GRANT・REVOKE（権限管理）とは？

GRANT・REVOKE（権限管理）の意味

SQLのデータ制御言語（DCL）で、利用者やロールに対する権限の付与がGRANT、剥奪がREVOKE。表・列・ビュー単位でSELECT／INSERT／UPDATE／DELETEなどを与えられ、WITH GRANT OPTIONを付けると受け取った側が他者へ再付与できる。最小権限の原則を実装する手段。

GRANT・REVOKE（権限管理）の具体例

分析担当には実表ではなく、氏名列を伏せたビューにだけSELECTを与える。アプリ用アカウントには対象表のDML権限のみを与え、DROPやALTERは付けない。ロールを作って権限をまとめ、人の異動時はロールの付替えだけで済ませると管理が破綻しない。

GRANT・REVOKE（権限管理）は試験でどう引っ掛けられる？

WITH GRANT OPTIONで再付与された権限は、大元をREVOKEすると連鎖的に失われる（カスケード剥奪）ため、思わぬ利用者が突然アクセスできなくなる。またビュー経由の権限は、ビューの所有者が実表の権限を持っていることが前提になる。

GRANT・REVOKE（権限管理）と関連する用語

• 埋め込みSQLとカーソル
• DDLとデータ型
• 参照制約と参照動作
• アクセス制御モデル（RBAC）
• データディクショナリ（システムカタログ）

GRANT・REVOKE（権限管理）が出た過去問

• RDBMSにおいて、特定の利用者だけに表を更新する権限を与える方法として、適切なものはどれか。

  正解：GRANT文で許可する。

  要点：表への権限付与はGRANT文、取消しはREVOKE文で行う

  SQLのデータ制御言語（DCL）であるGRANT文は、指定した利用者やロールに対して表への SELECT・INSERT・UPDATE・DELETE などの権限を個別に与える。特定の利用者だけに更新権限を与えるにはGRANT文でUPDATE権限をその利用者に付与すればよく、取り消すときはREVOKE文を使う。

  出典：令和1年度 春期 応用情報技術者試験 午前 問27（IPA）

• 表に対するSQLのGRANT文の説明として、適切なものはどれか。

  正解：表の利用者に対し、表への問合せ、更新、追加、削除などの操作権限を付与する。

  要点：GRANTは表への操作権限を利用者に付与するDCL

  GRANTは、表やビューなどのオブジェクトに対する操作権限（SELECT、UPDATE、INSERT、DELETEなど）を利用者やロールに与えるSQLのデータ制御文である。取り消すときはREVOKEを使う。接続の認証や暗号化とは別の機能である。

  出典：令和2年度 10月 応用情報技術者試験 午前 問26（IPA）