XML スキーマコレクションの権限の許可

[アーティクル]
12/16/2008

XML スキーマコレクションを作成する権限、および XML スキーマコレクションオブジェクトに対する権限を許可できます。

XML スキーマコレクションを作成する権限の許可

XML スキーマコレクションを作成するには、次の権限が必要です。

プリンシパルは、データベースレベルの CREATE XML SCHEMA COLLECTION 権限を必要とします。
XML スキーマコレクションはリレーショナルスキーマスコープなので、プリンシパルはリレーショナルスキーマに対する ALTER 権限も必要とします。

次の権限があると、プリンシパルはサーバー上のデータベース内のリレーショナルスキーマに XML スキーマコレクションを作成できます。

サーバーに対する CONTROL 権限。
サーバーに対する ALTER ANY DATABASE 権限。
データベースに対する ALTER 権限。
データベースに対する CONTROL 権限。
データベースに対する ALTER ANY SCHEMA 権限と CREATE XML SCHEMA COLLECTION 権限。
リレーショナルスキーマに対する ALTER 権限または CONTROL 権限、およびデータベースに対する CREATE XML SCHEMA COLLECTION 権限。

上に示した最後の方法を次の例で使用します。

リレーショナルスキーマの所有者は、そのスキーマで作成される XML スキーマコレクションの所有者になります。その結果、この所有者には XML スキーマコレクションに対するフルコントロール権限が許可されます。したがって、この所有者は XML スキーマコレクションの変更も、xml 列の型指定も、XML スキーマコレクションの削除も行えます。

XML スキーマコレクションオブジェクトの権限の許可

XML スキーマコレクションに対して許可できる権限は次のとおりです。

ALTER 権限。ALTER XML SCHEMA COLLECTION ステートメントを使用して既存の XML スキーマコレクションのコンテンツを変更する場合に必要です。
CONTROL 権限。許可されると、ユーザーは XML スキーマコレクションに任意の操作を実行できるようになります。
TAKE OWNERSHIP 権限。XML スキーマコレクションの所有者権を特定のプリンシパルから別のプリンシパルに転送するために必要です。
REFERENCE 権限。許可されたプリンシパルは、XML スキーマコレクションを使用してテーブル、ビュー、およびパラメータ内の xml 型の列に対して型指定や制約を行えます。また、REFERENCE 権限は、ある XML スキーマコレクションで別の XML スキーマコレクションを参照する場合にも必要です。
VIEW DEFINITION 権限。このコレクションに対する ALTER 権限、REFERENCES 権限、または CONTROL 権限のいずれかがあれば、XML_SCHEMA_NAMESPACE またはカタログビューのどちらかを使用して XML スキーマコレクションの内容に対してクエリ実行できるようになります。
EXECUTE 権限。xml 型の列、変数、およびパラメータの型指定または制約を定義している XML スキーマコレクションに対して、プリンシパルが挿入または更新した値を検証するために必要です。また、これらの列や変数に格納されている XML に対してクエリを実行する場合にも必要な権限です。

例

次の例に示すシナリオでは、XML スキーマ権限のしくみを説明します。各例では、必要なテストデータベース、リレーショナルスキーマ、およびログインを作成します。それらのログインには、必要な XML スキーマコレクション権限が許可されています。各例の最後には、必要なクリーンアップを行います。

A. XML スキーマコレクションを作成する権限の許可

次の例では、権限を許可することにより、プリンシパルが XML スキーマコレクションを作成できるようにする方法を説明しています。この例では、サンプルデータベースとテストユーザー TestLogin1 を作成します。次に、TestLogin1 にリレーショナルスキーマに対する ALTER 権限と、データベースに対する CREATE XML SCHEMA COLLECTION 権限を許可します。これらの権限を使用して、TestLogin1 はサンプルの XML スキーマコレクションを正常に作成できます。

