DENY データベース権限(Transact-SQL)

適用対象:SQL ServerAzure SQL DatabaseAzure SQL Managed InstanceAzure Synapse AnalyticsAnalytics Platform System (PDW)Microsoft Fabric の SQL 分析エンドポイントMicrosoft Fabric のウェアハウスMicrosoft Fabric の SQL データベース

SQL Server のデータベースに対する権限を拒否します。

Transact-SQL 構文表記規則

Syntax

DENY <permission> [ ,...n ]
    TO <database_principal> [ ,...n ] [ CASCADE ]
    [ AS <database_principal> ]

<permission> ::=
    permission | ALL [ PRIVILEGES ]

<database_principal> ::=
    Database_user
  | Database_role
  | Application_role
  | Database_user_mapped_to_Windows_User
  | Database_user_mapped_to_Windows_Group
  | Database_user_mapped_to_certificate
  | Database_user_mapped_to_asymmetric_key
  | Database_user_with_no_login

Arguments

permission: データベースで取り消すことができる権限を指定します。 権限の一覧については、後の「解説」を参照してください。

ALL: このオプションに設定しても、可能な権限がすべて拒否されるわけではありません。 ALLを拒否することは、 BACKUPDATABASE、 BACKUP LOG、 CREATE DATABASE、 CREATE DEFAULT、 CREATE FUNCTION、 CREATE PROCEDURE、 CREATE RULE、 CREATE TABLE、 CREATE VIEWの権限を拒否することと同等です。

PRIVILEGES: ISO 準拠のために用意されています。 ALL の動作は変更されません。

CASCADE: 指定したプリンシパルが権限を許可したプリンシパルに対しても、権限を拒否することを示します。

AS <database_principal> このクエリを実行するプリンシパルが権限を拒否する権利の派生元のプリンシパルを指定します。

Database_user: データベース ユーザーを指定します。

Database_role: データベース ロールを指定します。

Application_role適用対象: SQL Server 2008 (10.0.x) 以降、SQL Database。

アプリケーション ロールを指定します。

Database_user_mapped_to_Windows_User: Windows ユーザーにマップされているデータベース ユーザーを指定します。

Database_user_mapped_to_Windows_Group: Windows グループにマップされているデータベース ユーザーを指定します。

Database_user_mapped_to_certificate: 証明書にマップされているデータベース ユーザーを指定します。

Database_user_mapped_to_asymmetric_key: 非対称キーにマップされているデータベース ユーザーを指定します。

Database_user_with_no_login: 対応するサーバー レベルのプリンシパルがないデータベース ユーザーを指定します。

Remarks

データベースは、セキュリティ保護可能なリソースで、権限の階層で親となっているサーバーに含まれています。 次の表に、データベースで拒否できる権限のうち最も限定的なものを、それらを暗黙的に含む一般的な権限と共に示します。

Permissions

このステートメントを実行するプリンシパル (または AS オプションで指定したプリンシパル) には、データベースに対する CONTROL 権限、またはデータベースに対する CONTROL 権限を暗黙的に許可する上位レベルの権限が与えられている必要があります。

AS オプションを使用する場合、指定するプリンシパルはデータベースを所有している必要があります。

Examples

A. 証明書を作成する権限を拒否する

次の例では、CREATE CERTIFICATE データベースでの AdventureWorks2025 権限を、ユーザー MelanieK に対して拒否します。

USE AdventureWorks2022;
DENY CREATE CERTIFICATE TO MelanieK;
GO

B. アプリケーション ロールに対して REFERENCES 権限を拒否する

次の例では、REFERENCES データベースでの AdventureWorks2025 権限を、アプリケーション ロール AuditMonitor に対して拒否します。

適用対象: SQL Server 2008 (10.0.x) 以降、SQL Database。

USE AdventureWorks2022;
DENY REFERENCES TO AuditMonitor;
GO

C. カスケードによる VIEW 定義の否定

次の例では、VIEW DEFINITION データベースでの AdventureWorks2025 権限を、ユーザー CarmineEs と、CarmineEs が VIEW DEFINITION 権限を許可したすべてのプリンシパルに対して拒否します。

USE AdventureWorks2022;
DENY VIEW DEFINITION TO CarmineEs CASCADE;
GO

こちらもご覧ください

• sys.database_permissions
• sys.database_principals
• CREATE DATABASE
• GRANT
• Permissions
• Principals