Envía los resultados de la inspección a Dataplex Universal Catalog como aspectos

En este documento, se describe cómo inspeccionar una tabla de BigQuery en busca de datos sensibles y enviar los resultados de la inspección a Dataplex Universal Catalog. Esta acción agrega automáticamente un aspecto a la entrada de Dataplex Universal Catalog asociada con tu tabla de BigQuery.

Este documento también proporciona ejemplos de consultas que puedes usar para encontrar datos en tu organización y proyectos con valores de aspectos específicos.

Esta función es útil si deseas enriquecer tus metadatos en Dataplex Universal Catalog con clasificaciones de datos sensibles de los trabajos de inspección de Sensitive Data Protection.

Los aspectos generados incluyen los siguientes detalles:

• Nombre del trabajo de inspección
• Los tipos de información (infoTypes) que se detectaron en la tabla

Acerca de Dataplex Universal Catalog

Dataplex Universal Catalog proporciona un inventario unificado de recursos de Google Cloud .

Dataplex Universal Catalog te permite usar aspectos para agregar metadatos técnicos y empresariales a tus datos y capturar contexto y conocimiento sobre tus recursos. Luego, puedes buscar y descubrir datos en toda tu organización, y habilitar la administración de datos en tus recursos de datos. Para obtener más información, consulta Aspectos.

Importante: Dataplex Universal Catalog, que usa aspectos, no es lo mismo que Data Catalog, que usa etiquetas. Data Catalog está obsoleto. La función de Protección de datos sensibles que te permite enviar resultados de la inspección a Data Catalog también está

obsoleta.

Cómo funciona

Para crear automáticamente aspectos de Dataplex Universal Catalog basados en los resultados de los trabajos de inspección, sigue este flujo de trabajo general:

1. Crea o edita un trabajo de inspección que inspeccione una tabla de BigQuery. Si deseas obtener instrucciones, consulta Cómo inspeccionar una tabla de BigQuery.

2. En el paso Agregar acciones, habilita Publicar en Dataplex Universal Catalog.

La Protección de datos sensibles agrega o actualiza el aspecto Sensitive Data Protection job result de la entrada de Dataplex Universal Catalog asociada con la tabla de BigQuery. Luego, puedes buscar en Dataplex Universal Catalog todos los datos de tu organización o proyecto con valores de aspectos específicos. Para ver ejemplos de búsquedas, consulta Ejemplos de búsquedas en este documento.

El aspecto resultante de Dataplex Universal Catalog se almacena en el mismo proyecto y región que la tabla de BigQuery.

Nota: Cuando habilitas la acción Publicar en Dataplex Universal Catalog en un activador de trabajo existente, Sensitive Data Protection aplica esta acción solo a los trabajos de inspección nuevos del activador de trabajo y no a los trabajos de inspección anteriores.

Campos de aspectos

El aspecto Sensitive Data Protection job result tiene los siguientes campos:

Nombre del trabajo

Es el nombre completo del recurso del trabajo de inspección, por ejemplo, projects/example-project/locations/us/dlpJobs/i-8992079400000000000.

Recuentos de Infotipos

Nombres de los Infotipos que buscó el trabajo de inspección (como se especificó en la configuración de inspección) y el recuento de hallazgos para cada Infotipo. Un Infotipo que no tiene resultados tiene un recuento de 0.

Hora de finalización

Fecha y hora en que finalizó el trabajo de inspección.

Es Full Scan

Indica si el trabajo de inspección analizó todas las filas de la tabla. Si el muestreo está habilitado en el trabajo de inspección, por ejemplo, el valor de este campo es False.

Tiene resultados

Indica si el trabajo de inspección detectó alguno de los Infotipos que analizó.

Habilitar la API de Dataplex

La API de Dataplex debe estar habilitada en cada proyecto que contenga datos para los que desees agregar aspectos. En esta sección, se describe cómo habilitar la API de Dataplex en un solo proyecto o en todos los proyectos de una organización o carpeta.

Habilita la API de Dataplex en un solo proyecto

1. Selecciona el proyecto en el que deseas habilitar la API de Dataplex.

   Ir al selector de proyectos

2. Enable the Dataplex API.

   Roles required to enable APIs

   To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

   Enable the API

Habilita la API de Dataplex en todos los proyectos de una organización o carpeta

En esta sección, se proporciona una secuencia de comandos que busca todos los proyectos de una organización o carpeta y habilita la API de Dataplex en cada uno de esos proyectos.

