# 機能設計書 580-Remove-DbaServerRoleMember

## 概要

本ドキュメントは、SQL Serverサーバーロールからメンバーを削除する `Remove-DbaServerRoleMember` 機能の設計仕様を定義するものです。

### 本機能の処理概要

`Remove-DbaServerRoleMember` は、SQL Serverのサーバーレベルロールからログインやネストされたロールのメンバーシップを取り消すdbatools PowerShellコマンドレットです。sysadmin、dbcreator、securityadminなどの固定サーバーロールおよびカスタムサーバーロールからメンバーを削除できます。

**業務上の目的・背景**：組織のセキュリティポリシー変更、人事異動、セキュリティ監査対応などにより、ユーザーのサーバーレベル権限を削減する必要があります。過剰な権限を持つアカウントはセキュリティリスクとなるため、適切な権限レベルへの調整が重要です。

**機能の利用シーン**：
- 管理者権限（sysadmin）の削減
- セキュリティ監査後の権限調整
- 従業員の役職変更に伴う権限変更
- 権限の最小化（Least Privilege）の適用

**主要な処理内容**：
1. 入力オブジェクトタイプの判定（インスタンス、サーバーロール）
2. Get-DbaServerRoleによる対象ロールの取得
3. DropMember()メソッドによるログインメンバーシップの削除
4. DropMembershipFromRole()メソッドによるロールメンバーシップの削除

**関連システム・外部連携**：SQL Server SMOライブラリ、Get-DbaServerRole、Get-DbaLoginとの連携。

**権限による制御**：ALTER ANY SERVER ROLE権限または対象ロールに対するALTER権限が必要です。

## 関連画面

| 画面No | 画面名 | 関連種別 | 関連する操作・処理 |
|--------|--------|----------|------------------|
| N/A | SSMSサーバーロールメンバー管理画面 | 参照画面 | GUIでのロールメンバー削除に相当する操作 |

## 機能種別

CRUD操作（Delete / ロールメンバーシップ管理）

## 入力仕様

### 入力パラメータ

| パラメータ名 | 型 | 必須 | 説明 | バリデーション |
|-------------|-----|-----|------|---------------|
| SqlInstance | DbaInstance[] | No* | 対象のSQL Serverインスタンス | 有効なインスタンス名 |
| SqlCredential | PSCredential | No | 代替認証情報 | 有効なPSCredentialオブジェクト |
| ServerRole | String[] | No* | 対象のサーバーロール | - |
| Login | String[] | No | 削除対象のログイン | - |
| Role | String[] | No | 削除対象のロール（ネストロール） | - |
| InputObject | Object[] | No | パイプライン入力 | サーバー/サーバーロールオブジェクト |
| EnableException | Switch | No | 例外を有効化するスイッチ | - |

*SqlInstance指定時はServerRoleも必須、またはServerRoleオブジェクトのパイプライン入力が必要

### 入力データソース

- PowerShellコマンドライン入力
- パイプライン入力（Get-DbaServerRoleからの出力）

## 出力仕様

### 出力データ

本機能は出力オブジェクトを返しません。処理結果はVerboseメッセージで通知されます。

### 出力先

- コンソール（Write-Message経由）

## 処理フロー

### 処理シーケンス

```
1. begin ブロック
   └─ パラメータ検証（SqlInstance, ServerRole, Login）
2. process ブロック
   ├─ SqlInstance → InputObjectに設定
   └─ InputObject処理
       ├─ DbaInstanceParameter → Get-DbaServerRole
       ├─ Server → Get-DbaServerRole
       └─ ServerRole → 直接使用
3. ロールループ
   ├─ ログインメンバー削除（Login指定時）
   │   └─ DropMember()実行
   └─ ロールメンバー削除（Role指定時）
       ├─ ロール存在確認
       └─ DropMembershipFromRole()実行
```

