サーバーレベルのロール

[アーティクル]
03/06/2017

SQL Server は、サーバー上の権限を管理するためのサーバーレベルのロールを提供します。これらのロールは、他のプリンシパルをグループ化するセキュリティプリンシパルです。サーバーレベルのロールは、その権限のスコープがサーバー全体に及びます (ロール は、Windows オペレーティングシステムの グループ に似ています)。

固定サーバーロールは、旧バージョンとの互換性を維持するために便宜的に提供されています。可能な限り、より詳細な権限を割り当ててください。

SQL Server は、9 つの固定サーバーロールを提供します。固定サーバーロールに許可される権限は変更できません。 SQL Server 2012 以降では、ユーザー定義サーバーロールを作成し、ユーザー定義サーバーロールにサーバーレベルのアクセス許可を追加できます。

サーバーレベルのロールには、サーバーレベルのプリンシパル (SQL Server ログイン、Windows アカウント、および Windows グループ) を追加できます。固定サーバーロールの各メンバーは、そのロールに他のログインを追加することができます。ユーザー定義のサーバーロールのメンバーは、そのロールに他のサーバープリンシパルを追加できません。

固定サーバーレベルロール

次の表に、固定サーバーレベルロールとその機能を示します。

固定サーバーレベルロール	説明
[sysadmin]	sysadmin 固定サーバーロールのメンバーは、サーバーに対するすべての操作を実行できます。
serveradmin	serveradmin 固定サーバーロールのメンバーは、サーバー全体の構成オプションを変更したり、サーバーをシャットダウンしたりできます。
securityadmin	securityadmin 固定サーバーロールのメンバーは、ログインとログインのプロパティを管理します。このメンバーは、サーバーレベルの権限を許可、拒否、および禁止できます。また、データベースにアクセスできる場合は、データベースレベルの権限も許可、拒否、および禁止できます。また、 SQL Server ログインのパスワードをリセットできます。セキュリティに関する注意データベースエンジンへのアクセス権を付与し、ユーザーのアクセス許可を構成する機能により、セキュリティ管理者はほとんどのサーバーアクセス許可を割り当てることができます。ロールは `securityadmin` 、ロールと同等 `sysadmin` として扱う必要があります。
processadmin	processadmin 固定サーバーロールのメンバーは、SQL Server のインスタンス内で実行中のプロセスを終了できます。
setupadmin	setupadmin 固定サーバーロールのメンバーは、Transact-SQL ステートメントを使用してリンクサーバーを追加および削除できます。 (Management Studio を使用するときは sysadmin メンバーシップが必要になります)。
bulkadmin	bulkadmin 固定サーバーロールのメンバーは、BULK INSERT ステートメントを実行できます。
diskadmin	diskadmin 固定サーバーロールは、ディスクファイルを管理するために使用します。
dbcreator	dbcreator 固定サーバーロールのメンバーは、任意のデータベースを作成、変更、削除、および復元できます。
public	すべての SQL Server ログインは、PUBLIC サーバーロールに属しています。サーバープリンシパルにセキュリティ保護可能なオブジェクトに対する特定の権限が与えられていないか権限が拒否されている場合、そのユーザーは、そのオブジェクトに対して public に付与されている権限を継承します。すべてのユーザーがオブジェクトを使用できるようにする場合は、対象のオブジェクトに public 権限のみを割り当てます。 public のメンバーシップを変更することはできません。注: public は、他のロールとは実装方法が異なります。しかし、public から権限の許可、拒否、および取り消しを行うことができます。

固定サーバーロールの権限

各固定サーバーロールには、特定の権限が割り当てられます。サーバーロールに割り当てられる権限のチャートについては、「データベースエンジンの固定サーバーロールおよび固定データベースロール」を参照してください。

重要

CONTROL SERVER 権限は sysadmin 固定サーバーロールと似ていますが、同じではありません。権限があることはロールのメンバーシップを意味せず、ロールのメンバーシップによって権限は付与されません。 (たとえば、固定サーバーロールのメンバーシップをsysadmin意味するものではありません)。 CONTROL SERVERただし、ロールと同等のアクセス許可の間で偽装できる場合があります。ほとんどの DBCC コマンドと多くのシステムプロシージャには、sysadmin 固定サーバーロールのメンバーシップが必要です。メンバーシップを必要とする sysadmin 171 個のシステムストアドプロシージャの一覧については、Andreas Wolter CONTROL SERVER と sysadmin/sa のブログ投稿を参照してください。アクセス許可、システムプロシージャ、DBCC、スキーマの自動作成と特権エスカレーション - 注意事項。

サーバーレベルの権限

ユーザー定義のサーバーロールに追加できるのは、サーバーレベルの権限のみです。サーバーレベルの権限の一覧を表示するには、次のステートメントを実行します。サーバーレベルの権限は、次のとおりです。

SELECT * FROM sys.fn_builtin_permissions('SERVER') ORDER BY permission_name;

アクセス許可の詳細については、「権限 (データベースエンジン)」および「 sys.fn_builtin_permissions (Transact-SQL)」を参照してください。