SETUSER
go
USE master
go
CREATE LOGIN TestLogin1 WITH password='SQLSvrPwd1'
go
CREATE DATABASE SampleDBForSchemaPermissions
go
USE SampleDBForSchemaPermissions
go
CREATE USER TestLogin1
go
-- User needs ALTER permission on the relational schema in the database
GRANT ALTER ON SCHEMA::dbo TO TestLogin1
go
-- User also needs permission to create xml schema collections in the database
GRANT CREATE XML SCHEMA COLLECTION 
TO TestLogin1
go
-- now execute create xml schema  collection
SETUSER 'TestLogin1'
go
CREATE XML SCHEMA COLLECTION myTestSchemaCollection AS '<?xml version="1.0" encoding="UTF-8" ?>
<xsd:schema targetNamespace="http://schemas.adventure-works.com/Additional/ContactInfo" 
            xmlns:xsd="http://www.w3.org/2001/XMLSchema" 
elementFormDefault="qualified">
<xsd:element name="AdditionalContactInfo" >
  <xsd:complexType mixed="true" >
    <xsd:sequence>
      <xsd:any processContents="strict"  
               namespace="http://schemas.adventure-works.com/Contact/Record 
                          http://schemas.adventure-works.com/AdditionalContactTypes"
               minOccurs="0" maxOccurs="unbounded" />
    </xsd:sequence>
  </xsd:complexType>
</xsd:element>
<xsd:element name="root" type="xsd:byte"/>
</xsd:schema>'
go
-- final cleanup
SETUSER
go
USE master
go
DROP DATABASE SampleDBForSchemaPermissions
go
DROP LOGIN TestLogin1
go

B. 既存の XML スキーマコレクションを使用する権限の許可

次の例では、XML スキーマコレクションの権限モデルを詳しく説明しています。XML スキーマコレクションの作成と使用には、各種の権限が必要であることがわかります。

この例では、テストデータベースとログイン TestLogin1 を作成します。TestLogin1 は、XML スキーマコレクションをテストデータベース内に作成します。次に、テーブルを作成し、XML スキーマコレクションを使用して、型指定された xml 列を作成します。その後、データを挿入し、クエリを実行します。次のコードに示すように、これらのどの手順でも正しいスキーマ権限を必要とします。

SETUSER
go
USE master
go
CREATE LOGIN TestLogin1 WITH password='SQLSvrPwd1'
go
CREATE DATABASE SampleDBForSchemaPermissions
go
USE SampleDBForSchemaPermissions
go
CREATE USER TestLogin1
go
-- grant permission to the user
SETUSER
go
-- User needs ALTER permission on the relational schema in the database
GRANT ALTER ON SCHEMA::dbo TO TestLogin1
go
-- User also needs permission to create xml schema collections in the database
GRANT CREATE XML SCHEMA COLLECTION 
TO TestLogin1
go
-- Now user can execute previous CREATE XML SCHEMA COLLECTION
SETUSER 'TestLogin1'
go
CREATE XML SCHEMA COLLECTION myTestSchemaCollection AS '<?xml version="1.0" encoding="UTF-8" ?>
<xsd:schema targetNamespace="http://schemas.adventure-works.com/Additional/ContactInfo" 
            xmlns:xsd="http://www.w3.org/2001/XMLSchema" 
elementFormDefault="qualified">

<xsd:element name="AdditionalContactInfo" >
  <xsd:complexType mixed="true" >
    <xsd:sequence>
      <xsd:any processContents="strict"  
               namespace="http://schemas.adventure-works.com/Contact/Record 
                          http://schemas.adventure-works.com/AdditionalContactTypes"
               minOccurs="0" maxOccurs="unbounded" />
    </xsd:sequence>
  </xsd:complexType>
</xsd:element>
<xsd:element name="telephone" type="xsd:string" />
</xsd:schema>'
go

