# 機能設計書 562-Get-DbaServerRole

## 概要

本ドキュメントは、dbatools PowerShellモジュールにおけるGet-DbaServerRoleコマンドレットの機能設計を定義する。本機能は、SQL Serverインスタンスからサーバーレベルのセキュリティロール情報を取得し、ロールメンバーシップ、作成日時、所有者情報を含む包括的なロール監査を実現する。

### 本機能の処理概要

**業務上の目的・背景**：SQL Serverのセキュリティ管理において、サーバーレベルのロール構成を把握することは重要である。固定サーバーロール（sysadmin、serveradmin等）に加え、SQL Server 2012以降ではユーザー定義サーバーロールが作成可能となり、権限管理の柔軟性が向上した。本機能は、これらのサーバーロールの構成情報を一元的に取得し、コンプライアンス監査、セキュリティレビュー、環境比較に活用できる。

**機能の利用シーン**：
- 定期セキュリティ監査でのサーバーロール構成レポート作成
- 新規環境構築時のロール設定確認
- カスタムサーバーロールの棚卸しと管理
- 複数インスタンス間でのロール構成比較
- sysadminロールメンバーの確認によるセキュリティリスク評価

**主要な処理内容**：
1. SQL Serverインスタンスへの接続確立（Azure非対応）
2. SMOを使用してserver.Rolesコレクションを取得
3. ServerRole/ExcludeServerRoleパラメータでフィルタリング
4. ExcludeFixedRoleスイッチでユーザー定義ロールのみ抽出
5. 各ロールについてEnumMemberNames()でメンバー一覧を取得
6. カスタムプロパティを追加してSelect-DefaultViewで出力整形

**関連システム・外部連携**：
- SQL Server Management Objects (SMO)のServerRoleクラスを使用
- 内部的にsys.server_principalsシステムビューからデータ取得

**権限による制御**：
- 対象インスタンスへの接続権限が必要
- ロール情報の参照にはVIEW SERVER STATE権限またはpublic固定ロールメンバーシップが必要

## 関連画面

| 画面No | 画面名 | 関連種別 | 関連する操作・処理 |
|--------|--------|----------|------------------|
| 72 | サーバーロール管理 | 主機能 | サーバーロールの取得 |

## 機能種別

データ取得（SELECT）/ セキュリティ監査

## 入力仕様

### 入力パラメータ

| パラメータ名 | 型 | 必須 | 説明 | バリデーション |
|-------------|-----|-----|------|---------------|
| SqlInstance | DbaInstance[] | Yes | 対象SQL Serverインスタンス | パイプライン入力可、複数指定可 |
| SqlCredential | PSCredential | No | 代替認証情報 | Windows/SQL認証対応 |
| ServerRole | string[] | No | 取得するロール名 | 複数指定可 |
| ExcludeServerRole | string[] | No | 除外するロール名 | 複数指定可 |
| ExcludeFixedRole | switch | No | 固定ロールを除外 | ユーザー定義ロールのみ出力 |
| EnableException | switch | No | 例外を直接スローする | デフォルトは警告メッセージ表示 |

### 入力データソース

- パイプライン入力：SqlInstanceパラメータがValueFromPipelineを受け付ける
- 対話入力：PowerShellコンソールからのパラメータ指定

## 出力仕様

### 出力データ

| 項目名 | 型 | 説明 |
|--------|-----|------|
| ComputerName | string | SQL Serverインスタンスのコンピュータ名 |
| InstanceName | string | SQL Serverインスタンス名 |
| SqlInstance | string | 完全なSQL Serverインスタンス名 |
| Role | string | サーバーロール名 |
| Login | string[] | ロールメンバーのログイン名配列 |
| Owner | string | ロールの所有者 |
| IsFixedRole | bool | 固定ロールかどうか |
| DateCreated | DateTime | ロール作成日時 |
| DateModified | DateTime | ロール最終変更日時 |

