# 機能設計書 613-Remove-DbaDbEncryptionKey

## 概要

本ドキュメントは、SQL Serverデータベースからデータベース暗号化キー（DEK）を削除し、透過的データ暗号化（TDE）を無効化するdbatools PowerShell関数 `Remove-DbaDbEncryptionKey` の機能設計書である。

### 本機能の処理概要

**業務上の目的・背景**：データベース暗号化キー（DEK）は透過的データ暗号化（TDE）の中核コンポーネントであり、データベースファイルの暗号化に使用される。TDEを完全に無効化するには、まず暗号化を停止し、その後DEKを削除する必要がある。本機能は、TDE廃止時や暗号化キーのローテーションワークフローにおいて、DEKを安全に削除するためのPowerShellコマンドを提供する。

**機能の利用シーン**：
- TDEの完全な無効化作業
- 暗号化キーのローテーションワークフロー
- データベース移行前のTDE解除
- コンプライアンス要件変更に伴う暗号化解除

**主要な処理内容**：
1. SqlInstanceパラメータが指定された場合、Databaseパラメータの必須チェック
2. Get-DbaDbEncryptionKeyを呼び出して対象の暗号化キーを取得
3. 各暗号化キーに対してDROP DATABASE ENCRYPTION KEYコマンドを実行
4. 削除結果をPSCustomObjectとして出力

**関連システム・外部連携**：SQL Server Management Objects (SMO) を使用してSQL Serverインスタンスと連携する。Invoke-DbaQueryを使用してT-SQLコマンドを実行する。

**権限による制御**：データベース暗号化キーの削除には、対象データベースでのCONTROL権限が必要。また、DEK削除前に暗号化を無効にする必要がある（ALTER DATABASE SET ENCRYPTION OFF）。

## 関連画面

| 画面No | 画面名 | 関連種別 | 関連する操作・処理 |
|--------|--------|----------|------------------|
| 31 | 暗号化キー管理 | 主機能 | データベース暗号化キーの削除 |

## 機能種別

データベース操作（DELETE）- セキュリティオブジェクト管理

## 入力仕様

### 入力パラメータ

| パラメータ名 | 型 | 必須 | 説明 | バリデーション |
|-------------|-----|-----|------|---------------|
| SqlInstance | DbaInstanceParameter[] | No | 対象のSQL Serverインスタンス | 有効なインスタンス名 |
| SqlCredential | PSCredential | No | 代替認証情報 | 有効な資格情報オブジェクト |
| Database | string[] | 条件付き | 対象のデータベース名（SqlInstance使用時は必須） | 有効なデータベース名 |
| InputObject | Microsoft.SqlServer.Management.Smo.DatabaseEncryptionKey[] | No | パイプライン入力用の暗号化キーオブジェクト | 有効なDatabaseEncryptionKeyオブジェクト |
| EnableException | switch | No | 例外処理の有効化 | - |
| WhatIf | switch | No | 実行せずに処理内容を表示 | - |
| Confirm | switch | No | 実行前に確認プロンプトを表示 | - |

### 入力データソース

- SqlInstanceパラメータ: コマンドライン引数
- InputObject: Get-DbaDbEncryptionKeyからのパイプライン入力
- SqlCredential: Get-Credentialコマンドレットまたは事前定義の資格情報

## 出力仕様

### 出力データ

| 項目名 | 型 | 説明 |
|--------|-----|------|
| ComputerName | string | SQL Serverインスタンスのコンピュータ名 |
| InstanceName | string | SQL Serverインスタンス名 |
| SqlInstance | string | 完全なSQL Serverインスタンス名 |
| Database | string | 暗号化キーが削除されたデータベース名 |
| Status | string | 削除結果（"Success"） |

