# 機能設計書 554-Get-DbaDbRoleMember

## 概要

本ドキュメントは、SQL Serverデータベースロールのメンバーシップを取得する機能について、その処理内容、入出力仕様、および実装詳細を記述した機能設計書である。

### 本機能の処理概要

Get-DbaDbRoleMemberは、データベースロールに所属するユーザーおよびネストされたロールを取得するPowerShellコマンドレットである。セキュリティ監査、権限のトラブルシューティング、コンプライアンスレポート作成において、完全なロール階層とメンバーシップを把握するために使用される。

**業務上の目的・背景**：SQL Serverのデータベースセキュリティでは、ロールベースのアクセス制御（RBAC）が基本となる。ユーザーがどのロールに所属しているか、またロールが他のロールをネストしているかを把握することは、権限管理と監査において不可欠である。本機能は、これらのメンバーシップ情報を効率的に取得し、企業全体でのアクセスレビューやセキュリティ評価を支援する。

**機能の利用シーン**：
- セキュリティ監査でのロールメンバーシップ確認
- 特定ユーザーの権限調査
- db_ownerなど高権限ロールのメンバー確認
- コンプライアンスレポートの作成

**主要な処理内容**：
1. 入力オブジェクト（SqlInstance/Server/Database/DatabaseRole）の判定と処理
2. Get-DbaDbRoleを使用したロールコレクションの取得
3. 各ロールのEnumMembersメソッドでメンバー列挙
4. ユーザーメンバーとロールメンバーの区別
5. システムユーザーの除外オプション適用
6. PSCustomObjectとして結果を出力

**関連システム・外部連携**：
- Get-DbaDbRole（ロール取得）との密接な連携
- SMO DatabaseRole.EnumMembers()メソッドの使用

**権限による制御**：データベースロールおよびユーザー情報の参照には、各データベースへのアクセス権限が必要。

## 関連画面

| 画面No | 画面名 | 関連種別 | 関連する操作・処理 |
|--------|--------|----------|------------------|
| 37 | データベースロール管理 | 補助画面 | ロールメンバーの取得 |

## 機能種別

データ取得（SELECT）

## 入力仕様

### 入力パラメータ

| パラメータ名 | 型 | 必須 | 説明 | バリデーション |
|-------------|-----|-----|------|---------------|
| SqlInstance | DbaInstance[] | No | 対象のSQL Serverインスタンス。パイプライン入力対応 | 有効なSQL Serverインスタンス名 |
| SqlCredential | PSCredential | No | 接続に使用する代替資格情報 | - |
| Database | string[] | No | 対象データベース名。ワイルドカード対応 | - |
| ExcludeDatabase | string[] | No | 除外するデータベース名 | - |
| Role | string[] | No | 対象ロール名。ワイルドカード対応 | - |
| ExcludeRole | string[] | No | 除外するロール名 | - |
| ExcludeFixedRole | switch | No | 固定ロールのメンバーを除外 | - |
| IncludeSystemUser | switch | No | システムユーザーを結果に含める | - |
| InputObject | object[] | No | パイプライン入力（Server/Database/DatabaseRole） | 複数型対応 |
| EnableException | switch | No | 例外処理の有効化 | - |

### 入力データソース

- SQL Serverインスタンス
- SMO Server/Database/DatabaseRoleオブジェクト

## 出力仕様

### 出力データ

| 項目名 | 型 | 説明 |
|--------|-----|------|
| ComputerName | string | SQL Serverが稼働するコンピュータ名 |
| InstanceName | string | SQL Serverインスタンス名 |
| SqlInstance | string | 完全なSQL Serverインスタンス名 |
| Database | string | データベース名 |
| Role | string | ロール名 |
| UserName | string | ユーザーメンバー名（ユーザーの場合） |
| Login | string | 関連するサーバーログイン |
| MemberRole | string | ネストされたロール名（ロールの場合） |
| SmoRole | DatabaseRole | 親ロールのSMOオブジェクト |
| SmoUser | User | ユーザーメンバーのSMOオブジェクト（該当時） |
| SmoMemberRole | DatabaseRole | ネストロールのSMOオブジェクト（該当時） |