### フローチャート

```mermaid
flowchart TD
    A[開始] --> B{パラメータ検証}
    B -->|失敗| C[エラー終了]
    B -->|成功| D[InputObject処理]
    D --> E{ServerRole指定?}
    E -->|No かつ ServerRoleオブジェクト以外| F[エラー: ServerRole必須]
    E -->|Yes or ServerRoleオブジェクト| G[入力タイプ判定]
    G --> H{タイプ?}
    H -->|DbaInstanceParameter| I[Get-DbaServerRole]
    H -->|Server| I
    H -->|ServerRole| J[直接使用]
    H -->|その他| K[エラー: 無効な入力]
    I --> L[ロールループ開始]
    J --> L
    L --> M[ログインループ]
    M --> N{ShouldProcess確認}
    N -->|No| O[スキップ]
    N -->|Yes| P[DropMember実行]
    P --> Q{成功?}
    Q -->|No| R[Stop-Function]
    Q -->|Yes| S[Verboseログ]
    O --> T{次のログイン?}
    R --> T
    S --> T
    T -->|Yes| M
    T -->|No| U[ロールメンバー処理]
    U --> V{Role存在確認}
    V -->|No| W[警告出力]
    V -->|Yes| X{ShouldProcess確認}
    X -->|No| Y[スキップ]
    X -->|Yes| Z[DropMembershipFromRole]
    Z --> AA{成功?}
    AA -->|No| AB[Stop-Function]
    AA -->|Yes| AC[Verboseログ]
    W --> AD{次のロール?}
    Y --> AD
    AB --> AD
    AC --> AD
    AD -->|Yes| U
    AD -->|No| AE{次のサーバーロール?}
    AE -->|Yes| L
    AE -->|No| AF[終了]
```

## ビジネスルール

### 業務ルール

| ルールNo | ルール名 | 内容 | 適用条件 |
|---------|---------|------|---------|
| BR-001 | ServerRole必須 | ServerRoleオブジェクトパイプ以外ではServerRole指定必須 | 入力タイプがServerRole以外 |
| BR-002 | ロール存在確認 | Roleパラメータで指定されたロールの存在を確認 | Role指定時 |
| BR-003 | 二種類のメンバー削除 | ログインとロール（ネスト）のメンバーシップ削除に対応 | Login/Role指定時 |

### 計算ロジック

特に計算ロジックはありません。

## データベース操作仕様

### 操作別データベース影響一覧

| 操作 | 対象テーブル | 操作種別 | 概要 |
|-----|-------------|---------|------|
| ログインメンバー削除 | sys.server_role_members | DELETE | ログインのロールメンバーシップ削除 |
| ロールメンバー削除 | sys.server_role_members | DELETE | ネストロールのメンバーシップ削除 |

### テーブル別操作詳細

#### sys.server_role_members

| 操作 | 項目（カラム名） | 更新値・取得条件 | 備考 |
|-----|-----------------|-----------------|------|
| DELETE | role_principal_id, member_principal_id | 対象ロールとメンバーのID | SMO DropMember/DropMembershipFromRoleで実行 |

## エラー処理

### エラーケース一覧

| エラーコード | エラー種別 | 発生条件 | 対処方法 |
|------------|----------|---------|---------|
| ParameterMissing | パラメータエラー | SqlInstance, ServerRole, Login全て未指定 | いずれかを指定 |
| ServerRoleRequired | パラメータエラー | ServerRole未指定かつServerRoleオブジェクト以外 | ServerRoleを指定 |
| RoleNotFound | 検索エラー | 指定されたRoleが存在しない | ロール名を確認 |
| DropFailed | 削除エラー | DropMember/DropMembershipFromRoleの失敗 | エラー内容を確認 |

### リトライ仕様

エラー発生時はStop-Functionで処理を中断し、次のメンバーへ継続します。

## トランザクション仕様

SMOのDropMember()およびDropMembershipFromRole()メソッドによる暗黙的トランザクションで処理されます。

## パフォーマンス要件

通常のメンバー削除は1秒以内で完了します。

## セキュリティ考慮事項

- ALTER ANY SERVER ROLE権限が必要
- ConfirmImpact=Highによるデフォルト確認プロンプト
- sysadminロールからのメンバー削除は特に注意が必要
- 監査ログによる操作追跡を推奨

