GRANT (データベースプリンシパルの権限の許可) (Transact-SQL)

[アーティクル]
05/23/2023

適用対象: SQL Server Azure SQL Database Azure SQL Managed Instance Azure Synapse Analytics Analytics Platform System (PDW) Microsoft Fabric の SQL 分析エンドポイント Microsoft Fabric Warehouse Microsoft Fabric SQL Database

SQL Server のデータベースユーザー、データベースロール、またはアプリケーションロールに対する権限を許可します。

Transact-SQL 構文表記規則

構文

GRANT permission [ ,...n ]    
    ON   
    {  [ USER :: database_user ]  
     | [ ROLE :: database_role ]  
     | [ APPLICATION ROLE :: application_role ]  
    }  
    TO <database_principal> [ ,...n ]  
       [ WITH GRANT OPTION ]  
       [ AS <database_principal> ]  
  
<database_principal> ::=  
    Database_user   
  | Database_role   
  | Application_role   
  | Database_user_mapped_to_Windows_User   
  | Database_user_mapped_to_Windows_Group   
  | Database_user_mapped_to_certificate   
  | Database_user_mapped_to_asymmetric_key   
  | Database_user_with_no_login

引数

permission
データベースプリンシパルに対して許可できる権限を指定します。権限の一覧については、後の「解説」を参照してください。

USER ::database_user
権限を許可するユーザーのクラスと名前を指定します。スコープ修飾子 (::) が必要です。

ROLE ::database_role
権限を許可するロールのクラスと名前を指定します。スコープ修飾子 (::) が必要です。

APPLICATION ROLE ::application_role

権限を許可するアプリケーションロールのクラスと名前を指定します。スコープ修飾子 (::) が必要です。

WITH GRANT OPTION
権限が許可されたプリンシパルが、この権限を他のプリンシパルにも許可できることを示します。

AS <database_principal>
このクエリを実行するプリンシパルが権限を許可する権利を取得した、元のプリンシパルを指定します。

Database_user
データベースユーザーを指定します。

Database_role
データベースロールを指定します。

Application_role
適用対象: SQL Server 2008 (10.0.x) 以降、SQL Database。

アプリケーションロールを指定します。

Database_user_mapped_to_Windows_User
Windows ユーザーにマップされているデータベースユーザーを指定します。

Database_user_mapped_to_Windows_Group

Windows グループにマップされているデータベースユーザーを指定します。

Database_user_mapped_to_certificate

証明書にマップされているデータベースユーザーを指定します。

Database_user_mapped_to_asymmetric_key

非対称キーにマップされているデータベースユーザーを指定します。

Database_user_with_no_login
対応するサーバーレベルのプリンシパルがないデータベースユーザーを指定します。

解説

データベースプリンシパルに関する情報は、sys.database_principals カタログビューで確認できます。データベースレベルの権限に関する情報は、sys.database_permissions カタログビューで確認できます。

データベースユーザー権限

データベースユーザーは、データベースレベルのセキュリティ保護可能なリソースで、権限の階層で親となっているデータベースに含まれています。次の表に、データベースユーザーで許可できる権限のうち最も限定的なものを、それらを暗黙的に含む一般的な権限と共に示します。

データベースユーザー権限	権限が含まれるデータベースユーザー権限	権限が含まれるデータベース権限
CONTROL	CONTROL	CONTROL
IMPERSONATE	CONTROL	CONTROL
ALTER	CONTROL	ALTER ANY USER
VIEW DEFINITION	CONTROL	VIEW DEFINITION

データベースロール権限

データベースロールは、データベースレベルのセキュリティ保護可能なリソースで、権限の階層で親となっているデータベースに含まれています。次の表に、データベースロールで許可できる権限のうち最も限定的なものを、それらを暗黙的に含む一般的な権限と共に示します。

データベースロール権限	権限が含まれるデータベースロール権限	権限が含まれるデータベース権限
CONTROL	CONTROL	CONTROL
TAKE OWNERSHIP	CONTROL	CONTROL
ALTER	CONTROL	ALTER ANY ROLE
VIEW DEFINITION	CONTROL	VIEW DEFINITION

アプリケーションロール権限

アプリケーションロールは、データベースレベルのセキュリティ保護可能なリソースで、権限の階層で親となっているデータベースに含まれています。次の表に、アプリケーションロールで許可できる権限のうち最も限定的なものを、それらを暗黙的に含む一般的な権限と共に示します。

アプリケーションロール権限	権限が含まれるアプリケーションロール権限	権限が含まれるデータベース権限
CONTROL	CONTROL	CONTROL
ALTER	CONTROL	ALTER ANY APPLICATION ROLE
VIEW DEFINITION	CONTROL	VIEW DEFINITION

アクセス許可

権限の許可者 (または AS オプションで指定されたプリンシパル) は、GRANT OPTION によって与えられた権限を保持しているか、権限が暗黙的に与えられる上位の権限を保持している必要があります。

