# 機能設計書 563-Get-DbaServerRoleMember

## 概要

本ドキュメントは、dbatools PowerShellモジュールにおけるGet-DbaServerRoleMemberコマンドレットの機能設計を定義する。本機能は、SQL Serverインスタンスにおけるサーバーレベルロールのメンバーシップ情報を取得し、セキュリティ監査やコンプライアンスレポート作成に必要な詳細情報を提供する。

### 本機能の処理概要

**業務上の目的・背景**：サーバーレベルのロールメンバーシップは、SQL Serverインスタンス全体に影響を与える重要なセキュリティ設定である。sysadmin、dbcreator、securityadminなどの固定ロールに誰が属しているかを把握することは、セキュリティリスク評価、コンプライアンス監査、アクセス権限の棚卸しにおいて不可欠である。本機能は、ロールとログインの関係を詳細に出力し、SMOオブジェクトへの参照も提供することで、さらなる分析や操作を可能にする。

**機能の利用シーン**：
- セキュリティ監査でsysadminメンバーの一覧を取得する場合
- 特定のログインがどのロールに属しているか調査する場合
- 複数インスタンス間でのロールメンバーシップ比較
- コンプライアンスレポート作成時のエビデンス収集
- 権限トラブルシューティングにおける調査

**主要な処理内容**：
1. SQL Serverインスタンスへの接続確立
2. サーバーロールコレクション（$server.Roles）の取得
3. Loginパラメータ指定時はGet-DbaLoginでログインを取得しListMembers()でロール逆引き
4. ServerRole/ExcludeServerRole/ExcludeFixedRoleでロールフィルタリング
5. 各ロールについてEnumMemberNames()でメンバー一覧取得
6. 各メンバーについてPSCustomObjectを生成し、SMOオブジェクト参照を含めて出力

**関連システム・外部連携**：
- SQL Server Management Objects (SMO)を使用
- Get-DbaLoginコマンドと連携（Loginパラメータ使用時）

**権限による制御**：
- 対象インスタンスへの接続権限が必要
- ロール情報の参照にはVIEW SERVER STATE権限またはpublic固定ロールメンバーシップが必要

## 関連画面

| 画面No | 画面名 | 関連種別 | 関連する操作・処理 |
|--------|--------|----------|------------------|
| 73 | サーバーロールメンバー | 主機能 | サーバーロールメンバーの取得 |

## 機能種別

データ取得（SELECT）/ セキュリティ監査

## 入力仕様

### 入力パラメータ

| パラメータ名 | 型 | 必須 | 説明 | バリデーション |
|-------------|-----|-----|------|---------------|
| SqlInstance | DbaInstanceParameter[] | Yes | 対象SQL Serverインスタンス | パイプライン入力可、複数指定可 |
| SqlCredential | PSCredential | No | 代替認証情報（Credential別名あり） | Windows/SQL認証対応 |
| ServerRole | string[] | No | 対象ロール名 | 複数指定可 |
| ExcludeServerRole | string[] | No | 除外ロール名 | 複数指定可 |
| Login | object[] | No | 対象ログイン名 | 複数指定可、逆引き検索用 |
| ExcludeFixedRole | switch | No | 固定ロールを除外 | SQL Server 2017以降で有効 |
| EnableException | switch | No | 例外を直接スローする | デフォルトは警告メッセージ表示 |

### 入力データソース

- パイプライン入力：SqlInstanceパラメータがValueFromPipelineを受け付ける
- 対話入力：PowerShellコンソールからのパラメータ指定

## 出力仕様

### 出力データ

| 項目名 | 型 | 説明 |
|--------|-----|------|
| ComputerName | string | SQL Serverインスタンスのコンピュータ名 |
| InstanceName | string | SQL Serverインスタンス名 |
| SqlInstance | string | 完全なSQL Serverインスタンス名 |
| Role | string | サーバーロール名 |
| Name | string | ログイン名（メンバー名） |
| SmoRole | ServerRole | SMOサーバーロールオブジェクト |
| SmoLogin | Login | SMOログインオブジェクト |

### 出力先

- PowerShellパイプライン：PSCustomObjectとして出力
- SMOオブジェクト参照により、後続処理で詳細操作が可能

## 処理フロー

### 処理シーケンス

```
1. processブロックで各SqlInstanceに対して処理
   └─ Connect-DbaInstanceで接続確立

2. $server.Rolesでサーバーロールコレクション取得

3. Loginパラメータ指定時の特殊処理
   └─ Get-DbaLoginでログインオブジェクト取得
   └─ 各ログインについてListMembers()でロール一覧取得
   └─ ロールをLogin指定によりフィルタ

4. フィルタリング処理
   └─ ServerRoleパラメータでName包含フィルタ
   └─ ExcludeServerRoleパラメータでName除外フィルタ
   └─ ExcludeFixedRoleでIsFixedRole=falseのみ抽出

5. 各ロールに対してループ処理
   └─ EnumMemberNames()でメンバー一覧取得
   └─ Login指定時は指定ログインのみにフィルタ
   └─ 各メンバーについてPSCustomObjectを生成・出力
```