### 出力先

PowerShellパイプライン - 呼び出し元のスクリプトまたはコンソールに出力

## 処理フロー

### 処理シーケンス

```
1. 入力パラメータの検証
   └─ SqlInstance指定時にDatabaseパラメータの必須チェック
2. 暗号化キーの取得
   └─ Get-DbaDbEncryptionKeyを呼び出し
3. 暗号化キーオブジェクトのループ処理
   └─ 各キーに対して以下を実行
4. ShouldProcess確認
   └─ WhatIfまたはConfirmの処理
5. DROP DATABASE ENCRYPTION KEYコマンド実行
   └─ Invoke-DbaQueryを使用してT-SQLを実行
6. 結果オブジェクトの出力
   └─ PSCustomObjectとして結果を出力
7. エラー処理
   └─ 失敗時はStop-Functionで処理を継続
```

### フローチャート

```mermaid
flowchart TD
    A[開始] --> B{SqlInstance指定?}
    B -->|Yes| C{Database指定?}
    B -->|No| F[InputObjectを使用]
    C -->|No| D[エラー: Database必須]
    C -->|Yes| E[Get-DbaDbEncryptionKeyで取得]
    D --> Z[終了]
    E --> G[InputObjectに追加]
    F --> H[暗号化キーループ開始]
    G --> H
    H --> I{キーが残っている?}
    I -->|No| Z
    I -->|Yes| J{ShouldProcess?}
    J -->|No| K[次のキーへ]
    J -->|Yes| L[DROP DATABASE ENCRYPTION KEY実行]
    L --> M{成功?}
    M -->|Yes| N[結果オブジェクト出力]
    M -->|No| O[Stop-Function呼び出し]
    N --> K
    O --> K
    K --> I
```

## ビジネスルール

### 業務ルール

| ルールNo | ルール名 | 内容 | 適用条件 |
|---------|---------|------|---------|
| BR-001 | Database必須 | SqlInstanceパラメータ使用時はDatabaseパラメータが必須 | SqlInstance指定時 |
| BR-002 | 暗号化無効化前提 | DEK削除前にデータベース暗号化が無効化されている必要がある | TDE有効時 |
| BR-003 | 確認プロンプト | ConfirmImpactがHighのため、デフォルトで確認プロンプトが表示される | Confirm:$false未指定時 |

### 計算ロジック

特になし

## データベース操作仕様

### 操作別データベース影響一覧

| 操作 | 対象テーブル | 操作種別 | 概要 |
|-----|-------------|---------|------|
| 暗号化キー削除 | sys.dm_database_encryption_keys | DELETE | 指定されたDEKを削除 |

### テーブル別操作詳細

#### sys.dm_database_encryption_keys

| 操作 | 項目（カラム名） | 更新値・取得条件 | 備考 |
|-----|-----------------|-----------------|------|
| DELETE | - | DROP DATABASE ENCRYPTION KEY | 暗号化が無効の状態でのみ実行可能 |

## エラー処理

### エラーケース一覧

| エラーコード | エラー種別 | 発生条件 | 対処方法 |
|------------|----------|---------|---------|
| - | パラメータエラー | SqlInstance指定時にDatabaseが未指定 | Stop-Functionでエラーメッセージ出力 |
| - | 暗号化有効エラー | 暗号化が有効な状態でDEK削除を試行 | 先にALTER DATABASE SET ENCRYPTION OFFを実行 |
| - | 権限不足エラー | CONTROL権限がない | 適切な権限を付与 |

### リトライ仕様

リトライ機能なし - エラー発生時は次のキーの処理を継続

## トランザクション仕様

個々のDROP DATABASE ENCRYPTION KEYコマンドは自動コミットで実行される。

## パフォーマンス要件

特に定義されていない。DEK削除は通常高速に完了する。

## セキュリティ考慮事項

- データベース暗号化キーの削除には適切なデータベース権限が必要
- DEK削除前にバックアップを取得することを推奨
- Windows認証、SQL Server認証、Active Directory認証をサポート
- MFAサポートにはConnect-DbaInstanceを使用

