Laboratorio práctico — DP-420 Microsoft Azure Cosmos DB Developer Specialty

Descripción general

Requisitos previos

Pasos

1. 1.Proveedor, Grupo de Recursos, primitivas de nombres

   Inicio estándar de Azure. Los nombres de las cuentas de Cosmos DB deben ser globalmente únicos (publicados en DNS como <name>.documents.azure.com) — random_id evita colisiones.

   Copiar

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       azurerm = { source = "hashicorp/azurerm", version = "~> 4.0" }
       random  = { source = "hashicorp/random",  version = "~> 3.6" }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   
   resource "random_id" "suffix" {
     byte_length = 3
   }
   
   data "azurerm_client_config" "current" {}
   
   locals {
     tags = {
       Project   = "certlabpro-dp-420"
       ManagedBy = "terraform"
     }
   }
   
   resource "azurerm_resource_group" "main" {
     name     = "certlabpro-dp-420-rg"
     location = "eastus"
     tags     = local.tags
   }

2. 2.Aprovisionar la cuenta de Cosmos DB con copia de seguridad continua

   Aprovisiona:

   • Azure Cosmos DB

   El DP-420, en el tema Implementar, administrar y monitorear una solución de Cosmos DB, evalúa directamente los modos de copia de seguridad: Periódica (predeterminada; 2 copias cada 4 horas retenidas 8 días) versus Continua (restauración a un momento dado en cualquier segundo dentro de 30 o 7 días). La continua es la respuesta de nivel de producción; usamos el nivel de 7 días para el laboratorio para mantener el costo bajo.

   local_authentication_disabled = true fuerza la autenticación con Entra ID — la respuesta de producción del DP-420. El modelo de RBAC del plano de datos de Cosmos es uno de los temas de examen más probados.

   Copiar

   resource "azurerm_cosmosdb_account" "main" {
     name                = "cosmos-dp420-${random_id.suffix.hex}"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     offer_type          = "Standard"
     kind                = "GlobalDocumentDB" # Core (SQL) API — DP-420 default
   
     consistency_policy {
       consistency_level       = "BoundedStaleness"
       max_interval_in_seconds = 10
       max_staleness_prefix    = 100
     }
   
     geo_location {
       location          = azurerm_resource_group.main.location
       failover_priority = 0
     }
   
     backup {
       type                = "Continuous"
       tier                = "Continuous7Days" # cheapest continuous-backup tier
     }
   
     local_authentication_disabled = true # Entra auth only
   
     tags = local.tags
   }

3. 3.Crear una base de datos y un contenedor con clave de partición e indexación bien pensadas

   Aprovisiona:

   • Azure Cosmos DB

   El contenedor es donde el DP-420 dedica la mayor parte del tiempo del examen. Elegimos /userId como clave de partición para el ejemplo — alta cardinalidad (buena distribución), el patrón de acceso típico es obtener los registros de mi usuario, por lo que leemos dentro de la partición (más rápido, RU/s más baratas).

   La política de indexación es el siguiente gran factor de costo del DP-420. Por defecto, Cosmos indexa cada propiedad — consultas rápidas, escrituras costosas. Excluimos /largeBlob/? (una ruta que contiene datos no estructurados pesados que nunca consultamos) y /_etag/? (administrada automáticamente, sin valor para indexar). Las políticas de indexación personalizadas se evalúan explícitamente como la respuesta de optimización de costos para cargas de trabajo intensivas en escritura.

   Autoescala máxima de 1000 RU/s — factura el 10% del mínimo máximo en inactividad (100 RU/s = ~$24/mes). Para una base de datos de producción real, modelaría las RU/s esperadas por solicitud, multiplicaría por las QPS sostenidas, multiplicaría por 1.5x de seguridad y establecería el máximo en ese número.

   Copiar

   resource "azurerm_cosmosdb_sql_database" "app" {
     name                = "appdb"
     resource_group_name = azurerm_resource_group.main.name
     account_name        = azurerm_cosmosdb_account.main.name
   
     autoscale_settings {
       max_throughput = 1000
     }
   }
   
   resource "azurerm_cosmosdb_sql_container" "user_events" {
     name                = "user-events"
     resource_group_name = azurerm_resource_group.main.name
     account_name        = azurerm_cosmosdb_account.main.name
     database_name       = azurerm_cosmosdb_sql_database.app.name
     partition_key_paths = ["/userId"]
   
     indexing_policy {
       indexing_mode = "consistent"
   
       included_path {
         path = "/*"
       }
   
       excluded_path {
         path = "/largeBlob/?"
       }
   
       excluded_path {
         path = "/_etag/?"
       }
     }
   
     default_ttl = -1 # explicit opt-in (-1 means no auto-expiry); set to seconds for TTL
   }

4. 4.Conceder al principal actual acceso al plano de datos de Cosmos DB a través de RBAC

   Aprovisiona:

   • Azure Cosmos DB
   • Microsoft Entra ID

   Con local_authentication_disabled = true del Paso 2, la única forma de leer o escribir en el contenedor es a través de la autenticación de Entra ID + RBAC del plano de datos de Cosmos. El rol Cosmos DB Built-in Data Contributor integrado (GUID 00000000-0000-0000-0000-000000000002) otorga acceso completo de lectura/escritura en el ámbito de la cuenta.

   El DP-420 evalúa la distinción de roles plano de control vs. plano de datos: el RBAC del plano de control (Azure RBAC) gestiona la cuenta en sí (crear contenedor, cambiar el rendimiento); el RBAC del plano de datos (específico de Cosmos) gestiona los documentos dentro de los contenedores. Son asignaciones de roles separadas; una no implica la otra.

   Copiar

   resource "azurerm_cosmosdb_sql_role_assignment" "me_data_contributor" {
     resource_group_name = azurerm_resource_group.main.name
     account_name        = azurerm_cosmosdb_account.main.name
     role_definition_id  = "${azurerm_cosmosdb_account.main.id}/sqlRoleDefinitions/00000000-0000-0000-0000-000000000002"
     principal_id        = data.azurerm_client_config.current.object_id
     scope               = azurerm_cosmosdb_account.main.id
   }

Limpieza