Rôles et autorisations

Cette page liste les rôles et autorisations IAM pour Agent Registry.

Accordez les rôles IAM Agent Registry appropriés aux utilisateurs ou aux groupes qui gèrent ou consultent les agents, les serveurs MCP, les outils, les compétences autonomes, les points de terminaison et les liaisons dans le registre. Pour attribuer des rôles, vous pouvez utiliser la page IAM de la console Google Cloud ou la Google Cloud CLI. Pour obtenir des instructions détaillées, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

Rôles Agent Registry

Le tableau suivant décrit les rôles IAM du registre d'agents et leurs responsabilités habituelles :

Attention : N'accordez les rôles Administrateur de l'API Agent Registry (roles/agentregistry.admin) ou Éditeur de l'API Agent Registry (roles/agentregistry.editor) qu'aux administrateurs de confiance qui ont besoin d'autorisations pour gérer le registre. Évitez d'accorder ces rôles directement aux agents. Ces rôles contiennent des autorisations permettant de créer, de supprimer et de mettre à jour des services, y compris de modifier les métadonnées d'agent critiques et les annotations d'outil telles que readOnlyHint ou destructiveHint. Les modifications malveillantes apportées aux métadonnées et aux annotations peuvent avoir des conséquences indésirables et destructrices lorsqu'un orchestrateur utilise l'outil modifié. De plus, un agent disposant de ces autorisations peut enregistrer explicitement un agent externe malveillant dans le registre.

Rôle	Description	Purpose
Administrateur de l'API Agent Registry (roles/agentregistry.admin)	Accès complet à toutes les ressources Agent Registry, y compris les agents, les serveurs MCP, les outils, les points de terminaison, les compétences autonomes, les révisions de compétences, les liaisons et les stratégies IAM des compétences.	Enregistrez et gérez les agents, les serveurs MCP, les outils et les points de terminaison. Créez, mettez à jour et supprimez des compétences autonomes et des révisions de compétences. Créez et gérez des liaisons et des stratégies IAM pour les compétences.
Éditeur de l'API Agent Registry (roles/agentregistry.editor)	Accès permettant de modifier les ressources Agent Registry, y compris les agents, les serveurs MCP, les outils, les points de terminaison, les compétences autonomes et les révisions de compétences.	Enregistrez et gérez les agents et les serveurs MCP. Mettre à jour les définitions et les points de terminaison des outils. Créez, mettez à jour et supprimez des compétences autonomes et des révisions de compétences.
Lecteur de l'API Agent Registry (roles/agentregistry.viewer)	Accès en lecture seule pour afficher et rechercher des agents, des serveurs MCP, des outils, des compétences autonomes, des révisions de compétences, des éditeurs, des points de terminaison et des liaisons.	Découvrez les agents, les serveurs MCP et les outils disponibles. Affichez les skills A2A, les skills autonomes, les révisions de skills, les éditeurs, les points de terminaison et les liaisons pour l'intégration.
Utilisateur du registre d'agents (roles/agentregistry.user)	Accès en lecture seule aux ressources du registre d'agents, ainsi qu'accès permettant de créer, de mettre à jour et de supprimer des compétences autonomes et des révisions de compétences.	Créez, mettez à jour et supprimez des compétences autonomes et des révisions de compétences sans accès en modification aux agents, aux serveurs MCP ni aux points de terminaison. Conservez le contrôle des versions pour les révisions de compétences et gérez de manière centralisée les états actifs des compétences.

Autorisations Agent Registry

Le tableau suivant liste les autorisations de chaque rôle IAM de l'Agent Registry :

Administrateur de l'API Agent Registry Éditeur de l'API Agent Registry Lecteur de l'API Agent Registry Utilisateur Agent Registry Tout effacer

Administrateur de l'API Agent Registry ^Bêta (roles/agentregistry.admin) Accès complet aux ressources de l'API Agent Registry.	agentregistry.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.create agentregistry.bindings.delete agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.bindings.update agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.getIamPolicy agentregistry.skills.list agentregistry.skills.search agentregistry.skills.setIamPolicy agentregistry.skills.update
Éditeur de l'API Agent Registry ^Bêta (roles/agentregistry.editor) Accès permettant de modifier les ressources de l'API Agent Registry.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.* agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.* agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update
Lecteur de l'API Agent Registry ^Bêta (roles/agentregistry.viewer) Accès en lecture seule aux ressources de l'API Agent Registry.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search
Utilisateur Agent Registry ^Bêta (roles/agentregistry.user) Créez, mettez à jour et supprimez des compétences et des révisions de compétences.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update

Pour en savoir plus sur les autorisations IAM, consultez Trouver les rôles prédéfinis appropriés et l'index des rôles et autorisations IAM.

Contrôle des accès pour les ressources enregistrées

Les rôles de l'Agent Registry déterminent qui peut gérer et découvrir les ressources dans le registre lui-même. Pour contrôler les agents pouvant communiquer avec les services, points de terminaison et serveurs MCP enregistrés via Agent Gateway, vous utilisez les règles de trafic sortant Identity-Aware Proxy :

• Autorisations d'accès à la sortie : pour autoriser un agent à acheminer le trafic vers un agent, un serveur MCP ou un point de terminaison enregistrés, accordez le rôle Egressor sécurisé par IAP (roles/iap.egressor) au principal de l'agent sur la ressource cible.
• Autorisations d'administration des règles : pour configurer des règles IAM IAP Web sur les ressources enregistrées, vous devez obtenir le rôle Administrateur des règles IAP (roles/iap.admin) sur le projet hébergeant le registre.

Pour obtenir des instructions détaillées sur la configuration des règles de sortie IAP, consultez Configurer les règles d'agent IAM.