変更要約: Associate Data Practitioner 第4章を新規作成（ドメイン4「データ管理」: アクセス制御とガバナンス＝IAM 最小権限/事前定義ロール/Cloud Storage 均一アクセス/Analytics Hub、ライフサイクル管理＝ストレージクラス/ライフサイクルルール/BigQuery 有効期限、HA・DR とセキュリティ＝バックアップ/復旧/レプリケーション/一次・二次の保存場所/CMEK・CSEK・GMEK/Cloud KMS/保存時・転送時の暗号化）。
4.1アクセス制御とガバナンス
IAM による最小権限の徹底、データサービス（BigQuery・Cloud Storage）に対する基本ロール・事前定義ロール・権限の違い、Cloud Storage のアクセス制御方法（公開/非公開・均一アクセス）、そして安全にデータを共有する Analytics Hub の使いどころを理解します。
データは適切に統制しなければ、漏えいや誤用のリスクになります。アクセス制御の中心が IAM と、サービスごとのアクセス設定です。
4.1.1IAM とデータサービスのロール
IAM でデータへのアクセスを 最小権限 で付与します。ロールには、広範すぎる 基本ロール（閲覧者/編集者/オーナー）と、サービスごとに適切な 事前定義ロール（例：BigQuery データ閲覧者、Cloud Storage オブジェクト閲覧者）があり、必要に応じて細かい 権限 を組み合わせます。データサービスでは「誰にどのデータセット/バケットを、読み取りか書き込みか」を意識して、事前定義ロールを最小権限で付与するのが基本です。
4.1.2Cloud Storage のアクセスと Analytics Hub
Cloud Storage では、バケット内のオブジェクトへのアクセスを 公開（public）か非公開（private）か で制御し、権限管理を簡潔・安全にする 均一（uniform）バケットレベルアクセス を使うのが推奨です（オブジェクト個別の ACL より管理しやすい）。データを社内外の他組織と安全に共有したいときは、コピーを作らずに共有できる Analytics Hub を使い、BigQuery のデータセットを共有・受領します。「個別 ACL より均一アクセス」「データの安全な共有＝Analytics Hub」を押さえます。
「要件 → 手段」が頻出。例：「データに最小権限」＝事前定義ロールを IAM で、「閲覧だけ許可」＝BigQuery データ閲覧者などの事前定義ロール、「バケットの権限を簡潔・安全に」＝均一バケットレベルアクセス、「コピーせず他組織とデータ共有」＝Analytics Hub。
混同に注意：
①データにも基本ロールを避け事前定義/最小権限。
②均一バケットレベルアクセスは個別 ACL より推奨。
③Analytics Hub はデータをコピーせず共有（受領側が参照）。
データの統制では Knowledge Catalog（2026 年 4 月に Dataplex Universal Catalog から改称。旧称 Dataplex）も中核です。Cloud Storage や BigQuery などに分散したデータを論理的なレイク/ゾーンとして横断管理し、メタデータの自動カタログ化・データ品質チェック・ライフサイクル・アクセス制御を一元化します。サイロ化したデータの発見と統制を支えます。
4.1.3この節のまとめ
- IAM で最小権限。データサービスは事前定義ロール（例: BigQuery データ閲覧者）を使う
- Cloud Storage は公開/非公開＋均一バケットレベルアクセスで管理を簡潔・安全に
- 他組織との安全なデータ共有は Analytics Hub（コピーなし）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. BigQuery のデータセットに対して閲覧だけを許可したい。最も適切なロールはどれですか？
Q2. Cloud Storage のバケットで権限管理を簡潔かつ安全にしたい。推奨される方式はどれですか？
Q3. BigQuery のデータセットを、コピーを作らずに他の組織と安全に共有したい。最適なのはどれですか？
Q4. データへのアクセスを設計する基本原則はどれですか？
Q5. データサービスのアクセス設計で避けるべきものはどれですか？
Q6. Analytics Hub の主な利点として最も適切なものはどれですか？