2026 年 4 月 10 日より、Dataplex Universal Catalog は Knowledge Catalog と呼ばれるようになりました。API、クライアントライブラリ、CLI、IAM の名前は変更されません。詳細については、Google Cloud Knowledge Catalog の概要をご覧ください。

Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

データドメインを作成する

Knowledge Catalog（旧称 Dataplex Universal Catalog）のデータドメインとサブドメインを使用すると、データアセットとプロダクトをビジネス構造を反映した論理階層に整理できます。ドメインを作成したら、Identity and Access Management のロールと権限を付与して、ユーザーがドメインとそのリソースを操作する方法を制御できます。

始める前に

データドメインを作成してドメインオーナーを割り当てる前に、必要なロールと API が有効になっていることを確認してください。

ドメインとサブドメインのネストの最大深度は 5 レベルです。
1 つのデータドメインに最大 50 個の直接サブドメインを作成できます。
プロジェクト内では、リージョンごとに最大 1,000 個のドメインを使用できます。

API を有効にする

Dataplex API が有効になっていない場合は、有効にします。

API を有効にするために必要なロール

API を有効にするには、serviceusage.services.enable 権限が必要です。プロジェクトを作成した場合は、オーナーロール（roles/owner）を介してこの権限がすでに付与されている可能性があります。それ以外の場合は、Service Usage 管理者ロール（roles/serviceusage.serviceUsageAdmin）を介してこの権限を取得できます。ロールを付与する方法を確認する。

API の有効化

必要なロール

データドメインの作成とドメインオーナーの割り当てに必要な権限を取得するには、プロジェクトに対する次の IAM ロールを付与するよう管理者に依頼してください。

データドメイン、そのバインディング、IAM ポリシーの完全な管理を許可します。Dataplex データドメイン管理者（roles/dataplex.dataDomainAdmin）

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

データドメインを作成する

Google Cloud コンソールまたは REST API を使用してデータドメインを作成し、プロジェクトとロケーション内のデータアセットとプロダクトの論理グループとして機能させます。

コンソール

Google Cloud コンソールで、[データドメイン] ページに移動します。

[データドメイン] に移動
[Create Data Domain] をクリックし、次の情報を指定します。
- [表示名] フィールドに、ドメインのわかりやすい名前を入力します。例: Finance
- [データドメイン ID] フィールドに、ドメインの一意の ID を入力します。システムがドメインを作成した後にこの値を変更することはできません。
- [ロケーション] フィールドで、データドメインを作成するリージョンを選択します。
- [プロジェクト ID] フィールドで、データドメインを作成するプロジェクトを選択します。
- 省略可: [説明] フィールドに、ドメインの簡単な説明を入力します。
- [所有者] フィールドに、ドメインの所有者を追加します。複数のメールアドレスを同時に入力できます。
省略可: [ラベル] フィールドに、関連するオブジェクトをまとめてグループ化したり、他の Google Cloud リソースと組み合わせてグループ化したりするためのラベルを入力します。
[作成] をクリックします。データドメインにアクセスしたり、データドメインを検索したりできるようになるまでに数分かかることがあります。

REST

データドメインを作成するには、projects.locations.dataDomains.create メソッドを使用します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: 実際の Google Cloud プロジェクト ID。
LOCATION_ID: データドメインを作成するリージョン。例: us-central1
DATA_DOMAIN_ID: データドメインの固有識別子。

HTTP メソッドと URL:

POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains?data_domain_id=DATA_DOMAIN_ID

リクエストの本文（JSON）:

{
  "display_name": "Finance Domain",
  "description": "Domain for finance datasets and reports.",
  "contacts": {
    "identities": [
      {
        "contact_name": "Alice Wonderland",
        "contact_role": "owner",
        "contact_id": "alice@example.com"
      }
    ]
  }
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains?data_domain_id=DATA_DOMAIN_ID"

PowerShell（Windows）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ご自分のユーザーアカウントで gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains?data_domain_id=DATA_DOMAIN_ID" | Select-Object -Expand Content

