Utiliser les produits de données

Les produits de données de Knowledge Catalog (anciennement Dataplex Universal Catalog) vous permettent de trouver des collections d'éléments sélectionnées et de demander l'accès via des workflows d'approbation intégrés. Une fois la demande approuvée, vous pouvez interroger les données sous-jacentes, telles que les tables BigQuery, à l'aide de vos identifiants utilisateur, d'un compte de service ou d'un serveur MCP (Model Context Protocol) distant.

Ce document est destiné aux consommateurs de produits de données. Pour en savoir plus sur l'architecture et les concepts clés des produits de données, consultez À propos des produits de données.

Avant de commencer

  1. Activez les API Dataplex et BigQuery si elles ne le sont pas déjà.

    Rôles requis pour activer les API

    Pour activer des API, vous devez disposer de l'autorisation serviceusage.services.enable. Si vous avez créé le projet, vous disposez probablement déjà de cette autorisation via le rôle Propriétaire (roles/owner). Sinon, vous pouvez l'obtenir via le rôle Administrateur Service Usage (roles/serviceusage.serviceUsageAdmin). Découvrez comment attribuer des rôles.

    Activer les API

Rôles requis

Pour obtenir les autorisations nécessaires pour rechercher, consulter et utiliser des produits de données, demandez à votre administrateur de vous accorder les rôles IAM suivants sur le produit de données ou le projet :

Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.

En tant que consommateur de produits de données, pour afficher les métadonnées d'un élément, vous devez disposer de l'autorisation viewer pour accéder à l'élément correspondant dans le système source. Par exemple, pour rechercher les métadonnées d'un ensemble de données ou d'une table dans un produit de données, vous devez disposer du rôle Lecteur de métadonnées BigQuery (roles/bigquery.metadataViewer). Pour en savoir plus, consultez Rôles requis pour accéder aux résultats de recherche.

Console

  1. Dans la console Google Cloud , accédez à la page Rechercher de Knowledge Catalog.

    Accéder à la recherche

  2. Effectuez une recherche à l'aide de mots clés ou du langage naturel. Pour en savoir plus, consultez Rechercher des ressources.

  3. Dans les résultats de recherche, cliquez sur le produit de données dont vous souhaitez afficher les détails. Vous pouvez consulter la description, les éléments, le contrat, les aspects, les coordonnées et d'autres documents associés au produit de données.

REST

Pour rechercher un produit de données, utilisez la méthode searchEntries.

Par exemple, envoyez la requête POST suivante :

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d \
  '{
  "query": "ADDITIONAL_KEYWORDS (type=(DATA_PRODUCT))",
  "pageSize": 10
  }' \
"https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/global:searchEntries"

Remplacez les éléments suivants :

  • ADDITIONAL_KEYWORDS (facultatif) : mots clés ou critères de recherche supplémentaires pour affiner les résultats (par exemple, displayName:'My Data Product' ou description:'sales')
  • PROJECT_ID : ID de votre projet Google Clouddans lequel le produit de données est créé.

Demander l'accès à des produits de données

En tant que consommateur de produits de données, si vous ne disposez pas des autorisations IAM nécessaires pour accéder à un produit de données, vous pouvez demander l'accès à l'aide des workflows d'approbation d'accès intégrés.

Envoyer une demande d'accès

Console

  1. Dans la console Google Cloud , accédez à la page Produits de données de Knowledge Catalog.

    Accéder à la page "Produits de données"

  2. Cliquez sur le produit de données auquel vous souhaitez accéder.

  3. Cliquez sur Demande d'accès.

  4. Dans le volet Détails de la requête, spécifiez les paramètres suivants :

    • Groupes d'accès : sélectionnez le groupe d'accès fonctionnel que vous souhaitez rejoindre.

    • Self (Soi-même) ou Service account (Compte de service) : sélectionnez le type de compte principal :

      • Si vous demandez l'accès pour vous-même, sélectionnez Moi.

      • Si vous demandez l'accès pour une identité programmatique, sélectionnez Compte de service. Cette option n'est disponible que si le produit de données est compatible avec les comptes de service.

    • Justification : saisissez une justification professionnelle pour votre demande.

