# 機能設計書 544-Export-DbaDbRole

## 概要

本ドキュメントは、データベースロール定義を権限セットおよびスキーマ所有権情報とともにT-SQLスクリプトとして生成するPowerShell関数`Export-DbaDbRole`の機能設計書である。

### 本機能の処理概要

Export-DbaDbRoleは、データベースロールの完全な定義（CREATE ROLE文、オブジェクト権限、スキーマ所有権）を含む実行可能なT-SQLスクリプトを生成する。テーブル、スキーマ、アセンブリ、証明書など、すべてのデータベースセキュアブルに対する詳細な権限を取得し、他環境で同一のセキュリティ構成を再作成可能にする。

**業務上の目的・背景**：データベースのロールベースセキュリティは、アプリケーションおよびユーザーのアクセス制御において中心的な役割を果たす。開発・テスト・本番環境間でセキュリティ構成を移行する際や、コンプライアンス監査のためにセキュリティ設定をドキュメント化する必要がある。本機能により、完全かつ再現可能なロール定義スクリプトを生成できる。

**機能の利用シーン**：
- 開発環境から本番環境へのロールベースセキュリティの移行
- コンプライアンス監査のためのセキュリティ構成ドキュメント化
- ディザスタリカバリ用のセキュリティ設定バックアップ
- データベースデプロイメントスクリプトへのロール定義統合

**主要な処理内容**：
1. 対象データベースロールの取得（フィルタリング対応）
2. SMO ScriptingOptionsを使用したロール定義のスクリプト化
3. sys.database_permissionsからの権限情報取得
4. スキーマ所有権情報の取得
5. ロールメンバーシップの追加（オプション）
6. ファイルまたはパイプラインへの出力

**関連システム・外部連携**：SQL Server Management Objects (SMO)のScriptingOptionsを使用。

**権限による制御**：対象データベースへのアクセス権限が必要。

## 関連画面

| 画面No | 画面名 | 関連種別 | 関連する操作・処理 |
|--------|--------|----------|------------------|
| - | なし（CLI専用機能） | - | PowerShellコマンドラインから実行 |

## 機能種別

帳票出力 / セキュリティ管理

## 入力仕様

### 入力パラメータ

| パラメータ名 | 型 | 必須 | 説明 | バリデーション |
|-------------|-----|-----|------|---------------|
| SqlInstance | DbaInstanceParameter[] | No | 対象SQL Serverインスタンス | - |
| SqlCredential | PSCredential | No | SQL Server接続用資格情報 | 有効なPSCredential |
| InputObject | object[] | No | パイプライン入力（ロール/DB/サーバー） | - |
| ScriptingOptionsObject | ScriptingOptions | No | SMOスクリプトオプション | - |
| Database | object[] | No | 対象データベース（ワイルドカード対応） | - |
| Role | object[] | No | 対象ロール名（ワイルドカード対応） | - |
| ExcludeRole | object[] | No | 除外ロール名 | - |
| ExcludeFixedRole | switch | No | 固定ロールを除外 | - |
| IncludeRoleMember | switch | No | メンバーシップを含める | - |
| Path | string | No | 出力ディレクトリ | デフォルト: DbatoolsExport |
| FilePath | string | No | 出力ファイルパス | - |
| Passthru | switch | No | パイプライン出力 | - |
| BatchSeparator | string | No | バッチ区切り文字 | デフォルト: GO |
| NoClobber | switch | No | 上書き禁止 | - |
| Append | switch | No | 追記モード | - |
| NoPrefix | switch | No | ヘッダーコメント除外 | - |
| Encoding | string | No | 文字エンコーディング | UTF8等 |
| EnableException | switch | No | 例外を有効化 | - |

### 入力データソース

- Get-DbaDbRoleで取得したデータベースロールオブジェクト
- sys.database_permissionsシステムビュー
- sys.schemasシステムビュー