## 備考

- Get-DbaServerRoleとのパイプライン連携が推奨
- ロールのネスト（ロールがロールのメンバー）にも対応

---

## コードリーディングガイド

本機能を理解するために参照すべきファイルと、推奨する読み解き順序を以下に示す。

### 推奨読解順序

#### Step 1: データ構造を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 1-1 | ServerRole (SMO) | Microsoft.SqlServer.Management.Smo | SMOのServerRoleクラスとDropMember/DropMembershipFromRole |

**読解のコツ**: DropMember()はログインをロールから削除し、DropMembershipFromRole()はロール自身を別のロールから削除します。

#### Step 2: エントリーポイントを理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 2-1 | Remove-DbaServerRoleMember.ps1 | `public/Remove-DbaServerRoleMember.ps1` | 関数定義とパラメータバインディング |

**主要処理フロー**:
1. **101-112行目**: パラメータ定義
2. **114-123行目**: begin ブロック - パラメータ検証
3. **124-200行目**: process ブロック - メイン処理

#### Step 3: 入力タイプ判定を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 3-1 | Remove-DbaServerRoleMember.ps1 | `public/Remove-DbaServerRoleMember.ps1` | switch文による入力タイプ判定 |

**主要処理フロー**:
- **130-133行目**: ServerRole未指定チェック
- **135-164行目**: switch文で3種類の入力タイプを処理
- **136-143行目**: DbaInstanceParameter → Get-DbaServerRole
- **152-159行目**: ServerRole → 直接使用

#### Step 4: メンバー削除処理を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 4-1 | Remove-DbaServerRoleMember.ps1 | `public/Remove-DbaServerRoleMember.ps1` | DropMemberとDropMembershipFromRole |

**主要処理フロー**:
- **166-199行目**: ロールループ
- **168-178行目**: ログインメンバー削除（DropMember）
- **179-198行目**: ロールメンバー削除（DropMembershipFromRole）
- **181-185行目**: ロール存在確認

### プログラム呼び出し階層図

```
Remove-DbaServerRoleMember
    │
    ├─ begin ブロック
    │      └─ パラメータ検証
    │
    ├─ Get-DbaServerRole (入力タイプに応じて)
    │      └─ ロール取得
    │
    ├─ ServerRole.DropMember($Login)
    │      └─ ログインメンバー削除
    │
    └─ ServerRole.DropMembershipFromRole($Role)
           └─ ロールメンバー削除
```

### データフロー図

```
[入力]                    [処理]                         [出力]

SqlInstance ─────────▶ タイプ判定 ──────────▶ Get-DbaServerRole
        +                                         │
ServerRole ─────────────────────────────────────▶ フィルタ
                                                   │
        or                                         │
                                                   ▼
InputObject ─────────────────────────────▶ ロールコレクション
(Server/ServerRole)                               │
                                                   │
Login[] ──────────────────────────────▶ DropMember($Login)
                                                   │
Role[] ───────────────────────────────▶ DropMembershipFromRole($Role)
                                                   │
                                                   ▼
                                           Verboseメッセージ
```

### 関連ファイル一覧

| ファイル | パス | 種別 | 役割 |
|---------|------|------|------|
| Remove-DbaServerRoleMember.ps1 | `public/Remove-DbaServerRoleMember.ps1` | ソース | メイン関数定義 |
| Get-DbaServerRole.ps1 | `public/Get-DbaServerRole.ps1` | ソース | サーバーロール取得 |
| Get-DbaLogin.ps1 | `public/Get-DbaLogin.ps1` | ソース | ログイン取得（ロール存在確認用） |
| Connect-DbaInstance.ps1 | `public/Connect-DbaInstance.ps1` | ソース | インスタンス接続 |
| Stop-Function.ps1 | `private/functions/Stop-Function.ps1` | ソース | エラー処理 |
| Write-Message.ps1 | `private/functions/Write-Message.ps1` | ソース | メッセージ出力 |
| Test-Bound.ps1 | `private/functions/Test-Bound.ps1` | ソース | パラメータバインド確認 |
| Test-FunctionInterrupt.ps1 | `private/functions/Test-FunctionInterrupt.ps1` | ソース | 処理中断確認 |
