תפקידים והרשאות

התפקידים וההרשאות של ניהול זהויות והרשאות גישה (IAM) מאפשרים לכם לקבוע מי יכול לראות, לרשום ולנהל סוכנים, שרתי MCP, כלים, מיומנויות עצמאיות, נקודות קצה וקישורים ב-Agent Registry.

כדי להקצות תפקידי IAM של Agent Registry למשתמשים או לקבוצות בפרויקט הניהול או בפרויקט הניהול, משתמשים בדף IAM במסוף Google Cloud או ב-Google Cloud CLI. למידע נוסף, קראו את המאמרים בקרת גישה באמצעות IAM וניהול הגישה לפרויקטים, לתיקיות ולארגונים.

תפקידים ב-Agent Registry

בטבלה הבאה מתוארים תפקידי ה-IAM של Agent Registry ותחומי האחריות האופייניים להם:

זהירות: הקצו את התפקידים אדמין של Agent Registry API‏ (roles/agentregistry.admin) או עריכה של Agent Registry API‏ (roles/agentregistry.editor) רק לאדמינים מהימנים שמנהלים את המרשם. אל תקצו את התפקידים האלה ישירות לסוכנים. התפקידים האלה כוללים הרשאות ליצור, למחוק ולעדכן שירותים, כולל שינוי מטא-נתונים קריטיים של סוכנים והערות של כלים כמו readOnlyHint או destructiveHint. שינויים זדוניים במטא-נתונים ובהערות יכולים לגרום לתוצאות לא מכוונות והרסניות כשהכלי המותאם משמש ככלי לניהול תהליכים. בנוסף, סוכן עם ההרשאות האלה יכול לרשום באופן מפורש סוכן חיצוני זדוני במרשם.

תפקיד	תיאור	מטרה
אדמין של Agent Registry API (roles/agentregistry.admin)	גישה מלאה לכל המשאבים של Agent Registry, כולל סוכנים, שרתי MCP, כלים, נקודות קצה, מיומנויות עצמאיות, גרסאות של מיומנויות, קישורים ומדיניות IAM של מיומנויות.	לרשום ולנהל סוכנים, שרתי MCP, כלים ונקודות קצה. ליצור, לעדכן ולמחוק מיומנויות עצמאיות וגרסאות של מיומנויות. ליצור ולנהל קישורים וכללי מדיניות של IAM למיומנויות.
עריכת Agent Registry API (roles/agentregistry.editor)	עריכת הגישה למשאבים של Agent Registry, כולל סוכנים, שרתי MCP, כלים, נקודות קצה, מיומנויות עצמאיות וגרסאות של מיומנויות.	לרשום ולנהל סוכנים ושרתי MCP. מעדכנים את ההגדרות ונקודות הקצה של הכלים. ליצור, לעדכן ולמחוק מיומנויות עצמאיות וגרסאות של מיומנויות.
צפייה ב-Agent Registry API (roles/agentregistry.viewer)	גישה לקריאה בלבד כדי להציג ולחפש נציגים, שרתי MCP, כלים, מיומנויות עצמאיות, גרסאות של מיומנויות, בעלי תוכן דיגיטלי, נקודות קצה וקישורים.	לגלות סוכנים, שרתי MCP וכלים זמינים. הצגת מיומנויות A2A, מיומנויות עצמאיות, גרסאות של מיומנויות, בעלי תוכן דיגיטלי, נקודות קצה וקישורים לשילוב.
‫Agent Registry User‏ (roles/agentregistry.user)	גישה לקריאה בלבד למשאבים של Agent Registry, וגם גישה ליצירה, לעדכון ולמחיקה של מיומנויות עצמאיות וגרסאות של מיומנויות.	ליצור, לעדכן ולמחוק מיומנויות עצמאיות וגרסאות של מיומנויות, בלי הרשאת עריכה לסוכנים, לשרתי MCP או לנקודות קצה. לנהל גרסאות של גרסאות מיומנות ולנהל באופן מרכזי את המצבים הפעילים של המיומנויות.

הרשאות ל-Agent Registry

בטבלה הבאה מפורטות ההרשאות של כל תפקיד ב-IAM ב-Agent Registry:

אדמין של Agent Registry API Agent Registry API Editor Agent Registry API Viewer משתמש ב-Agent Registry ניקוי הכול

אדמין של Agent Registry API ^בטא (roles/agentregistry.admin) גישה מלאה למשאבים של Agent Registry API.	agentregistry.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.create agentregistry.bindings.delete agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.bindings.update agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.getIamPolicy agentregistry.skills.list agentregistry.skills.search agentregistry.skills.setIamPolicy agentregistry.skills.update
עריכה ב-Agent Registry API ^בטא (roles/agentregistry.editor) עריכת הגישה למשאבים של Agent Registry API.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.* agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.* agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update
צפייה ב-Agent Registry API ^בטא (roles/agentregistry.viewer) גישה לקריאה בלבד למשאבים של Agent Registry API.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search
משתמש ב-Agent Registry ^בטא (roles/agentregistry.user) ליצור, לעדכן ולמחוק מיומנויות וגרסאות של מיומנויות.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update

למידע נוסף על הרשאות IAM, קראו את המאמרים מציאת התפקידים המוגדרים מראש המתאימים ואינדקס התפקידים וההרשאות ב-IAM.

