Créer des domaines de données

Les domaines et sous-domaines de données dans Knowledge Catalog (anciennement Dataplex Universal Catalog) vous permettent d'organiser les éléments et produits de données dans une hiérarchie logique qui reflète la structure de votre entreprise. Après avoir créé un domaine, vous pouvez accorder des rôles et des autorisations Identity and Access Management pour contrôler la façon dont les utilisateurs interagissent avec le domaine et ses ressources.

Avant de commencer

Avant de créer des domaines de données et d'attribuer des propriétaires de domaine, assurez-vous de disposer des rôles requis et d'avoir activé les API nécessaires.

  • La profondeur d'imbrication maximale pour les domaines et les sous-domaines est de cinq niveaux.
  • Vous pouvez créer jusqu'à 50 sous-domaines directs sous un même domaine de données.
  • Dans un projet, vous pouvez avoir jusqu'à 100 domaines par région.
  • Dans une organisation, vous pouvez avoir jusqu'à 1 000 domaines par région.

Activer les API

Activez l'API Dataplex si ce n'est pas déjà fait.

Rôles requis pour activer les API

Pour activer des API, vous devez disposer de l'autorisation serviceusage.services.enable. Si vous avez créé le projet, vous disposez probablement déjà de cette autorisation via le rôle Propriétaire (roles/owner). Sinon, vous pouvez l'obtenir via le rôle Administrateur Service Usage (roles/serviceusage.serviceUsageAdmin). Découvrez comment attribuer des rôles.

Activer l'API

Rôles requis

Pour obtenir les autorisations nécessaires pour créer des domaines de données et attribuer des propriétaires de domaine, demandez à votre administrateur de vous accorder les rôles IAM suivants sur le projet :

Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.

Créer un domaine de données

Créez un domaine de données à l'aide de la console Google Cloud ou de l'API REST pour servir de regroupement logique pour les éléments et produits de données d'un projet et d'un emplacement.

Console

  1. Dans la console Google Cloud , accédez à la page Domaines de données.

    Accéder à "Domaines de données"

  2. Cliquez sur Créer un domaine de données, puis renseignez les informations suivantes :

    • Dans le champ Nom à afficher, indiquez un nom convivial pour le domaine. Exemple :Finance
    • Dans le champ ID du domaine de données, indiquez un identifiant unique pour le domaine. Vous ne pouvez pas modifier cette valeur une fois que le système a créé le domaine.
    • Dans le champ Emplacement, sélectionnez la région dans laquelle vous souhaitez créer le domaine de données.
    • Dans le champ ID du projet, sélectionnez le projet dans lequel vous souhaitez créer le domaine de données.
    • Facultatif : dans le champ Description, fournissez une brève description du domaine.
    • Dans le champ Propriétaires, ajoutez un ou plusieurs propriétaires du domaine. Vous pouvez saisir plusieurs adresses e-mail simultanément.

  3. Facultatif : Dans le champ Étiquettes, saisissez des étiquettes pour regrouper des objets associés ou les combiner à d'autres ressources Google Cloud .

  4. Cliquez sur Créer. L'accès au domaine de données ou la recherche de celui-ci peut prendre quelques minutes.

REST

Pour créer un domaine de données, utilisez la méthode projects.locations.dataDomains.create.

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

  • PROJECT_ID : ID de votre projet Google Cloud .
  • LOCATION_ID : région dans laquelle vous souhaitez créer le domaine de données. Exemple :us-central1
  • DATA_DOMAIN_ID : identifiant unique de votre domaine de données.

Méthode HTTP et URL : 

POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains?data_domain_id=DATA_DOMAIN_ID

Corps JSON de la requête :

{
  "display_name": "Finance Domain",
  "description": "Domain for finance datasets and reports.",
  "contacts": {
    "identities": [
      {
        "contact_name": "Alice Wonderland",
        "contact_role": "owner",
        "contact_id": "alice@example.com"
      }
    ]
  }
}

Pour envoyer votre requête, développez l'une des options suivantes :

Vous devriez recevoir un code d'état indiquant le succès de l'opération (2xx), ainsi qu'une réponse vide.

Créer un sous-domaine de données

Créez un sous-domaine à l'aide de la console Google Cloud ou de l'API REST pour étendre la hiérarchie du domaine de données.

