Funciones y permisos

Los roles y permisos de Identity and Access Management (IAM) te permiten controlar quién puede ver, registrar y administrar agentes, servidores de MCP, herramientas, habilidades independientes, extremos y vinculaciones en el registro de agentes.

Para otorgar roles de IAM de Agent Registry a usuarios o grupos en tu proyecto de administración, usa la página de IAM en la consola de Google Cloud o Google Cloud CLI. Para obtener instrucciones detalladas, consulta Control de acceso con IAM y Administra el acceso a proyectos, carpetas y organizaciones.

Roles de Agent Registry

En la siguiente tabla, se describen los roles de IAM del Registro de agentes y sus responsabilidades típicas:

Precaución: Otorga los roles de administrador de la API de Agent Registry (roles/agentregistry.admin) o editor de la API de Agent Registry (roles/agentregistry.editor) solo a administradores de confianza que administren el registro. Evita otorgar estos roles directamente a los agentes. Estos roles contienen permisos para crear, borrar y actualizar servicios, incluida la modificación de metadatos críticos del agente y anotaciones de herramientas, como readOnlyHint o destructiveHint. Los cambios maliciosos en los metadatos y las anotaciones pueden causar consecuencias no deseadas y destructivas cuando un orquestador usa la herramienta modificada. Además, un agente con estos permisos puede inscribir de forma explícita un agente externo malicioso en el registro.

Función	Descripción	Purpose
Administrador de la API de Agent Registry (roles/agentregistry.admin)	Tiene acceso total a todos los recursos de Agent Registry, incluidos los agentes, los servidores de MCP, las herramientas, los endpoints, las habilidades independientes, las revisiones de habilidades, las vinculaciones y las políticas de IAM de habilidades.	Registra y administra agentes, servidores de MCP, herramientas y endpoints. Crear, actualizar y borrar habilidades independientes y revisiones de habilidades. Crear y administrar vinculaciones y políticas de IAM de habilidades
Editor de la API de Agent Registry (roles/agentregistry.editor)	Tiene acceso de edición a los recursos de Agent Registry, incluidos los agentes, los servidores de MCP, las herramientas, los endpoints, las habilidades independientes y las revisiones de habilidades.	Registra y administra agentes y servidores de MCP. Actualizar las definiciones y los extremos de las herramientas Crear, actualizar y borrar habilidades independientes y revisiones de habilidades.
Visualizador de la API de Agent Registry (roles/agentregistry.viewer)	Acceso de solo lectura para ver y buscar agentes, servidores de MCP, herramientas, habilidades independientes, revisiones de habilidades, publicadores, endpoints y vinculaciones.	Descubrir agentes, servidores de MCP y herramientas disponibles Consulta las habilidades de A2A, las habilidades independientes, las revisiones de habilidades, los publicadores, los extremos y las vinculaciones para la integración.
Usuario del registro de agentes (roles/agentregistry.user)	Acceso de solo lectura a los recursos de Agent Registry, además de acceso para crear, actualizar y borrar habilidades independientes y revisiones de habilidades.	Crear, actualizar y borrar habilidades independientes y revisiones de habilidades sin acceso de edición a agentes, servidores de MCP o endpoints Mantén el control de versión para las revisiones de habilidades y administra de forma centralizada los estados activos de las habilidades.

Permisos de Agent Registry

En la siguiente tabla, se enumeran los permisos que tiene cada rol de IAM del Registro de agentes:

Administrador de la API de Agent Registry Editor de la API de Agent Registry Visualizador de la API de Agent Registry Usuario de Agent Registry Borrar todo

Administrador de la API de Agent Registry ^Beta (roles/agentregistry.admin) Tiene acceso total a los recursos de la API de Agent Registry.	agentregistry.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.create agentregistry.bindings.delete agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.bindings.update agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.getIamPolicy agentregistry.skills.list agentregistry.skills.search agentregistry.skills.setIamPolicy agentregistry.skills.update
Editor de la API de Agent Registry ^Beta (roles/agentregistry.editor) Tiene acceso de edición a los recursos de la API de Agent Registry.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.* agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.* agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update
Visualizador de la API de Agent Registry ^Beta (roles/agentregistry.viewer) Tiene acceso de solo lectura a los recursos de la API de Agent Registry.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search
Usuario de Agent Registry ^Beta (roles/agentregistry.user) Crea, actualiza y borra habilidades y revisiones de habilidades.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update

Para obtener más información sobre los permisos de IAM, consulta Encuentra los roles predefinidos adecuados y Índice de roles y permisos de IAM.

Control de acceso para recursos registrados

Los roles de Agent Registry rigen quién puede administrar y descubrir recursos en el registro. Para controlar qué agentes pueden comunicarse con los servicios, los extremos y los servidores de MCP registrados a través de Agent Gateway, usa las políticas de salida de Identity-Aware Proxy (IAP):

• Permisos de acceso de salida: Para autorizar a un agente a enrutar el tráfico a un agente registrado, un servidor de MCP o un extremo, otorga el rol de IAP-secured Egressor (roles/iap.egressor) al principal del agente en el recurso de destino.
• Permisos de administración de políticas: Para configurar las políticas de IAM de la Web de IAP en los recursos registrados, debes obtener el rol de Administrador de políticas de IAP (roles/iap.admin) en el proyecto de administración que aloja el registro.

Para obtener instrucciones detalladas sobre cómo configurar las políticas de salida de IAP, consulta Configura las políticas de agentes de IAM.