm_mongo_cluster.existing.storage_size_in_gb
  version                = data.azurerm_mongo_cluster.existing.version

  # Enable both Microsoft Entra ID and Native authentication
  authentication_enabled = true
}

Создайте файл переменных с именем enable-entra-id.tfvars со сведениями о кластере:

cluster_name        = "<cluster-name>"
resource_group_name = "<resource-group>"

Инициализация и применение конфигурации Terraform для включения проверки подлинности идентификатора Microsoft Entra:

terraform init --upgrade

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform plan --var-file="enable-entra-id.tfvars" --out "enable-entra.tfplan"

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform apply "enable-entra.tfplan"

Проверьте свойство authConfig на кластере с помощью az resource show.

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters" \
    --query "properties.authConfig" \
    --latest-include-preview

Получите уникальный идентификатор (идентификатор объекта) субъекта Microsoft Entra, к которому требуется предоставить доступ с помощью одной из следующих команд:

• Текущее удостоверение для входа

  az ad signed-in-user show      
  

• Другая человеческая идентичность с дружественным именем

  az ad user show \
    --id "<user-alias-and-domain>"
  

• Service principal с использованием идентификатора приложения

  az ad sp show \
    --id "<application-id>"
  

• Управляемое удостоверение с помощью группы ресурсов и имени

  az identity show \
    --resource-group "<resource-group>" \
    --name "<managed-identity-name>"      
  

Зарегистрируйте субъект в кластере и сопоставийте его с ролями базы данных MongoDB. В следующем примере субъект регистрируется в качестве readWrite пользователя в sales базе данных:

az resource create \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --location "<cluster-region>" \
    --properties '{"identityProvider":{"type":"MicrosoftEntraID","properties":{"principalType":"User"}},"roles":[{"db":"sales","role":"readWrite"}]}' \
    --latest-include-preview

• Замените principalType на servicePrincipal для учетных записей приложения или службы и ManagedIdentity для управляемых удостоверений.
• Чтобы предоставить права администратора, используйте {"db":"admin","role":"root"} в массиве roles .

Список всех зарегистрированных субъектов и сопоставленных ролей (представление на уровне кластера):

az rest \
    --method "GET" \
    --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.DocumentDB/mongoClusters/<cluster-name>/users?api-version=2025-09-01"

• Ответ содержит массив ресурсов пользователя, каждый из identityProvider которых содержит метаданные и roles массив с сопоставленными ролями базы данных.

Получение сведений о конкретном зарегистрированном субъекте (замените <principal-id>):

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

Удалите зарегистрированного принципала (отмените доступ к плоскости данных):

az resource delete \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

Создайте файл Bicep (например register-principal.bicep), чтобы зарегистрировать главную учётную запись и сопоставить роли базы данных.

param clusterName string
param principalId string
param location string = resourceGroup().location
param principalType string = 'User'
param roles array = [
  {
    db: 'sales'
    role: 'readWrite'
  }
]

resource user 'Microsoft.DocumentDB/mongoClusters/users@2025-09-01' = {
  name: '${clusterName}/users/${principalId}'
  location: location
  properties: {
    identityProvider: {
      type: 'Microsoft.EntraID'
      properties: {
        principalType: principalType
      }
    }
    roles: roles
  }
}

Разверните шаблон Bicep, чтобы зарегистрировать принципала:

az deployment group create \
    --resource-group "<resource-group>" \
    --template-file register-principal.bicep \
    --parameters clusterName="<cluster-name>" principalId="<principal-id>"

Список всех зарегистрированных субъектов для кластера с помощью REST API (полезно после развертывания Bicep):

az rest \
    --method GET \
    --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.DocumentDB/mongoClusters/<cluster-name>/users?api-version=2025-09-01"

Получение сведений о конкретном зарегистрированном субъекте, созданном Bicep (замените <principal-id>):

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

Удалите субъект, удалив ресурс (или разверните шаблон без ресурса пользователя):

az resource delete \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

Откройте целевой кластер Azure DocumentDB на портале Azure.

В разделе Параметры выберите Проверка подлинности.

