Datenprodukte verwenden

Mit Datenprodukten in Knowledge Catalog (ehemals Dataplex Universal Catalog) können Sie ausgewählte Asset-Sammlungen finden und über integrierte Genehmigungsworkflows Zugriff anfordern. Nach der Genehmigung können Sie die zugrunde liegenden Daten, z. B. BigQuery-Tabellen, mit Ihren Nutzeranmeldedaten, einem Dienstkonto oder einem Remote-MCP-Server (Model Context Protocol) abfragen.

Dieses Dokument richtet sich an Nutzer von Datenprodukten. Weitere Informationen zur Architektur und zu den wichtigsten Konzepten von Datenprodukten finden Sie unter Informationen zu Datenprodukten.

Hinweis

  1. Aktivieren Sie die Dataplex- und BigQuery APIs, falls sie noch nicht aktiviert sind.

    Erforderliche Rollen zum Aktivieren von APIs

    Zum Aktivieren von APIs benötigen Sie die Berechtigung serviceusage.services.enable. Wenn Sie das Projekt erstellt haben, haben Sie diese Berechtigung wahrscheinlich bereits über die Inhaberrolle (roles/owner). Andernfalls können Sie diese Berechtigung über die Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin) erhalten. Informationen zum Zuweisen von Rollen

    APIs aktivieren

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für das Datenprodukt oder das Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Suchen, Aufrufen und Verwenden von Datenprodukten benötigen:

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Als Nutzer eines Datenprodukts benötigen Sie die Berechtigung viewer, um auf das entsprechende Asset im Quellsystem zuzugreifen und die Metadaten des Assets aufzurufen. Wenn Sie beispielsweise nach Metadaten für ein Dataset oder eine Tabelle in einem Datenprodukt suchen möchten, benötigen Sie die Rolle BigQuery-Metadaten-Betrachter (roles/bigquery.metadataViewer). Weitere Informationen finden Sie unter Erforderliche Rollen für den Zugriff auf Suchergebnisse.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Suchen im Knowledge Catalog auf.

    Zur Suche

  2. Suchen Sie mithilfe von Keywords oder natürlicher Sprache. Weitere Informationen finden Sie unter Nach Ressourcen suchen.

  3. Klicken Sie in den Suchergebnissen auf das Datenprodukt, dessen Details Sie sich ansehen möchten. Sie können die Beschreibung, die Assets, den Vertrag, die Aspekte, die Kontaktdaten und andere Dokumente im Zusammenhang mit dem Datenprodukt einsehen.

REST

Verwenden Sie die Methode searchEntries, um nach einem Datenprodukt zu suchen.

Senden Sie beispielsweise die folgende POST-Anfrage:

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d \
  '{
  "query": "ADDITIONAL_KEYWORDS (type=(DATA_PRODUCT))",
  "pageSize": 10
  }' \
"https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/global:searchEntries"

Ersetzen Sie Folgendes:

  • ADDITIONAL_KEYWORDS (optional): zusätzliche Suchbegriffe oder Suchkriterien, um die Ergebnisse einzugrenzen (z. B. displayName:'My Data Product' oder description:'sales')
  • PROJECT_ID: die ID Ihres Google Cloud-Projekts, in dem das Datenprodukt erstellt wird

Zugriff auf Datenprodukte anfordern

Wenn Sie als Nutzer eines Datenprodukts keine IAM-Berechtigungen für den Zugriff auf ein Datenprodukt haben, können Sie den Zugriff über die integrierten Workflows zur Zugriffsgenehmigung anfordern.

Zugriffsanfrage senden

Console

  1. Rufen Sie in der Google Cloud Console die Seite Datenprodukte im Knowledge Catalog auf.

    Zu „Datenprodukte“

  2. Klicken Sie auf das Datenprodukt, auf das Sie zugreifen möchten.

  3. Klicken Sie auf Zugriffsanfrage.

  4. Geben Sie im Bereich Anfragedetails die folgenden Parameter an:

    • Zugriffsgruppen: Wählen Sie die funktionale Zugriffsgruppe aus, der Sie beitreten möchten.

    • Selbst oder Dienstkonto: Wählen Sie den Hauptkontotyp aus:

      • Wenn Sie den Zugriff für sich selbst anfordern, wählen Sie Selbst aus.

      • Wenn Sie Zugriff für eine programmatische Identität anfordern, wählen Sie Dienstkonto aus. Diese Option ist nur verfügbar, wenn das Datenprodukt Dienstkonten unterstützt.

    • Begründung: Geben Sie eine geschäftliche Begründung für Ihre Anfrage ein.

  5. Klicken Sie auf Senden.

Es wird eine neue Änderungsanfrage generiert, die der Datenproduktinhaber prüfen muss. Sie erhalten eine E-Mail-Benachrichtigung mit dem endgültigen Status, sobald die Anfrage genehmigt oder abgelehnt wurde.