## 出力仕様

### 出力データ

| 項目名 | 型 | 説明 |
|--------|-----|------|
| Passthru時 | string | T-SQLスクリプト文字列 |
| ファイル出力時 | FileInfo | 生成されたスクリプトファイル情報 |

### 出力先

- ファイル出力: Path/FilePathで指定されたSQLスクリプトファイル
- Passthru: PowerShellパイプライン

## 処理フロー

### 処理シーケンス

```
1. エクスポートディレクトリ検証
   └─ Test-ExportDirectory
2. ScriptingOptions初期化
   └─ 未指定時はデフォルトオプション設定
3. InputObject処理
   └─ DbaInstanceParameter/Server/Database/DatabaseRole判定
4. ロールループ処理
   └─ 各ロールに対してスクリプト生成
5. ロール定義スクリプト化
   └─ $dbRole.Script()
6. 権限スクリプト生成
   └─ roleSQLクエリで権限取得、GRANT/DENY/REVOKE文生成
7. メンバーシップスクリプト生成（オプション）
   └─ ALTER ROLE ... ADD MEMBER文
8. 出力処理
   └─ ファイル/パイプライン出力
```

### フローチャート

```mermaid
flowchart TD
    A[開始] --> B[エクスポートディレクトリ検証]
    B --> C[ScriptingOptions初期化]
    C --> D{InputObject種別}
    D -->|DbaInstanceParameter| E[Get-DbaDbRole呼び出し]
    D -->|Server| F[Get-DbaDbRole呼び出し]
    D -->|Database| G[パイプラインでGet-DbaDbRole]
    D -->|DatabaseRole| H[直接処理]
    E --> I[ロールループ]
    F --> I
    G --> I
    H --> I
    I --> J[互換性レベルチェック]
    J --> K{Version90以上?}
    K -->|No| L[スキップ]
    K -->|Yes| M[ロール定義スクリプト化]
    M --> N[権限取得・スクリプト生成]
    N --> O{IncludeRoleMember?}
    O -->|Yes| P[メンバーシップスクリプト]
    O -->|No| Q[roleCollection追加]
    P --> Q
    Q --> R{全ロール完了?}
    R -->|No| I
    R -->|Yes| S[出力処理]
    S --> T[終了]
```

## ビジネスルール

### 業務ルール

| ルールNo | ルール名 | 内容 | 適用条件 |
|---------|---------|------|---------|
| BR-544-01 | 互換性レベル制限 | CompatibilityLevel 80以下はスキップ | 常時 |
| BR-544-02 | SQL Server 2005以上 | VersionMajor 9未満はエラー | 常時 |
| BR-544-03 | 固定ロール除外 | ExcludeFixedRole時は固定ロール除外 | オプション指定時 |
| BR-544-04 | バージョン依存構文 | SQL 2012未満はsp_addrolemember使用 | メンバーシップ出力時 |

### 計算ロジック

特になし

## データベース操作仕様

### 操作別データベース影響一覧

| 操作 | 対象テーブル | 操作種別 | 概要 |
|-----|-------------|---------|------|
| 権限取得 | sys.database_permissions | SELECT | ロール権限の読み取り |
| スキーマ所有権取得 | sys.schemas | SELECT | スキーマ所有者情報 |
| メンバー取得 | sys.database_role_members | SELECT | ロールメンバー情報 |

### テーブル別操作詳細

#### sys.database_permissions

| 操作 | 項目（カラム名） | 更新値・取得条件 | 備考 |
|-----|-----------------|-----------------|------|
| SELECT | state, permission_name, major_id, minor_id, class | grantee = ロール名 | 複雑なJOINクエリ |

## エラー処理

### エラーケース一覧

| エラーコード | エラー種別 | 発生条件 | 対処方法 |
|------------|----------|---------|---------|
| ConnectionError | 接続エラー | SQL Server接続失敗 | 接続情報を確認 |
| - | バージョンエラー | SQL Server 2005未満 | サポートバージョンを使用 |
| - | 互換性エラー | CompatibilityLevel 80以下 | データベース互換性を更新 |