-- Let us create a table using the collection to type an xml column. 
--TestLogin1 needs permission to create table
setuser
go
GRANT CREATE TABLE TO TestLogin1
go
-- The user also needs REFERENCE permission to use the XML schema collection
-- to create a typed XML column (REFERENCES permission on schema 
-- collection not needed).
GRANT REFERENCES ON XML SCHEMA COLLECTION::myTestSchemaCollection 
TO TestLogin1
go
-- Now user can create table and use the XML schema collection to create 
-- a typed XML column
setuser 'TestLogin1'
go
CREATE TABLE MyTestTable (xmlCol xml (dbo.myTestSchemaCollection))
go
-- To insert data in the table user needs EXECUTE permission on the XML schema collection
-- GRANT EXECUTE permission to TestLogin2 on the xml schema collection
setuser
go
GRANT EXECUTE ON XML SCHEMA COLLECTION::myTestSchemaCollection 
TO TestLogin1
go
-- TestLogin1 does not own the dbo schema. This user needs insert permission
GRANT INSERT TO TestLogin1
go
-- Now user can insert data in the table
setuser 'TestLogin1'
go
INSERT INTO MyTestTable VALUES('
<telephone xmlns="http://schemas.adventure-works.com/Additional/ContactInfo">111-1111</telephone>
')
go
-- To query the table,TestLogin1 needs permissions (SELECT on the table and EXECUTE on the XML schema collection).
setuser
go
GRANT SELECT TO TestLogin1
go
-- TestLogin1 already has EXECUTE permission on the schema (granted before inserting a record in the table).
SELECT xmlCol.query('declare default namespace="http://schemas.adventure-works.com/Additional/ContactInfo" /telephone[1]')
FROM MyTestTable
go
-- To illustrate the user needs EXECUTE permission to query, let us REVOKE
-- previously granted permission and return the query
SETUSER
go
REVOKE EXECUTE ON XML SCHEMA COLLECTION::myTestSchemaCollection to TestLogin1
Go
-- Now TestLogin1 cannot execute the query
SETUSER 'TestLogin1'
go
SELECT xmlCol.query('declare default namespace="http://schemas.adventure-works.com/Additional/ContactInfo" /telephone[1]')
FROM MyTestTable
go
-- Final cleanup 
SETUSER
go
USE master
go
DROP DATABASE SampleDBForSchemaPermissions
go
DROP LOGIN TestLogin1
go

C. XML スキーマコレクションに対する ALTER 権限の許可

データベース内の既存の XML スキーマコレクションを変更するには、ユーザーに ALTER 権限が必要です。次の例では、ALTER 権限を許可する方法を説明しています。

SETUSER
go
USE master
go
CREATE LOGIN TestLogin1 WITH password='SQLSvrPwd1'
go
CREATE DATABASE SampleDBForSchemaPermissions
go
USE SampleDBForSchemaPermissions
go
CREATE USER TestLogin1
go
-- grant permission to the user
SETUSER
go
-- User needs ALTER permission on the relational schema in the database
GRANT ALTER ON SCHEMA::dbo TO TestLogin1
go
-- User also needs permission to create xml schema collections in the database
GRANT CREATE XML SCHEMA COLLECTION 
TO TestLogin1
go
-- Now user can execute previous CREATE XML SCHEMA COLLECTION
SETUSER 'TestLogin1'
go
CREATE XML SCHEMA COLLECTION myTestSchemaCollection AS '<?xml version="1.0" encoding="UTF-8" ?>
<xsd:schema targetNamespace="http://schemas.adventure-works.com/Additional/ContactInfo" 
            xmlns:xsd="http://www.w3.org/2001/XMLSchema" 
elementFormDefault="qualified">

<xsd:element name="AdditionalContactInfo" >
  <xsd:complexType mixed="true" >
    <xsd:sequence>
      <xsd:any processContents="strict"  
               namespace="http://schemas.adventure-works.com/Contact/Record 
                          http://schemas.adventure-works.com/AdditionalContactTypes"
               minOccurs="0" maxOccurs="unbounded" />
    </xsd:sequence>
  </xsd:complexType>
</xsd:element>
<xsd:element name="telephone" type="xsd:string" />
</xsd:schema>'
go
-- now grant ALTER permission to TestLogin1
setuser
go
GRANT ALTER ON XML SCHEMA COLLECTION::myTestSchemaCollection TO TestLogin1
go
-- now TestLogin1 should be able to add components to the collection
setuser 'TestLogin1'
go
ALTER XML SCHEMA COLLECTION myTestSchemaCollection ADD '
<xsd:schema targetNamespace="http://schemas.adventure-works.com/Additional/ContactInfo" 
            xmlns:xsd="http://www.w3.org/2001/XMLSchema" 
            xmlns="http://schemas.adventure-works.com/Additional/ContactInfo" 
elementFormDefault="qualified">
 <xsd:element name="pager" type="xsd:string"/>
</xsd:schema>
'
Go
-- Final cleanup 
SETUSER
go
USE master
go
DROP DATABASE SampleDBForSchemaPermissions
go
DROP LOGIN TestLogin1
go

D. XML スキーマコレクションに対する TAKE OWNERSHIP 権限の許可

この例では、XML スキーマの所有権を特定のユーザーから別のユーザーに転送する方法を説明しています。より興味深い例にするために、この例の 2 人のユーザーは異なる既定リレーショナルスキーマを使用します。