REST

Datenproduktnutzer mit der Berechtigung dataplex.dataProducts.get können Zugriff anfordern, indem sie eine ChangeRequest-Ressource erstellen. Senden Sie eine POST-Anfrage an den Endpunkt der Datenproduktressource mit der benutzerdefinierten Methode :requestAccess:

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-d '{
  "parent": "projects/PROJECT_ID/locations/LOCATION/dataProducts/DATA_PRODUCT_ID",
  "change_request": {
    "justification": "JUSTIFICATION_TEXT",
    "data_product_access_request": {
      "parent": "projects/PROJECT_ID/locations/LOCATION/dataProducts/DATA_PRODUCT_ID",
      "access_group_id": "DATA_PRODUCT_ACCESS_GROUP_ID"
    }
  }
}' \
"https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/dataProducts/DATA_PRODUCT_ID:requestAccess"

Ersetzen Sie Folgendes:

  • PROJECT_ID: die ID Ihres Projekts in Google Cloud

  • LOCATION: die Region, in der das Datenprodukt vorhanden ist (z. B. us-central1)

  • DATA_PRODUCT_ID: die eindeutige Kennung des Zieldatenprodukts

  • JUSTIFICATION_TEXT: der geschäftliche Grund, warum der Zugriff erforderlich ist

  • DATA_PRODUCT_ACCESS_GROUP_ID: die ID der spezifischen Zugriffsgruppe, der Sie beitreten möchten

Status von Zugriffsanfragen ansehen

Als Datenproduktnutzer können Sie den Fortschritt und den Lebenszyklus Ihrer eingereichten Zugriffsanfragen im Blick behalten. Knowledge Catalog verfolgt und zeigt diese Anfragen mit unterschiedlichen Statuszuständen an, je nachdem, ob Sie eine einheitliche Workflowliste oder die Zugriffszusammenfassung eines bestimmten Produkts aufrufen.

Eine einheitliche Liste Ihrer Zugriffsanfragen ansehen

So rufen Sie eine vollständige Liste aller eingereichten Zugriffsanfragen für alle Datenprodukte auf:

Console

  1. Rufen Sie in der Google Cloud Console die Seite Governance-Workflows des Knowledge Catalog auf.

    Zu „Governance-Workflows“

  2. Klicken Sie auf den Tab Meine Anfragen.

  3. Sehen Sie sich die einheitliche Liste mit Ihren früheren und ausstehenden Anfragen sowie deren aktuellen Workflowstatus an:

    • Neu: Die Zugriffsanfrage wurde erstellt und muss noch vom Genehmiger geprüft werden.

    • Genehmigt: Die Anfrage wurde genehmigt, aber die Backend-Systeme stellen den Zugriff noch bereit.

    • Abgelehnt: Die Anfrage wurde abgelehnt. Sehen Sie sich die Kommentare des Genehmigers an, um die Gründe für die Ablehnung zu erfahren.

REST

Senden Sie eine GET-Anfrage mit der benutzerdefinierten Sammlungsmethode :listMine:

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/changeRequests:listMine"

Zugriffszusammenfassung für ein bestimmtes Datenprodukt ansehen

Zusätzlich zur globalen Workflowliste können Sie den Zugriffsstatus für ein einzelnes Datenprodukt prüfen. So können Sie prüfen, ob Sie bereits geerbten Zugriff auf eine Asset-Gruppe haben, ohne eine neue Anfrage senden zu müssen.

So rufen Sie die Zugriffsübersicht für ein Datenprodukt auf:

Console

  1. Rufen Sie in der Google Cloud Console die Seite Datenprodukte im Knowledge Catalog auf.

    Zu „Datenprodukte“

  2. Klicken Sie auf das Datenprodukt, das Sie prüfen möchten.

  3. Klicken Sie auf den Tab Zugriffszusammenfassung. Prüfen Sie Ihren Status in allen Zugriffsgruppen für dieses Datenprodukt.

    Auf dem Tab Zugriffsübersicht werden die folgenden Status verwendet:

    Status Beschreibung
    Kein Zugriff Sie haben keinen Zugriff auf die Zugriffsgruppe und haben noch keinen Zugriff angefordert.
    Wird überprüft Sie haben eine Zugriffsanfrage gesendet, die von einem Genehmiger geprüft werden muss.
    Genehmigt Ihre Zugriffsanfrage wurde genehmigt, aber die Weitergabe der Mitgliedschaft an die zugrunde liegende Google-Gruppe wird noch verarbeitet.
    Zugriff gewährt Der Zugriff ist vollständig aktiv. Sie sind Mitglied der Zugriffsgruppe und können mit den Assets des Datenprodukts interagieren.
    Abgelehnt Ihre Zugriffsanfrage für diese Zugriffsgruppe wurde abgelehnt.

