דומיינים ותת-דומיינים של נתונים ב-Knowledge Catalog (לשעבר Dataplex Universal Catalog) מאפשרים לארגן נכסי נתונים ומוצרים בהיררכיה לוגית שמשקפת את המבנה העסקי שלכם. אחרי שיוצרים דומיין, אפשר להקצות תפקידים והרשאות בניהול הזהויות והרשאות הגישה (IAM) כדי לקבוע איך המשתמשים יוכלו להשתמש בדומיין ובמשאבים שלו.
לפני שמתחילים
לפני שיוצרים דומיינים של נתונים ומקצים בעלי דומיינים, צריך לוודא שיש לכם את התפקידים הנדרשים ושהפעלתם את ממשקי ה-API הנדרשים.
- עומק ההטמעה המקסימלי של דומיינים ותת-דומיינים הוא חמש רמות.
- אפשר ליצור עד 50 תת-דומיינים ישירים בדומיין נתונים אחד.
- בכל פרויקט יכולים להיות עד 100 דומיינים לכל אזור.
- בארגון יכולים להיות עד 1,000 דומיינים בכל אזור.
הפעלת ממשקי ה-API
מפעילים את Dataplex API, אם הוא עדיין לא מופעל.
התפקידים שנדרשים כדי להפעיל ממשקי API
כדי להפעיל ממשקי API, צריך את ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד "בעלים" (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד "אדמין בממשק 'שימוש בשירות'" (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים
התפקידים הנדרשים
כדי לקבל את ההרשאות שדרושות ליצירת דומיינים של נתונים ולהקצאת בעלי דומיינים, בקשו מהאדמין להקצות לכם את תפקידי ה-IAM הבאים בפרויקט:
-
מאפשרת ניהול מלא של דומיין הנתונים, הקישורים שלו ומדיניות ה-IAM:
אדמין של דומיין נתונים ב-Dataplex (
roles/dataplex.dataDomainAdmin)
להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.
יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.
יצירת דומיין נתונים
יוצרים דומיין נתונים באמצעות מסוף Google Cloud או ה-API בארכיטקטורת REST, כדי שישמש כקיבוץ לוגי של נכסי נתונים ומוצרים בתוך פרויקט ומיקום.
המסוף
נכנסים לדף Data domains במסוף Google Cloud .
לוחצים על Create Data Domain (יצירת דומיין נתונים) ומזינים את הפרטים הבאים:
- בשדה Display name, נותנים לדומיין שם ידידותי למשתמש. לדוגמה,
Finance. - בשדה Data Domain ID, נותנים מזהה ייחודי לדומיין. אי אפשר לשנות את הערך הזה אחרי שהמערכת יוצרת את הדומיין.
- בשדה Location, בוחרים את האזור שבו רוצים ליצור את דומיין הנתונים.
- בשדה מזהה פרויקט, בוחרים את הפרויקט שבו רוצים ליצור את דומיין הנתונים.
- אופציונלי: בשדה Description, מזינים תיאור קצר של הדומיין.
- בשדה בעלים, מוסיפים בעלים לדומיין. אפשר להזין כמה כתובות אימייל בו-זמנית.
- בשדה Display name, נותנים לדומיין שם ידידותי למשתמש. לדוגמה,
אופציונלי: בשדה Labels, מזינים תוויות כדי לקבץ אובייקטים קשורים או לקבץ אותם עם משאבים אחרים של Google Cloud .
לוחצים על יצירה. יכול להיות שיעברו כמה דקות עד שתהיה לכם גישה לדומיין הנתונים או עד שתוכלו לחפש אותו.
REST
כדי ליצור דומיין נתונים, משתמשים ב-method projects.locations.dataDomains.create.
לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:
-
PROJECT_ID: מזהה הפרויקט ב- Google Cloud . -
LOCATION_ID: האזור שבו רוצים ליצור את דומיין הנתונים. לדוגמה,us-central1. -
DATA_DOMAIN_ID: מזהה ייחודי של דומיין הנתונים.
ה-method של ה-HTTP וכתובת ה-URL:
POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains?data_domain_id=DATA_DOMAIN_ID
תוכן בקשת JSON:
{
"display_name": "Finance Domain",
"description": "Domain for finance datasets and reports.",
"contacts": {
"identities": [
{
"contact_name": "Alice Wonderland",
"contact_role": "owner",
"contact_id": "alice@example.com"
}
]
}
}
כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:
אמורים לקבל קוד סטטוס של הצלחה (2xx) ותגובה ריקה.
יצירת תת-דומיין לנתונים
כדי להרחיב את ההיררכיה של דומיין הנתונים, אתם יכולים ליצור תת-דומיין באמצעות מסוף Google Cloud או ה-API בארכיטקטורת REST.
המסוף
נכנסים לדף Data domains במסוף Google Cloud .
