2026 年 4 月 10 日より、Dataplex Universal Catalog は Knowledge Catalog と呼ばれるようになりました。API、クライアントライブラリ、CLI、IAM の名前は変更されません。詳細については、Google Cloud Knowledge Catalog の概要をご覧ください。

Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

データドメインを作成する

このドキュメントでは、Google Cloud コンソールと REST API を使用してデータドメインとサブドメインを作成する方法と、ドメインとそのリソースを操作するユーザーに Identity and Access Management のロールと権限を付与する方法について説明します。

始める前に

データドメインを作成してドメインオーナーを割り当てる前に、必要なロールと API が有効になっていることを確認してください。

ドメインとサブドメインのネストの最大深度は 5 レベルです。
1 つのデータドメインに最大 50 個の直接サブドメインを作成できます。
プロジェクト内では、リージョンごとに最大 1,000 個のドメインを設定できます。

API を有効にする

Dataplex API が有効になっていない場合は有効にします。

API を有効にするために必要なロール

API を有効にするには、serviceusage.services.enable 権限が必要です。プロジェクトを作成した場合は、オーナーロール（roles/owner）を通じてこの権限がすでに付与されている可能性があります。それ以外の場合は、Service Usage 管理者ロール（roles/serviceusage.serviceUsageAdmin）を通じてこの権限を取得できます。ロールを付与する方法を確認する。

API の有効化

必要なロール

データドメインの作成とドメインオーナーの割り当てに必要な権限を取得するには、プロジェクトに対する次の IAM ロールを付与するよう管理者に依頼してください。

データドメイン、そのバインディング、IAM ポリシーの完全な管理を許可します: Dataplex データドメイン管理者（roles/dataplex.dataDomainAdmin）

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

データドメインを作成する

データドメインを作成して、プロジェクトとロケーション内のデータアセットとプロダクトの論理グループとして機能させます。

コンソール

Google Cloud コンソールで、[データドメイン] ページに移動します。

[データドメイン] に移動
[データドメインを作成] をクリックし、次の情報を指定します。
- [表示名] フィールドに、わかりやすいドメイン名を入力します。例: Finance
- [データドメイン ID] フィールドに、ドメインの一意の ID を入力します。この値は、システムのドメイン作成後に変更することはできません。
- [ロケーション] フィールドで、データドメインを作成するリージョンを選択します。
- [プロジェクト ID] フィールドで、データドメインを作成するプロジェクトを選択します。
- 省略可: [説明] フィールドに、ドメインの簡単な説明を入力します。
- [所有者] フィールドに、ドメインの所有者を追加します。複数のメールアドレスを同時に入力できます。
省略可: [ラベル] フィールドに、関連するオブジェクトをまとめてグループ化したり、他の Google Cloud リソースと組み合わせてグループ化したりするためのラベルを入力します。
[作成] をクリックします。データドメインにアクセスまたは検索できるようになるまでに数分かかることがあります。

REST

データドメインを作成するには、projects.locations.dataDomains.create メソッドを使用します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: 実際の Google Cloud プロジェクト ID。
LOCATION_ID: データドメインを作成するリージョン。例: us-central1
DATA_DOMAIN_ID: データドメインの一意の識別子。

HTTP メソッドと URL:

POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains?data_domain_id=DATA_DOMAIN_ID

リクエストの本文（JSON）:

{
  "display_name": "Finance Domain",
  "description": "Domain for finance datasets and reports.",
  "contacts": {
    "identities": [
      {
        "contact_name": "Alice Wonderland",
        "contact_role": "owner",
        "contact_id": "alice@example.com"
      }
    ]
  }
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains?data_domain_id=DATA_DOMAIN_ID"

PowerShell（Windows）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ご自分のユーザーアカウントで gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains?data_domain_id=DATA_DOMAIN_ID" | Select-Object -Expand Content

成功したことを示すステータスコード（2xx）と空のレスポンスが返されます。

データサブドメインを作成する

サブドメインを作成して、データドメインの階層を拡張します。

コンソール

Google Cloud コンソールで、[データドメイン] ページに移動します。

[データドメイン] に移動
サブドメインを作成するドメインを選択します。
[Create Data Subdomain] をクリックし、次の情報を指定します。
- [表示名] フィールドに、わかりやすいドメイン名を入力します。例: Finance
- [データドメイン ID] フィールドに、ドメインの一意の ID を入力します。この値は、システムのドメイン作成後に変更することはできません。
- 省略可: [説明] フィールドに、ドメインの簡単な説明を入力します。
- [所有者] フィールドに、ドメインの所有者のメールアドレスを追加します。複数のメールアドレスを同時に入力できます。
省略可: [ラベル] フィールドに、関連するオブジェクトをまとめてグループ化したり、他の Google Cloud リソースと組み合わせてグループ化したりするためのラベルを入力します。
[作成] をクリックします。データサブドメインにアクセスまたは検索できるようになるまでに数分かかることがあります。