תפקידים לגבולות ניהול בין פרויקטים

כשמגדירים גבולות ניהול לרכיבים של הסוכנים ב-Agent Registry, צריך לתת למשתמשים או לשירותים תפקידי IAM ברמות הבאות:

• פרויקט ניהול: מקצים תפקידים של Agent Registry בפרויקט הניהול למשתמשים או לשירותים שמזהים ומנהלים סוכנים בגבולות. משתמשים עם הרשאת צפייה בפרויקט הניהול יכולים לגלות ולחפש סוכנים ושרתי MCP מכל הפרויקטים החברים בכל גבול שמצורף לפרויקט הניהול הזה, בלי צורך בהרשאות צפייה מפורשות שניתנו בכל פרויקט חבר בנפרד. אם לצוות מסוים אסור לראות נכסים מגבולות אחרים, צריך להקצות את הגבול הזה לפרויקט נפרד לניהול ולמשאבים של CapabilityConfig.
• פרויקטים של חברים: מקצים תפקידים ב-Agent Registry בפרויקטים ספציפיים של חברים למפתחים שיוצרים, רושמים או מתחזקים סוכנים וכלים בפרויקטים הספציפיים האלה.
• הגדרת גבולות: כדי ליצור ולנהל משאבים של הגדרת גבולות, צריך תפקידי אדמין בתיקייה או בארגון שמכילים אותם. למידע נוסף, קראו על התפקידים הנדרשים במאמר הגדרת גבולות הניהול במסמכי התיעוד של מנהל המשאבים.

הגבלת הרישומים המקומיים בפרויקטים של חברים

משאבי Service ו-Binding שנרשמו ידנית ונוצרו בפרויקט חבר לא נכללים בפרויקט הניהול, ולכן אדמינים של אבטחה יכולים לאכוף רישום מרוכז בפרויקט הניהול באחת מהדרכים הבאות:

• חסימת agentregistry.googleapis.com בפרויקטים של חברים: אם המפתחים לא צריכים לשלוח שאילתות ל-Agent Registry ישירות בפרויקט של חבר, צריך להחיל את constraints/gcp.restrictServiceUsage אילוץ מדיניות הארגון על התיקייה או הארגון ברמה שמעל, כדי לדחות את agentregistry.googleapis.com, ולבטל את המדיניות בפרויקט הניהול. חסימת agentregistry.googleapis.com בפרויקטים חברים לא משפיעה על הגילוי האוטומטי של עומסי עבודה בזמן ריצה מפרויקטים חברים בפרויקט הניהול.

• מתן הרשאת קריאה בלבד לחיפוש בפרויקטים חברים ודחיית כתיבה מקומית: כדי להשאיר את agentregistry.googleapis.com מופעל בפרויקטים חברים לחיפוש מקומי לקריאה בלבד, ובמקביל לדרוש שכל המשאבים של Service ו-Binding יהיו רשומים בפרויקט הניהול, צריך לתת למפתחים את התפקיד צפייה ב-Agent Registry API (roles/agentregistry.viewer) בפרויקט החבר, ולצרף מדיניות דחייה של IAM שדוחה את הרשאות הכתיבה הבאות בפרויקטים חברים:

  • agentregistry.googleapis.com/services.create
  • agentregistry.googleapis.com/services.update
  • agentregistry.googleapis.com/services.delete
  • agentregistry.googleapis.com/bindings.create
  • agentregistry.googleapis.com/bindings.update
  • agentregistry.googleapis.com/bindings.delete

בקרת גישה למשאבים רשומים

התפקידים ב-Agent Registry קובעים מי יכול לנהל ולגלות משאבים במאגר עצמו. כדי לקבוע אילו נציגים יכולים לתקשר עם שירותים, נקודות קצה ושרתי MCP רשומים דרך Agent Gateway, אתם יכולים להשתמש בכללי מדיניות תעבורת הנתונים היוצאת של שרת proxy לאימות זהויות (IAP):

• הרשאות גישה לתעבורת נתונים יוצאת: כדי לאשר לסוכן לנתב תעבורת נתונים לסוכן רשום, לשרת MCP או לנקודת קצה, צריך להעניק את התפקיד IAP-secured Egressor ‏ (roles/iap.egressor) לישות המורשית של סוכן במשאב היעד.
• הרשאות ניהול מדיניות: כדי להגדיר כללי מדיניות של IAM ב-IAP לאינטרנט במשאבים רשומים, צריך לקבל את התפקיד אדמין מדיניות IAP‏ (roles/iap.admin) בפרויקט הפיקוח שמארח את המרשם.

הוראות מפורטות להגדרת כללי מדיניות תעבורת הנתונים היוצאת של IAP מופיעות במאמר הגדרת כללי מדיניות של סוכני IAM.