sys.database_permissions (Transact-SQL)

適用対象:SQL ServerAzure SQL DatabaseAzure SQL Managed InstanceAzure Synapse AnalyticsAnalytics Platform System (PDW)Microsoft Fabric の SQL 分析エンドポイントMicrosoft Fabric のウェアハウスMicrosoft Fabric プレビューの SQL データベース

データベースに含まれている、権限ごとまたは列例外の権限ごとに 1 行のデータを返します。 列権限が、対応するオブジェクトレベルの権限とは異なる場合、列権限ごとに行が存在します。 列権限が、対応するオブジェクトの権限と同じ場合、それに対する行はなく、適用される権限はオブジェクトのものです。

Database Permissions

次の種類の権限を使用できます。

REVOKE と列例外のアクセス許可

ほとんどの場合、REVOKE コマンドは GRANT または DENY エントリをsys.database_permissionsから削除します。

ただし、オブジェクトに対する GRANT 権限または DENY 権限を持ち、その権限を列に対して取り消すことができます。 この列例外アクセス許可は、sys.database_permissionsに REVOKE として表示されます。 次の例を考えてみましょう。

GRANT SELECT ON Person.Person TO [Sales];

REVOKE SELECT ON Person.Person(AdditionalContactInfo) FROM [Sales];

これらのアクセス許可は、sys.database_permissionsに 1 つの GRANT (テーブル上) と 1 つの REVOKE (列) として表示されます。

Permissions

すべてのユーザーは自分の権限を参照できます。 他のユーザーの権限を表示するには、VIEW DEFINITION、ALTER ANY USER、またはユーザーに対する任意の権限が必要です。 ユーザー定義ロールを参照するには、ALTER ANY ROLE、またはロールのメンバーシップ (パブリックなど) が必要です。

カタログ ビューでのメタデータの可視性は、ユーザーが所有しているか、ユーザーに何らかのアクセス許可が付与されているセキュリティ保護可能なリソースに限定されます。 詳細については、「 Metadata Visibility Configuration」を参照してください。

Examples

A. データベース プリンシパルのすべてのアクセス許可を一覧表示する

次のクエリによって、データベース プリンシパルに対して明示的に付与または拒否されたアクセス許可の一覧が表示されます。

SELECT pr.principal_id
    ,pr.name
    ,pr.type_desc
    ,pr.authentication_type_desc
    ,pe.state_desc
    ,pe.permission_name  
FROM sys.database_principals AS pr  
INNER JOIN sys.database_permissions AS pe ON pe.grantee_principal_id = pr.principal_id;  

B. データベース内のスキーマ オブジェクトに対する権限を一覧表示する

次のクエリでは、 sys.database_principals と sys.database_permissions を sys.objects および sys.schemas に結合し 特定のスキーマ オブジェクトに対して許可または拒否されたアクセス許可を一覧表示します。

SELECT pr.principal_id
    ,pr.name
    ,pr.type_desc
    ,pr.authentication_type_desc
    ,pe.state_desc
    ,pe.permission_name
    ,s.name + '.' + o.name AS ObjectName
FROM sys.database_principals AS pr
INNER JOIN sys.database_permissions AS pe ON pe.grantee_principal_id = pr.principal_id
INNER JOIN sys.objects AS o ON pe.major_id = o.object_id
INNER JOIN sys.schemas AS s ON o.schema_id = s.schema_id;

C. 特定のオブジェクトの権限を一覧表示する

前の例を使用して、1 つのデータベース オブジェクトに固有のアクセス許可を照会できます。

たとえば、サンプル データベースのデータベース ユーザー testに付与される次の詳細なアクセス許可について考えますAdventureWorksDW2022。

GRANT SELECT ON dbo.vAssocSeqOrders TO [test];

dbo.vAssocSeqOrdersに割り当てられている詳細なアクセス許可を見つけます。

SELECT pr.principal_id
    ,pr.name
    ,pr.type_desc
    ,pr.authentication_type_desc
    ,pe.state_desc
    ,pe.permission_name
    ,s.name + '.' + o.name AS ObjectName
FROM sys.database_principals AS pr
INNER JOIN sys.database_permissions AS pe ON pe.grantee_principal_id = pr.principal_id
INNER JOIN sys.objects AS o ON pe.major_id = o.object_id
INNER JOIN sys.schemas AS s ON o.schema_id = s.schema_id
WHERE o.name = 'vAssocSeqOrders'
    AND s.name = 'dbo';

出力を返します。

principal_id    name    type_desc    authentication_type_desc    state_desc    permission_name    ObjectName
5    test    SQL_USER    INSTANCE    GRANT    SELECT    dbo.vAssocSeqOrders

See also

• Securables
• 権限の階層 (データベース エンジン)
• セキュリティ カタログ ビュー (Transact-SQL)
• カタログ ビュー (Transact-SQL)

Next steps

• プリンシパルに対する権限の許可
• GRANT (Transact-SQL)