בוחרים את הדומיין שרוצים ליצור לו תת-דומיין.
לוחצים על יצירת תת-דומיין לנתונים ומזינים את הפרטים הבאים:
- בשדה Display name, נותנים לדומיין שם ידידותי למשתמש. לדוגמה,
Finance. - בשדה Data Domain ID, נותנים מזהה ייחודי לדומיין. אי אפשר לשנות את הערך הזה אחרי שהמערכת יוצרת את הדומיין.
- אופציונלי: בשדה Description, מזינים תיאור קצר של הדומיין.
- בשדה בעלים, מוסיפים את כתובת האימייל של בעלי הדומיין. אפשר להזין כמה כתובות אימייל בו-זמנית.
- בשדה Display name, נותנים לדומיין שם ידידותי למשתמש. לדוגמה,
אופציונלי: בשדה Labels, מזינים תוויות כדי לקבץ אובייקטים קשורים או לקבץ אותם עם משאבים אחרים של Google Cloud .
לוחצים על יצירה. יכול להיות שיעברו כמה דקות עד שתהיה לכם גישה לתת-הדומיין של הנתונים או עד שתוכלו לחפש אותו.
REST
כדי ליצור תת-דומיין של נתונים, משתמשים ב-method projects.locations.dataDomains.create ומציינים את parent_data_domain בגוף הבקשה.
לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:
-
PROJECT_ID: מזהה הפרויקט ב- Google Cloud . -
LOCATION_ID: האזור שבו נמצא דומיין הנתונים הראשי. לדוגמה,us-central1. -
SUBDOMAIN_ID: מזהה ייחודי של תת-הדומיין של הנתונים. -
PARENT_DATA_DOMAIN_ID: המזהה הייחודי של דומיין הנתונים הראשי שבו נוצר תת-הדומיין הזה.
ה-method של ה-HTTP וכתובת ה-URL:
POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains?data_domain_id=SUBDOMAIN_ID
תוכן בקשת JSON:
{
"display_name": "Finance Subdomain",
"description": "A subdomain within the Finance domain.",
"contacts": {
"identities": [
{
"contact_name": "Alice Wonderland",
"contact_role": "owner",
"contact_id": "alice@example.com"
}
]
},
"parent_data_domain": "projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/PARENT_DATA_DOMAIN_ID"
}
כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:
אמורים לקבל קוד סטטוס של הצלחה (2xx) ותגובה ריקה.
תפקידים והרשאות בדומיין נתונים
בטבלה הבאה מפורטים התפקידים המוגדרים מראש ב-IAM שאפשר להקצות לבעלים ולמשתמשים של דומייני נתונים.
| שם התפקיד | תפקיד IAM | תיאור |
|---|---|---|
| אדמין של דומיין נתונים ב-Dataplex | roles/dataplex.dataDomainAdmin |
מאפשרת ליצור ולנהל דומיינים ותת-דומיינים של נתונים, יחד עם הקישורים שלהם. תפקיד האדמין מאפשר גם לנהל את כל התפקידים וההרשאות של IAM בדומיינים. |
| צפייה בהגדרות של דומיין הנתונים ב-Dataplex | roles/dataplex.dataDomainViewer |
מאפשרת לראות את ההגדרות של דומיין הנתונים ואת הקישורים בין המשאבים לדומיין. |
| עורך ההגדרות של דומיין הנתונים ב-Dataplex | roles/dataplex.dataDomainEditor |
מאפשרת לערוך דומיינים קיימים וגם ליצור ולנהל את הקישורים בין המשאבים לדומיינים. תפקיד העריכה גם מאפשר לנהל הרשאות של מטא-נתונים, שמאפשרות למשתמשים לגלות משאבים בדומיין. |
| Dataplex Data Domain Entry Reader | roles/dataplex.dataDomainEntryReader |
מאפשרת לגלות ולראות את דומיין הנתונים, את תת-הדומיינים שלו ואת המטא-נתונים של כל המשאבים שכלולים בו. |
כשמקצים את התפקידים לבעלי דומיינים או למשתמשים, חשוב להביא בחשבון את הנקודות הבאות:
- תפקידים בדומיין הנתונים של ניהול הזהויות והרשאות הגישה (IAM) מועברים מדומיינים ראשיים לתתי-דומיינים, אבל לא ישירות למשאבים הכלולים. כלומר, אם תקצו את התפקיד
roles/dataplex.dataDomainEntryReaderלמשתמש בדומיין שכולל מערך נתונים ב-BigQuery, המשתמש לא יראה את התפקיד הזה ברשימת התפקידים של ניהול הזהויות והרשאות הגישה (IAM) במערך הנתונים. התפקיד
roles/dataplex.dataDomainEntryReaderשמוקצה לדומיין מאפשר לבצע את הפעולות הבאות:- אתם יכולים לגלות משאבים, את הפרטים שלהם ואת המטא-נתונים שלהם, אבל כשאתם צופים במשאב בתוך הדומיין. מידע נוסף מופיע בקטע מגבלות על דומיינים של נתונים.
