Rollen und Berechtigungen

Mit IAM-Rollen und -Berechtigungen (Identity and Access Management) können Sie steuern, wer Agenten, MCP-Server, Tools, eigenständige Skills, Endpunkte und Bindungen in Agent Registry ansehen, registrieren und verwalten darf.

Wenn Sie Nutzern oder Gruppen in Ihrem Governance-Projekt IAM-Rollen für die Agent Registry zuweisen möchten, verwenden Sie die IAM-Seite in der Google Cloud Console oder die Google Cloud CLI. Eine ausführliche Anleitung finden Sie unter Zugriffssteuerung mit IAM und Zugriff auf Projekte, Ordner und Organisationen verwalten.

Agent Registry-Rollen

In der folgenden Tabelle werden die IAM-Rollen für die Agent Registry und ihre typischen Aufgaben beschrieben:

Achtung: Weisen Sie die Rollen Agent Registry API Admin (roles/agentregistry.admin) oder Agent Registry API Editor (roles/agentregistry.editor) nur vertrauenswürdigen Administratoren zu, die die Registry verwalten. Weisen Sie diese Rollen nicht direkt Agenten zu. Diese Rollen enthalten Berechtigungen zum Erstellen, Löschen und Aktualisieren von Diensten, einschließlich des Änderns wichtiger Agent-Metadaten und Tool-Annotationen wie readOnlyHint oder destructiveHint. Bösartige Änderungen an Metadaten und Annotationen können unbeabsichtigte und destruktive Folgen haben, wenn ein Orchestrator das geänderte Tool verwendet. Außerdem kann ein KI-Agent mit diesen Berechtigungen einen schädlichen externen KI-Agenten explizit in der Registry registrieren.

Rolle	Beschreibung	Purpose
Agent Registry API Admin (roles/agentregistry.admin)	Vollständiger Zugriff auf alle Agent Registry-Ressourcen, einschließlich KI-Agenten, MCP-Servern, Tools, Endpunkten, eigenständigen Skills, Skill-Versionen, Bindungen und Skill-IAM-Richtlinien.	KI-Agenten, MCP-Server, Tools und Endpunkte registrieren und verwalten. Eigenständige Skills und Skill-Versionen erstellen, aktualisieren und löschen. Bindungen und IAM-Richtlinien für Skills erstellen und verwalten
Agent Registry API Editor (roles/agentregistry.editor)	Bearbeitungszugriff auf Agent Registry-Ressourcen, einschließlich KI-Agenten, MCP-Servern, Tools, Endpunkten, eigenständigen Skills und Skill-Versionen.	KI-Agenten und MCP-Server registrieren und verwalten. Tooldefinitionen und Endpunkte aktualisieren. Eigenständige Skills und Skill-Versionen erstellen, aktualisieren und löschen.
Agent Registry API Viewer (roles/agentregistry.viewer)	Lesezugriff zum Aufrufen und Suchen von KI-Agenten, MCP-Servern, Tools, eigenständigen Skills, Skill-Versionen, Publishern, Endpunkten und Bindungen.	Verfügbare KI-Agenten, MCP-Server und Tools finden A2A-Skills, eigenständige Skills, Skill-Versionen, Publisher, Endpunkte und Bindungen für die Integration ansehen.
Agent Registry User (roles/agentregistry.user)	Lesezugriff auf Agent Registry-Ressourcen sowie Zugriff zum Erstellen, Aktualisieren und Löschen eigenständiger Skills und Skill-Versionen.	Eigenständige Skills und Skill-Versionen erstellen, aktualisieren und löschen, ohne Bearbeitungszugriff auf KI-Agenten, MCP-Server oder Endpunkte zu haben. Versionsverwaltung für Skill-Überarbeitungen beibehalten und aktive Status von Skills zentral verwalten.

Agent Registry-Berechtigungen

In der folgenden Tabelle sind die Berechtigungen der einzelnen IAM-Rollen für die Agent Registry aufgeführt:

Agent Registry API Admin Agent Registry API Editor Agent Registry API Viewer Agent Registry User Alle löschen

Agent Registry API Admin ^Beta (roles/agentregistry.admin) Vollständiger Zugriff auf Agent Registry API-Ressourcen.	agentregistry.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.create agentregistry.bindings.delete agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.bindings.update agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.getIamPolicy agentregistry.skills.list agentregistry.skills.search agentregistry.skills.setIamPolicy agentregistry.skills.update
Agent Registry API Editor ^Beta (roles/agentregistry.editor) Bearbeitungszugriff auf Agent Registry API-Ressourcen.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.* agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.* agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update
Agent Registry API Viewer ^Beta (roles/agentregistry.viewer) Lesezugriff auf Agent Registry API-Ressourcen.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search
Agent Registry User ^Beta (roles/agentregistry.user) Skills und Skill-Versionen erstellen, aktualisieren und löschen.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update

Weitere Informationen zu IAM-Berechtigungen finden Sie unter Die richtigen vordefinierten Rollen finden und im Index für IAM-Rollen und -Berechtigungen.

Zugriffssteuerung für registrierte Ressourcen

Agent Registry-Rollen steuern, wer Ressourcen in der Registry selbst verwalten und erkennen kann. Wenn Sie steuern möchten, welche KI-Agenten über Agent Gateway mit registrierten Diensten, Endpunkten und MCP-Servern kommunizieren können, verwenden Sie Identity-Aware Proxy (IAP)-Richtlinien für ausgehenden Traffic:

• Berechtigungen für ausgehenden Zugriff: Wenn Sie einen Agenten autorisieren möchten, Traffic an einen registrierten Agenten, MCP-Server oder Endpunkt weiterzuleiten, weisen Sie dem Agenten-Hauptkonto für die Zielressource die Rolle IAP-secured Egressor (roles/iap.egressor) zu.
• Berechtigungen für die Richtlinienverwaltung: Zum Konfigurieren von IAP-Web-IAM-Richtlinien für registrierte Ressourcen benötigen Sie die Rolle IAP Policy Admin (roles/iap.admin) für das Governance-Projekt, in dem die Registry gehostet wird.

Eine ausführliche Anleitung zum Konfigurieren von IAP-Richtlinien für ausgehenden Traffic finden Sie unter IAM-Agent-Richtlinien konfigurieren.