# 機能設計書 566-New-DbaCredential

## 概要

本ドキュメントは、dbatools PowerShellモジュールにおけるNew-DbaCredentialコマンドレットの機能設計を定義する。本機能は、SQL Serverの資格情報（Credential）オブジェクトを作成し、外部リソースへの認証情報を安全に管理する機能を提供する。

### 本機能の処理概要

**業務上の目的・背景**：SQL Serverの資格情報は、外部リソース（Azureストレージ、ネットワーク共有、サービスアカウント等）への認証に使用される重要なセキュリティオブジェクトである。Backup to URL、SQL Agentジョブの実行、外部データソースへのアクセス等で資格情報が必要となる。本機能は、伝統的なユーザー名/パスワード認証、Azureストレージアクセスキー、SASトークン、マネージドIDなど多様な認証方式に対応した資格情報作成を自動化する。

**機能の利用シーン**：
- Azure Blob StorageへのBackup to URL設定時の資格情報作成
- SQL Agentジョブのプロキシアカウント設定
- リンクサーバー認証用の資格情報準備
- ネットワーク共有アクセス用の認証設定
- S3互換ストレージ（SQL Server 2022+）への接続設定

**主要な処理内容**：
1. SQL Serverインスタンスへの接続確立
2. 既存資格情報の存在確認（Force指定時は削除）
3. SMO Credentialオブジェクトの作成
4. MappedClassType設定（暗号化プロバイダー使用時）
5. Identity/Password設定でCreate()メソッド実行
6. カスタムプロパティ追加とSelect-DefaultViewで出力

**関連システム・外部連携**：
- SQL Server Management Objects (SMO)のCredentialクラス
- Azureストレージサービス（Blob Storage）
- AWS S3互換ストレージ（SQL Server 2022+）
- 暗号化プロバイダー（EKM使用時）

**権限による制御**：
- ALTER ANY CREDENTIAL権限が必要
- サーバー管理者（sysadmin）ロールのメンバーは暗黙的に権限あり

## 関連画面

| 画面No | 画面名 | 関連種別 | 関連する操作・処理 |
|--------|--------|----------|------------------|
| 74 | 資格情報管理 | 主機能 | 資格情報の作成 |

## 機能種別

データ作成（INSERT）/ セキュリティ管理 / CRUD操作

## 入力仕様

### 入力パラメータ

| パラメータ名 | 型 | 必須 | 説明 | バリデーション |
|-------------|-----|-----|------|---------------|
| SqlInstance | DbaInstanceParameter[] | Yes | 対象SQL Serverインスタンス | パイプライン入力可 |
| SqlCredential | PSCredential | No | 接続用認証情報 | Windows/SQL認証対応 |
| Name | string | No | 資格情報名 | デフォルトはIdentity値 |
| Identity | string | Yes | 認証ID（ユーザー名、URI、特殊値） | CredentialIdentity別名 |
| SecurePassword | SecureString | No | パスワード/アクセスキー | Password別名、Managed Identity以外で必要 |
| MappedClassType | string | No | マッピングクラス種別 | CryptographicProvider/None（デフォルト） |
| ProviderName | string | No | 暗号化プロバイダー名 | MappedClassType=CryptographicProvider時 |
| Force | switch | No | 既存資格情報を上書き | 削除後に再作成 |
| WhatIf | switch | No | 実行シミュレーション | 変更なし |
| Confirm | switch | No | 確認プロンプト | ConfirmImpact="Medium" |
| EnableException | switch | No | 例外を直接スローする | デフォルトは警告メッセージ |

### 入力データソース

- パイプライン入力：SqlInstanceパラメータがValueFromPipelineを受け付ける
- 対話入力：PowerShellコンソールからのパラメータ指定

## 出力仕様

### 出力データ

| 項目名 | 型 | 説明 |
|--------|-----|------|
| ComputerName | string | SQL Serverインスタンスのコンピュータ名 |
| InstanceName | string | SQL Serverインスタンス名 |
| SqlInstance | string | 完全なSQL Serverインスタンス名 |
| Name | string | 資格情報名 |
| Identity | string | 認証ID |
| CreateDate | DateTime | 作成日時 |
| MappedClassType | int | マッピングクラス種別（0=None, 1=CryptographicProvider） |
| ProviderName | string | 暗号化プロバイダー名 |