- אפשר להשתמש בשיטות API כמו
lookupEntryבמשאב שנמצא בדומיין.
מתן גישה לדומיין נתונים
כדי להקצות תפקידים והרשאות ב-IAM למשתמשים שיוצרים אינטראקציה עם דומיין נתונים והמשאבים שלו:
המסוף
נכנסים לדף Data domains במסוף Google Cloud .
לוחצים על שם הדומיין כדי לעבור לדף הפרטים של הדומיין.
בסרגל העליון, לוחצים על הרשאות.
לוחצים על Add principal.
בשדה New principals, מזינים את כתובת האימייל של חשבון המשתמש.
בשדה Select a role, בוחרים את התפקיד בדומיין הנתונים. לדוגמה, אפשר להשתמש ב-
Dataplex Data Domain Entry Readerכדי לאפשר למשתמש לגלות את דומיין הנתונים, תת-הדומיינים שלו והמטא-נתונים של המשאבים הכלולים, ולהציג אותם. כדי להקצות עוד תפקידים, לוחצים על Add another role.לוחצים על Save.
REST
כדי להגדיר את מדיניות ה-IAM בדומיין נתונים, משתמשים ב-method projects.locations.dataDomains.setIamPolicy.
לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:
-
PROJECT_ID: מזהה הפרויקט ב- Google Cloud . -
LOCATION_ID: האזור שבו נמצא דומיין הנתונים. לדוגמה,us-central1. -
DOMAIN_ID: המזהה הייחודי של דומיין הנתונים. -
ROLE: התפקיד שאתם רוצים לתת למשתמש בדומיין.
ה-method של ה-HTTP וכתובת ה-URL:
POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:setIamPolicy
תוכן בקשת JSON:
{
"policy": {
"bindings": [
{
"role": "ROLE",
"members": [
"user:example-user@google.com",
"group:finance-consumers@google.com"
]
}
]
}
}
כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:
אמורים לקבל קוד סטטוס של הצלחה (2xx) ותגובה ריקה.
ביטול הגישה לדומיין נתונים
כדי להסיר תפקיד או הרשאה מחשבון ראשי:
המסוף
נכנסים לדף Data domains במסוף Google Cloud .
לוחצים על שם הדומיין כדי לעבור לדף הפרטים של הדומיין.
בסרגל העליון, לוחצים על הרשאות.
בחלונית Permissions, מאתרים את חשבון המשתמש שרוצים לבטל את התפקיד שלו.
לוחצים על סמל המחיקה לצד התפקיד שרוצים להסיר.
לוחצים על Save.
REST
כדי לבטל את הגישה לדומיין נתונים באמצעות ה-API בארכיטקטורת REST, מאחזרים את המדיניות הקיימת באמצעות ה-method projects.locations.dataDomains.getIamPolicy, מסירים את התפקיד או את החשבון הראשי מהרשימה bindings ומגדירים את המדיניות המעודכנת באמצעות ה-method projects.locations.dataDomains.setIamPolicy:
מציגים את מדיניות ה-IAM הנוכחית:
לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:
-
PROJECT_ID: מזהה הפרויקט ב- Google Cloud . -
LOCATION_ID: האזור שבו נמצא דומיין הנתונים. לדוגמה,us-central1. -
DOMAIN_ID: המזהה הייחודי של דומיין הנתונים.
ה-method של ה-HTTP וכתובת ה-URL:
POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:getIamPolicy
כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:
אמורים לקבל קוד סטטוס של הצלחה (2xx) ותגובה ריקה.
-
מגדירים את המדיניות המעודכנת:
לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:
-
PROJECT_ID: מזהה הפרויקט ב- Google Cloud . -
LOCATION_ID: האזור שבו נמצא דומיין הנתונים. לדוגמה,us-central1. -
DOMAIN_ID: המזהה הייחודי של דומיין הנתונים. -
ROLE: התפקיד שאתם רוצים לתת למשתמש בדומיין.
ה-method של ה-HTTP וכתובת ה-URL:
POST https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION_ID/dataDomains/DOMAIN_ID:setIamPolicy
תוכן בקשת JSON:
{ "policy": { "bindings": [ { "role": "ROLE", "members": [ "user:example-user@google.com", "group:finance-consumers@google.com" ] } ] } }כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:
אמורים לקבל קוד סטטוס של הצלחה (2xx) ותגובה ריקה.
-
המאמרים הבאים
- מידע נוסף על דומיינים של נתונים
- מידע נוסף על קישור והכללה של משאבים
- איך מנהלים דומיינים של נתונים
- איך משתמשים בדומיינים של נתונים