# 帳票設計書 17-Export-DbaDbRole

## 概要

本ドキュメントは、dbatools PowerShellモジュールの `Export-DbaDbRole` コマンドに関する帳票設計書です。このコマンドは、データベースロール定義を権限・スキーマ所有権付きでT-SQLスクリプトとして生成する機能を提供します。

### 本帳票の処理概要

Export-DbaDbRoleは、SQL Serverデータベース内のロール定義を、CREATE ROLE文、詳細な権限設定（GRANT/DENY/REVOKE）、スキーマ所有権設定を含むT-SQLスクリプトとして出力するコマンドです。カスタムロールの完全なセキュリティ構成を移行可能な形式でエクスポートします。

**業務上の目的・背景**：データベースセキュリティはロールベースアクセス制御（RBAC）で管理されることが多く、カスタムロールには複雑な権限設定が含まれます。環境間でのセキュリティ設定移行、コンプライアンス監査用のドキュメント化、災害復旧時のロール再構築において、ロール定義の正確な再現が必要です。本コマンドは、John Eisbrenerの「Fully Script out a MSSQL Database Role」ブログ記事のアプローチを基にしています。

**帳票の利用シーン**：
- カスタムデータベースロールの環境間移行
- コンプライアンス監査用のセキュリティ構成ドキュメント
- 災害復旧手順書の一部としてのロール定義バックアップ
- アプリケーションデプロイメントスクリプトの作成
- データベースセキュリティのバージョン管理

**主要な出力内容**：
1. CREATE ROLE文（ロール作成）
2. GRANT/DENY/REVOKE文（オブジェクト権限）
3. ALTER AUTHORIZATION文（スキーマ所有権）
4. ALTER ROLE ADD MEMBER文（オプション: ロールメンバー）

**帳票の出力タイミング**：PowerShellコンソールまたはスクリプトからコマンド実行時に即座に出力されます。

**帳票の利用者**：データベース管理者（DBA）、セキュリティ管理者、IT監査担当者

## 帳票種別

スクリプトファイル（T-SQL形式）

## 利用画面

| 画面No | 画面名 | URL/ルーティング | 出力操作 |
|--------|--------|-----------------|---------|
| N/A | PowerShellコンソール | コマンドライン | Export-DbaDbRole コマンド実行 |

## 出力形式

### 基本仕様

| 項目 | 内容 |
|-----|------|
| ファイル形式 | SQL（T-SQLスクリプト） |
| 用紙サイズ | N/A（テキストファイル） |
| 向き | N/A |
| ファイル名 | {ServerName}-{DatabaseName}-{timestamp}.sql |
| 出力方法 | ファイル保存 / コンソール出力（Passthru） |
| 文字コード | UTF-8（デフォルト、変更可能） |

### SQL固有設定

| 項目 | 内容 |
|-----|------|
| バッチ区切り | GO（BatchSeparatorで変更可能） |
| コメント | 作成者・日時情報（NoPrefixで除外可能） |
| USE文 | ScriptingOptionsで制御 |

## 帳票レイアウト

### レイアウト概要

T-SQLスクリプトとして出力されます。

```
┌─────────────────────────────────────┐
│      ヘッダーコメント（オプション）    │
│   /* Created by ... */              │
├─────────────────────────────────────┤
│      USE [DatabaseName]             │
│             GO                      │
├─────────────────────────────────────┤
│      CREATE ROLE文                   │
│             GO                      │
├─────────────────────────────────────┤
│      権限設定部                      │
│   (GRANT/DENY/REVOKE ON ...)        │
│             GO                      │
├─────────────────────────────────────┤
│      スキーマ所有権設定              │
│   (ALTER AUTHORIZATION ON SCHEMA)    │
│             GO                      │
├─────────────────────────────────────┤
│      ロールメンバー追加（オプション）  │
│   (ALTER ROLE ... ADD MEMBER)        │
└─────────────────────────────────────┘
```

### ヘッダー部

| No | 項目名 | 説明 | データ取得元 | 表示形式 |
|----|-------|------|-------------|---------|
| 1 | 作成者情報 | スクリプト作成者 | 環境変数 | /* Created by {user} ... */ |
| 2 | 作成日時 | スクリプト生成日時 | Get-Date | 日時形式 |
| 3 | ツール情報 | dbatools参照URL | 固定 | https://dbatools.io/... |

### 明細部

| No | 項目名 | 説明 | データ取得元 | 表示形式 | 列幅 |
|----|-------|------|-------------|---------|-----|
| 1 | ロール定義 | CREATE ROLE | Role.Script() | T-SQL | 可変 |
| 2 | オブジェクト権限 | GRANT/DENY/REVOKE | sys.database_permissions | T-SQL | 可変 |
| 3 | スキーマ所有権 | ALTER AUTHORIZATION | sys.schemas | T-SQL | 可変 |
| 4 | ロールメンバー | ALTER ROLE ADD MEMBER | sys.database_role_members | T-SQL | 可変 |

