# 機能設計書 555-Get-DbaDbUser

## 概要

本ドキュメントは、SQL Serverデータベースユーザーの取得機能について、その処理内容、入出力仕様、および実装詳細を記述した機能設計書である。

### 本機能の処理概要

Get-DbaDbUserは、SQL Serverデータベースに定義されているデータベースユーザーアカウントと、関連するサーバーログインのマッピング情報を取得するPowerShellコマンドレットである。セキュリティ監査、ユーザーアクセスレビュー、コンプライアンスレポート作成において、データベースレベルのアクセス権を持つユーザーを把握するために使用される。

**業務上の目的・背景**：SQL Serverでは、サーバーログインとデータベースユーザーが分離されている。ユーザーがどのデータベースにアクセスでき、どのような認証方式を使用しているかを把握することは、アクセス管理とセキュリティ監査において重要である。本機能は、これらの情報を効率的に取得し、定期的なアクセスレビューやコンプライアンス対応を支援する。

**機能の利用シーン**：
- セキュリティ監査でのユーザー棚卸し
- 特定ログインがアクセスできるデータベースの確認
- 退職者のアクセス権確認
- アプリケーションユーザーの管理

**主要な処理内容**：
1. 指定されたSQL Serverインスタンスへの接続
2. Get-DbaDatabaseを使用したデータベースコレクションの取得
3. 各データベースからUsersコレクションの取得
4. ExcludeSystemUser、User、Loginパラメータによるフィルタリング
5. 各ユーザーへのインスタンス情報の付与と出力

**関連システム・外部連携**：
- Get-DbaDatabase（データベース取得）との連携
- SMO Userオブジェクトの使用

**権限による制御**：データベースユーザー情報の参照には、各データベースへのアクセス権限が必要。

## 関連画面

| 画面No | 画面名 | 関連種別 | 関連する操作・処理 |
|--------|--------|----------|------------------|
| 38 | データベースユーザー管理 | 主画面 | データベースユーザーの取得 |

## 機能種別

データ取得（SELECT）

## 入力仕様

### 入力パラメータ

| パラメータ名 | 型 | 必須 | 説明 | バリデーション |
|-------------|-----|-----|------|---------------|
| SqlInstance | DbaInstanceParameter[] | Yes | 対象のSQL Serverインスタンス。パイプライン入力対応 | 有効なSQL Serverインスタンス名 |
| SqlCredential | PSCredential | No | 接続に使用する代替資格情報 | - |
| Database | object[] | No | 対象データベース名 | - |
| ExcludeDatabase | object[] | No | 除外するデータベース名 | - |
| ExcludeSystemUser | switch | No | システムユーザー（dbo, guest等）を除外 | - |
| User | string[] | No | 取得するユーザー名 | - |
| Login | string[] | No | 関連するログイン名でフィルタ | - |
| EnableException | switch | No | 例外処理の有効化 | - |

### 入力データソース

- SQL Serverインスタンス（Get-DbaDatabase経由）

## 出力仕様

### 出力データ

| 項目名 | 型 | 説明 |
|--------|-----|------|
| ComputerName | string | SQL Serverが稼働するコンピュータ名 |
| InstanceName | string | SQL Serverインスタンス名 |
| SqlInstance | string | 完全なSQL Serverインスタンス名 |
| Database | string | データベース名 |
| CreateDate | DateTime | ユーザー作成日時 |
| DateLastModified | DateTime | 最終更新日時 |
| Name | string | データベースユーザー名 |
| Login | string | 関連するサーバーログイン名 |
| LoginType | string | ログインタイプ（SqlLogin/WindowsUser/WindowsGroup等） |
| AuthenticationType | string | 認証タイプ（Database/Windows） |
| State | string | オブジェクト状態 |
| HasDbAccess | bool | データベースアクセス権限の有無 |
| DefaultSchema | string | デフォルトスキーマ |