Para obtener los permisos que necesitas para habilitar la API de Dataplex en todos los proyectos de una organización o carpeta, pídele a tu administrador que te otorgue los siguientes roles de IAM:

• Visualizador de recursos de Cloud (roles/cloudasset.viewer) en la organización o la carpeta
• Usuario de DLP (roles/dlp.user) en cada proyecto en el que desees habilitar la API de Dataplex

Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Estos roles predefinidos contienen los permisos necesarios para habilitar la API de Dataplex en todos los proyectos de una organización o carpeta. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

Permisos necesarios

Se requieren los siguientes permisos para habilitar la API de Dataplex en todos los proyectos de una organización o carpeta:

• Para buscar todos los proyectos de una organización o carpeta, haz lo siguiente: cloudasset.assets.searchAllResources en la organización o carpeta
• Para habilitar la API de Dataplex, haz lo siguiente: serviceusage.services.use en cada proyecto en el que desees habilitar la API de Dataplex

También puedes obtener estos permisos con roles personalizados o con otros roles predefinidos.

Para habilitar la API de Dataplex en todos los proyectos de una organización o carpeta, sigue estos pasos:

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Ejecuta la siguiente secuencia de comandos:

   #!/bin/bash
   
   RESOURCE_ID="RESOURCE_ID"
   
   gcloud asset search-all-resources \
       --scope="RESOURCE_TYPE/$RESOURCE_ID" \
       --asset-types="cloudresourcemanager.googleapis.com/Project" \
       --format="value(name)" |
       while read project_name; do
         project_id=$(echo "$project_name" | sed 's|.*/||')
         gcloud services enable "dataplex.googleapis.com" --project="$project_id"
       done
   

   Reemplaza lo siguiente:

   • RESOURCE_ID: El número de organización o de carpeta del recurso que contiene los proyectos
   • RESOURCE_TYPE: Es el tipo de recurso que contiene los proyectos: organizations o folders.

Roles y permisos para ver aspectos

Para obtener los permisos que necesitas para buscar aspectos asociados con tu tabla de BigQuery, pídele a tu administrador que te otorgue los siguientes roles de IAM en la tabla:

• Visualizador de Dataplex Catalog (roles/dataplex.catalogViewer)
• Visualizador de datos de BigQuery (roles/bigquery.dataViewer)

Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Estos roles predefinidos contienen los permisos necesarios para buscar aspectos asociados a tu tabla de BigQuery. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

Permisos necesarios

Se requieren los siguientes permisos para buscar aspectos asociados a tu tabla de BigQuery:

• Consulta las entradas de Dataplex Universal Catalog:
  • dataplex.entries.list
  • dataplex.entries.get
• Consulta los conjuntos de datos y las tablas de BigQuery:
  • bigquery.datasets.get
  • bigquery.tables.get

También puedes obtener estos permisos con roles personalizados o con otros roles predefinidos.

Para obtener más información sobre los permisos necesarios para usar Dataplex Universal Catalog, consulta Permisos de IAM de Dataplex Universal Catalog.

Configura y ejecuta un trabajo de inspección de Sensitive Data Protection

Puedes configurar y ejecutar un trabajo de inspección de Sensitive Data Protection con la Google Cloud consola o la API de DLP.

Console

1. En la consola de Google Cloud , ve a la página Crear trabajo o activador de trabajo.

   Ir a Crear trabajo o activador de trabajo

2. Elige tu proyecto.
3. Ingresa los detalles requeridos del trabajo de inspección y los detalles de la tabla de BigQuery que deseas inspeccionar. Si deseas obtener instrucciones, consulta Cómo inspeccionar una tabla de BigQuery. Para obtener una lista completa de los tipos de información que puede inspeccionar Sensitive Data Protection, consulta la Referencia del detector de Infotipos.
4. En Add actions, habilita Publish to Dataplex Universal Catalog.
5. Haz clic en Crear. El trabajo se ejecuta de inmediato.

REST

En el siguiente ejemplo, se envía una solicitud de projects.locations.dlpJobs.create para inspeccionar una tabla de BigQuery y enviar los resultados a Dataplex Universal Catalog.

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

• PROJECT_ID: El ID de tu proyecto de Google Cloud . Los IDs de proyecto son cadenas alfanuméricas.
• LOCATION: Es la región o multirregión en la que deseas procesar la solicitud, por ejemplo, europe-west1 o us. Para conocer las ubicaciones disponibles, consulta Ubicaciones de Sensitive Data Protection.
• BIGQUERY_DATASET_NAME: Nombre del conjunto de datos de BigQuery que contiene la tabla que se inspeccionará
• BIGQUERY_TABLE_NAME: Nombre de la tabla de BigQuery que se inspeccionará

Método HTTP y URL:

POST https://dlp.googleapis.com/v2/projects/PROJECT_ID/locations/LOCATION/dlpJobs

Cuerpo JSON de la solicitud:

{
              "inspectJob":
              {
                "storageConfig":
                {
                  "bigQueryOptions":
                  {
                    "tableReference":
                    {
                      "projectId": "PROJECT_ID",
                      "datasetId": "BIGQUERY_DATASET_NAME",
                      "tableId": "BIGQUERY_TABLE_NAME"
                    }
                  }
                },
                "inspectConfig":
                {
                  "infoTypes":
                  [
                    {
                      "name": "EMAIL_ADDRESS"
                    },
                    {
                      "name": "PERSON_NAME"
                    },
                    {
                      "name": "US_SOCIAL_SECURITY_NUMBER"
                    },
                    {
                      "name": "PHONE_NUMBER"
                    }
                  ],
                  "includeQuote": true,
                  "minLikelihood": "UNLIKELY",
                  "limits":
                  {
                    "maxFindingsPerRequest": 100
                  }
                },
                "actions":
                [
                  {
                    "publishFindingsToDataplexCatalog": {}
                  }
                ]
              }
            }

Para enviar tu solicitud, expande una de estas opciones:

curl (Linux, macOS o Cloud Shell)

Nota: Con el siguiente comando, se supone que accediste a la CLI de gcloud con tu cuenta de usuario a través de la ejecución de gcloud init o gcloud auth login, o a través del uso de Cloud Shell, que accede de forma automática a la CLI de gcloud. Para comprobar la cuenta activa actual, ejecuta gcloud auth list.

Guarda el cuerpo de la solicitud en un archivo llamado inspect-request.json y ejecuta el siguiente comando:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @inspect-request.json \
     "https://dlp.googleapis.com/v2/projects/PROJECT_ID/locations/LOCATION/dlpJobs"

PowerShell (Windows)

Nota: El siguiente comando supone que accediste a la CLI de gcloud con tu cuenta de usuario mediante la ejecución de gcloud init o gcloud auth login. Para comprobar la cuenta activa actual, ejecuta gcloud auth list.

Guarda el cuerpo de la solicitud en un archivo llamado inspect-request.json y ejecuta el siguiente comando:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile inspect-request.json `
    -Uri "https://dlp.googleapis.com/v2/projects/PROJECT_ID/locations/LOCATION/dlpJobs" | Select-Object -Expand Content

Deberías recibir una respuesta JSON similar a la que se muestra a continuación:

{
  "name": "projects/PROJECT_ID/locations/LOCATION/dlpJobs/JOB_ID",
  "type": "INSPECT_JOB",
  "state": "PENDING",
  "inspectDetails": {
    "requestedOptions": {
      "snapshotInspectTemplate": {},
      "jobConfig": {
        "storageConfig": {
          "bigQueryOptions": {
            "tableReference": {
              "projectId": "PROJECT_ID",
              "datasetId": "BIGQUERY_DATASET_NAME",
              "tableId": "BIGQUERY_TABLE_NAME"
            }
          }
        },
        "inspectConfig": {
          "infoTypes": [
            {
              "name": "EMAIL_ADDRESS"
            },
            {
              "name": "PERSON_NAME"
            },
            {
              "name": "US_SOCIAL_SECURITY_NUMBER"
            },
            {
              "name": "PHONE_NUMBER"
            }
          ],
          "minLikelihood": "UNLIKELY",
          "limits": {
            "maxFindingsPerRequest": 100
          },
          "includeQuote": true
        },
        "actions": [
          {
            "publishFindingsToDataplexCatalog": {}
          }
        ]
      }
    },
    "result": {}
  },
  "createTime": "2025-09-09T00:29:55.951374Z",
  "lastModified": "2025-09-09T00:29:58.022967Z"
}

Para obtener información sobre cómo obtener los resultados del trabajo de inspección con la API de DLP, consulta Obtén un trabajo.

Ejemplos de búsquedas

En esta sección, se proporcionan ejemplos de búsquedas que puedes usar en Dataplex Universal Catalog para encontrar datos en tu organización o proyecto con valores de aspectos específicos.

Solo puedes encontrar los datos a los que tienes acceso. El acceso a los datos se controla a través de permisos de IAM. Para obtener más información, consulta Roles y permisos para ver aspectos en este documento.

Puedes ingresar estas consultas de ejemplo en el campo Búsqueda de la página Búsqueda de Dataplex Universal Catalog.

Ir a Búsqueda

Para obtener información sobre cómo formar las consultas, consulta Sintaxis de búsqueda de Dataplex Universal Catalog.

Encuentra las entradas de todas las tablas que tienen el aspecto de resultado del trabajo de protección de datos sensibles.

aspect:sensitive-data-protection-job-result

Cómo encontrar las entradas de las tablas inspeccionadas que tienen resultados

aspect:sensitive-data-protection-job-result.hasFindings=True

Cómo encontrar las entradas de las tablas inspeccionadas que no tienen resultados

aspect:sensitive-data-protection-job-result.hasFindings=False

Encuentra las entradas de las tablas que se inspeccionaron por completo

La siguiente consulta devuelve las entradas de las tablas que Sensitive Data Protection inspeccionó fila por fila.

aspect:sensitive-data-protection-job-result.isFullScan=True

Cómo encontrar las entradas de las tablas que no se inspeccionaron por completo

La siguiente consulta devuelve las entradas de las tablas que la Protección de datos sensibles inspeccionó a través del muestreo.

aspect:sensitive-data-protection-job-result.isFullScan=False