### フッター部

| No | 項目名 | 説明 | データ取得元 | 表示形式 |
|----|-------|------|-------------|---------|
| 1 | GO | バッチ区切り | BatchSeparator設定 | GO |

## 出力条件

### 抽出条件

| 条件名 | 説明 | 必須 |
|-------|------|-----|
| SqlInstance | 対象SQL Serverインスタンス | Yes（InputObjectがない場合） |
| Database | 対象データベース | No |
| Role | 対象ロール名 | No |
| ExcludeRole | 除外ロール名 | No |
| ExcludeFixedRole | 固定ロール除外 | No |
| IncludeRoleMember | ロールメンバー含む | No |

### ソート順

| 優先度 | 項目 | 昇順/降順 |
|-------|------|---------|
| 1 | データベース順 | 取得順 |
| 2 | ロール順 | 取得順 |

### 改ページ条件

N/A（テキストファイル出力のため）

## データベース参照仕様

### 参照テーブル一覧

| テーブル名 | 用途 | 結合条件 |
|-----------|------|---------|
| sys.database_permissions | オブジェクト権限 | grantee_principal_id |
| sys.objects | オブジェクト名解決 | object_id = major_id |
| sys.schemas | スキーマ情報 | schema_id = major_id |
| sys.database_principals | ロール情報 | principal_id |
| sys.database_role_members | ロールメンバー | role_principal_id |

### テーブル別参照項目詳細

#### sys.database_permissions（roleSQL クエリ）

| 参照項目（カラム名） | 帳票項目との対応 | 取得条件 | 備考 |
|-------------------|----------------|---------|------|
| state | GrantState | D/G/R/W | DENY/GRANT/REVOKE/GRANT WITH GRANT |
| permission_name | Permission | - | 権限名 |
| class | Type | 0-26 | オブジェクトクラス |
| major_id | 対象オブジェクト | - | オブジェクトID |

## 計算仕様

### 計算項目一覧

| 項目名 | 計算式 | 端数処理 | 備考 |
|-------|-------|---------|------|
| N/A | 計算処理なし | - | 権限スクリプト生成のみ |

## 処理フロー

### 出力フロー

```mermaid
flowchart TD
    A[Export-DbaDbRole実行] --> B{InputObject種別判定}
    B -->|DbaInstanceParameter| C[Get-DbaDbRole]
    B -->|Server| D[Get-DbaDbRole]
    B -->|Database| E[Get-DbaDbRole]
    B -->|DatabaseRole| F[直接使用]
    C --> G[ループ: 各ロール]
    D --> G
    E --> G
    F --> G
    G --> H[バージョン/互換性チェック]
    H --> I[Role.Script実行]
    I --> J[権限クエリ実行]
    J --> K[権限スクリプト生成]
    K --> L{IncludeRoleMember?}
    L -->|Yes| M[メンバークエリ実行]
    L -->|No| N[roleCollection追加]
    M --> O[メンバースクリプト生成]
    O --> N
    N --> P{次ロール?}
    P -->|Yes| G
    P -->|No| Q[end処理]
    Q --> R{Passthru?}
    R -->|Yes| S[コンソール出力]
    R -->|No| T[ファイル保存]
    S --> U[終了]
    T --> U
```

## エラー処理

### エラーケース一覧

| エラー種別 | 発生条件 | 表示メッセージ | 対処方法 |
|----------|---------|--------------|---------|
| バージョンエラー | SQL Server 9未満 | "SQL Server version 9 or higher required - {server} not supported." | サーバーアップグレード |
| 互換性エラー | CompatibilityLevel < 90 | "{db} has a compatibility level lower than Version90 and will be skipped." | 互換性レベル確認 |
| 入力エラー | InputObject無効 | "InputObject is not a server, database, or login." | 正しいオブジェクト指定 |
| 入力エラー | SqlInstance/InputObject両方なし | "You must pipe in a role, database, or server or specify a SqlInstance" | パラメータ指定 |

## パフォーマンス要件

| 項目 | 内容 |
|-----|------|
| 想定データ件数 | 1〜100ロール |
| 目標出力時間 | 30秒以内 |
| 同時出力数上限 | 制限なし |

## セキュリティ考慮事項

- SQL Server 2005以上が必要（VersionMajor >= 9）
- CompatibilityLevel 90以上が必要
- db_owner または VIEW DEFINITION権限が必要
- スキーマ所有権情報が含まれる

## 備考

- John Eisbrenerのブログ記事をベースにした実装
- ScriptingOptionsObjectで詳細なスクリプトオプション指定可能
- IncludeRoleMemberでロールメンバー追加文を含める
- 固定ロール除外オプションあり
- データベース毎にファイル分割