成功したことを示すステータスコード（2xx）と空のレスポンスが返されます。

データサブドメインを作成する

Google Cloud コンソールまたは REST API を使用してサブドメインを作成し、データドメイン階層を拡張します。

コンソール

Google Cloud コンソールで、[データドメイン] ページに移動します。

[データドメイン] に移動
サブドメインを作成するドメインを選択します。
[データサブドメインを作成] をクリックし、次の情報を入力します。
- [表示名] フィールドに、ドメインのわかりやすい名前を入力します。例: Finance
- [データドメイン ID] フィールドに、ドメインの一意の ID を入力します。システムがドメインを作成した後にこの値を変更することはできません。
- 省略可: [説明] フィールドに、ドメインの簡単な説明を入力します。
- [所有者] フィールドに、ドメインの所有者のメールアドレスを追加します。複数のメールアドレスを同時に入力できます。
省略可: [ラベル] フィールドに、関連するオブジェクトをまとめてグループ化したり、他の Google Cloud リソースと組み合わせてグループ化したりするためのラベルを入力します。
[作成] をクリックします。データサブドメインにアクセスまたは検索できるようになるまでに数分かかることがあります。

REST

データサブドメインを作成するには、projects.locations.dataDomains.create メソッドを使用し、リクエスト本文で parent_data_domain を指定します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: 実際の Google Cloud プロジェクト ID。
LOCATION_ID: 親データドメインが存在するリージョン。例: us-central1
SUBDOMAIN_ID: データサブドメインの固有識別子。
PARENT_DATA_DOMAIN_ID: このサブドメインが作成される親データドメインの一意の ID。

HTTP メソッドと URL:

POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains?data_domain_id=SUBDOMAIN_ID

リクエストの本文（JSON）:

{
  "display_name": "Finance Subdomain",
  "description": "A subdomain within the Finance domain.",
  "contacts": {
    "identities": [
      {
        "contact_name": "Alice Wonderland",
        "contact_role": "owner",
        "contact_id": "alice@example.com"
      }
    ]
  },
  "parent_data_domain": "projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/PARENT_DATA_DOMAIN_ID"
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains?data_domain_id=SUBDOMAIN_ID"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains?data_domain_id=SUBDOMAIN_ID" | Select-Object -Expand Content

成功したことを示すステータスコード（2xx）と空のレスポンスが返されます。

データドメインのロールと権限

次の表に、データドメインのオーナーとユーザーに付与できる IAM 事前定義ロールを示します。

ロール名	IAM ロール	説明
Dataplex データドメイン管理者	`roles/dataplex.dataDomainAdmin`	データドメインとサブドメイン、およびそれらのバインディングを作成、管理できます。管理者ロールでは、ドメインのすべての IAM ロールと権限を管理することもできます。
Dataplex データドメイン構成の閲覧者	`roles/dataplex.dataDomainViewer`	データドメインとリソースドメインのバインディングの構成を表示できます。
Dataplex データドメイン構成の編集者	`roles/dataplex.dataDomainEditor`	既存のドメインを編集したり、リソースとドメインのバインディングを作成して管理したりできます。編集者のロールでは、ユーザーによるドメインリソースの検出を許可するメタデータ認可を管理することもできます。
Dataplex データドメインエントリリーダー	`roles/dataplex.dataDomainEntryReader`	データドメイン、そのサブドメイン、および含まれるすべてのリソースのメタデータを検出して表示できます。

ドメイン所有者またはユーザーにロールを付与する場合は、次の点を考慮してください。

Identity and Access Management のデータドメインロールは、親ドメインからサブドメインに伝播されますが、含まれるリソースに直接伝播されることはありません。つまり、BigQuery データセットを含むドメインのユーザーに roles/dataplex.dataDomainEntryReader を付与しても、ユーザーにはデータセットの Identity and Access Management ロールにこのロールが表示されません。
ドメインに付与された roles/dataplex.dataDomainEntryReader ロールを使用すると、次の操作を行うことができます。
- リソース、その詳細、メタデータを検出できますが、ドメイン内でリソースを表示する場合。詳細については、データドメインの制限事項をご覧ください。
- ドメインにあるリソースで lookupEntry などの API メソッドを使用できます。

データドメインへのアクセス権を付与する

データドメインとそのリソースを操作するユーザーに IAM ロールと権限を付与する手順は次のとおりです。

コンソール

Google Cloud コンソールで、[データドメイン] ページに移動します。

[データドメイン] に移動
ドメイン名をクリックして、ドメインの詳細ページに移動します。
上部のバーで [権限] をクリックします。
[プリンシパルを追加] をクリックします。
[新しいプリンシパル] フィールドに、プリンシパルのメールアドレスを入力します。
[ロールを選択] フィールドで、データドメインのロールを選択します。たとえば、Dataplex Data Domain Entry Reader を使用すると、ユーザーはデータドメイン、そのサブドメイン、含まれるリソースのメタデータを検出して表示できます。さらにロールを付与する場合は、[別のロールを追加] をクリックします。
[保存] をクリックします。