### 出力先

- PowerShellパイプライン（PSCustomObject型）

## 処理フロー

### 処理シーケンス

```
1. パラメータバインディング
   └─ SqlInstance、InputObject、フィルタ条件の受け取り

2. 入力検証
   └─ InputObjectとSqlInstanceの両方がない場合はエラー

3. 入力オブジェクトタイプの判定
   ├─ DbaInstanceParameter → Get-DbaDbRole経由
   ├─ SMO Server → Get-DbaDbRole経由
   ├─ SMO Database → パイプラインでGet-DbaDbRole
   └─ SMO DatabaseRole → 直接使用

4. 各ロールの処理
   └─ EnumMembers()でメンバー名取得

5. メンバー種別の判定
   ├─ $db.Usersに存在 → ユーザーメンバー
   └─ $db.Rolesに存在 → ネストロール

6. フィルタリング
   └─ IncludeSystemUser未指定時はシステムユーザー除外

7. 結果の出力
   └─ PSCustomObjectとして出力
```

### フローチャート

```mermaid
flowchart TD
    A[開始] --> B{InputObject or SqlInstance?}
    B -->|Neither| C[Stop-Function: エラー]
    B -->|SqlInstance| D[InputObject = SqlInstance]
    D --> E{各InputObjectをループ}
    E --> F{オブジェクトタイプ判定}
    F -->|DbaInstanceParameter| G[Get-DbaDbRole]
    F -->|SMO Server| G
    F -->|SMO Database| H[パイプラインでGet-DbaDbRole]
    F -->|SMO DatabaseRole| I[直接使用]
    F -->|その他| J[Stop-Function: 無効な型]
    G --> K[dbRoles取得]
    H --> K
    I --> K
    K --> L{各dbRoleをループ}
    L --> M[EnumMembers]
    M --> N{各memberをループ}
    N --> O{$db.Usersに存在?}
    O -->|Yes| P{IncludeSystemUser?}
    P -->|No| Q{IsSystemObject?}
    Q -->|Yes| N
    Q -->|No| R[ユーザーメンバー出力]
    P -->|Yes| R
    O -->|No| S{$db.Rolesに存在?}
    S -->|Yes| T[ロールメンバー出力]
    S -->|No| N
    R --> N
    T --> N
    N -->|完了| L
    L -->|完了| E
    E -->|完了| U[終了]
    C --> U
    J --> U
```

## ビジネスルール

### 業務ルール

| ルールNo | ルール名 | 内容 | 適用条件 |
|---------|---------|------|---------|
| BR-001 | 入力必須 | SqlInstanceまたはInputObjectのいずれかが必要 | 常時 |
| BR-002 | システムユーザー除外 | IsSystemObject=trueのユーザーは除外 | IncludeSystemUser未指定時 |
| BR-003 | ユーザーメンバー判定 | $db.Usersコレクションに存在するメンバー | メンバー処理時 |
| BR-004 | ロールメンバー判定 | $db.Rolesコレクションに存在するメンバー | メンバー処理時 |
| BR-005 | 複数入力型対応 | DbaInstanceParameter/Server/Database/DatabaseRole | InputObject処理時 |

### 計算ロジック

システムユーザー除外条件: `$memberUser | Where-Object { $_.IsSystemObject -eq $false }`

## データベース操作仕様

### 操作別データベース影響一覧

| 操作 | 対象テーブル | 操作種別 | 概要 |
|-----|-------------|---------|------|
| ロールメンバー取得 | sys.database_role_members | SELECT | SMO EnumMembers経由 |
| ユーザー取得 | sys.database_principals | SELECT | SMO Users経由 |

### テーブル別操作詳細

#### sys.database_role_members（SMO経由アクセス）

| 操作 | 項目（カラム名） | 更新値・取得条件 | 備考 |
|-----|-----------------|-----------------|------|
| SELECT | role_principal_id, member_principal_id | 全メンバー | EnumMembers()経由 |

## エラー処理

### エラーケース一覧

| エラーコード | エラー種別 | 発生条件 | 対処方法 |
|------------|----------|---------|---------|
| - | パラメータエラー | SqlInstanceもInputObjectも指定なし | Stop-Functionでメッセージ出力 |
| - | 型エラー | InputObjectが対応型でない | Stop-Functionでメッセージ出力 |