### リトライ仕様

リトライ機能なし。エラー時は次のロールの処理を継続。

## トランザクション仕様

読み取り専用操作のためトランザクション不要。

## パフォーマンス要件

特に定義なし。多数のロール・権限がある場合は処理時間が増加する可能性がある。

## セキュリティ考慮事項

- 対象データベースへの読み取りアクセス権限が必要
- 出力スクリプトにはセキュリティ構成が含まれるため適切な管理が必要

## 備考

- SQL Server 2005以上、CompatibilityLevel 90以上が必要
- John Eisbrener氏の"Fully Script out a MSSQL Database Role"を参考に実装

---

## コードリーディングガイド

本機能を理解するために参照すべきファイルと、推奨する読み解き順序を以下に示す。

### 推奨読解順序

#### Step 1: データ構造を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 1-1 | Export-DbaDbRole.ps1 | `public/Export-DbaDbRole.ps1` | 157-181行目のパラメータ定義 |
| 1-2 | Export-DbaDbRole.ps1 | `public/Export-DbaDbRole.ps1` | 194-244行目のroleSQLクエリ |

**読解のコツ**: roleSQLは複雑なT-SQLクエリで、sys.database_permissionsから権限情報を取得し、GRANT/DENY/REVOKE文を構築する。

#### Step 2: InputObject処理を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 2-1 | Export-DbaDbRole.ps1 | `public/Export-DbaDbRole.ps1` | 285-308行目のInputObject種別判定 |

**読解のコツ**: switch文でDbaInstanceParameter/Server/Database/DatabaseRoleの4種類の入力を処理。

#### Step 3: ロール処理ループを理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 3-1 | Export-DbaDbRole.ps1 | `public/Export-DbaDbRole.ps1` | 309-367行目のロール処理 |

**主要処理フロー**:
- **313-318行目**: バージョン・互換性チェック
- **321行目**: ロール定義スクリプト化
- **323-340行目**: 権限スクリプト生成
- **342-354行目**: メンバーシップスクリプト生成

### プログラム呼び出し階層図

```
Export-DbaDbRole
    │
    ├─ Test-ExportDirectory
    │
    ├─ New-DbaScriptingOption
    │
    ├─ Get-DbaDbRole
    │
    ├─ DatabaseRole.Script()
    │
    ├─ Database.Query() (権限取得)
    │
    └─ Out-File (ファイル出力)
```

### データフロー図

```
[入力]                    [処理]                         [出力]

SqlInstance/      ───▶ Get-DbaDbRole           ───▶ DatabaseRole Objects
InputObject                                               │
    │                                                     ▼
    ▼
DatabaseRole      ───▶ Script($ScriptingOptions) ───▶ CREATE ROLE T-SQL
    │                                                     │
    ▼                                                     ▼
sys.database_     ───▶ Query($roleSQL)         ───▶ GRANT/DENY/REVOKE
permissions                                               │
    │                                                     ▼
    ▼
roleCollection    ───▶ Join with BatchSeparator ───▶ FileInfo / String
```

### 関連ファイル一覧

| ファイル | パス | 種別 | 役割 |
|---------|------|------|------|
| Export-DbaDbRole.ps1 | `public/Export-DbaDbRole.ps1` | ソース | メイン関数実装 |
| Get-DbaDbRole.ps1 | `public/Get-DbaDbRole.ps1` | ソース | データベースロール取得 |
| New-DbaScriptingOption.ps1 | `public/New-DbaScriptingOption.ps1` | ソース | SMOスクリプトオプション作成 |
| Test-ExportDirectory.ps1 | `private/functions/Test-ExportDirectory.ps1` | ソース | ディレクトリ検証 |
| Get-ExportFilePath.ps1 | `private/functions/Get-ExportFilePath.ps1` | ソース | ファイルパス生成 |