### 出力先

- PowerShellパイプライン：Microsoft.SqlServer.Management.Smo.Credentialオブジェクト
- Select-DefaultViewで既定表示プロパティを設定

## 処理フロー

### 処理シーケンス

```
1. beginブロックで前処理
   └─ Force指定時はConfirmPreference='none'に設定
   └─ MappedClassTypeを数値に変換（None=0, CryptographicProvider=1）

2. processブロックで各SqlInstanceに対して処理
   └─ Connect-DbaInstanceで接続確立

3. 既存資格情報の確認
   └─ $server.Credentials[$Name]で存在確認
   └─ 存在＆Force時は削除
   └─ 存在＆非Force時はエラー

4. 資格情報の作成
   └─ New-Object Microsoft.SqlServer.Management.Smo.Credential
   └─ MappedClassType、ProviderName設定
   └─ SecurePassword有無でCreate()メソッド呼び出し方法を分岐

5. 出力整形
   └─ Add-MemberでカスタムNoteProperty追加
   └─ Select-DefaultViewで出力
```

### フローチャート

```mermaid
flowchart TD
    A[開始] --> B[beginブロック: MappedClassType変換]
    B --> C[インスタンスループ開始]
    C --> D[Connect-DbaInstance]
    D --> E{接続成功?}
    E -->|No| F[警告・次へ]
    E -->|Yes| G{既存資格情報あり?}
    G -->|Yes| H{Force指定?}
    H -->|Yes| I[既存資格情報削除]
    H -->|No| J[エラー・次へ]
    G -->|No| K[ShouldProcess確認]
    I --> K
    K --> L{ShouldProcess=Yes?}
    L -->|No| M{次のインスタンスあり?}
    L -->|Yes| N[Credentialオブジェクト作成]
    N --> O[MappedClassType設定]
    O --> P[ProviderName設定]
    P --> Q{SecurePassword指定?}
    Q -->|Yes| R[Create with password]
    Q -->|No| S[Create without password]
    R --> T[Add-Member: カスタムプロパティ]
    S --> T
    T --> U[Select-DefaultView出力]
    U --> M
    F --> M
    J --> M
    M -->|Yes| C
    M -->|No| V[終了]
```

## ビジネスルール

### 業務ルール

| ルールNo | ルール名 | 内容 | 適用条件 |
|---------|---------|------|---------|
| BR-001 | Name省略時デフォルト | Nameが未指定の場合、Identity値をNameとして使用 | Name未指定時 |
| BR-002 | 既存チェック | 同名資格情報が存在する場合は作成エラー | Force未指定時 |
| BR-003 | Force動作 | 既存資格情報を削除後に再作成 | Force指定時 |
| BR-004 | パスワード省略可 | Managed Identity等ではパスワード不要 | 認証方式による |
| BR-005 | ShouldProcess対応 | WhatIf/Confirmでの確認をサポート | 全操作 |

### 計算ロジック

**MappedClassType変換**:
- "CryptographicProvider" → 1
- "None" → 0（デフォルト）

## データベース操作仕様

### 操作別データベース影響一覧

| 操作 | 対象テーブル | 操作種別 | 概要 |
|-----|-------------|---------|------|
| 資格情報存在確認 | sys.credentials | SELECT | 同名資格情報の存在確認 |
| 資格情報削除 | sys.credentials | DELETE | Force時の既存資格情報削除 |
| 資格情報作成 | sys.credentials | INSERT | 新規資格情報作成 |

### テーブル別操作詳細

#### sys.credentials
| 操作 | 項目（カラム名） | 更新値・取得条件 | 備考 |
|-----|-----------------|-----------------|------|
| INSERT | name, credential_identity, mapped_class_type, provider_name | パラメータ値 | SMO経由で実行 |

## エラー処理

### エラーケース一覧

| エラーコード | エラー種別 | 発生条件 | 対処方法 |
|------------|----------|---------|---------|
| ConnectionError | 接続エラー | インスタンス接続失敗 | 警告出力後、次のインスタンスへ継続 |
| ExistsError | 既存エラー | 同名資格情報存在＆Force未指定 | エラー出力後、次のインスタンスへ継続 |
| DropError | 削除エラー | Force時の既存資格情報削除失敗 | エラー出力後、次のインスタンスへ継続 |
| CreateError | 作成エラー | 資格情報作成失敗 | エラー出力後、次のインスタンスへ継続 |

