権限管理

DBの権限管理はオブジェクト（テーブル・ビュー・プロシージャ）に対して「誰が何をできるか」を制御する。SQLでは GRANT で付与、REVOKE で剥奪する。

-- 権限の付与
GRANT  SELECT, INSERT ON 受注 TO  app_user;
GRANT  ALL PRIVILEGES  ON 受注 TO  admin_user;

-- WITH GRANT OPTION：受け取ったユーザーが他者に付与可能になる
GRANT  SELECT ON 顧客 TO manager WITH GRANT OPTION;

-- 権限の剥奪
REVOKE SELECT ON 受注 FROM app_user;

-- CASCADE：付与先がさらに他者に渡した権限も連鎖して剥奪
REVOKE SELECT ON 顧客 FROM manager CASCADE;

ロールはユーザーに権限をまとめて付与する「権限セットの名前」。個別ユーザーへの直接付与より管理が効率的。

-- ロールの作成と権限付与
CREATE ROLE report_viewer;
GRANT SELECT ON 売上集計 TO report_viewer;
GRANT SELECT ON 顧客     TO report_viewer;

-- ユーザーへのロール付与
GRANT report_viewer TO user_alice;
GRANT report_viewer TO user_bob;

-- ロールの剥奪（権限は自動的に失う）
REVOKE report_viewer FROM user_alice;

-- 特定列を隠すビューで機密情報を保護
CREATE VIEW 顧客公開 AS
  SELECT 顧客ID, 顧客名, 都道府県   -- 電話・クレカ列を除外
  FROM   顧客;

GRANT SELECT ON 顧客公開 TO general_staff;
-- 元の「顧客」テーブルへのSELECT権限は付与しない

-- 行レベルのフィルタリング（担当部署のデータのみ）
CREATE VIEW 自部署受注 AS
  SELECT * FROM 受注
  WHERE  部署ID = CURRENT_USER_DEPT();  -- 関数でログインユーザーの部署を取得

• GRANT 権限 ON オブジェクト TO ユーザー の構文を暗記
• WITH GRANT OPTION ＝ 受け取ったユーザーが他者に再付与できる
• REVOKE CASCADE ＝ 連鎖剥奪（再付与された権限も取り消す）
• ロール ＝ 権限セット。担当者変更時はロールの再付与だけでよい
• ビューで列・行を絞ることで機密データを隠す
• 最小権限の原則：必要な権限のみを必要なユーザーにのみ付与