Console

  1. Dans la console Google Cloud , accédez à la page Domaines de données.

    Accéder à "Domaines de données"

  2. Sélectionnez le domaine pour lequel vous souhaitez créer un sous-domaine.

  3. Cliquez sur Créer un sous-domaine de données, puis fournissez les informations suivantes :

    • Dans le champ Nom à afficher, indiquez un nom convivial pour le domaine. Exemple :Finance
    • Dans le champ ID du domaine de données, indiquez un identifiant unique pour le domaine. Vous ne pouvez pas modifier cette valeur une fois que le système a créé le domaine.
    • Facultatif : dans le champ Description, fournissez une brève description du domaine.
    • Dans le champ Propriétaires, ajoutez l'adresse e-mail du propriétaire du domaine. Vous pouvez saisir plusieurs adresses e-mail simultanément.

  4. Facultatif : Dans le champ Étiquettes, saisissez des étiquettes pour regrouper des objets associés ou les combiner à d'autres ressources Google Cloud .

  5. Cliquez sur Créer. Il peut s'écouler quelques minutes avant que vous ne puissiez accéder au sous-domaine de données ou le rechercher.

REST

Pour créer un sous-domaine de données, utilisez la méthode projects.locations.dataDomains.create et spécifiez parent_data_domain dans le corps de la requête.

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

  • PROJECT_ID : ID de votre projet Google Cloud .
  • LOCATION_ID : région où se trouve le domaine de données parent. Exemple :us-central1
  • SUBDOMAIN_ID : identifiant unique de votre sous-domaine de données.
  • PARENT_DATA_DOMAIN_ID : identifiant unique du domaine de données parent sous lequel ce sous-domaine est créé.

Méthode HTTP et URL : 

POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains?data_domain_id=SUBDOMAIN_ID

Corps JSON de la requête :

{
  "display_name": "Finance Subdomain",
  "description": "A subdomain within the Finance domain.",
  "contacts": {
    "identities": [
      {
        "contact_name": "Alice Wonderland",
        "contact_role": "owner",
        "contact_id": "alice@example.com"
      }
    ]
  },
  "parent_data_domain": "projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/PARENT_DATA_DOMAIN_ID"
}

Pour envoyer votre requête, développez l'une des options suivantes :

Vous devriez recevoir un code d'état indiquant le succès de l'opération (2xx), ainsi qu'une réponse vide.

Rôles et autorisations pour les domaines de données

Le tableau suivant liste les rôles IAM prédéfinis que vous pouvez attribuer aux propriétaires et aux utilisateurs de domaines de données.

Nom du rôle Rôle IAM Description
Administrateur de domaine de données Dataplex roles/dataplex.dataDomainAdmin Permet de créer et de gérer des domaines et sous-domaines de données, ainsi que leurs liaisons. Le rôle d'administrateur vous permet également de gérer tous les rôles et autorisations IAM pour les domaines.
Lecteur de configuration de domaine de données Dataplex roles/dataplex.dataDomainViewer Permet d'afficher la configuration du domaine de données et des liaisons ressource-domaine.
Éditeur de configuration de domaine de données Dataplex roles/dataplex.dataDomainEditor Permet de modifier des domaines existants, ainsi que de créer et de gérer les liaisons ressource-domaine. Le rôle Éditeur vous permet également de gérer les autorisations de métadonnées qui permettent aux utilisateurs de découvrir les ressources du domaine.
Lecteur d'entrées de domaine de données Dataplex roles/dataplex.dataDomainEntryReader Permet de découvrir et de consulter le domaine de données, ses sous-domaines et les métadonnées de toutes ses ressources incluses.

Lorsque vous attribuez les rôles aux propriétaires de domaine ou aux utilisateurs, tenez compte des points suivants :

  • Les rôles de domaine de données Identity and Access Management se propagent des domaines parents aux sous-domaines, mais pas directement aux ressources incluses. Cela signifie que si vous accordez roles/dataplex.dataDomainEntryReader à l'utilisateur du domaine qui inclut un ensemble de données BigQuery, l'utilisateur ne verra pas le rôle parmi les rôles Identity and Access Management de l'ensemble de données.

  • Le rôle roles/dataplex.dataDomainEntryReader attribué à un domaine vous permet d'effectuer les actions suivantes :

    • Vous pouvez découvrir des ressources, leurs détails et leurs métadonnées, mais lorsque vous affichez la ressource dans le domaine, Pour en savoir plus, consultez Limites des domaines de données.
    • Vous pouvez utiliser des méthodes d'API telles que lookupEntry sur la ressource située dans le domaine.