この例の内容は次のとおりです。

2 つのリレーショナルスキーマ dbo および myOtherDBSchema を備えた 1 つのデータベースを作成します。
2 人のユーザー TestLogin1 および TestLogin2 を作成します。TestLogin2 が myOtherDBSchema リレーショナルスキーマの所有者になります。
TestLogin1 は、dbo リレーショナルスキーマに XML スキーマコレクションを作成します。
次に、TestLogin1 はその XML スキーマコレクションに対する TAKE OWNERSHIP 権限を TestLogin2 に許可します。
TestLogin2 は、myOtherDBSchema の XML スキーマコレクションの所有者になります。このとき、XML スキーマコレクションのリレーショナルスキーマは変更されません。

CREATE LOGIN TestLogin1 with password='SQLSvrPwd1'
go
CREATE LOGIN TestLogin2 with password='SQLSvrPwd2'
go
CREATE DATABASE SampleDBForSchemaPermissions
go
USE SampleDBForSchemaPermissions
go
-- Create another relational schema in the db
CREATE SCHEMA myOtherDBSchema
go
-- Create users in the database. Note TestLogin2's default schema is
-- myOtherDBSchema
CREATE USER TestLogin1
go
CREATE USER TestLogin2 WITH DEFAULT_SCHEMA=myOtherDBSchema
go
-- TestLogin2 will own myOtherDBSchema relational schema
ALTER AUTHORIZATION ON SCHEMA::myOtherDBSchema TO TestLogin2
go

-- For TestLogin1 to create XML schema collection, following
-- permission needed.
GRANT CREATE XML SCHEMA COLLECTION 
TO TestLogin1
go
GRANT ALTER ON SCHEMA::dbo TO TestLogin1
go
-- Now TestLogin1 can create an XML schema collection.
setuser 'TestLogin1'
go
CREATE XML SCHEMA COLLECTION myTestSchemaCollection AS '<?xml version="1.0" encoding="UTF-8" ?>
<xsd:schema targetNamespace="http://schemas.adventure-works.com/Additional/ContactInfo" 
            xmlns:xsd="http://www.w3.org/2001/XMLSchema" 
elementFormDefault="qualified">

<xsd:element name="AdditionalContactInfo" >
 <xsd:complexType mixed="true" >
    <xsd:sequence>
      <xsd:any processContents="strict" 
               namespace="http://schemas.adventure-works.com/Contact/Record 
                          http://schemas.adventure-works.com/AdditionalContactTypes"
               minOccurs="0" maxOccurs="unbounded" />
    </xsd:sequence>
 </xsd:complexType>
</xsd:element>
<xsd:element name="telephone" type="xsd:string" />
</xsd:schema>'
go

-- grant TAKE OWNERSHIP to TestLogin2
SETUSER
go
GRANT TAKE OWNERSHIP ON XML SCHEMA COLLECTION::dbo.myTestSchemaCollection 
TO TestLogin2
go
-- verify the owner. Note the UserName and Principal_id is null. 
SELECT user_name(sys.xml_schema_collections.principal_id) as UserName, 
       sys.schemas.name as RelSchemaName,* 
FROM   sys.xml_schema_collections 
      JOIN sys.schemas 
      ON sys.schemas.schema_id=sys.xml_schema_collections.schema_id
go
-- TestLogin2 can take ownership now
setuser 'TestLogin2'
go
ALTER AUTHORIZATION ON XML SCHEMA COLLECTION::dbo.myTestSchemaCollection 
TO TestLogin2
go
-- Note that although TestLogin2 is the owner,the XML schema collection 
-- is still in dbo
SELECT user_name(sys.xml_schema_collections.principal_id) as UserName, 
      sys.schemas.name as RelSchemaName,* 
FROM sys.xml_schema_collections JOIN sys.schemas 
     ON sys.schemas.schema_id=sys.xml_schema_collections.schema_id
go

-- TestLogin2 moves the collection from dbo to myOtherDBSchema relational schema
-- TestLogin2 already has all necessary permissions
-- 1) TestLogin2 owns the destination relational schema so he can ALTER it
-- 2) TestLogin2 owns the XML schema collection (thus has CONTROL permission)
ALTER SCHEMA myOtherDBSchema
TRANSFER XML SCHEMA COLLECTION::dbo.myTestSchemaCollection
go