AS オプションを使用している場合は、次の追加要件があります。

AS granting_principal	必要な追加権限
データベースユーザー	ユーザーに対する IMPERSONATE 権限、db_securityadmin 固定データベースロールのメンバーシップ、db_owner 固定データベースロールのメンバーシップ、または sysadmin 固定サーバーロールのメンバーシップ。
Windows ユーザーにマップされているデータベースユーザー	ユーザーに対する IMPERSONATE 権限、db_securityadmin 固定データベースロールのメンバーシップ、db_owner 固定データベースロールのメンバーシップ、または sysadmin 固定サーバーロールのメンバーシップ。
Windows グループにマップされているデータベースユーザー	Windows グループのメンバーシップ、db_securityadmin 固定データベースロールのメンバーシップ、db_owner 固定データベースロールのメンバーシップ、または sysadmin 固定サーバーロールのメンバーシップ。
証明書にマップされているデータベースユーザー	db_securityadmin 固定データベースロールのメンバーシップ、db_owner 固定データベースロールのメンバーシップ、または sysadmin 固定サーバーロールのメンバーシップ。
非対称キーにマップされているデータベースユーザー	db_securityadmin 固定データベースロールのメンバーシップ、db_owner 固定データベースロールのメンバーシップ、または sysadmin 固定サーバーロールのメンバーシップ。
サーバープリンシパルにマップされていないデータベースユーザー	ユーザーに対する IMPERSONATE 権限、db_securityadmin 固定データベースロールのメンバーシップ、db_owner 固定データベースロールのメンバーシップ、または sysadmin 固定サーバーロールのメンバーシップ。
データベースロール	ロールに対する ALTER 権限、db_securityadmin 固定データベースロールのメンバーシップ、db_owner 固定データベースロールのメンバーシップ、または sysadmin 固定サーバーロールのメンバーシップ。
アプリケーションロール	ロールに対する ALTER 権限、db_securityadmin 固定データベースロールのメンバーシップ、db_owner 固定データベースロールのメンバーシップ、または sysadmin 固定サーバーロールのメンバーシップ。

セキュリティ保護可能なリソースに対して CONTROL 権限があるプリンシパルは、そのリソースの権限を許可できます。

db_owner 固定データベースロールのメンバーなど、データベースに対する CONTROL 権限が許可されているユーザーは、データベース内のセキュリティ保護可能なリソースに対する権限を許可できます。

例

A. ユーザーに対する CONTROL 権限を別のユーザーに許可する

次の例では、AdventureWorks2022 のユーザー Wanida に対する CONTROL 権限を、ユーザー RolandX に許可します。

GRANT CONTROL ON USER::Wanida TO RolandX;  
GO

B. ロールに対する VIEW DEFINITION 権限を、GRANT OPTION を指定してユーザーに許可する

次の例では、AdventureWorks2022 のロール SammamishParking に対する VIEW DEFINITION 権限を、GRANT OPTION を指定して、データベースユーザー JinghaoLiu に許可します。

GRANT VIEW DEFINITION ON ROLE::SammamishParking   
    TO JinghaoLiu WITH GRANT OPTION;  
GO

C. ユーザーに対する IMPERSONATE 権限をアプリケーションロールに許可する

次の例では、ユーザー HamithaL に対する IMPERSONATE 権限を、AdventureWorks2022 のアプリケーションロール AccountsPayable17 に許可します。

適用対象: SQL Server 2008 (10.0.x) 以降、SQL Database。

GRANT IMPERSONATE ON USER::HamithaL TO AccountsPayable17;  
GO

参照

DENY (データベースプリンシパルの権限の拒否) (Transact-SQL)
REVOKE (データベースプリンシパルの権限の取り消し) (Transact-SQL)
sys.database_principals (Transact-SQL)
sys.database_permissions (Transact-SQL)
CREATE USER (Transact-SQL)
CREATE APPLICATION ROLE (Transact-SQL)
CREATE ROLE (Transact-SQL)
GRANT (Transact-SQL)
権限 (データベースエンジン)
プリンシパル (データベースエンジン)

次の方法で共有

GRANT (データベースプリンシパルの権限の許可) (Transact-SQL)

構文

引数

解説

データベースユーザー権限

データベースロール権限

アプリケーションロール権限

アクセス許可

例

A. ユーザーに対する CONTROL 権限を別のユーザーに許可する

B. ロールに対する VIEW DEFINITION 権限を、GRANT OPTION を指定してユーザーに許可する

C. ユーザーに対する IMPERSONATE 権限をアプリケーションロールに許可する

参照

フィードバック

その他のリソース

次の方法で共有

GRANT (データベース プリンシパルの権限の許可) (Transact-SQL)

構文

引数

解説

データベース ユーザー権限

データベース ロール権限

アプリケーション ロール権限

アクセス許可

例

A. ユーザーに対する CONTROL 権限を別のユーザーに許可する

B. ロールに対する VIEW DEFINITION 権限を、GRANT OPTION を指定してユーザーに許可する

C. ユーザーに対する IMPERSONATE 権限をアプリケーション ロールに許可する

参照

フィードバック

その他のリソース

GRANT (データベースプリンシパルの権限の許可) (Transact-SQL)

データベースユーザー権限

データベースロール権限

アプリケーションロール権限

C. ユーザーに対する IMPERSONATE 権限をアプリケーションロールに許可する