### 出力先

- PowerShellパイプライン：Microsoft.SqlServer.Management.Smo.ServerRoleオブジェクトとして出力
- カスタムプロパティ（Login, ComputerName等）がNotePropertyとして追加される

## 処理フロー

### 処理シーケンス

```
1. processブロックで各SqlInstanceに対して処理
   └─ Connect-DbaInstanceで接続確立（AzureUnsupportedフラグ使用）

2. $server.Rolesでサーバーロールコレクション取得

3. フィルタリング処理
   └─ ServerRoleパラメータでName包含フィルタ
   └─ ExcludeServerRoleパラメータでName除外フィルタ
   └─ ExcludeFixedRoleでIsFixedRole=falseのみ抽出

4. 各ロールに対してループ処理
   └─ EnumMemberNames()でメンバー一覧取得
   └─ Add-MemberでカスタムNoteProperty追加
   └─ Select-DefaultViewで出力整形
```

### フローチャート

```mermaid
flowchart TD
    A[開始] --> B[インスタンスループ開始]
    B --> C[Connect-DbaInstance -AzureUnsupported]
    C --> D{接続成功?}
    D -->|No| E[警告出力・次のインスタンスへ]
    D -->|Yes| F[$server.Roles取得]
    F --> G{ServerRole指定?}
    G -->|Yes| H[Name -In フィルタ]
    G -->|No| I{ExcludeServerRole指定?}
    H --> I
    I -->|Yes| J[Name -NotIn フィルタ]
    I -->|No| K{ExcludeFixedRole?}
    J --> K
    K -->|Yes| L[IsFixedRole -eq $false フィルタ]
    K -->|No| M[ロールループ開始]
    L --> M
    M --> N[EnumMemberNames実行]
    N --> O[Add-Member でプロパティ追加]
    O --> P[Select-DefaultView で出力]
    P --> Q{次のロールあり?}
    Q -->|Yes| M
    Q -->|No| R{次のインスタンスあり?}
    E --> R
    R -->|Yes| B
    R -->|No| S[終了]
```

## ビジネスルール

### 業務ルール

| ルールNo | ルール名 | 内容 | 適用条件 |
|---------|---------|------|---------|
| BR-001 | Azure非対応 | Azure SQL Databaseは非対応 | 接続時にAzureUnsupportedフラグ |
| BR-002 | 固定ロール識別 | IsFixedRoleプロパティで固定/ユーザー定義を区別 | 全ロール |
| BR-003 | メンバー一覧取得 | EnumMemberNames()でログイン名配列を取得 | 各ロール |

### 計算ロジック

特段の計算ロジックなし。SMOオブジェクトのプロパティをそのまま出力。

## データベース操作仕様

### 操作別データベース影響一覧

| 操作 | 対象テーブル | 操作種別 | 概要 |
|-----|-------------|---------|------|
| ロール取得 | sys.server_principals | SELECT | サーバーロール情報（SMO経由） |
| メンバー取得 | sys.server_role_members | SELECT | ロールメンバーシップ（SMO経由） |

### テーブル別操作詳細

#### sys.server_principals（SMO経由）
| 操作 | 項目（カラム名） | 更新値・取得条件 | 備考 |
|-----|-----------------|-----------------|------|
| SELECT | name, principal_id, type, is_fixed_role, create_date, modify_date | type = 'R'（ロール） | ServerRoleオブジェクトとして取得 |

## エラー処理

### エラーケース一覧

| エラーコード | エラー種別 | 発生条件 | 対処方法 |
|------------|----------|---------|---------|
| ConnectionError | 接続エラー | インスタンス接続失敗 | 警告出力後、次のインスタンスへ継続 |
| AzureNotSupported | 非対応エラー | Azure SQL Database指定 | 接続時に自動検出してエラー |

### リトライ仕様

リトライ機能は実装されていない。エラー発生時は次のインスタンスへ処理を継続する。

## トランザクション仕様

読み取り専用操作のため、明示的なトランザクション制御は行わない。

## パフォーマンス要件

- SMOを使用した軽量な情報取得
- サーバーロール数は通常少数（10個程度）のため、パフォーマンス上の問題は発生しにくい
- 複数インスタンス指定時は順次処理

