GRANT・REVOKE（権限管理）とは？

GRANT・REVOKE（権限管理）の意味

SQLのデータ制御言語（DCL）で、利用者やロールに対する権限の付与がGRANT、剥奪がREVOKE。表・列・ビュー単位でSELECT／INSERT／UPDATE／DELETEなどを与えられ、WITH GRANT OPTIONを付けると受け取った側が他者へ再付与できる。最小権限の原則を実装する手段。

GRANT・REVOKE（権限管理）の具体例

分析担当には実表ではなく、氏名列を伏せたビューにだけSELECTを与える。アプリ用アカウントには対象表のDML権限のみを与え、DROPやALTERは付けない。ロールを作って権限をまとめ、人の異動時はロールの付替えだけで済ませると管理が破綻しない。

GRANT・REVOKE（権限管理）は試験でどう引っ掛けられる？

WITH GRANT OPTIONで再付与された権限は、大元をREVOKEすると連鎖的に失われる（カスケード剥奪）ため、思わぬ利用者が突然アクセスできなくなる。またビュー経由の権限は、ビューの所有者が実表の権限を持っていることが前提になる。

GRANT・REVOKE（権限管理）と関連する用語

• 埋め込みSQLとカーソル
• データディクショナリ（システムカタログ）

GRANT・REVOKE（権限管理）が出た過去問

• 次のSQL文をA表の所有者が発行した場合を説明したものはどれか。 GRANT ALL PRIVILEGES ON A TO B WITH GRANT OPTIO…

  正解：利用者Bに対して，A表に関するSELECT権限，UPDATE権限，INSERT権限，DELETE権限などの全ての権限，及びそれらの付与権を付与する。

  要点：ALL PRIVILEGESと付与権をまとめて与えるSQL

  ALL PRIVILEGESはその表に対する全ての権限をまとめて与える指定で、WITH GRANT OPTIONを付けると、受け取った利用者が同じ権限を他者へ再付与できるようになります。したがって全権限とその付与権の両方が与えられます。

  出典：平成29年度 春期 情報処理安全確保支援士試験 am2 問21（IPA）

• 次のSQL文の実行結果の説明に関する記述のうち,適切なものはどれか。 CREATE VIEW 東京取引先 AS SELECT * FROM 取引先 WHERE …

  正解：利用者“8823”は,実表“取引先”の所在地が‘東京’の行を参照できるようになる。

  要点：ビューへの権限付与で参照範囲を限定できる

  ビューは実表から条件で絞り込んだ仮想的な表で、そのビューに参照権限を与えれば、利用者は実表のうち条件に合う行だけを参照できます。実表全体の権限を与えずに公開範囲を限定できる点が、ビューを使ったアクセス制御の利点です。

  出典：平成30年度 秋期 情報処理安全確保支援士試験 am2 問21（IPA）

• 次のSQL文をA表の所有者が発行したときの,利用者BへのA表に関する権限の付与を説明したものはどれか。 GRANT ALL PRIVILEGES ON A TO…

  正解：SELECT権限,UPDATE権限,INSERT権限,DELETE権限などの全ての権限,及びそれらの付与権を付与する。

  要点：WITH GRANT OPTIONは受け取った権限を他者へ再付与する権限も与える

  ALL PRIVILEGESはSELECT・UPDATE・INSERT・DELETEなど表に対する全ての権限をまとめて付与する指定で、WITH GRANT OPTIONを付けると、受け取った利用者がその権限をさらに第三者へ付与する権限(付与権)も併せて得る。よってアが正しい。

  出典：令和5年度 春期 情報処理安全確保支援士試験 am2 問21（IPA）