  5. Cliquez sur Envoyer.

Une nouvelle demande de modification est générée pour que le propriétaire du produit de données l'examine. Vous recevrez une notification par e-mail détaillant l'état final dès que la demande sera approuvée ou refusée.

REST

Les consommateurs de produits de données disposant de l'autorisation dataplex.dataProducts.get peuvent demander l'accès en créant une ressource ChangeRequest. Envoyez une requête POST au point de terminaison de la ressource de produit de données à l'aide de la méthode personnalisée :requestAccess :

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{
  "parent": "projects/PROJECT_ID/locations/LOCATION/dataProducts/DATA_PRODUCT_ID",
  "change_request": {
    "justification": "JUSTIFICATION_TEXT",
    "data_product_access_request": {
      "parent": "projects/PROJECT_ID/locations/LOCATION/dataProducts/DATA_PRODUCT_ID",
      "access_group_id": "DATA_PRODUCT_ACCESS_GROUP_ID"
    }
  }
}' \
"https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/dataProducts/DATA_PRODUCT_ID:requestAccess"

Remplacez les éléments suivants :

  • PROJECT_ID : ID de votre projet Google Cloud

  • LOCATION : région où se trouve le produit de données (par exemple, us-central1)

  • DATA_PRODUCT_ID : identifiant unique du produit de données cible.

  • JUSTIFICATION_TEXT : motif commercial expliquant pourquoi l'accès est requis

  • DATA_PRODUCT_ACCESS_GROUP_ID : ID du groupe d'accès spécifique que vous demandez à rejoindre

Afficher l'état des demandes d'accès

En tant que consommateur de produits de données, vous pouvez surveiller la progression et le cycle de vie de vos demandes d'accès. Knowledge Catalog suit et affiche ces demandes à l'aide d'états distincts, selon que vous consultez une liste de workflows unifiée ou le récapitulatif d'accès d'un produit spécifique.

Afficher une liste unifiée de vos demandes d'accès

Pour afficher la liste complète de toutes vos demandes d'accès envoyées pour tous les produits de données, procédez comme suit :

Console

  1. Dans la console Google Cloud , accédez à la page Workflows de gouvernance de Knowledge Catalog.

    Accéder à "Workflows de gouvernance"

  2. Cliquez sur l'onglet Mes demandes.

  3. Consultez la liste unifiée affichant vos demandes passées et en attente, ainsi que l'état actuel de leur workflow :

    • Nouveau : la demande d'accès a été créée et est en attente d'examen par l'approbateur.

    • Approuvée : la demande a été approuvée, mais les systèmes de backend sont toujours en train de provisionner l'accès.

    • Refusé : la demande a été refusée. Examinez les commentaires de l'approbateur pour comprendre les raisons du refus.

REST

Envoyez une requête GET à l'aide de la méthode de collection personnalisée :listMine :

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/changeRequests:listMine"

Afficher le résumé des droits d'accès pour un produit de données spécifique

En plus de la liste globale des workflows, vous pouvez vérifier votre stratégie d'accès pour un produit de données individuel. Cela vous permet de vérifier si vous possédez déjà un accès hérité à un groupe d'éléments sans avoir à envoyer une nouvelle demande.

Pour afficher le récapitulatif des accès d'un produit de données, procédez comme suit :

Console

  1. Dans la console Google Cloud , accédez à la page Produits de données de Knowledge Catalog.

    Accéder à la page "Produits de données"

  2. Cliquez sur le produit de données que vous souhaitez inspecter.

  3. Cliquez sur l'onglet Résumé des accès. Vérifiez votre état dans tous les groupes d'accès pour ce produit de données.

    L'onglet Résumé des accès utilise les états suivants :

    État Description
    Aucun accès Vous n'avez pas accès au groupe d'accès et n'avez pas encore demandé l'accès.
    En cours d'examen Vous avez envoyé une demande d'accès, et celle-ci est en attente d'examen par un approbateur.
    Approved Votre demande d'accès a été approuvée, mais la propagation de l'appartenance au groupe Google sous-jacent est toujours en cours de traitement.
    Accès accordé L'accès est entièrement actif. Vous êtes membre du groupe d'accès et pouvez interagir avec les éléments du produit de données.
    Refusé Votre demande d'accès à ce groupe d'accès a été refusée.

