Rôles et autorisations

Les rôles et autorisations IAM (Identity and Access Management) vous permettent de contrôler qui peut afficher, enregistrer et gérer les agents, les serveurs MCP, les outils, les compétences autonomes, les points de terminaison et les liaisons dans Agent Registry.

Pour accorder des rôles IAM Agent Registry à des utilisateurs ou des groupes sur votre projet de gouvernance, utilisez la page IAM de la console Google Cloud ou la Google Cloud CLI. Pour obtenir des instructions détaillées, consultez Contrôle des accès avec IAM et Gérer l'accès aux projets, aux dossiers et aux organisations.

Rôles Agent Registry

Le tableau suivant décrit les rôles IAM du registre d'agents et leurs responsabilités types :

Attention : N'attribuez les rôles Administrateur de l'API Agent Registry (roles/agentregistry.admin) ou Éditeur de l'API Agent Registry (roles/agentregistry.editor) qu'aux administrateurs de confiance qui gèrent le registre. Évitez d'accorder ces rôles directement aux agents. Ces rôles contiennent des autorisations permettant de créer, de supprimer et de mettre à jour des services, y compris de modifier les métadonnées d'agent critiques et les annotations d'outils telles que readOnlyHint ou destructiveHint. Les modifications malveillantes apportées aux métadonnées et aux annotations peuvent avoir des conséquences involontaires et destructrices lorsqu'un orchestrateur utilise l'outil modifié. De plus, un agent disposant de ces autorisations peut explicitement enregistrer un agent externe malveillant dans le registre.

Rôle	Description	Purpose
Administrateur de l'API Agent Registry (roles/agentregistry.admin)	Accès complet à toutes les ressources Agent Registry, y compris les agents, les serveurs MCP, les outils, les points de terminaison, les compétences autonomes, les révisions de compétences, les liaisons et les stratégies IAM de compétences.	Enregistrez et gérez des agents, des serveurs MCP, des outils et des points de terminaison. Créez, mettez à jour et supprimez des compétences autonomes et des révisions de compétences. Créer et gérer des liaisons et des stratégies IAM de compétences.
Éditeur de l'API Agent Registry (roles/agentregistry.editor)	Accès en modification aux ressources Agent Registry, y compris les agents, les serveurs MCP, les outils, les points de terminaison, les compétences autonomes et les révisions de compétences.	Enregistrez et gérez des agents et des serveurs MCP. Mettre à jour les définitions et les points de terminaison des outils. Créez, mettez à jour et supprimez des compétences autonomes et des révisions de compétences.
Lecteur de l'API Agent Registry (roles/agentregistry.viewer)	Accès en lecture seule pour afficher et rechercher des agents, des serveurs MCP, des outils, des compétences autonomes, des révisions de compétences, des éditeurs, des points de terminaison et des liaisons.	Découvrez les agents, les serveurs MCP et les outils disponibles. Affichez les compétences A2A, les compétences autonomes, les révisions de compétences, les éditeurs, les points de terminaison et les liaisons pour l'intégration.
Utilisateur du registre d'agents (roles/agentregistry.user)	Accès en lecture seule aux ressources du registre d'agents, ainsi qu'accès permettant de créer, de mettre à jour et de supprimer des compétences autonomes et des révisions de compétences.	Créez, mettez à jour et supprimez des compétences autonomes et des révisions de compétences sans accès Éditeur aux agents, aux serveurs MCP ou aux points de terminaison. Contrôlez les versions des révisions de compétences et gérez de manière centralisée les états actifs des compétences.

Autorisations Agent Registry

Le tableau suivant répertorie les autorisations de chaque rôle IAM Agent Registry :

Administrateur de l'API Agent Registry Éditeur de l'API Agent Registry Lecteur de l'API Agent Registry Utilisateur Agent Registry Tout effacer

Administrateur de l'API Agent Registry ^Bêta (roles/agentregistry.admin) Accès complet aux ressources de l'API Agent Registry.	agentregistry.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.create agentregistry.bindings.delete agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.bindings.update agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.getIamPolicy agentregistry.skills.list agentregistry.skills.search agentregistry.skills.setIamPolicy agentregistry.skills.update
Éditeur de l'API Agent Registry ^Bêta (roles/agentregistry.editor) Accès permettant de modifier les ressources de l'API Agent Registry.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.* agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.* agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update
Lecteur de l'API Agent Registry ^Bêta (roles/agentregistry.viewer) Accès en lecture seule aux ressources de l'API Agent Registry.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search
Utilisateur Agent Registry ^Bêta (roles/agentregistry.user) Créez, mettez à jour et supprimez des compétences et des révisions de compétences.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update

Pour en savoir plus sur les autorisations IAM, consultez Trouver les rôles prédéfinis appropriés et l'index des rôles et autorisations IAM.

Contrôle des accès pour les ressources enregistrées

Les rôles Agent Registry déterminent qui peut gérer et découvrir des ressources dans le registre lui-même. Pour contrôler les agents qui peuvent communiquer avec les services, les points de terminaison et les serveurs MCP enregistrés via Agent Gateway, vous utilisez des règles de sortie Identity-Aware Proxy (IAP) :

• Autorisations d'accès en sortie : pour autoriser un agent à acheminer le trafic vers un agent enregistré, un serveur MCP ou un point de terminaison, attribuez le rôle Sortant sécurisé par IAP (roles/iap.egressor) au principal d'agent sur la ressource cible.
• Autorisations d'administration des règles : pour configurer des stratégies IAM Web IAP sur des ressources enregistrées, vous devez obtenir le rôle Administrateur de règles IAP (roles/iap.admin) sur le projet de gouvernance hébergeant le registre.

Pour obtenir des instructions détaillées sur la configuration des règles de sortie IAP, consultez Configurer des règles d'agent IAM.