### フローチャート

```mermaid
flowchart TD
    A[開始] --> B[インスタンスループ開始]
    B --> C[Connect-DbaInstance]
    C --> D{接続成功?}
    D -->|No| E[警告出力・次のインスタンスへ]
    D -->|Yes| F[$server.Roles取得]
    F --> G{Login指定?}
    G -->|Yes| H[Get-DbaLoginでログイン取得]
    H --> I[各ログインのListMembers実行]
    I --> J[ロールをログインのロールでフィルタ]
    G -->|No| K{ServerRole指定?}
    J --> K
    K -->|Yes| L[Name -In フィルタ]
    K -->|No| M{ExcludeServerRole指定?}
    L --> M
    M -->|Yes| N[Name -NotIn フィルタ]
    M -->|No| O{ExcludeFixedRole?}
    N --> O
    O -->|Yes| P[IsFixedRole -eq $false フィルタ]
    O -->|No| Q[ロールループ開始]
    P --> Q
    Q --> R[EnumMemberNames実行]
    R --> S{Login指定?}
    S -->|Yes| T[指定ログインでフィルタ]
    S -->|No| U[メンバーループ]
    T --> U
    U --> V[PSCustomObject生成・出力]
    V --> W{次のメンバーあり?}
    W -->|Yes| U
    W -->|No| X{次のロールあり?}
    X -->|Yes| Q
    X -->|No| Y{次のインスタンスあり?}
    E --> Y
    Y -->|Yes| B
    Y -->|No| Z[終了]
```

## ビジネスルール

### 業務ルール

| ルールNo | ルール名 | 内容 | 適用条件 |
|---------|---------|------|---------|
| BR-001 | ロール-メンバー組み合わせ出力 | 1つのロール-ログイン組み合わせにつき1オブジェクト出力 | 全メンバー |
| BR-002 | Login逆引き | Loginパラメータ指定時はそのログインが属するロールのみ出力 | Login指定時 |
| BR-003 | 固定ロール除外 | ExcludeFixedRole時はユーザー定義ロールのみ対象 | SQL Server 2017以降 |
| BR-004 | SMOオブジェクト参照 | SmoRoleとSmoLoginでSMOオブジェクトへの参照を提供 | 全出力 |

### 計算ロジック

特段の計算ロジックなし。SMOオブジェクトのプロパティとメンバーシップ情報をそのまま出力。

## データベース操作仕様

### 操作別データベース影響一覧

| 操作 | 対象テーブル | 操作種別 | 概要 |
|-----|-------------|---------|------|
| ロール取得 | sys.server_principals | SELECT | サーバーロール情報（SMO経由） |
| メンバー取得 | sys.server_role_members | SELECT | ロールメンバーシップ（SMO経由） |
| ログイン取得 | sys.server_principals | SELECT | ログイン情報（Get-DbaLogin経由） |

### テーブル別操作詳細

#### sys.server_role_members（SMO経由）
| 操作 | 項目（カラム名） | 更新値・取得条件 | 備考 |
|-----|-----------------|-----------------|------|
| SELECT | role_principal_id, member_principal_id | 全レコード対象 | EnumMemberNames()で取得 |

## エラー処理

### エラーケース一覧

| エラーコード | エラー種別 | 発生条件 | 対処方法 |
|------------|----------|---------|---------|
| ConnectionError | 接続エラー | インスタンス接続失敗 | 警告出力後、次のインスタンスへ継続 |
| LoginError | ログイン取得エラー | Get-DbaLogin失敗 | Stop-Function後に継続 |

### リトライ仕様

リトライ機能は実装されていない。エラー発生時は次のインスタンスへ処理を継続する。

## トランザクション仕様

読み取り専用操作のため、明示的なトランザクション制御は行わない。

## パフォーマンス要件

- SMOを使用した軽量な情報取得
- Login指定時はGet-DbaLoginを呼び出すため、若干のオーバーヘッドあり
- 複数インスタンス指定時は順次処理

## セキュリティ考慮事項

- 認証情報はPSCredentialオブジェクトを使用
- ロールメンバーシップ情報は機密性が高いため、出力の取り扱いに注意
- sysadminロールのメンバー情報は特に慎重に扱う必要がある