REST

データサブドメインを作成するには、projects.locations.dataDomains.create メソッドを使用し、リクエスト本文で parent_data_domain を指定します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: 実際の Google Cloud プロジェクト ID。
LOCATION_ID: 親データドメインが存在するリージョン。例: us-central1
SUBDOMAIN_ID: データサブドメインの一意の識別子。
PARENT_DATA_DOMAIN_ID: このサブドメインが作成される親データドメインの一意の ID。

HTTP メソッドと URL:

POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains?data_domain_id=SUBDOMAIN_ID

リクエストの本文（JSON）:

{
  "display_name": "Finance Subdomain",
  "description": "A subdomain within the Finance domain.",
  "contacts": {
    "identities": [
      {
        "contact_name": "Alice Wonderland",
        "contact_role": "owner",
        "contact_id": "alice@example.com"
      }
    ]
  },
  "parent_data_domain": "projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/PARENT_DATA_DOMAIN_ID"
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains?data_domain_id=SUBDOMAIN_ID"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains?data_domain_id=SUBDOMAIN_ID" | Select-Object -Expand Content

成功したことを示すステータスコード（2xx）と空のレスポンスが返されます。

データドメインのロールと権限

次の表に、データドメインのオーナーとユーザーに付与できる IAM 事前定義ロールを示します。

ロール名	IAM ロール	説明
Dataplex データドメイン管理者	`roles/dataplex.dataDomainAdmin`	データドメインとサブドメイン、およびそれらのバインディングを作成して管理できます。管理者ロールでは、ドメインのすべての IAM ロールと権限を管理することもできます。
Dataplex データドメイン構成の閲覧者	`roles/dataplex.dataDomainViewer`	データドメインとリソースドメインのバインディングの構成を表示できます。
Dataplex データドメイン構成の編集者	`roles/dataplex.dataDomainEditor`	既存のドメインを編集したり、リソースとドメインのバインディングを作成して管理したりできます。編集者ロールでは、ユーザーによるドメインリソースの検出を許可するメタデータ承認を管理することもできます。
Dataplex データドメインエントリリーダー	`roles/dataplex.dataDomainEntryReader`	データドメインとそのサブドメイン、およびすべてのリソースのメタデータを検出して表示できます。

ドメイン所有者またはユーザーにロールを付与する場合は、次の点を考慮してください。

Identity and Access Management データドメインのロールは、親ドメインからサブドメインに伝播しますが、含まれているリソースには直接伝播しません。つまり、BigQuery データセットを含むドメインのユーザーに roles/dataplex.dataDomainEntryReader を付与しても、ユーザーはデータセットの Identity and Access Management ロールにそのロールを表示できません。
ドメインに付与された roles/dataplex.dataDomainEntryReader ロールを使用すると、次の操作を実行できます。
- リソース、その詳細、メタデータを検出できますが、ドメイン内のリソースを表示するときに、詳細については、データドメインの制限事項をご覧ください。
- ドメインにあるリソースに対して lookupEntry などの API メソッドを使用できます。

データドメインへのアクセス権を付与する

コンソール

データドメインへのアクセス権を付与する手順は次のとおりです。

Google Cloud コンソールで、[データドメイン] ページに移動します。

[データドメイン] に移動
ドメイン名をクリックして、ドメインの詳細ページに移動します。
上部のバーで [権限] をクリックします。
[プリンシパルを追加] をクリックします。
[新しいプリンシパル] フィールドに、プリンシパルのメールアドレスを入力します。
[ロールを選択] フィールドで、データドメインのロールを選択します。たとえば、Dataplex Data Domain Entry Reader を使用すると、ユーザーはデータドメイン、そのサブドメイン、および含まれているリソースのメタデータを検出して表示できます。他のロールを付与する場合は、[別のロールを追加] をクリックします。
[保存] をクリックします。