REST

Envoyez une requête GET à l'aide de l'identifiant unique renvoyé lors de la création de la requête :

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/changeRequests/CHANGE_REQUEST_ID"

Remplacez les éléments suivants :

  • PROJECT_ID : ID de votre projet Google Cloud

  • LOCATION : région où se trouve le produit de données (par exemple, us-central1)

  • CHANGE_REQUEST_ID : identifiant unique de la demande de modification que vous avez envoyée

Supprimer une demande d'accès

  1. Dans la console Google Cloud , accédez à la page Workflows de gouvernance de Knowledge Catalog.

    Accéder à "Workflows de gouvernance"

  2. Cliquez sur l'onglet Mes demandes.

  3. Recherchez la ligne contenant votre demande de produit de données cible. Si nécessaire, appliquez un filtre pour isoler l'entrée.

  4. Cliquez sur Actions, puis sur Supprimer.

Utiliser des produits de données

Pour utiliser un produit de données, assurez-vous de disposer des autorisations nécessaires. Consultez Demander l'accès aux produits de données.

Une fois que le propriétaire du produit de données vous a accordé l'autorisation, vous pouvez accéder au produit de données et à ses assets. Par exemple, si vous êtes autorisé à accéder à une table BigQuery, vous pouvez l'interroger directement dans BigQuery pour générer des insights.

Accéder aux éléments à l'aide des identifiants utilisateur

Si votre demande d'accès a été approuvée pour vos identifiants utilisateur, procédez comme suit pour accéder aux éléments :

  1. Recherchez le produit de données.
  2. Dans les résultats de recherche, cliquez sur le produit de données que vous souhaitez utiliser.
  3. Cliquez sur l'onglet Éléments.

  4. Cliquez sur l'asset dont vous souhaitez afficher les détails. La page d'informations de l'entrée s'ouvre.

    Vous pouvez accéder à des informations telles que le schéma, les insights et la traçabilité. Si l'élément est une table ou une vue BigQuery, vous pouvez cliquer sur Ouvrir dans BigQuery pour accéder à BigQuery Studio et interroger les résultats.

Accéder aux éléments à l'aide d'un compte de service

Si votre demande d'accès a été approuvée pour un compte de service, vous bénéficiez du rôle IAM Créateur de jetons du compte de service (roles/iam.serviceAccountTokenCreator) sur le compte de service du producteur de données. Cela vous permet de créer une chaîne d'emprunt d'identité pour accéder aux éléments sous-jacents.

Pour accéder aux assets à l'aide d'un compte de service, procédez comme suit :

  1. Identifiez les comptes de service configurés pour le produit de données en accédant à l'onglet Éléments de données de la page d'informations du produit de données.

  2. Pour emprunter l'identité du compte de service du producteur de données, créez une chaîne d'emprunt d'identité pour votre compte de service à l'aide de la commande Google Cloud CLI suivante :

    gcloud config set auth/impersonate_service_account CONSUMER_SERVICE_ACCOUNT,PRODUCER_SERVICE_ACCOUNT

    Remplacez les éléments suivants :

    • CONSUMER_SERVICE_ACCOUNT : adresse e-mail complète du compte de service appartenant au consommateur du produit de données.

    • PRODUCER_SERVICE_ACCOUNT : adresse e-mail complète du compte de service mappé au groupe d'accès au produit de données.

    Pour en savoir plus, consultez Utiliser l'emprunt d'identité d'un compte de service.

Accéder aux produits de données à l'aide d'un serveur MCP distant

Pour les applications clientes et les outils de développement qui interagissent avec vos produits de données en dehors de l'écosystème Google Cloud , vous pouvez utiliser un serveur MCP (Model Context Protocol) distant. Ce modèle architectural permet aux clients développeurs externes d'interroger et de découvrir en toute sécurité les éléments de données catalogués, tout en maintenant des limites de gouvernance unifiées.

Pour savoir comment déployer un serveur externe et vous y connecter, consultez Utiliser le serveur MCP distant Knowledge Catalog.

Étapes suivantes