## 備考

- ExcludeFixedRoleはSQL Server 2017以降でユーザー定義サーバーロールがある環境で有効
- SMOオブジェクト参照（SmoRole、SmoLogin）により、後続の操作や詳細プロパティ参照が可能
- Get-DbaServerRoleとの違い：本コマンドはロールごとではなくメンバーごとに1オブジェクトを出力

---

## コードリーディングガイド

本機能を理解するために参照すべきファイルと、推奨する読み解き順序を以下に示す。

### 推奨読解順序

#### Step 1: パラメータ定義を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 1-1 | Get-DbaServerRoleMember.ps1 | `public/Get-DbaServerRoleMember.ps1` | パラメータ定義（106-116行目） |

**読解のコツ**: SqlCredentialにCredential別名があること、LoginパラメータがObject[]型であることに注目。

#### Step 2: Login指定時の特殊処理を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 2-1 | Get-DbaServerRoleMember.ps1 | `public/Get-DbaServerRoleMember.ps1` | Login指定時の処理（128-144行目） |

**主要処理フロー**:
- **128-133行目**: Test-Bound -ParameterName 'Login'でLogin指定を検出
- **130行目**: Get-DbaLogin -SqlInstance $server -Login $Loginでログイン取得
- **136-138行目**: 各ログインについて$l.ListMembers()でロール一覧取得
- **140行目**: $loginRoles | Select-Object -Uniqueで重複除去
- **143行目**: $rolesをloginRolesでフィルタ

#### Step 3: メイン処理フローを理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 3-1 | Get-DbaServerRoleMember.ps1 | `public/Get-DbaServerRoleMember.ps1` | フィルタリングとメンバー出力（146-184行目） |

**主要処理フロー**:
- **146-148行目**: ServerRoleパラメータでフィルタ
- **150-152行目**: ExcludeServerRoleパラメータでフィルタ
- **154-156行目**: ExcludeFixedRoleでフィルタ
- **161行目**: $role.EnumMemberNames()でメンバー取得
- **164-167行目**: Login指定時のメンバーフィルタ
- **169-182行目**: 各メンバーについてPSCustomObject生成

### プログラム呼び出し階層図

```
Get-DbaServerRoleMember
    │
    ├─ Connect-DbaInstance（接続確立）
    │
    ├─ Test-Bound -ParameterName 'Login'（Login指定チェック）
    │      │
    │      └─ Get-DbaLogin（ログイン取得、Login指定時）
    │             └─ $login.ListMembers()（ロール逆引き）
    │
    ├─ $server.Roles（SMO ServerRoleコレクション取得）
    │
    ├─ Where-Object（フィルタリング）
    │      ├─ Name -In $ServerRole
    │      ├─ Name -NotIn $ExcludeServerRole
    │      └─ IsFixedRole -eq $false
    │
    └─ foreach $role
           ├─ $role.EnumMemberNames()（メンバー取得）
           └─ foreach $member
                  ├─ $server.Logins | Where Name -eq $member
                  └─ [PSCustomObject]生成・出力
```

### データフロー図

```
[入力]                        [処理]                              [出力]

SqlInstance ─────────────▶ Connect-DbaInstance ─────────────▶ $server
                                  │
Login ───────────────────▶ Get-DbaLogin ───────────────────▶ $logins
                                  │
                           ListMembers() ──────────────────▶ $loginRoles
                                  │
                           $server.Roles ──────────────────▶ フィルタ済みロール
                                  │
ServerRole ──────────────▶ Where Name -In
ExcludeServerRole ───────▶ Where Name -NotIn
ExcludeFixedRole ────────▶ Where IsFixedRole -eq $false
                                  │
                                  ▼
                           EnumMemberNames() ──────────────▶ メンバー名配列
                                  │
                           $server.Logins ─────────────────▶ SMOログインオブジェクト
                                  │
                                  ▼
                           PSCustomObject生成 ─────────────▶ 出力オブジェクト
                           {Role, Name, SmoRole, SmoLogin}
```

### 関連ファイル一覧

| ファイル | パス | 種別 | 役割 |
|---------|------|------|------|
| Get-DbaServerRoleMember.ps1 | `public/Get-DbaServerRoleMember.ps1` | ソース | メイン機能実装 |
| Get-DbaLogin.ps1 | `public/Get-DbaLogin.ps1` | ソース | ログイン取得（Login指定時） |
| Connect-DbaInstance.ps1 | `public/Connect-DbaInstance.ps1` | ソース | SQL Server接続処理 |