REST

データドメインに IAM ポリシーを設定するには、projects.locations.dataDomains.setIamPolicy メソッドを使用します。

リクエストのデータを使用する前に、次のように置き換えます。

PROJECT_ID: 実際の Google Cloud プロジェクト ID。
LOCATION_ID: データドメインが存在するリージョン。例: us-central1
DOMAIN_ID: データドメインの固有識別子。
ROLE: ドメインユーザーに付与するロール。

HTTP メソッドと URL:

POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:setIamPolicy

リクエストの本文（JSON）:

{
  "policy": {
    "bindings": [
      {
        "role": "ROLE",
        "members": [
          "user:example-user@google.com",
          "group:finance-consumers@google.com"
        ]
      }
    ]
  }
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl（Linux、macOS、Cloud Shell）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:setIamPolicy"

PowerShell（Windows）

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:setIamPolicy" | Select-Object -Expand Content

成功したことを示すステータスコード（2xx）と空のレスポンスが返されます。

データドメインへのアクセス権を取り消す

プリンシパルからロールまたは権限を削除する手順は次のとおりです。

コンソール

Google Cloud コンソールで、[データドメイン] ページに移動します。

[データドメイン] に移動
ドメイン名をクリックして、ドメインの詳細ページに移動します。
上部のバーで [権限] をクリックします。
[権限] ペインで、ロールを取り消すプリンシパルを見つけます。
削除するロールの横にある [削除] アイコンをクリックします。
[保存] をクリックします。

REST

REST API を使用してデータドメインへのアクセスを取り消すには、projects.locations.dataDomains.getIamPolicy メソッドを使用して既存のポリシーを取得し、bindings リストからロールまたはプリンシパルを削除して、projects.locations.dataDomains.setIamPolicy メソッドを使用して更新されたポリシーを設定します。

現在の IAM ポリシーを取得します。

リクエストのデータを使用する前に、次のように置き換えます。
- PROJECT_ID: 実際の Google Cloud プロジェクト ID。
- LOCATION_ID: データドメインが存在するリージョン。例: us-central1
- DOMAIN_ID: データドメインの固有識別子。
HTTP メソッドと URL:
```
POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:getIamPolicy
```
リクエストを送信するには、次のいずれかのオプションを展開します。
curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。
```
curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d "" \
     "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:getIamPolicy"
```
PowerShell（Windows）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ご自分のユーザーアカウントで gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

次のコマンドを実行します。
```
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -Uri "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:getIamPolicy" | Select-Object -Expand Content
```
成功したことを示すステータスコード（2xx）と空のレスポンスが返されます。
更新されたポリシーを設定します。

リクエストのデータを使用する前に、次のように置き換えます。
- PROJECT_ID: 実際の Google Cloud プロジェクト ID。
- LOCATION_ID: データドメインが存在するリージョン。例: us-central1
- DOMAIN_ID: データドメインの固有識別子。
- ROLE: ドメインユーザーに付与するロール。
HTTP メソッドと URL:
```
POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:setIamPolicy
```
リクエストの本文（JSON）:
```
{
  "policy": {
    "bindings": [
      {
        "role": "ROLE",
        "members": [
          "user:example-user@google.com",
          "group:finance-consumers@google.com"
        ]
      }
    ]
  }
}
```
リクエストを送信するには、次のいずれかのオプションを展開します。
curl（Linux、macOS、Cloud Shell）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。
```
curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:setIamPolicy"
```
PowerShell（Windows）

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ご自分のユーザーアカウントで gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。
```
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:setIamPolicy" | Select-Object -Expand Content
```
成功したことを示すステータスコード（2xx）と空のレスポンスが返されます。

次のステップ

詳しくは、データドメインをご覧ください。
リソースのバインディングとインクルードの詳細を確認する。
データドメインを管理する方法を確認する。
データドメインを使用する方法を確認する。

データ ドメインを作成する コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

始める前に

API を有効にする

必要なロール

データ ドメインを作成する

コンソール

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

データ サブドメインを作成する

コンソール

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

データ ドメインのロールと権限

データ ドメインへのアクセス権を付与する

コンソール

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

データ ドメインへのアクセス権を取り消す

コンソール

REST

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

curl（Linux、macOS、Cloud Shell）

PowerShell（Windows）

次のステップ

データドメインを作成する

データドメインを作成する

データサブドメインを作成する

データドメインのロールと権限

データドメインへのアクセス権を付与する

データドメインへのアクセス権を取り消す