Rollen und Berechtigungen

Auf dieser Seite werden die IAM-Rollen und ‑Berechtigungen für die Agent Registry aufgeführt.

Weisen Sie Nutzern oder Gruppen, die Agenten, MCP-Server, Tools, eigenständige Skills, Endpunkte und Bindungen in der Registry verwalten oder ansehen, die entsprechenden IAM-Rollen für die Agent Registry zu. Sie können Rollen über die IAM-Seite in der Google Cloud -Console oder über die Google Cloud CLI zuweisen. Eine detaillierte Anleitung finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Agent Registry-Rollen

In der folgenden Tabelle werden die IAM-Rollen für die Agent Registry und ihre typischen Verantwortlichkeiten beschrieben:

Achtung :Weisen Sie die Rollen Agent Registry API Admin (roles/agentregistry.admin) oder Agent Registry API Editor (roles/agentregistry.editor) nur vertrauenswürdigen Administratoren zu, die Berechtigungen zum Verwalten der Registrierung benötigen. Weisen Sie diese Rollen nicht direkt Agents zu. Diese Rollen enthalten Berechtigungen zum Erstellen, Löschen und Aktualisieren von Diensten, einschließlich der Änderung wichtiger Agent-Metadaten und Tool-Anmerkungen wie readOnlyHint oder destructiveHint. Bösartige Änderungen an Metadaten und Anmerkungen können unbeabsichtigte und schädliche Folgen haben, wenn ein Orchestrator das geänderte Tool verwendet. Außerdem kann ein Agent mit diesen Berechtigungen einen schädlichen externen Agenten explizit in der Registrierung registrieren.

Rolle	Beschreibung	Purpose
Agent Registry API Admin (roles/agentregistry.admin)	Vollständiger Zugriff auf alle Agent Registry-Ressourcen, einschließlich KI-Agenten, MCP-Server, Tools, Endpunkte, eigenständige Skills, Skill-Revisionen, Bindungen und Skill-IAM-Richtlinien.	Registrieren und verwalten Sie KI-Agenten, MCP-Server, Tools und Endpunkte. Eigenständige Skills und Skill-Versionen erstellen, aktualisieren und löschen. Bindungen und IAM-Richtlinien für Skills erstellen und verwalten
Agent Registry API Editor (roles/agentregistry.editor)	Bearbeitungszugriff auf Agent Registry-Ressourcen, einschließlich KI-Agenten, MCP-Server, Tools, Endpunkte, eigenständige Skills und Skill-Revisionen.	Registrieren und verwalten Sie KI-Agenten und MCP-Server. Tool-Definitionen und ‑Endpunkte aktualisieren. Eigenständige Skills und Skill-Versionen erstellen, aktualisieren und löschen.
Agent Registry API Viewer (roles/agentregistry.viewer)	Lesezugriff zum Ansehen und Suchen von KI-Agenten, MCP-Servern, Tools, eigenständigen Skills, Skill-Revisionen, Publishern, Endpunkten und Bindungen.	Verfügbare KI-Agenten, MCP-Server und Tools finden A2A-Skills, Standalone-Skills, Skill-Versionen, Publisher, Endpunkte und Bindungen für die Integration ansehen.
Agent Registry User (roles/agentregistry.user)	Lesezugriff auf Ressourcen der Agent Registry sowie Zugriff zum Erstellen, Aktualisieren und Löschen von eigenständigen Skills und Skill-Versionen.	Eigenständige Skills und Skill-Versionen erstellen, aktualisieren und löschen, ohne Bearbeitungszugriff auf Agents, MCP-Server oder Endpunkte zu haben. Versionsverwaltung für Skill-Überarbeitungen beibehalten und aktive Status von Skills zentral verwalten.

Berechtigungen für Agent Registry

In der folgenden Tabelle sind die Berechtigungen aufgeführt, die für die einzelnen IAM-Rollen der Agent Registry gelten:

Agent Registry API Admin Agent Registry API Editor Agent Registry API Viewer Agent Registry User Alle löschen

Agent Registry API Admin ^Beta (roles/agentregistry.admin) Vollständiger Zugriff auf Agent Registry API-Ressourcen.	agentregistry.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.create agentregistry.bindings.delete agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.bindings.update agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.getIamPolicy agentregistry.skills.list agentregistry.skills.search agentregistry.skills.setIamPolicy agentregistry.skills.update
Agent Registry API Editor ^Beta (roles/agentregistry.editor) Bearbeitungszugriff auf Agent Registry API-Ressourcen.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.* agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.* agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update
Agent Registry API Viewer ^Beta (roles/agentregistry.viewer) Lesezugriff auf Agent Registry API-Ressourcen.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search
Agent Registry User ^Beta (roles/agentregistry.user) Skills und Skill-Versionen erstellen, aktualisieren und löschen.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update

Weitere Informationen zu IAM-Berechtigungen finden Sie unter Die richtigen vordefinierten Rollen finden und im Index für IAM-Rollen und -Berechtigungen.

Zugriffssteuerung für registrierte Ressourcen

Mit Agent Registry-Rollen wird festgelegt, wer Ressourcen in der Registry verwalten und erkennen kann. Um zu steuern, welche Agenten über Agent Gateway mit registrierten Diensten, Endpunkten und MCP-Servern kommunizieren können, verwenden Sie Identity-Aware Proxy-Ausgangsrichtlinien:

• Berechtigungen für ausgehenden Zugriff: Wenn Sie einen Agent autorisieren möchten, Traffic an einen registrierten Agent, MCP-Server oder Endpunkt weiterzuleiten, weisen Sie dem Agent-Principal die Rolle IAP-secured Egressor (roles/iap.egressor) für die Zielressource zu.
• Berechtigungen für die Richtlinienverwaltung: Wenn Sie IAP-Web-IAM-Richtlinien für registrierte Ressourcen konfigurieren möchten, benötigen Sie die Rolle IAP Policy Admin (roles/iap.admin) für das Projekt, in dem die Registrierung gehostet wird.

Eine detaillierte Anleitung zum Konfigurieren von IAP-Richtlinien für ausgehenden Traffic finden Sie unter IAM-Agent-Richtlinien konfigurieren.