### リトライ仕様

リトライは実装されていない。

## トランザクション仕様

読み取り専用操作のため、トランザクション制御は不要。

## パフォーマンス要件

- EnumMembers()メソッドは各ロールごとに呼び出し
- 大量のロール/メンバーがある場合は処理時間に注意

## セキュリティ考慮事項

- 各データベースへのアクセス権限が必要
- セキュリティ監査用途で使用される

## 備考

- Get-DbaDbRoleからパイプライン入力可能
- ユーザーメンバーとロールメンバーで出力フィールドが異なる

---

## コードリーディングガイド

本機能を理解するために参照すべきファイルと、推奨する読み解き順序を以下に示す。

### 推奨読解順序

#### Step 1: データ構造を理解する

出力PSCustomObjectの構造を理解する。

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 1-1 | Get-DbaDbRoleMember.ps1 | `public/Get-DbaDbRoleMember.ps1` | 出力型（.OUTPUTS）セクション（63-80行目） |

**読解のコツ**: UserNameとMemberRoleは排他的（ユーザーメンバーかロールメンバーかで一方がnull）。

#### Step 2: エントリーポイントを理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 2-1 | Get-DbaDbRoleMember.ps1 | `public/Get-DbaDbRoleMember.ps1` | function宣言とparamブロック（120-134行目） |

**主要処理フロー**:
1. **120-134行目**: パラメータ定義
2. **136行目**: processブロック開始
3. **137-140行目**: 入力検証

#### Step 3: 入力オブジェクトタイプの判定を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 3-1 | Get-DbaDbRoleMember.ps1 | `public/Get-DbaDbRoleMember.ps1` | switchによる型判定（147-182行目） |

**主要処理フロー**:
- **147行目**: $input.GetType().FullNameで型取得
- **158-161行目**: DbaInstanceParameter処理
- **163-166行目**: SMO Server処理
- **167-173行目**: SMO Database処理
- **174-177行目**: SMO DatabaseRole処理

#### Step 4: メンバー列挙処理を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 4-1 | Get-DbaDbRoleMember.ps1 | `public/Get-DbaDbRoleMember.ps1` | EnumMembersとメンバー判定（183-226行目） |

**主要処理フロー**:
- **188行目**: $dbRole.EnumMembers()でメンバー名取得
- **190-191行目**: $db.Users/$db.Rolesでオブジェクト取得
- **193-195行目**: IncludeSystemUser未指定時のフィルタ
- **197-210行目**: ユーザーメンバーの出力
- **211-225行目**: ロールメンバーの出力

### プログラム呼び出し階層図

```
Get-DbaDbRoleMember
    │
    ├─ 入力タイプ判定
    │      ├─ DbaInstanceParameter → Get-DbaDbRole
    │      ├─ SMO.Server → Get-DbaDbRole
    │      ├─ SMO.Database → Get-DbaDbRole (パイプライン)
    │      └─ SMO.DatabaseRole → 直接使用
    │
    ├─ Get-DbaDbRole
    │      └─ Get-DbaDatabase
    │             └─ Connect-DbaInstance
    │
    ├─ $dbRole.EnumMembers()
    │
    ├─ メンバー種別判定
    │      ├─ $db.Users → ユーザーメンバー
    │      └─ $db.Roles → ロールメンバー
    │
    └─ PSCustomObject出力
```

### データフロー図

```
[入力]                      [処理]                    [出力]

SqlInstance ───┐
Server ────────┤
Database ──────┼───▶ タイプ判定 ───▶ Get-DbaDbRole
DatabaseRole ──┘            │
                            ▼
                   各 $dbRole.EnumMembers()
                            │
                   ┌────────┴────────┐
                   ▼                 ▼
              $db.Users         $db.Roles
                   │                 │
                   ▼                 ▼
           ユーザーメンバー    ロールメンバー
                   │                 │
                   └────────┬────────┘
                            ▼
                    PSCustomObject
                            │
                            ▼
                   パイプライン出力
```

### 関連ファイル一覧

| ファイル | パス | 種別 | 役割 |
|---------|------|------|------|
| Get-DbaDbRoleMember.ps1 | `public/Get-DbaDbRoleMember.ps1` | ソース | メイン実装 |
| Get-DbaDbRole.ps1 | `public/Get-DbaDbRole.ps1` | ソース | ロール取得 |
| Get-DbaDatabase.ps1 | `public/Get-DbaDatabase.ps1` | ソース | データベース取得 |
| Connect-DbaInstance.ps1 | `public/Connect-DbaInstance.ps1` | ソース | SQL Server接続 |