SELECT user_name(sys.xml_schema_collections.principal_id) as UserName, 
       sys.schemas.name as RelSchemaName,* 
FROM   sys.xml_schema_collections JOIN sys.schemas 
       ON sys.schemas.schema_id=sys.xml_schema_collections.schema_id
go
-- final cleanup 
SETUSER
go
USE master
go
DROP DATABASE SampleDBForSchemaPermissions
go
DROP LOGIN TestLogin1
DROP LOGIN TestLogin2
go

E. XML スキーマコレクションに対する DEFINITION 権限の許可

この例では、XML スキーマコレクションに対する VIEW DEFINITION 権限を許可する方法を示します。

SETUSER
go
use master
go
if exists( select * from sysdatabases where name='permissionsDB' )
   drop database permissionsDB
go
if exists( select * from sys.sql_logins where name='schemaUser' )
   drop login schemaUser
go
CREATE DATABASE permissionsDB
go
CREATE LOGIN schemaUser WITH PASSWORD='Pass#123',DEFAULT_DATABASE=permissionsDB
go
GRANT CONNECT SQL TO schemaUser
go
USE permissionsDB
go
CREATE USER schemaUser WITH DEFAULT_SCHEMA=dbo
go
CREATE XML SCHEMA COLLECTION MySC AS '
<schema xmlns="http://www.w3.org/2001/XMLSchema" targetNamespace="http://ns"
xmlns:ns="http://ns">

   <simpleType name="ListOfIntegers">
      <list itemType="integer"/>
   </simpleType>

   <element name="root" type="ns:ListOfIntegers"/>

   <element name="gRoot" type="gMonth"/>

</schema>
'
go
-- schemaUser cannot see the contents of the collection
setuser 'schemaUser'
go
SELECT XML_SCHEMA_NAMESPACE(N'dbo',N'MySC')
go

-- grant schemaUser VIEW DEFINITION and REFERENCES permissions
-- on the xml schema collection
SETUSER
go
GRANT VIEW DEFINITION ON XML SCHEMA COLLECTION::dbo.MySC TO schemaUser
go
GRANT REFERENCES ON XML SCHEMA COLLECTION::dbo.MySC TO schemaUser
go
-- now schemaUser can see the content of the collection
setuser 'schemaUser'
go
SELECT XML_SCHEMA_NAMESPACE(N'dbo',N'MySC')
go
-- revoke schemaUser VIEW DEFINITION permissions
-- on the xml schema collection
SETUSER
go
REVOKE VIEW DEFINITION ON XML SCHEMA COLLECTION::dbo.MySC FROM schemaUser
go
-- now schemaUser cannot see the contents of 
-- the collection anymore
setuser 'schemaUser'
go
SELECT XML_SCHEMA_NAMESPACE(N'dbo',N'MySC')
go

次の方法で共有

XML スキーマコレクションの権限の許可

XML スキーマコレクションを作成する権限の許可

XML スキーマコレクションオブジェクトの権限の許可

例

A. XML スキーマコレクションを作成する権限の許可

B. 既存の XML スキーマコレクションを使用する権限の許可

C. XML スキーマコレクションに対する ALTER 権限の許可

D. XML スキーマコレクションに対する TAKE OWNERSHIP 権限の許可

E. XML スキーマコレクションに対する DEFINITION 権限の許可

参照

関連項目

概念

ヘルプおよび情報

その他のリソース

次の方法で共有

XML スキーマ コレクションの権限の許可

XML スキーマ コレクションを作成する権限の許可

XML スキーマ コレクション オブジェクトの権限の許可

例

A. XML スキーマ コレクションを作成する権限の許可

B. 既存の XML スキーマ コレクションを使用する権限の許可

C. XML スキーマ コレクションに対する ALTER 権限の許可

D. XML スキーマ コレクションに対する TAKE OWNERSHIP 権限の許可

E. XML スキーマ コレクションに対する DEFINITION 権限の許可

参照

関連項目

概念

ヘルプおよび情報

その他のリソース

XML スキーマコレクションの権限の許可

XML スキーマコレクションを作成する権限の許可

XML スキーマコレクションオブジェクトの権限の許可

A. XML スキーマコレクションを作成する権限の許可

B. 既存の XML スキーマコレクションを使用する権限の許可

C. XML スキーマコレクションに対する ALTER 権限の許可

D. XML スキーマコレクションに対する TAKE OWNERSHIP 権限の許可

E. XML スキーマコレクションに対する DEFINITION 権限の許可