В разделе проверки подлинности идентификатора Microsoft Entra на портале перечислены зарегистрированные субъекты Microsoft Entra по идентификатору объекта. Используйте это представление для:

• Проверьте список ожидаемых идентификаторов объектов.
• Проверьте сведения об одном субъекте, выбрав указанную запись (или используйте функцию поиска на портале).
• Используйте действие Remove рядом с записью, чтобы немедленно отозвать доступ к плоскости данных субъекта.

Чтобы получить понятные имена идентификаторов объектов, отображаемых в списке портала, используйте страницу "Пользователи " в разделе идентификатора Microsoft Entra ID . Затем выполните поиск по идентификатору объекта или понятному имени.

Получите уникальный идентификатор (идентификатор объекта) субъекта Microsoft Entra, к которому требуется предоставить доступ с помощью одной из следующих команд:

• Текущее удостоверение для входа

  az ad signed-in-user show      
  

• Другая человеческая идентичность с дружественным именем

  az ad user show \
    --id "<user-alias-and-domain>"
  

• Service principal с использованием идентификатора приложения

  az ad sp show \
    --id "<application-id>"
  

• Управляемое удостоверение с помощью группы ресурсов и имени

  az identity show \
    --resource-group "<resource-group>" \
    --name "<managed-identity-name>"      
  

Создайте файл Terraform (например register-principal.tf), чтобы зарегистрировать роли основной базы данных и сопоставить их с помощью поставщика AzAPI:

variable "cluster_name" {
  type        = string
  description = "Name of the existing cluster"
}

variable "resource_group_name" {
  type        = string
  description = "Name of the existing resource group"
}

variable "principal_id" {
  type        = string
  description = "Object ID of the Microsoft Entra principal"
}

variable "principal_type" {
  type        = string
  description = "Type of principal: User, ServicePrincipal, or ManagedIdentity"
  default     = "User"
}

variable "roles" {
  type = list(object({
    db   = string
    role = string
  }))
  description = "Database roles to assign"
  default = [
    {
      db   = "sales"
      role = "readWrite"
    }
  ]
}

terraform {
  required_providers {
    azapi = {
      source  = "azure/azapi"
      version = "~> 2.0"
    }
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 4.0"
    }
  }
}

provider "azurerm" {
  features {}
}

provider "azapi" {}

data "azurerm_resource_group" "existing" {
  name = var.resource_group_name
}

data "azurerm_mongo_cluster" "existing" {
  name                = var.cluster_name
  resource_group_name = var.resource_group_name
}

resource "azapi_resource" "mongo_cluster_user" {
  type      = "Microsoft.DocumentDB/mongoClusters/users@2025-09-01"
  name      = var.principal_id
  parent_id = data.azurerm_mongo_cluster.existing.id
  location  = data.azurerm_resource_group.existing.location

  body = {
    properties = {
      identityProvider = {
        type = "MicrosoftEntraID"
        properties = {
          principalType = var.principal_type
        }
      }
      roles = var.roles
    }
  }
}

Создайте файл переменных с именем register-principal.tfvars:

cluster_name        = "<cluster-name>"
resource_group_name = "<resource-group>"
principal_id        = "<principal-id>"
principal_type      = "User"
roles = [
  {
    db   = "sales"
    role = "readWrite"
  }
]

Инициализация и применение конфигурации Terraform для регистрации субъекта:

terraform init --upgrade

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform plan --var-file="register-principal.tfvars" --out "register-principal.tfplan"

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform apply "register-principal.tfplan"

Список всех зарегистрированных субъектов для кластера с помощью REST API (полезно после развертывания Terraform):

az rest \
    --method GET \
    --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.DocumentDB/mongoClusters/<cluster-name>/users?api-version=2025-09-01"

Получение сведений о конкретном зарегистрированном субъекте, созданном Terraform (замените <principal-id>):

az resource show \
    --resource-group "<resource-group>" \
    --name "<cluster-name>/users/<principal-id>" \
    --resource-type "Microsoft.DocumentDB/mongoClusters/users" \
    --latest-include-preview

Удалите объект, уничтожив ресурс Terraform.

ARM_SUBSCRIPTION_ID=$(az account show --query id --output tsv) terraform destroy --var-file="register-principal.tfvars"

Перейдите к кластеру Azure DocumentDB.

Выберите пункт навигационного меню "Строки подключения".

Скопируйте или запишите значение из поля строки подключения.