## セキュリティ考慮事項

- 認証情報はPSCredentialオブジェクトを使用
- ロールメンバーシップ情報は機密性が高いため、出力の取り扱いに注意
- sysadminロールのメンバー情報は特に慎重に扱う必要がある

## 備考

- Azure SQL Databaseは非対応（-AzureUnsupportedフラグで明示的に拒否）
- SQL Server 2012以降でユーザー定義サーバーロールが利用可能
- 出力にはSMOのServerRoleオブジェクトの全プロパティがアクセス可能

---

## コードリーディングガイド

本機能を理解するために参照すべきファイルと、推奨する読み解き順序を以下に示す。

### 推奨読解順序

#### Step 1: パラメータ定義を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 1-1 | Get-DbaServerRole.ps1 | `public/Get-DbaServerRole.ps1` | パラメータ定義（83-91行目） |

**読解のコツ**: シンプルなパラメータセットでbeginブロックがないことに注目。processブロックのみで処理が完結している。

#### Step 2: メイン処理フローを理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 2-1 | Get-DbaServerRole.ps1 | `public/Get-DbaServerRole.ps1` | processブロック（93-127行目） |

**主要処理フロー**:
- **94-99行目**: Connect-DbaInstance（-AzureUnsupportedフラグ付き）
- **101行目**: $server.Rolesでロールコレクション取得
- **103-111行目**: 3段階のフィルタリング処理
- **113-125行目**: 各ロールへのプロパティ追加と出力

#### Step 3: フィルタリングロジックを理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 3-1 | Get-DbaServerRole.ps1 | `public/Get-DbaServerRole.ps1` | Where-Objectによるフィルタ（103-111行目） |

**フィルタリング順序**:
1. **103-105行目**: ServerRole指定時のName包含フィルタ
2. **106-108行目**: ExcludeServerRole指定時のName除外フィルタ
3. **109-111行目**: ExcludeFixedRole時のIsFixedRole=falseフィルタ

### プログラム呼び出し階層図

```
Get-DbaServerRole
    │
    ├─ Connect-DbaInstance -AzureUnsupported（接続確立）
    │
    ├─ $server.Roles（SMO ServerRoleコレクション取得）
    │
    ├─ Where-Object（フィルタリング）
    │      ├─ Name -In $ServerRole
    │      ├─ Name -NotIn $ExcludeServerRole
    │      └─ IsFixedRole -eq $false
    │
    └─ foreach $role
           ├─ $role.EnumMemberNames()（メンバー取得）
           ├─ Add-Member（プロパティ追加）
           └─ Select-DefaultView（出力整形）
```

### データフロー図

```
[入力]                        [処理]                              [出力]

SqlInstance ─────────────▶ Connect-DbaInstance ─────────────▶ $server
                                  │
                                  ▼
                           $server.Roles ──────────────────▶ ServerRoleコレクション
                                  │
ServerRole ──────────────▶ Where Name -In ────────────────▶ フィルタ済みロール
ExcludeServerRole ───────▶ Where Name -NotIn
ExcludeFixedRole ────────▶ Where IsFixedRole -eq $false
                                  │
                                  ▼
                           EnumMemberNames() ──────────────▶ メンバー配列
                                  │
                                  ▼
                           Add-Member ─────────────────────▶ 拡張ServerRole
                                  │
                                  ▼
                           Select-DefaultView ─────────────▶ 出力オブジェクト
```

### 関連ファイル一覧

| ファイル | パス | 種別 | 役割 |
|---------|------|------|------|
| Get-DbaServerRole.ps1 | `public/Get-DbaServerRole.ps1` | ソース | メイン機能実装 |
| Connect-DbaInstance.ps1 | `public/Connect-DbaInstance.ps1` | ソース | SQL Server接続処理 |