Accorder l'accès à un domaine de données

Pour accorder des rôles et des autorisations IAM aux utilisateurs qui interagissent avec un domaine de données et ses ressources, procédez comme suit :

Console

  1. Dans la console Google Cloud , accédez à la page Domaines de données.

    Accéder à "Domaines de données"

  2. Cliquez sur le nom de domaine pour accéder à la page d'informations sur le domaine.

  3. Dans la barre supérieure, cliquez sur Autorisations.

  4. Cliquez sur Ajouter un compte principal.

  5. Dans le champ Nouveaux comptes principaux, saisissez l'adresse e-mail du compte principal.

  6. Dans le champ Sélectionner un rôle, choisissez le rôle du domaine de données. Par exemple, utilisez Dataplex Data Domain Entry Reader pour permettre à l'utilisateur de découvrir et d'afficher le domaine de données, ses sous-domaines et les métadonnées des ressources incluses. Si vous souhaitez attribuer d'autres rôles, cliquez sur Ajouter un autre rôle.

  7. Cliquez sur Enregistrer.

REST

Pour définir la stratégie IAM sur un domaine de données, utilisez la méthode projects.locations.dataDomains.setIamPolicy.

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

  • PROJECT_ID : ID de votre projet Google Cloud .
  • LOCATION_ID : région où se trouve le domaine de données. Exemple :us-central1
  • DOMAIN_ID : identifiant unique du domaine de données.
  • ROLE : rôle que vous souhaitez attribuer à l'utilisateur de domaine.

Méthode HTTP et URL : 

POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:setIamPolicy

Corps JSON de la requête :

{
  "policy": {
    "bindings": [
      {
        "role": "ROLE",
        "members": [
          "user:example-user@google.com",
          "group:finance-consumers@google.com"
        ]
      }
    ]
  }
}

Pour envoyer votre requête, développez l'une des options suivantes :

Vous devriez recevoir un code d'état indiquant le succès de l'opération (2xx), ainsi qu'une réponse vide.

Révoquer l'accès à un domaine de données

Pour supprimer un rôle ou une autorisation d'un compte principal, procédez comme suit :

Console

  1. Dans la console Google Cloud , accédez à la page Domaines de données.

    Accéder à "Domaines de données"

  2. Cliquez sur le nom de domaine pour accéder à la page d'informations sur le domaine.

  3. Dans la barre supérieure, cliquez sur Autorisations.

  4. Dans le volet Autorisations, recherchez le compte principal pour lequel vous souhaitez révoquer le rôle.

  5. Cliquez sur l'icône Supprimer à côté du rôle que vous souhaitez supprimer.

  6. Cliquez sur Enregistrer.

REST

Pour révoquer l'accès à un domaine de données à l'aide de l'API REST, récupérez la stratégie existante à l'aide de la méthode projects.locations.dataDomains.getIamPolicy, supprimez le rôle ou le compte principal de la liste bindings, puis définissez la stratégie mise à jour à l'aide de la méthode projects.locations.dataDomains.setIamPolicy :

  1. Obtenez la stratégie IAM actuelle :

    Avant d'utiliser les données de requête, effectuez les remplacements suivants :

    • PROJECT_ID : ID de votre projet Google Cloud .
    • LOCATION_ID : région où se trouve le domaine de données. Exemple :us-central1
    • DOMAIN_ID : identifiant unique du domaine de données.

    Méthode HTTP et URL : 

    POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:getIamPolicy

    Pour envoyer votre requête, développez l'une des options suivantes :

    Vous devriez recevoir un code d'état indiquant le succès de l'opération (2xx), ainsi qu'une réponse vide.

  2. Définissez la stratégie mise à jour :

    Avant d'utiliser les données de requête, effectuez les remplacements suivants :

    • PROJECT_ID : ID de votre projet Google Cloud .
    • LOCATION_ID : région où se trouve le domaine de données. Exemple :us-central1
    • DOMAIN_ID : identifiant unique du domaine de données.
    • ROLE : rôle que vous souhaitez attribuer à l'utilisateur de domaine.

    Méthode HTTP et URL : 

    POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:setIamPolicy

    Corps JSON de la requête :

    {
  "policy": {
    "bindings": [
      {
        "role": "ROLE",
        "members": [
          "user:example-user@google.com",
          "group:finance-consumers@google.com"
        ]
      }
    ]
  }
}

    Pour envoyer votre requête, développez l'une des options suivantes :

    Vous devriez recevoir un code d'état indiquant le succès de l'opération (2xx), ainsi qu'une réponse vide.

Étapes suivantes