サーバーレベルの役割

SQL Server は、サーバー上の権限を管理するためのサーバーレベルのロールを提供します。これらの役割は、他のプリンシパルをグループ化するセキュリティプリンシパルです。サーバーレベルのロールは、サーバー全体にわたる権限スコープを持っています。 (役割は、Windows オペレーティングシステムの グループ のようなものです)。

固定サーバーロールは、利便性と下位互換性のために提供されます。可能な限り、より具体的なアクセス許可を割り当てます。

SQL Serverでは、9 つの固定サーバーロールが提供されます。固定サーバーロールに付与されるアクセス許可は変更できません。 SQL Server 2012 以降では、ユーザー定義サーバーロールを作成し、ユーザー定義サーバーロールにサーバーレベルのアクセス許可を追加できます。

サーバーレベルプリンシパル (SQL Server ログイン、Windows アカウント、および Windows グループ) をサーバーレベルのロールに追加できます。固定サーバーロールの各メンバーは、そのロールに他のログインを追加することができます。ユーザー定義サーバーロールのメンバーは、他のサーバープリンシパルをロールに追加できません。

固定 Server-Level ロール

次の表に、固定サーバーレベルロールとその機能を示します。

固定サーバーレベルの役割	Description
システム管理者	sysadmin 固定サーバーロールのメンバーは、サーバーで任意のアクティビティを実行できます。
サーバー管理者	serveradmin 固定サーバーロールのメンバーは、サーバー全体の構成オプションを変更し、サーバーをシャットダウンできます。
securityadmin	securityadmin 固定サーバーロールのメンバーは、ログインとそのプロパティを管理します。サーバーレベルの権限を GRANT、DENY、REVOKE することができます。また、データベースにアクセスできる場合は、データベースレベルのアクセス許可を GRANT、 DENY、および REVOKE することもできます。また、SQL Server ログインのパスワードをリセットできます。セキュリティに関する注意データベースエンジンへのアクセスを許可し、ユーザーのアクセス許可を構成する機能により、セキュリティ管理者はほとんどのサーバーアクセス許可を割り当てることができます。 `securityadmin` ロールは、`sysadmin` ロールと同等として扱う必要があります。
processadmin	processadmin 固定サーバーロールのメンバーは、SQL Serverのインスタンスで実行されているプロセスを終了できます。
setupadmin (セットアップアドミン)	setupadmin 固定サーバーロールのメンバーは、Transact-SQL ステートメントを使用して、リンクサーバーを追加および削除できます。 (Management Studio を使用する場合は sysadmin メンバーシップが必要です)。
bulkadmin	bulkadmin 固定サーバーロールのメンバーは、 BULK INSERT ステートメントを実行できます。
diskadmin	diskadmin 固定サーバーロールは、ディスクファイルの管理に使用されます。
Dbcreator	dbcreator 固定サーバーロールのメンバーは、任意のデータベースを作成、変更、削除、および復元できます。
公開	すべての SQL Server ログインは、パブリックサーバーロールに属します。サーバープリンシパルがセキュリティ保護可能なオブジェクトに対する特定のアクセス許可を付与または拒否されていない場合、ユーザーはそのオブジェクトのパブリックに付与されたアクセス許可を継承します。すべてのユーザーがオブジェクトを使用できるようにする場合にのみ、任意のオブジェクトにパブリックアクセス許可を割り当てます。パブリックのメンバーシップを変更することはできません。注: パブリックは、他のロールとは異なる方法で実装されます。ただし、アクセス許可を付与、拒否、またはパブリックから取り消すことができます。

固定サーバーロールのアクセス許可

各固定サーバーロールには、特定の権限が割り当てられます。サーバーロールに割り当てられているアクセス許可のグラフについては、「データベースエンジン固定サーバーロールと固定データベースロール」を参照してください。

Important

CONTROL SERVERのアクセス許可は、sysadmin固定サーバーロールと似ていますが、同じではありません。アクセス許可はロールメンバーシップを意味せず、ロールメンバーシップはアクセス許可を付与しません。 (たとえば、 CONTROL SERVER は、 sysadmin 固定サーバーロールのメンバーシップを意味しません)。ただし、ロールと同等のアクセス許可の間で偽装できる場合があります。ほとんどの DBCC コマンドと多くのシステムプロシージャでは、 sysadmin 固定サーバーロールのメンバーシップが必要です。 sysadminメンバーシップを必要とする 171 個のシステムストアドプロシージャの一覧については、Andreas Wolter CONTROL SERVER と sysadmin/sa のブログ投稿を参照してください。アクセス許可、システムプロシージャ、DBCC、スキーマの自動作成と特権エスカレーション - 注意事項。

Server-Level アクセス許可

ユーザー定義のサーバーロールに追加できるのは、サーバーレベルの権限のみです。サーバーレベルの権限の一覧を表示するには、次のステートメントを実行します。サーバーレベルの権限は、次のとおりです。

SELECT * FROM sys.fn_builtin_permissions('SERVER') ORDER BY permission_name;

アクセス許可の詳細については、「アクセス許可 (データベースエンジン)」および「sys.fn_builtin_permissions (Transact-SQL)」を参照してください。

Server-Level ロールの操作

次の表では、サーバーレベルのロールを操作するためのコマンド、ビュー、および関数について説明します。

特徴	タイプ	Description
sp_helpsrvrole(Transact-SQL)	Metadata	サーバーレベルのロールの一覧を返します。
sp_helpsrvrolemember(Transact-SQL)	Metadata	サーバーレベルのロールのメンバーに関する情報を返します。
sp_srvrolepermission(Transact-SQL)	Metadata	サーバーレベルのロールの権限を表示します。
IS_SRVROLEMEMBER(Transact-SQL)	Metadata	SQL Server ログインが、指定されたサーバーレベルロールのメンバーであるかどうかを示します。
sys.server_role_members(Transact-SQL)	Metadata	各サーバーレベルのロールのメンバーごとに 1 行のデータを返します。
sp_addsrvrolemember(Transact-SQL)	命令	ログインアカウントをサーバーレベルのロールのメンバーとして追加します。 Deprecated. ALTER SERVER ROLE を代わりに使用します。
sp_dropsrvrolemember(Transact-SQL)	命令	サーバーレベルのロールから、SQL Server ログインや、Windows ユーザーまたはグループを削除します。 Deprecated. ALTER SERVER ROLE を代わりに使用します。
CREATE SERVER ROLE (Transact-SQL)	命令	ユーザー定義サーバーロールを作成します。
ALTER SERVER ROLE (Transact-SQL)	命令	サーバーロールのメンバーシップを変更、またはユーザー定義のサーバーロールの名前を変更します。
DROP SERVER ROLE (Transact-SQL)	命令	ユーザー定義サーバーロールを削除します。
IS_SRVROLEMEMBER(Transact-SQL)	機能	サーバーロールのメンバーシップを決定します。

こちらもご覧ください

データベースレベルのロール
 セキュリティカタログビュー (Transact-SQL)
セキュリティ関数 (Transact-SQL)
SQL Server の保護
 GRANT サーバープリンシパルのアクセス許可 (Transact-SQL)
REVOKE サーバープリンシパルのアクセス許可 (Transact-SQL)
DENY サーバープリンシパルのアクセス許可 (Transact-SQL)
サーバーロールの作成

Last updated on 2017-03-06