### リトライ仕様

リトライ機能は実装されていない。エラー発生時は次のインスタンスへ処理を継続する。

## トランザクション仕様

- 各資格情報作成は個別のDDL操作として実行
- 複数インスタンス処理時、一部失敗しても他は継続
- Force時の削除と作成は別トランザクション

## パフォーマンス要件

- SMOを使用した軽量な操作
- 資格情報数は通常少数
- 複数インスタンス指定時は順次処理

## セキュリティ考慮事項

- パスワード/アクセスキーはSecureStringで受け渡し
- 認証情報はSQL Serverの暗号化メカニズムで保護
- ALTER ANY CREDENTIAL権限が必要
- Azure Storage Access KeyやSASトークンの取り扱いに注意

## 備考

- Azure Backup to URLには特定のIdentity形式が必要
- Managed Identityの場合はパスワード不要
- S3互換ストレージはSQL Server 2022以降で対応
- MappedClassTypeは通常Noneで、EKM使用時のみCryptographicProvider

---

## コードリーディングガイド

本機能を理解するために参照すべきファイルと、推奨する読み解き順序を以下に示す。

### 推奨読解順序

#### Step 1: パラメータ定義を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 1-1 | New-DbaCredential.ps1 | `public/New-DbaCredential.ps1` | パラメータ定義（145-160行目） |

**読解のコツ**: Identityが必須、Nameのデフォルト値が$Identityであること、SecurePasswordが省略可能であることに注目。

**主要処理フロー**:
- **149行目**: Name = $Identity（デフォルト値）
- **150-152行目**: Identity必須、CredentialIdentity別名
- **153-154行目**: SecurePassword（Password別名）
- **155-156行目**: MappedClassType（ValidateSet）

#### Step 2: beginブロックの前処理を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 2-1 | New-DbaCredential.ps1 | `public/New-DbaCredential.ps1` | beginブロック（162-169行目） |

**主要処理フロー**:
- **163行目**: Force時のConfirmPreference設定
- **165-168行目**: MappedClassType文字列→数値変換（switch文）

#### Step 3: メイン処理フローを理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 3-1 | New-DbaCredential.ps1 | `public/New-DbaCredential.ps1` | processブロック（171-223行目） |

**主要処理フロー**:
- **172-177行目**: Connect-DbaInstance
- **179-194行目**: 既存資格情報チェック（Force時は削除）
- **196-221行目**: 資格情報作成とプロパティ追加

### プログラム呼び出し階層図

```
New-DbaCredential
    │
    ├─ Connect-DbaInstance（接続確立）
    │
    ├─ $server.Credentials[$Name]（既存チェック）
    │      │
    │      └─ $currentCred.Drop()（Force時の削除）
    │
    ├─ New-Object Microsoft.SqlServer.Management.Smo.Credential
    │      │
    │      ├─ $instancecredential.MappedClassType = $mappedClass
    │      ├─ $instancecredential.ProviderName = $ProviderName
    │      │
    │      └─ $instancecredential.Create($Identity, $SecurePassword)
    │         または
    │         $instancecredential.Create($Identity)
    │
    └─ Add-Member（カスタムプロパティ追加）
           └─ Select-DefaultView（出力整形）
```

### データフロー図

```
[入力]                        [処理]                              [出力]

SqlInstance ─────────────▶ Connect-DbaInstance ─────────────▶ $server
                                  │
Name ────────────────────▶ $server.Credentials[$Name] ─────▶ 既存チェック
Identity                          │
                                  ▼
                           New-Object Credential ──────────▶ $instancecredential
                                  │
MappedClassType ─────────▶ MappedClassType設定
ProviderName ────────────▶ ProviderName設定
SecurePassword ──────────▶ Create()呼び出し
                                  │
                                  ▼
                           Add-Member ─────────────────────▶ 拡張Credential
                                  │
                           Select-DefaultView ─────────────▶ 出力オブジェクト
```

### 関連ファイル一覧

| ファイル | パス | 種別 | 役割 |
|---------|------|------|------|
| New-DbaCredential.ps1 | `public/New-DbaCredential.ps1` | ソース | メイン機能実装 |
| Connect-DbaInstance.ps1 | `public/Connect-DbaInstance.ps1` | ソース | SQL Server接続処理 |