### 出力先

- PowerShellパイプライン（Microsoft.SqlServer.Management.Smo.User型）

## 処理フロー

### 処理シーケンス

```
1. パラメータバインディング
   └─ SqlInstance、フィルタ条件の受け取り

2. foreach ($instance in $SqlInstance) ループ
   └─ 各インスタンスに対して処理実行

3. SQL Serverへの接続
   └─ Connect-DbaInstanceによる接続確立

4. データベースコレクション取得
   └─ Get-DbaDatabase経由（OnlyAccessibleオプション）
   └─ Database/ExcludeDatabaseによるフィルタ

5. 各データベースでのユーザー取得
   └─ $db.users取得
   └─ ExcludeSystemUserによるフィルタ
   └─ Userパラメータによるフィルタ
   └─ Loginパラメータによるフィルタ

6. 結果の出力
   └─ Add-Memberでインスタンス情報追加
   └─ Select-DefaultViewで既定プロパティ選択
```

### フローチャート

```mermaid
flowchart TD
    A[開始] --> B[パラメータ受け取り]
    B --> C{各インスタンスをループ}
    C --> D[Connect-DbaInstance]
    D --> E{接続成功?}
    E -->|No| F[Stop-Function / Continue]
    F --> C
    E -->|Yes| G[Get-DbaDatabase]
    G --> H{各DBをループ}
    H --> I[$db.users取得]
    I --> J{ユーザー存在?}
    J -->|No| K[Verbose: ユーザーなし]
    K --> H
    J -->|Yes| L{ExcludeSystemUser?}
    L -->|Yes| M[システムユーザー除外]
    L -->|No| N{Userフィルタ?}
    M --> N
    N -->|Yes| O[User絞り込み]
    N -->|No| P{Loginフィルタ?}
    O --> P
    P -->|Yes| Q[Login絞り込み]
    P -->|No| R[結果ループ]
    Q --> R
    R --> S[Add-Member: インスタンス情報]
    S --> T[Select-DefaultView]
    T --> H
    H -->|完了| C
    C -->|完了| U[終了]
```

## ビジネスルール

### 業務ルール

| ルールNo | ルール名 | 内容 | 適用条件 |
|---------|---------|------|---------|
| BR-001 | パイプライン入力 | SqlInstanceパラメータはパイプラインからの入力を受け付ける | 常時 |
| BR-002 | システムユーザー除外 | IsSystemObject=trueのユーザーを除外 | ExcludeSystemUser指定時 |
| BR-003 | ユーザーフィルタ | Userパラメータで名前が一致するユーザーのみ返却 | User指定時 |
| BR-004 | ログインフィルタ | Loginパラメータで関連ログインが一致するユーザーのみ返却 | Login指定時 |
| BR-005 | アクセス可能DBのみ | OnlyAccessibleオプションでアクセス可能なDBのみ処理 | 常時 |

### 計算ロジック

システムユーザー除外条件: `$_.IsSystemObject -eq $false`

## データベース操作仕様

### 操作別データベース影響一覧

| 操作 | 対象テーブル | 操作種別 | 概要 |
|-----|-------------|---------|------|
| ユーザー取得 | sys.database_principals | SELECT | SMO経由でDBユーザーを取得 |

### テーブル別操作詳細

#### sys.database_principals（SMO経由アクセス）

| 操作 | 項目（カラム名） | 更新値・取得条件 | 備考 |
|-----|-----------------|-----------------|------|
| SELECT | name, principal_id, type, default_schema_name等 | 全ユーザー | SMOのUsersコレクション経由 |

## エラー処理

### エラーケース一覧

| エラーコード | エラー種別 | 発生条件 | 対処方法 |
|------------|----------|---------|---------|
| ConnectionError | 接続エラー | SQL Serverへの接続失敗 | Stop-Functionで警告、次のインスタンスへ継続 |

### リトライ仕様

リトライは実装されていない。

## トランザクション仕様

読み取り専用操作のため、トランザクション制御は不要。

## パフォーマンス要件

- Get-DbaDatabaseを経由するため、Database/ExcludeDatabaseでの絞り込みが有効
- 大量のデータベース/ユーザーがある場合はパイプライン処理を活用

