Peran dan izin

Halaman ini mencantumkan peran dan izin IAM untuk Agent Registry.

Berikan peran IAM Agent Registry yang sesuai kepada pengguna atau grup yang mengelola atau melihat agen, server MCP, alat, keterampilan mandiri, endpoint, dan binding di registry. Untuk memberikan peran, Anda dapat menggunakan halaman IAM di konsol Google Cloud atau Google Cloud CLI. Untuk petunjuk mendetail, lihat Mengelola akses ke project, folder, dan organisasi.

Peran Agent Registry

Tabel berikut menjelaskan peran IAM Agent Registry dan tanggung jawab umumnya:

Perhatian: Hanya berikan peran Admin Agent Registry API (roles/agentregistry.admin) atau Editor Agent Registry API (roles/agentregistry.editor) kepada administrator tepercaya yang memerlukan izin untuk mengelola registry, dan hindari pemberian peran ini secara langsung kepada agen. Peran ini berisi izin untuk membuat, menghapus, dan memperbarui layanan, termasuk mengubah metadata agen penting dan anotasi alat seperti readOnlyHint atau destructiveHint. Perubahan berbahaya pada metadata dan anotasi dapat menyebabkan konsekuensi yang tidak diinginkan dan merusak saat orkestrator menggunakan alat yang telah dimodifikasi. Selain itu, agen dengan izin ini dapat mendaftarkan agen eksternal berbahaya secara eksplisit ke dalam registri.

Peran	Deskripsi	Tujuan
Agent Registry API Admin (roles/agentregistry.admin)	Akses penuh ke semua resource Agent Registry, termasuk agen, server MCP, alat, endpoint, kemampuan mandiri, revisi kemampuan, binding, dan kebijakan IAM kemampuan.	Mendaftarkan dan mengelola agen, server MCP, alat, dan endpoint. Membuat, memperbarui, dan menghapus kemampuan mandiri dan revisi kemampuan. Buat dan kelola binding serta kebijakan IAM skill.
Editor Agent Registry API (roles/agentregistry.editor)	Mengedit akses ke resource Agent Registry, termasuk agen, server MCP, alat, endpoint, kemampuan mandiri, dan revisi kemampuan.	Mendaftarkan dan mengelola agen serta server MCP. Memperbarui definisi dan endpoint alat. Membuat, memperbarui, dan menghapus kemampuan mandiri dan revisi kemampuan.
Pelihat Agent Registry API (roles/agentregistry.viewer)	Akses hanya baca untuk melihat dan menelusuri agen, server MCP, alat, kemampuan mandiri, revisi kemampuan, penayang, endpoint, dan binding.	Menemukan agen, server MCP, dan alat yang tersedia. Melihat kemampuan A2A, kemampuan mandiri, revisi kemampuan, penayang, endpoint, dan binding untuk integrasi.
Pengguna Agent Registry (roles/agentregistry.user)	Akses hanya baca ke resource Agent Registry, ditambah akses untuk membuat, memperbarui, dan menghapus skill mandiri dan revisi skill.	Membuat, memperbarui, dan menghapus kemampuan mandiri dan revisi kemampuan tanpa akses edit ke agen, server MCP, atau endpoint. Pertahankan kontrol versi untuk revisi keahlian dan kelola status aktif keahlian secara terpusat.

Izin Agent Registry

Tabel berikut mencantumkan izin yang dimiliki setiap peran IAM Agent Registry:

Admin Agent Registry API Editor Agent Registry API Pelihat Agent Registry API Pengguna Agent Registry Hapus semua

Admin Agent Registry API ^Beta (roles/agentregistry.admin) Akses penuh ke resource Agent Registry API.	agentregistry.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.create agentregistry.bindings.delete agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.bindings.update agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.getIamPolicy agentregistry.skills.list agentregistry.skills.search agentregistry.skills.setIamPolicy agentregistry.skills.update
Agent Registry API Editor ^Beta (roles/agentregistry.editor) Mengedit akses ke resource Agent Registry API.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.* agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.* agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update
Agent Registry API Viewer ^Beta (roles/agentregistry.viewer) Akses hanya baca ke resource Agent Registry API.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search
Pengguna Agent Registry ^Beta (roles/agentregistry.user) Membuat, memperbarui, dan menghapus keterampilan dan revisi keterampilan.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update

Untuk mengetahui informasi selengkapnya tentang izin IAM, lihat Menemukan peran bawaan yang tepat dan Indeks peran dan izin IAM.

Kontrol akses untuk resource terdaftar

Peran Agent Registry mengatur siapa yang dapat mengelola dan menemukan resource di registry itu sendiri. Untuk mengontrol agen mana yang dapat berkomunikasi dengan layanan, endpoint, dan server MCP terdaftar melalui Agent Gateway, Anda menggunakan kebijakan keluar Identity-Aware Proxy:

• Izin akses keluar: Untuk mengizinkan agen merutekan traffic ke agen, server MCP, atau endpoint yang terdaftar, berikan peran IAP-secured Egressor (roles/iap.egressor) kepada principal agen di resource target.
• Izin administrasi kebijakan: Untuk mengonfigurasi kebijakan IAM web IAP pada resource terdaftar, Anda harus mendapatkan peran Admin Kebijakan IAP (roles/iap.admin) di project yang menghosting registry.

Untuk mengetahui petunjuk mendetail tentang cara mengonfigurasi kebijakan egress IAP, lihat Mengonfigurasi kebijakan agen IAM.