Funciones y permisos

En esta página, se enumeran los roles y permisos de IAM para Agent Registry.

Otorga los roles de IAM adecuados de Agent Registry a los usuarios o grupos que administran o visualizan agentes, servidores de MCP, herramientas, habilidades independientes, extremos y vinculaciones en el registro. Para otorgar roles, puedes usar la página de IAM en la consola de Google Cloud o Google Cloud CLI. Para obtener instrucciones detalladas, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Roles de Agent Registry

En la siguiente tabla, se describen los roles de IAM de Agent Registry y sus responsabilidades típicas:

Precaución: Solo otorga los roles de administrador de la API de Agent Registry (roles/agentregistry.admin) o editor de la API de Agent Registry (roles/agentregistry.editor) a los administradores de confianza que requieran permisos para administrar el registro, y evita otorgar estos roles directamente a los agentes. Estos roles contienen permisos para crear, borrar y actualizar servicios, lo que incluye modificar metadatos críticos del agente y anotaciones de herramientas, como readOnlyHint o destructiveHint. Los cambios maliciosos en los metadatos y las anotaciones pueden causar consecuencias no deseadas y destructivas cuando un orquestador usa la herramienta modificada. Además, un agente con estos permisos puede inscribir explícitamente a un agente externo malicioso en el registro.

Función	Descripción	Purpose
Administrador de la API de Agent Registry (roles/agentregistry.admin)	Acceso completo a todos los recursos de Agent Registry, incluidos los agentes, los servidores de MCP, las herramientas, los extremos, las habilidades independientes, las revisiones de habilidades, las vinculaciones y las políticas de IAM de habilidades.	Registra y administra agentes, servidores de MCP, herramientas y endpoints. Crea, actualiza y borra habilidades independientes y revisiones de habilidades. Crear y administrar vinculaciones y políticas de IAM de habilidades
Editor de la API de Agent Registry (roles/agentregistry.editor)	Tiene acceso de edición a los recursos de Agent Registry, incluidos los agentes, los servidores de MCP, las herramientas, los endpoints, las habilidades independientes y las revisiones de habilidades.	Registrar y administrar agentes y servidores de MCP Actualiza las definiciones y los extremos de las herramientas. Crea, actualiza y borra habilidades independientes y revisiones de habilidades.
Visualizador de la API de Agent Registry (roles/agentregistry.viewer)	Acceso de solo lectura para ver y buscar agentes, servidores de MCP, herramientas, habilidades independientes, revisiones de habilidades, publicadores, endpoints y vinculaciones.	Descubre los agentes, los servidores de MCP y las herramientas disponibles. Consulta las habilidades de A2A, las habilidades independientes, las revisiones de habilidades, los publicadores, los extremos y las vinculaciones para la integración.
Usuario de Agent Registry (roles/agentregistry.user)	Acceso de solo lectura a los recursos de Agent Registry, además de acceso para crear, actualizar y borrar habilidades independientes y revisiones de habilidades.	Crea, actualiza y borra habilidades independientes y revisiones de habilidades sin acceso de edición a agentes, servidores de MCP o endpoints. Mantén el control de versión para las revisiones de habilidades y administra de forma centralizada los estados activos de las habilidades.

Permisos de Agent Registry

En la siguiente tabla, se enumeran los permisos que tiene cada rol de IAM de Agent Registry:

Administrador de la API de Agent Registry Editor de la API de Agent Registry Visualizador de la API de Agent Registry Usuario de Agent Registry Borrar todo

Administrador de la API de Agent Registry ^Beta (roles/agentregistry.admin) Tiene acceso total a los recursos de la API de Agent Registry.	agentregistry.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.create agentregistry.bindings.delete agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.bindings.update agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.getIamPolicy agentregistry.skills.list agentregistry.skills.search agentregistry.skills.setIamPolicy agentregistry.skills.update
Editor de la API de Agent Registry ^Beta (roles/agentregistry.editor) Tiene acceso de edición a los recursos de la API de Agent Registry.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.* agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.* agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update
Visualizador de la API de Agent Registry ^Beta (roles/agentregistry.viewer) Tiene acceso de solo lectura a los recursos de la API de Agent Registry.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search
Usuario de Agent Registry ^Beta (roles/agentregistry.user) Crea, actualiza y borra habilidades y revisiones de habilidades.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update

Para obtener más información sobre los permisos de IAM, consulta Cómo encontrar los roles predefinidos adecuados y el índice de roles y permisos de IAM.

Control de acceso para recursos registrados

Los roles de Agent Registry rigen quién puede administrar y descubrir recursos en el registro. Para controlar qué agentes pueden comunicarse con los servicios, los extremos y los servidores de MCP registrados a través de Agent Gateway, usa las políticas de salida de Identity-Aware Proxy:

• Permisos de acceso de salida: Para autorizar a un agente a enrutar el tráfico a un agente, servidor de MCP o extremo registrados, otorga el rol de Egressor protegido por IAP (roles/iap.egressor) al principal del agente en el recurso de destino.
• Permisos de administración de políticas: Para configurar políticas de IAM de IAP web en recursos registrados, debes obtener el rol de Administrador de políticas de IAP (roles/iap.admin) en el proyecto que aloja el registro.

Para obtener instrucciones detalladas sobre cómo configurar las políticas de salida de IAP, consulta Configura políticas del agente de IAM.