## セキュリティ考慮事項

- 各データベースへのアクセス権限が必要
- セキュリティ監査用途で使用される

## 備考

- dbo、guest、INFORMATION_SCHEMAなどのシステムユーザーはExcludeSystemUserで除外可能
- Loginプロパティが空のユーザーは孤立ユーザーの可能性あり

---

## コードリーディングガイド

本機能を理解するために参照すべきファイルと、推奨する読み解き順序を以下に示す。

### 推奨読解順序

#### Step 1: データ構造を理解する

SMO Userオブジェクトの構造を理解する。

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 1-1 | Get-DbaDbUser.ps1 | `public/Get-DbaDbUser.ps1` | 出力型（.OUTPUTS）セクション（44-75行目） |

**読解のコツ**: SMO Userオブジェクトは多くのプロパティを持つが、Select-DefaultViewで既定プロパティのみ表示される。

#### Step 2: エントリーポイントを理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 2-1 | Get-DbaDbUser.ps1 | `public/Get-DbaDbUser.ps1` | function宣言とparamブロック（123-134行目） |

**主要処理フロー**:
1. **123-134行目**: パラメータ定義
2. **136行目**: processブロック開始
3. **137行目**: foreachループでインスタンス処理開始

#### Step 3: データベース取得を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 3-1 | Get-DbaDbUser.ps1 | `public/Get-DbaDbUser.ps1` | Get-DbaDatabase呼び出し（145行目） |

**主要処理フロー**:
- **145行目**: Get-DbaDatabase -OnlyAccessibleでアクセス可能DBのみ取得

#### Step 4: フィルタリング処理を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 4-1 | Get-DbaDbUser.ps1 | `public/Get-DbaDbUser.ps1` | ユーザーフィルタリング（149-163行目） |

**主要処理フロー**:
- **149行目**: $db.usersで全ユーザー取得
- **155-157行目**: ExcludeSystemUserによるフィルタ
- **158-160行目**: Userパラメータによるフィルタ
- **161-163行目**: Loginパラメータによるフィルタ

#### Step 5: 出力処理を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 5-1 | Get-DbaDbUser.ps1 | `public/Get-DbaDbUser.ps1` | 出力オブジェクト生成（165-173行目） |

**主要処理フロー**:
- **167-170行目**: Add-MemberでComputerName、InstanceName、SqlInstance、Database追加
- **172行目**: Select-DefaultViewで既定プロパティ選択

### プログラム呼び出し階層図

```
Get-DbaDbUser
    │
    ├─ Connect-DbaInstance
    │      └─ SQL Server SMO接続
    │
    ├─ Get-DbaDatabase
    │      └─ OnlyAccessibleオプション
    │
    ├─ $db.Users（各DBのユーザーコレクション）
    │      └─ Where-Object（フィルタリング）
    │
    ├─ Add-Member（プロパティ追加）
    │
    └─ Select-DefaultView（出力整形）
```

### データフロー図

```
[入力]               [処理]                    [出力]

SqlInstance ───▶ Connect-DbaInstance ───▶ SMO Server
                        │
                        ▼
              Get-DbaDatabase ───▶ Database[]
                        │
                        ▼
              各 $db.Users ───▶ フィルタリング
                        │
           ┌────────────┴────────────┐
           ▼            ▼            ▼
   ExcludeSystemUser   User        Login
                        │
                        ▼
              Add-Member ───▶ インスタンス情報付与
                        │
                        ▼
              Select-DefaultView ───▶ パイプライン出力
                                             │
                                             ▼
                                    User Objects
```

### 関連ファイル一覧

| ファイル | パス | 種別 | 役割 |
|---------|------|------|------|
| Get-DbaDbUser.ps1 | `public/Get-DbaDbUser.ps1` | ソース | メイン実装 |
| Get-DbaDatabase.ps1 | `public/Get-DbaDatabase.ps1` | ソース | データベース取得 |
| Get-DbaDbOrphanUser.ps1 | `public/Get-DbaDbOrphanUser.ps1` | ソース | 孤立ユーザー検出（関連機能） |
| Connect-DbaInstance.ps1 | `public/Connect-DbaInstance.ps1` | ソース | SQL Server接続 |
