-- ===================================================================================================================
-- Collector: PrivilegeCollector ("privileges")
-- ===================================================================================================================
-- Hvad:        Medlemmer af de faste serverroller og indehavere af CONTROL SERVER, SQL-logins' password-politik og -
--              med ALTER TRACE - hvem der ændrede rettighederne (default trace).
-- Fil:         src/SQLInsight.Collectors/Instance/PrivilegeCollector.cs
-- Interval:    15 min som standard (SQLInsight:CollectorIntervals:privileges)
-- Versioner:   SQL Server 2005 og nyere
--
-- Rettigheder til agentens login (se db/permissions/grant-least-privilege.sql; [agent] = agentens login):
--   GRANT VIEW ANY DEFINITION TO [agent];              -- metadata; giver IKKE adgang til data
--   Valgfrit: GRANT ALTER TRACE TO [agent];  -- default trace (udkommenteret i grant-least-privilege.sql; uden den bruges næste kilde)
--
-- Bruges af:   SQLI-SEC-001, SQLI-SEC-002
-- Read-only:   Ja: kun SELECT samt sys.fn_trace_gettable (læser default trace), SET-sessionsindstillinger. Intet
--              ændrer data, indstillinger eller objekter.
-- Kørsel:     Kør i SSMS som agentens login. Hver variant er sin egen batch (GO); en variant for en anden SQL Server-version
--             end din kan fejle - det er forventet. Agenten kører altid med sessionsindstillingerne i _collectors/InstanceProbe.sql.
-- ===================================================================================================================

-- Variant: SQL Server 2005 og nyere
-- Kilde: PrivilegeCollector.MembersSql
-- Kode:  src/SQLInsight.Collectors/Instance/PrivilegeCollector.cs : PrivilegeCollector.MembersSql
SELECT p.name, p.type, r.name, p.is_disabled
FROM sys.server_role_members m
JOIN sys.server_principals r ON r.principal_id = m.role_principal_id
JOIN sys.server_principals p ON p.principal_id = m.member_principal_id
WHERE r.name IN (N'sysadmin', N'securityadmin', N'serveradmin', N'setupadmin', N'processadmin', N'diskadmin', N'dbcreator', N'bulkadmin')
UNION ALL
SELECT p.name, p.type, N'CONTROL SERVER', p.is_disabled
FROM sys.server_permissions sp
JOIN sys.server_principals p ON p.principal_id = sp.grantee_principal_id
WHERE sp.permission_name = N'CONTROL SERVER' AND sp.state IN ('G', 'W')
GO

-- Variant: SQL Server 2005 og nyere
-- Kilde: PrivilegeCollector.SqlLoginsSql
-- Kode:  src/SQLInsight.Collectors/Instance/PrivilegeCollector.cs : PrivilegeCollector.SqlLoginsSql
SELECT name, is_disabled, is_policy_checked, is_expiration_checked, CASE WHEN principal_id = 1 THEN 1 ELSE 0 END
FROM sys.sql_logins WHERE name NOT LIKE N'##%'
GO

-- Variant: SQL Server 2005 og nyere
-- Kilde: PrivilegeCollector.DefaultTraceEnabledSql
-- Kode:  src/SQLInsight.Collectors/Instance/PrivilegeCollector.cs : PrivilegeCollector.DefaultTraceEnabledSql
SELECT CAST(value_in_use AS int) FROM sys.configurations WHERE name = N'default trace enabled'
GO

-- Variant: SQL Server 2005 og nyere, kun når der er fundet ændringer (kræver ALTER TRACE)
-- Kilde: PrivilegeCollector.DefaultTracePathSql
-- Kode:  src/SQLInsight.Collectors/Instance/PrivilegeCollector.cs : PrivilegeCollector.DefaultTracePathSql
SELECT path, DATEDIFF(minute, GETUTCDATE(), GETDATE()) FROM sys.traces WHERE is_default = 1
GO

-- Variant: SQL Server 2005 og nyere, kun når der er fundet ændringer (kræver ALTER TRACE)
-- Kilde: PrivilegeCollector.BuildTraceSql
-- Kode:  src/SQLInsight.Collectors/Instance/PrivilegeCollector.cs : PrivilegeCollector.BuildTraceSql(traceFileBase, sinceLocal)
-- Agenten indsætter default trace-filens sti (mappen + log.trc, så alle rollover-filer læses) og serverens lokale tid
-- for en time før forrige måling som literaler. Her er de variabler, så scriptet kan køres i SSMS.
DECLARE @fil nvarchar(260);
DECLARE @siden nvarchar(19);
SELECT @fil = LEFT(path, LEN(path) - CHARINDEX(N'\', REVERSE(path)) + 1) + N'log.trc' FROM sys.traces WHERE is_default = 1;
SET @siden = CONVERT(nvarchar(19), DATEADD(hour, -1, GETDATE()), 126);
SELECT StartTime, EventClass, EventSubClass, LoginName, TargetLoginName, RoleName
FROM sys.fn_trace_gettable(@fil, DEFAULT)
WHERE EventClass IN (104, 105, 108) AND StartTime >= @siden
GO