## 備考

- DEK削除前に暗号化を無効にする必要がある（ALTER DATABASE [database] SET ENCRYPTION OFF）
- 暗号化の解除には時間がかかる場合があり、その完了を待つ必要がある
- パイプライン入力のサポートにより、Get-DbaDbEncryptionKeyでフィルタリングした結果を直接削除可能

---

## コードリーディングガイド

本機能を理解するために参照すべきファイルと、推奨する読み解き順序を以下に示す。

### 推奨読解順序

#### Step 1: データ構造を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 1-1 | DatabaseEncryptionKey (SMO) | Microsoft.SqlServer.Management.Smo | SQL ServerデータベースのDEKオブジェクト構造を理解する |

**読解のコツ**: SMOのDatabaseEncryptionKeyオブジェクトは、Parentプロパティでデータベースオブジェクトを参照する。

#### Step 2: エントリーポイントを理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 2-1 | Remove-DbaDbEncryptionKey.ps1 | `public/Remove-DbaDbEncryptionKey.ps1` | メイン関数の入口とパラメータ定義を確認 |

**主要処理フロー**:
1. **72-80行目**: パラメータブロック定義 - CmdletBinding属性でShouldProcess、ConfirmImpact=Highを設定
2. **82-86行目**: SqlInstance指定時のDatabaseパラメータ必須チェック
3. **88行目**: Get-DbaDbEncryptionKeyで暗号化キーを取得
4. **90-93行目**: 暗号化キーオブジェクトからデータベースとサーバー情報を取得
5. **93行目**: ShouldProcess確認
6. **94-96行目**: Invoke-DbaQueryでDROP DATABASE ENCRYPTION KEYを実行
7. **97-104行目**: 成功時に結果オブジェクトを出力
8. **105-107行目**: エラー時にStop-Functionで処理を継続

#### Step 3: 依存関数を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 3-1 | Get-DbaDbEncryptionKey.ps1 | `public/Get-DbaDbEncryptionKey.ps1` | 暗号化キーオブジェクトの取得方法を理解 |
| 3-2 | Invoke-DbaQuery.ps1 | `public/Invoke-DbaQuery.ps1` | T-SQLクエリの実行方法を理解 |

### プログラム呼び出し階層図

```
Remove-DbaDbEncryptionKey
    │
    ├─ パラメータ検証
    │      └─ Database必須チェック
    │
    ├─ Get-DbaDbEncryptionKey
    │      └─ Connect-DbaInstance
    │             └─ SMO Server接続
    │
    ├─ ShouldProcess (確認処理)
    │
    └─ Invoke-DbaQuery
           └─ DROP DATABASE ENCRYPTION KEY実行
```

### データフロー図

```
[入力]                    [処理]                              [出力]

SqlInstance     ───┬──▶ 必須チェック ───▶ Get-DbaDbEncryptionKey ───┐
SqlCredential   ───┤                                                │
Database        ───┘                                                │
                                                                    ▼
InputObject     ───────────────────────────────────────────────▶ foreach loop
                                                                    │
                                                                    ▼
                                                             Invoke-DbaQuery
                                                   (DROP DATABASE ENCRYPTION KEY)
                                                                    │
                                                                    ▼
                                                             [PSCustomObject] ───▶ パイプライン出力
                                                             ComputerName
                                                             InstanceName
                                                             SqlInstance
                                                             Database
                                                             Status
```

### 関連ファイル一覧

| ファイル | パス | 種別 | 役割 |
|---------|------|------|------|
| Remove-DbaDbEncryptionKey.ps1 | `public/Remove-DbaDbEncryptionKey.ps1` | ソース | メイン関数 |
| Get-DbaDbEncryptionKey.ps1 | `public/Get-DbaDbEncryptionKey.ps1` | ソース | 暗号化キー取得関数 |
| Invoke-DbaQuery.ps1 | `public/Invoke-DbaQuery.ps1` | ソース | クエリ実行関数 |
| Remove-DbaDbEncryptionKey.Tests.ps1 | `tests/Remove-DbaDbEncryptionKey.Tests.ps1` | テスト | 単体テスト |
