Edit of GRANT - Firebird Wiki

[[FrontPage]]へ~
-[[リファレンスガイド]]へ~
--[[Firebird SQLリファレンス]]へ~
----
*Firebird SQLリファレンス:GRANT, REVOKE, CREATE ROLE, DROP ROLE [#wf446b1d]

#contents

----
&aname(grant);
*GRANT [#pc2b18d1]
　ユーザーに対して、指定したデータベースオブジェクトの特権を与えます。 SQL,DSQL,isqlで使用できます。
**構文 [#aa7cd761]
 GRANT <privileges> ON [TABLE]
    {tablename | viewname} TO
       {<object> | <userlist> | GROUP UNIX_group}
    | EXECUTE ON PROCEDURE procname TO {<object> | <userlist>}
    | <role_granted> TO {PUBLIC | <role_grantee_list>};

<privileges> = { ALL [PRIVILEGES] | <privilege_list> }

<privilege_list> =
    SELECT
    | DELETE
    | INSERT
    | UPDATE [(col [, col …])]
    | REFERENCES [(col [, col …])]
    [, <privilege_list> …]

<userlist> =
    [USER] username
    | rolename
    | Unix_user}
    [, <userlist> …]
    [WITH GRANT OPTION]

<role_granted> = rolename [, rolename …]

**詳細の説明 [#n24d9d4b]
　GRANT により、データベースオブジェクトに対する特権とロールを、指定したユーザー、ロール、または他のデータベースオブジェクトに対し与えることが出来ます。オブジェクトを作成した直後には、作成者のみがすべての特権を持っており、その作成者のみが他のユーザーやオブジェクトに対して特権を与えることが出来ます。
-次表に、使用可能な特権に関してまとめました。

-ユーザーもしくはオブジェクト(ストアドプロシージャなど)がテーブルやビューにアクセスするときには、その目的に合った適切な SELECT, INSERT, UPDATE, DELETE, REFERENCES 特権が必要です。ALLは、SELECT, INSERT, UPDATE, DELETE, REFERENCES の特権をすべて持っている場合と同じになります。

-アプリケーションで、ユーザーもしくはオブジェクトがストアドプロシ−ジャを実行する場合には、EXECUTE 特権を持っている必要があります。

-あるグループのユーザーに特権を与えるためには、まず、CREATE ROLE によりロールを作成してください。そして、そのロールに "GRANT privilege TO rolename" により適切な権限を与え、また "GRANT rolename TO users" によりグループのユーザーをそのロールに割当ててください。ロールに対するユーザの追加や削除は GRANT と REVOKE を使い分けて行います。この場合、ユーザーがその特権を持った状態で接続を行いたいときには、同時にロールの指定が必要となります。

-UNIX系のシステムでは、クライアントとサーバの両方で/etc/groupにリストされたグループや同様にして/etc/passwdでリストされたユーザーに特権を与えることが出来ます。

-あるユーザーが、外部キー付きのテーブルにより他ユーザーが持つテーブルのプライマリーキー列を参照する場合、そのテーブルの所有者によって、外部キーが参照する列に対する REFERENCES 特権を与えられていなければなりません。同様にして、他のユーザーが外部キー付きテーブルに書き込む場合は、それが参照するプライマリーキーがあるテーブルに対する REFERENCSE または SELECT 特権を持っていなければなりません。&br;※これを簡単に実現する方法があります。もし、 そのテーブルが読み取られてもセキュリティ上の問題が発生しない場合には、そのプライマリキーがあるテーブルに対して PUBLIC を指定した GRANT REFERENCES を実行しておくという方法もあります。

--REFERENCES特権を与えるときには、最低でもプライマリーキーとなっている列全てに対する特権を与える必要があります。また、プライマリーキー以外の列に対するREFERENCES特権を与えても、実際には何の影響もありません。

--他のユーザーが所有するテーブルに外部キー制約を定義する場合には、そのユーザーがそのテーブルに対して REFERENCES 特権を持っているかのチェックがなされます。

--特権の照合は、外部キーの値がプライマリーキーテーブルに含まれているかのチェックが行われるときにも同時に行われます。

--ロールに対しても、REFERENCES特権を与えることが出来ます。

-WITH GRANT CHECK オプションが指定されている場合、与えられた特権を他ユーザーに与える権利も同時に与えられます。

- すべてのユーザーに特権を与えたい場合には、ユーザー名のリストを与える代わりに PUBLIC を指定してください。この場合、すべてのユーザーに特権が与えられますが、データベースオブジェクトに対しては与えられません。

-ユーザーが持つ特権を削除するには、それを与えたユーザーが、REVOKE を使用して行う必要があります。ALL指定により与えた特権を削除するには ALL 指定による削除を、PUBLIC指定により与えた特権を削除するには PUBLIC 指定による削除を行います。

**用例 [#he30987e]
-isqlでの例です。WITH GRANT OPTION を指定して、SELECTとDELETEの特権をユーザー CHOICEに与えます。

GRANT SELECT, DELETE ON COUNTRY TO CHLOE WITH GRANT OPTION;

-埋め込みSQLでの例です。SELECTとUPDATEの特権を与えます。

EXEC SQL
   GRANT SELECT, UPDATE ON JOB TO PROCEDURE GET_EMP_PROJ;

-埋め込みSQLでの例です。プロシージャ(ADD_EMP_PROJ)とユーザー(LUIS)に対してプロシージャの EXECUTE 特権を与えます。

EXEC SQL
   GRANT EXECUTE ON PROCEDURE GET_EMP_PROJ
   TO PROCEDURE ADD_EMP_PROJ, LUIS;