---

## コードリーディングガイド

本帳票を理解するために参照すべきファイルと、推奨する読み解き順序を以下に示す。

### 推奨読解順序

#### Step 1: データ構造を理解する

権限クエリとスクリプト生成の仕組みを理解することが重要です。

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 1-1 | Export-DbaDbRole.ps1 | `public/Export-DbaDbRole.ps1` | パラメータ定義（行158-181）でRole, IncludeRoleMember等を確認 |
| 1-2 | Export-DbaDbRole.ps1 | `public/Export-DbaDbRole.ps1` | roleSQL（行194-244）で権限取得クエリを理解 |
| 1-3 | Export-DbaDbRole.ps1 | `public/Export-DbaDbRole.ps1` | userSQL（行246-253）でメンバー取得クエリを理解 |

**読解のコツ**: sys.database_permissionsのclass列とオブジェクト種別の対応を理解する

#### Step 2: エントリーポイントを理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 2-1 | Export-DbaDbRole.ps1 | `public/Export-DbaDbRole.ps1` | beginブロック（行182-270） |
| 2-2 | Export-DbaDbRole.ps1 | `public/Export-DbaDbRole.ps1` | processブロック（行271-368） |

**主要処理フロー**:
1. **行182-193**: 初期化（実行ユーザー取得、コレクション初期化）
2. **行255-262**: ScriptingOptions設定
3. **行285-308**: InputObject種別判定とGet-DbaDbRole呼び出し
4. **行309-367**: 各ロールのスクリプト生成

#### Step 3: 権限スクリプト生成を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 3-1 | Export-DbaDbRole.ps1 | `public/Export-DbaDbRole.ps1` | 権限処理（行321-354） |

**主要処理フロー**:
- **行321**: Role.Script()でCREATE ROLE生成
- **行323-324**: roleSQLクエリ実行
- **行326-340**: 権限スクリプト組み立て
- **行342-354**: IncludeRoleMember時のメンバー追加

#### Step 4: 出力処理を理解する

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 4-1 | Export-DbaDbRole.ps1 | `public/Export-DbaDbRole.ps1` | endブロック（行370-419） |

**主要処理フロー**:
- **行376-386**: prefix生成（NoPrefix未指定時）
- **行388-394**: BatchSeparator適用
- **行396-417**: 出力処理（Passthru/File）

### プログラム呼び出し階層図

```
Export-DbaDbRole
    │
    ├─ Test-ExportDirectory (begin)
    │      └─ パス存在確認
    │
    ├─ New-DbaScriptingOption
    │      └─ スクリプトオプション生成
    │
    ├─ Get-DbaDbRole
    │      └─ データベースロール取得
    │
    ├─ DatabaseRole.Script()
    │      └─ CREATE ROLE生成
    │
    ├─ Database.Query() [roleSQL]
    │      └─ 権限情報取得
    │
    ├─ Database.Query() [userSQL]
    │      └─ ロールメンバー取得
    │
    ├─ Get-ExportFilePath
    │      └─ 出力ファイルパス決定
    │
    └─ Out-File
           └─ ファイル出力
```

### データフロー図

```
[入力]                    [処理]                         [出力]

SqlInstance ───────▶ Get-DbaDbRole ──────────────▶ Role Objects
                            │
Database/Role ─────▶ Filter Roles ───────────────▶ Target Roles
                            │
                            ▼
                     Role.Script() ──────────────▶ CREATE ROLE T-SQL
                            │
                     roleSQL Query ──────────────▶ Permission T-SQL
                            │
                     userSQL Query ──────────────▶ Member T-SQL
                            │
                            ▼
NoPrefix ──────────▶ Add/Skip Header ────────────▶ Script with Header
                            │
BatchSeparator ────▶ Add Separators ─────────────▶ Complete Script
                            │
                            ▼
Path/FilePath ─────▶ Out-File ───────────────────▶ .sql File
    or
Passthru ──────────▶ Console Output ─────────────▶ String Output
```

### 関連ファイル一覧

| ファイル | パス | 種別 | 役割 |
|---------|------|------|------|
| Export-DbaDbRole.ps1 | `public/Export-DbaDbRole.ps1` | ソース | メイン処理 |
| Export-DbaDbRole.Tests.ps1 | `tests/Export-DbaDbRole.Tests.ps1` | テスト | 単体テスト |
| Get-DbaDbRole.ps1 | `public/Get-DbaDbRole.ps1` | ソース | ロール取得 |
| New-DbaScriptingOption.ps1 | `public/New-DbaScriptingOption.ps1` | ソース | スクリプトオプション |
| Get-ExportFilePath.ps1 | `private/Get-ExportFilePath.ps1` | ソース | 出力パス決定 |
| Test-ExportDirectory.ps1 | `private/Test-ExportDirectory.ps1` | ソース | ディレクトリ検証 |