REST

Senden Sie eine GET-Anfrage mit der eindeutigen ID, die bei der ursprünglichen Erstellung der Anfrage zurückgegeben wurde:

curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
"https://dataplex.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/changeRequests/CHANGE_REQUEST_ID"

Ersetzen Sie Folgendes:

  • PROJECT_ID: die ID Ihres Projekts in Google Cloud

  • LOCATION: die Region, in der das Datenprodukt vorhanden ist (z. B. us-central1)

  • CHANGE_REQUEST_ID: die eindeutige ID Ihrer eingereichten Änderungsanfrage

Zugriffsanfrage löschen

  1. Rufen Sie in der Google Cloud Console die Seite Governance-Workflows des Knowledge Catalog auf.

    Zu „Governance-Workflows“

  2. Klicken Sie auf den Tab Meine Anfragen.

  3. Suchen Sie die Zeile mit der Anfrage für das gewünschte Datenprodukt. Wenden Sie bei Bedarf einen Filter an, um den Eintrag zu isolieren.

  4. Klicken Sie auf Aktionen und dann auf Löschen.

Datenprodukte nutzen

Damit Sie ein Datenprodukt verwenden können, müssen Ihnen die erforderlichen Berechtigungen gewährt werden. Weitere Informationen finden Sie unter Zugriff auf Datenprodukte anfordern.

Nachdem der Datenproduktinhaber Ihnen die Berechtigung erteilt hat, können Sie auf das Datenprodukt und seine Assets zugreifen. Wenn Sie beispielsweise Berechtigungen für den Zugriff auf eine BigQuery-Tabelle haben, können Sie sie direkt in BigQuery abfragen, um Statistiken zu generieren.

Mit Nutzeranmeldedaten auf Assets zugreifen

Wenn Ihre Zugriffsanfrage für Ihre Nutzeranmeldedaten genehmigt wurde, gehen Sie so vor, um auf die Assets zuzugreifen:

  1. Nach dem Datenprodukt suchen
  2. Klicken Sie in den Suchergebnissen auf das Datenprodukt, das Sie verwenden möchten.
  3. Klicke auf den Tab Assets.

  4. Klicken Sie auf das Asset, für das Sie Details aufrufen möchten. Dadurch wird die Detailseite des Eintrags geöffnet.

    Sie können auf Details wie Schema, Statistiken und Herkunft zugreifen. Wenn das Asset eine BigQuery-Tabelle oder -Ansicht ist, können Sie auf In BigQuery öffnen klicken, um zu BigQuery Studio zu wechseln und die Ergebnisse abzufragen.

Mit einem Dienstkonto auf Assets zugreifen

Wenn Ihre Zugriffsanfrage für ein Dienstkonto genehmigt wurde, wird Ihnen die IAM-Rolle Dienstkonto-Token-Ersteller (roles/iam.serviceAccountTokenCreator) für das Dienstkonto des Datenerstellers zugewiesen. So können Sie eine Identitätswechselkette erstellen, um auf die zugrunde liegenden Assets zuzugreifen.

So greifen Sie mit einem Dienstkonto auf Assets zu:

  1. Rufen Sie den Tab Daten-Assets auf der Detailseite des Datenprodukts auf, um die konfigurierten Dienstkonten für das Datenprodukt zu ermitteln.

  2. Wenn Sie die Identität des Datenersteller-Dienstkontos übernehmen möchten, erstellen Sie mit dem folgenden Google Cloud CLI-Befehl eine Identitätsübernahmekette für Ihr Dienstkonto:

    gcloud config set auth/impersonate_service_account CONSUMER_SERVICE_ACCOUNT,PRODUCER_SERVICE_ACCOUNT

    Ersetzen Sie Folgendes:

    • CONSUMER_SERVICE_ACCOUNT: die vollständig qualifizierte E-Mail-Adresse des Dienstkontos, das zum Datenproduktnutzer gehört

    • PRODUCER_SERVICE_ACCOUNT: die vollständig qualifizierte E-Mail-Adresse des Dienstkontos, das der Zugriffsgruppe für das Datenprodukt zugeordnet ist

    Weitere Informationen finden Sie unter Identitätsübernahme des Dienstkontos verwenden.

Über Remote-MCP-Server auf Datenprodukte zugreifen

Für Clientanwendungen und Entwicklertools, die außerhalb des Google Cloud -Ökosystems mit Ihren Datenprodukten interagieren, können Sie einen Remote-MCP-Server (Model Context Protocol) verwenden. Mit diesem Architekturmuster können externe Entwicklerclients katalogisierte Daten-Assets sicher abfragen und erkennen, während einheitliche Governance-Grenzen beibehalten werden.

Informationen zum Bereitstellen und Verbinden mit einem externen Server finden Sie unter Remote-MCP-Server für Knowledge Catalog verwenden.

Nächste Schritte