Praxislabor — DP-420 Microsoft Azure Cosmos DB Developer Specialty

Übersicht

Voraussetzungen

Schritte

1. 1.Provider, Ressourcengruppe, Benennungs-Grundlagen

   Standard Azure-Einstieg. Cosmos DB-Kontonamen müssen global eindeutig sein (als <name>.documents.azure.com im DNS veröffentlicht) – random_id vermeidet Kollisionen.

   Kopieren

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       azurerm = { source = "hashicorp/azurerm", version = "~> 4.0" }
       random  = { source = "hashicorp/random",  version = "~> 3.6" }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   
   resource "random_id" "suffix" {
     byte_length = 3
   }
   
   data "azurerm_client_config" "current" {}
   
   locals {
     tags = {
       Project   = "certlabpro-dp-420"
       ManagedBy = "terraform"
     }
   }
   
   resource "azurerm_resource_group" "main" {
     name     = "certlabpro-dp-420-rg"
     location = "eastus"
     tags     = local.tags
   }

2. 2.Bereitstellung des Cosmos DB-Kontos mit Continuous Backup

   Ressourcen:

   • Azure Cosmos DB

   DP-420 Implementieren, Verwalten und Überwachen einer Cosmos DB-Lösung testet direkt die Backup-Modi: Periodisch (Standard; 2 Backups alle 4 Stunden für 8 Tage aufbewahrt) vs. Kontinuierlich (Point-in-Time-Wiederherstellung zu jeder Sekunde innerhalb von 30 oder 7 Tagen). Kontinuierlich ist die produktionsreife Antwort; wir verwenden die 7-Tage-Stufe für das Lab, um die Kosten niedrig zu halten.

   local_authentication_disabled = true erzwingt die Entra ID-Authentifizierung – die DP-420-Produktionsantwort. Das RBAC-Datenebenenmodell von Cosmos ist eines der am häufigsten getesteten Prüfungsthemen.

   Kopieren

   resource "azurerm_cosmosdb_account" "main" {
     name                = "cosmos-dp420-${random_id.suffix.hex}"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     offer_type          = "Standard"
     kind                = "GlobalDocumentDB" # Core (SQL) API — DP-420 default
   
     consistency_policy {
       consistency_level       = "BoundedStaleness"
       max_interval_in_seconds = 10
       max_staleness_prefix    = 100
     }
   
     geo_location {
       location          = azurerm_resource_group.main.location
       failover_priority = 0
     }
   
     backup {
       type                = "Continuous"
       tier                = "Continuous7Days" # cheapest continuous-backup tier
     }
   
     local_authentication_disabled = true # Entra auth only
   
     tags = local.tags
   }

3. 3.Erstellen einer Datenbank und eines Containers mit durchdachtem Partitionsschlüssel + Indexierung

   Ressourcen:

   • Azure Cosmos DB

   Der Container ist der Bereich, dem DP-420 die meiste Prüfungszeit widmet. Wir wählen /userId als Partitionsschlüssel für das Beispiel – hohe Kardinalität (gute Verteilung), das typische Zugriffsmuster ist die Datensätze meines Benutzers abrufen, sodass wir innerhalb der Partition lesen (am schnellsten, günstigste RU/s).

   Die Indexierungsrichtlinie ist der nächste große DP-420 Kostenhebel. Standardmäßig indiziert Cosmos jede Eigenschaft – schnelle Abfragen, teure Schreibvorgänge. Wir schließen /largeBlob/? (einen Pfad, der große unstrukturierte Daten enthält, die wir nie abfragen) und /_etag/? (automatisch verwaltet, kein Wert zum Indizieren) aus. Benutzerdefinierte Indexierungsrichtlinien werden explizit als Kostenoptimierungsantwort für schreibintensive Workloads getestet.

   Autoscale max. 1000 RU/s – berechnet 10 % des Maximums im Leerlauf (100 RU/s = ~24 $/Monat). Für eine echte Produktionsdatenbank würden Sie die erwarteten RU/s pro Anfrage modellieren, mit der nachhaltigen QPS multiplizieren, mit 1,5x Sicherheit multiplizieren und das Maximum auf diese Zahl setzen.

   Kopieren

   resource "azurerm_cosmosdb_sql_database" "app" {
     name                = "appdb"
     resource_group_name = azurerm_resource_group.main.name
     account_name        = azurerm_cosmosdb_account.main.name
   
     autoscale_settings {
       max_throughput = 1000
     }
   }
   
   resource "azurerm_cosmosdb_sql_container" "user_events" {
     name                = "user-events"
     resource_group_name = azurerm_resource_group.main.name
     account_name        = azurerm_cosmosdb_account.main.name
     database_name       = azurerm_cosmosdb_sql_database.app.name
     partition_key_paths = ["/userId"]
   
     indexing_policy {
       indexing_mode = "consistent"
   
       included_path {
         path = "/*"
       }
   
       excluded_path {
         path = "/largeBlob/?"
       }
   
       excluded_path {
         path = "/_etag/?"
       }
     }
   
     default_ttl = -1 # explicit opt-in (-1 means no auto-expiry); set to seconds for TTL
   }

4. 4.Dem aktuellen Prinzipal Cosmos DB-Datenzugriff über RBAC gewähren

   Ressourcen:

   • Azure Cosmos DB
   • Microsoft Entra ID

   Mit local_authentication_disabled = true aus Schritt 2 ist die einzige Möglichkeit, den Container zu lesen oder zu schreiben, über die Entra ID-Authentifizierung + Cosmos's Datenebenen-RBAC. Die integrierte Rolle Cosmos DB Built-in Data Contributor (GUID 00000000-0000-0000-0000-000000000002) gewährt volle Lese-/Schreibberechtigungen im Kontobereich.

   DP-420 testet die Unterscheidung der Rollen zwischen Steuerungsebene und Datenebene: Die RBAC der Steuerungsebene (Azure RBAC) verwaltet das Konto selbst (Container erstellen, Durchsatz ändern); die RBAC der Datenebene (Cosmos-spezifisch) verwaltet Dokumente innerhalb von Containern. Es sind separate Rollenzuweisungen; die eine impliziert nicht die andere.

   Kopieren

   resource "azurerm_cosmosdb_sql_role_assignment" "me_data_contributor" {
     resource_group_name = azurerm_resource_group.main.name
     account_name        = azurerm_cosmosdb_account.main.name
     role_definition_id  = "${azurerm_cosmosdb_account.main.id}/sqlRoleDefinitions/00000000-0000-0000-0000-000000000002"
     principal_id        = data.azurerm_client_config.current.object_id
     scope               = azurerm_cosmosdb_account.main.id
   }

Bereinigung