ロールと権限

このページでは、Agent Registry の IAM ロールと権限を示します。

レジストリ内のエージェント、MCP サーバー、ツール、スタンドアロン スキル、エンドポイント、バインディングを管理または表示するユーザーまたはグループに、適切な Agent Registry IAM ロールを付与します。ロールを付与するには、 Google Cloud コンソールの [IAM] ページまたは Google Cloud CLI を使用します。詳しい手順については、プロジェクト、フォルダ、組織へのアクセスを管理するをご覧ください。

Agent Registry のロール

次の表に、Agent Registry の IAM ロールと、それぞれのロールの一般的な責任を示します。

注意: Agent Registry API 管理者（roles/agentregistry.admin）または Agent Registry API 編集者（roles/agentregistry.editor）のロールは、レジストリの管理に必要な権限を持つ信頼できる管理者にのみ付与してください。これらのロールをエージェントに直接付与することは避けてください。これらのロールには、サービスを作成、削除、更新する権限が含まれています。これには、重要なエージェント メタデータや、readOnlyHint や destructiveHint などのツール アノテーションの変更も含まれます。メタデータとアノテーションが不正に変更されると、オーケストレーターが変更されたツールを使用するときに、意図しない破壊的な結果が生じる可能性があります。また、これらの権限を持つエージェントは、悪意のある外部エージェントをレジストリに明示的に登録できます。

役割	説明	目的
Agent Registry API 管理者 （roles/agentregistry.admin）	エージェント、MCP サーバー、ツール、エンドポイント、スタンドアロン スキル、スキル リビジョン、バインディング、スキル IAM ポリシーなど、すべての Agent Registry リソースへの完全アクセス権。	エージェント、MCP サーバー、ツール、エンドポイントを登録して管理します。 スタンドアロン スキルとスキル リビジョンを作成、更新、削除します。 バインディングとスキル IAM ポリシーを作成して管理します。
Agent Registry API 編集者（roles/agentregistry.editor）	エージェント、MCP サーバー、ツール、エンドポイント、スタンドアロン スキル、スキル リビジョンなどの Agent Registry リソースに対する編集権限。	エージェントと MCP サーバーを登録して管理します。 ツール定義とエンドポイントを更新します。 スタンドアロン スキルとスキル リビジョンを作成、更新、削除します。
Agent Registry API 閲覧者 （roles/agentregistry.viewer）	エージェント、MCP サーバー、ツール、スタンドアロン スキル、スキル リビジョン、パブリッシャー、エンドポイント、バインディングを表示して検索するための読み取り専用アクセス権。	利用可能なエージェント、MCP サーバー、ツールを検出します。 統合用の A2A スキル、スタンドアロン スキル、スキル リビジョン、パブリッシャー、エンドポイント、バインディングを表示します。
Agent Registry ユーザー（roles/agentregistry.user）	エージェント レジストリ リソースに対する読み取り専用アクセス権と、スタンドアロン スキルとスキル リビジョンの作成、更新、削除を行うためのアクセス権。	エージェント、MCP サーバー、エンドポイントへの編集アクセス権がなくても、スタンドアロン スキルとスキル リビジョンを作成、更新、削除できます。 スキルの改訂のバージョン管理を行い、スキルのアクティブな状態を一元管理します。

Agent Registry の権限

次の表に、各 Agent Registry IAM ロールが持つ権限を示します。

Agent Registry API 管理者 Agent Registry API 編集者 Agent Registry API 閲覧者 Agent Registry ユーザー すべてクリア

Agent Registry API 管理者 （^ベータ版） （roles/agentregistry.admin） Agent Registry API リソースに対する完全アクセス権。	agentregistry.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.create agentregistry.bindings.delete agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.bindings.update agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.getIamPolicy agentregistry.skills.list agentregistry.skills.search agentregistry.skills.setIamPolicy agentregistry.skills.update
Agent Registry API 編集者 ^ベータ版 （roles/agentregistry.editor） Agent Registry API リソースに対する編集権限。	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.* agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.* agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update
Agent Registry API 閲覧者 （^ベータ版） （roles/agentregistry.viewer） Agent Registry API リソースに対する読み取り専用アクセス権。	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search
Agent Registry ユーザー^ベータ版 （roles/agentregistry.user） スキルとスキル リビジョンを作成、更新、削除します。	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update

IAM 権限の詳細については、適切な事前定義ロールを見つけると IAM のロールと権限のインデックスをご覧ください。

登録済みリソースのアクセス制御

Agent Registry のロールは、レジストリ自体でリソースを管理および検出できるユーザーを制御します。Agent Gateway を介して登録済みのサービス、エンドポイント、MCP サーバーと通信できるエージェントを制御するには、Identity-Aware Proxy 下り（外向き）ポリシーを使用します。

• 下り（外向き）アクセス権限: エージェントが登録済みのエージェント、MCP サーバー、エンドポイントにトラフィックを転送することを承認するには、ターゲット リソースのエージェント プリンシパルに IAP で保護された下り（外向き）（roles/iap.egressor）ロールを付与します。
• ポリシー管理権限: 登録済みリソースで IAP ウェブ IAM ポリシーを構成するには、レジストリをホストするプロジェクトで IAP ポリシー管理者（roles/iap.admin）ロールを取得する必要があります。

IAP 下り（外向き）ポリシーの構成の詳細な手順については、IAM エージェント ポリシーを構成するをご覧ください。