REST

データドメインに IAM ポリシーを設定するには、projects.locations.dataDomains.setIamPolicy メソッドを使用します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: 実際の Google Cloud プロジェクト ID。
LOCATION_ID: データドメインが存在するリージョン。例: us-central1
DOMAIN_ID: データドメインの固有識別子。
ROLE: ドメインユーザーに付与するロール。

HTTP メソッドと URL:

POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:setIamPolicy

リクエストの本文（JSON）:

{
  "policy": {
    "bindings": [
      {
        "role": "ROLE",
        "members": [
          "user:example-user@google.com",
          "group:finance-consumers@google.com"
        ]
      }
    ]
  }
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:setIamPolicy"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:setIamPolicy" | Select-Object -Expand Content

成功したことを示すステータスコード（2xx）と空のレスポンスが返されます。

データドメインへのアクセス権を取り消す

プリンシパルからロールまたは権限を削除する手順は次のとおりです。

コンソール

Google Cloud コンソールで、[データドメイン] ページに移動します。

[データドメイン] に移動
ドメイン名をクリックして、ドメインの詳細ページに移動します。
上部のバーで [権限] をクリックします。
[権限] ペインで、ロールを取り消すプリンシパルを見つけます。
削除するロールの横にある [削除] アイコンをクリックします。
[保存] をクリックします。

REST

REST API を使用してデータドメインへのアクセス権を取り消すには、projects.locations.dataDomains.getIamPolicy メソッドを使用して既存のポリシーを取得し、bindings リストからロールまたはプリンシパルを削除して、projects.locations.dataDomains.setIamPolicy メソッドを使用して更新されたポリシーを設定します。

現在の IAM ポリシーを取得します。

リクエストのデータを使用する前に、次のように置き換えます。
- PROJECT_ID: 実際の Google Cloud プロジェクト ID。
- LOCATION_ID: データドメインが存在するリージョン。例: us-central1
- DOMAIN_ID: データドメインの固有識別子。
HTTP メソッドと URL:
```
POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:getIamPolicy
```
リクエストを送信するには、次のいずれかのオプションを展開します。
curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。
```
curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d "" \
     "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:getIamPolicy"
```
PowerShell（Windows）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ご自分のユーザーアカウントで gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。
```
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -Uri "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:getIamPolicy" | Select-Object -Expand Content
```
成功したことを示すステータスコード（2xx）と空のレスポンスが返されます。
更新されたポリシーを設定します。

リクエストのデータを使用する前に、次のように置き換えます。
- PROJECT_ID: 実際の Google Cloud プロジェクト ID。
- LOCATION_ID: データドメインが存在するリージョン。例: us-central1
- DOMAIN_ID: データドメインの固有識別子。
- ROLE: ドメインユーザーに付与するロール。
HTTP メソッドと URL:
```
POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:setIamPolicy
```
リクエストの本文（JSON）:
```
{
  "policy": {
    "bindings": [
      {
        "role": "ROLE",
        "members": [
          "user:example-user@google.com",
          "group:finance-consumers@google.com"
        ]
      }
    ]
  }
}
```
リクエストを送信するには、次のいずれかのオプションを展開します。
curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。
```
curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:setIamPolicy"
```
PowerShell（Windows）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ご自分のユーザーアカウントで gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。
```
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:setIamPolicy" | Select-Object -Expand Content
```
成功したことを示すステータスコード（2xx）と空のレスポンスが返されます。

次のステップ

データドメインの詳細を確認する。
リソースのバインディングとインクルージョンの詳細を確認する。
データドメインを管理する方法を確認する。
データドメインを使用する方法を確認する。

データ ドメインを作成する コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

始める前に

API を有効にする

必要なロール

データドメインを作成する

コンソール

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

データ サブドメインを作成する

コンソール

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

データドメインのロールと権限

データドメインへのアクセス権を付与する

コンソール

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

データドメインへのアクセス権を取り消す

コンソール

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

次のステップ

データドメインを作成する

データサブドメインを作成する