-"administrator"というロールを作成し、そのロールに対してテーブル(table1)の UPDATE特権を与えます。続いて、user1,user2,user3をそのロールに割当てています。

CREATE ROLE administrator;
 GRANT UPDATE ON table1 TO administrator;
 GRANT administrator TO user1, user2, user3;

**参照 [#mc68551c]
[[REVOKE>#revoke]]

これ以上の情報が欲しい場合、Data Definition Guide の privileges を参照して下さい。

----
&aname(revoke);
*REVOKE [#u204c328]
指定されたデータベースオブジェクトに対してユーザーが持つ特権を取り消します。 SQL,DQL,isqlで使用できます。

**構文 [#rb1b6c03]

REVOKE [GRANT OPTION FOR] <privileges> ON [TABLE]
    {tablename | viewname}
        FROM {<object> | <userlist> | <rolelist> | GROUP UNIX_group}
    | EXECUTE ON PROCEDURE procname FROM {<object> | <userlist>}
    | <role_granted> FROM {PUBLIC | <role_grantee_list>};

<privileges> = { ALL [PRIVILEGES] | <privilege_list> }

<privilege_list> = {
    SELECT
    | DELETE
    | INSERT
    | UPDATE [(col [, col …])]
    | REFERENCES [(col [, col …])]
    [, <privilege_list> …]}

<userlist> = [USER] username [, [USER] username …]

<rolelist> = rolename [, rolename]

<role_granted> = rolename [, rolename …]

<role_grantee_list> = [USER] username [, [USER] username …]

※　DSQLで使用する場合、終端文字のセミコロンは不要です。 isql及びC/C++の埋め込みSQLでは行の終わりを示すために終端文字は必要です。

※　IB4.0以前のバージョンでは、ALLにREFERENCES特権は含まれません。 (訳注:Firebirdには関係ありません。)

-GRANT OPTION FOR を指定すると、他ユーザに対し、GRANT により権限を与えることができる権利を剥奪します。

-REVOKEに関して次の制限事項があります。
--特権を与えたユーザーのみが、その特権を取り消すことが出来ます。
--特権を与えるときは、複数のユーザーが、同じ特権を同一のデータベースオブジェクトに与えることが出来ます。このような場合、REVOKEによってあるユーザーが自分が与えた特権を取り消そうとしたときには、そのユーザーが以前に与えた特権の割当てのみが取り消されるだけです。
--PUBLIC指定で特権の取り消しを行った場合には、PUBLIC指定ですべてのユーザーに対して与えられた特権のみが取り消されます。
--あるユーザーがロールから除かれた場合、ロールのメンバーであることによって得られていた特権は、すべて無効になります。

**用例 [#zd053a2b]
すべて、isqlでのサンプルです。
SELECT特権を取り消します。
 
 REVOKE SELECT ON COUNTRY FROM MIREILLE;

プロシージャとユーザーに対して与えられていた、EXECUTE 特権を取り消します。

REVOKE EXECUTE ON PROCEDURE GET_EMP_PROJ
      FROM PROCEDURE ADD_EMP_PROJ, LUIS;

**参照 [#r3c7af4c]
[[GRANT>#grant]]

----
&aname(create_role);
*CREATE ROLE [#id015d39]
　ロールを作成します。

**構文 [#n05951a8]

CREATE ROLE rolename;

※　DSQLで使用する場合、終端文字のセミコロンは不要です。 isql及びC/C++の埋め込みSQLでは行の終わりを示すために終端文字は必要です。

|引数|説明|h
|rolename|ロールと関連付ける名前です。データベース内のロールの中で、一意でなければなりません。|

**詳細の説明 [#ydda2f45]

CREATE ROLE により、ロールを作成します。ロールに対しては、ユーザーと同様にして特権を与えることが出来ます。ロールには一人もしくは複数のユーザーを割当てることが出来ます。ロールに与えられた特権は、そこに割当てられたユーザーに対しても与えられます。
　ユーザーがロールを使用する場合は、接続時にロールの指定を同時に行わなければなりません。
　ロールに特権(ALL, SELECT, INSERT, UPDATE, DELETE, EXECUTE, REFERENCES)を与えるには、GRANT を使用してください。ロールにユーザーを割当てる場合も同様です。取り消しなどを行う場合には、REVOKE を使用してください。

**用例 [#f2bf577e]

"administrator"という名前のロールを作成します。

CREATE ROLE administrator;

**参照 [#udb2948d]

[[GRANT>#grant]] , [[REVOKE>#revoke]] , [[DROP ROLE>#drop_role]]

&aname(drop_role)
*DROP ROLE [#s55bfc27]

データベースからロールを削除します。 SQL,DSQL,isql で使用できます。

**構文 [#lcf33461]

DROP ROLE rolename;

※　DSQLで使用する場合、終端文字のセミコロンは不要です。 isql及びC/C++の埋め込みSQLでは行の終わりを示すために終端文字は必要です。

|引数|説明|h
|rolename|既存のロールの名前です。|

**詳細の説明 [#kcc41f96]

DROP ROLE により、以前に CREATE ROLE によって作成されたロールを削除します。削除を行った場合、ユーザーがそのロールに所属することによって得られていたすべての特権は取り消されます。

ロールの削除を行えるのは、作成者、SYSDBAユーザーおよび管理者権限を持つユーザーのみです。

**用例 [#v407f6d9]

isqlにより、データベースからロールを削除します。

DROP ROLE administrator;

**参照 [#ba64e154]
[[CREATE ROLE>#create_role]], [[GRANT>#grant]] , [[REVOKE>#revoke]]

タイムスタンプを変更しない

テキスト整形のルールを表示する

Edit of GRANT[TOC]