SQL Database のログインとユーザーの権限管理 at SE の雑記

SQL Database のログインとユーザーの権限管理について少しまとめてみたいと思います。

Contents

SQL Database は SQL Server とログインとユーザー管理の基本的な考えは同じです。

サーバーに接続するためにはログインが必要となります。
そのログインに対してサーバーレベルの権限を付与していきますが、SQL Database と SQL Server では用意されている固定サーバーロールが異なってきます。

SQL Database ではサーバーレベルの権限 (サーバーロール) は以下の 2 種類が用意されています。

SQL Database サーバーレベルの権限は、ログインの管理 / データベースの管理の 2 種類を設定することになります。
DB 作成時に設定したログインについてはこの 2 種類の権限が付与されている状態になるかと。

このあたりの権限は管理者用のものになりますのでアプリケーションで使用するログインについてはこのあたりの権限は設定する必要はないかと。

データベースのオブジェクトに対しての権限はログインをマッピングしたユーザーに対して付与することになります。

データベースレベルで設定できるユーザーの権限については SQL Server と同一になってきます。

細かな権限設定については SQL Server の方を見る形になります。

ユーザーに対して直接権限を付与すると管理が大変になるかもしれませんので、データベースロールに対して付与していくことも考慮したほうがよいかと思います。

これにより固定データベースロールだけでなくユーザーが固有のデータベースロールを作成することができます。

作成したデータベースロールに対して権限を付与し、そのロールにユーザーを追加することで、デフォルトで用意されている固定ユーザーロール以外の権限をロールという管理単位で設定できるようになります。

以下は、データベースロールを作成してそのロールにユーザーを追加して、dbo のスキーマのストアドプロシージャの実行権限を付与するクエリになります。

CREATE ROLE DBRole
sp_addrolemember ‘DBRole’, ‘testuser’
REVOKE EXECUTE ON SCHEMA::dbo TO DBRole

[TO DBRole] ではなく [TO testuser] にすることでユーザーに対して dbo のスキーマの実行権限を付与することもできますが、実行権限を他のユーザーでも設定する可能性がある場合には、ロールを作成してそこに権限を付与したほうが管理はしやすくなります。

オブジェクトに個別に権限を付与すると、新規にオブジェクトを追加した場合に個別に権限を付与していかないといけないので、スキーマ単位に権限を付与してしまうと管理は楽かと思います。

SQL Database をアプリケーションで使用する場合には、データベース作成時に設定したログインではなく、新規に作成したログインを使用することになるかと思います。
このあたりのセキュリティの設定も考慮して効率の良い管理をできるようにしたいですね。

SE の雑記