Peran dan izin

Peran dan izin Identity and Access Management (IAM) memungkinkan Anda mengontrol siapa yang dapat melihat, mendaftarkan, dan mengelola agen, server MCP, alat, kemampuan mandiri, endpoint, dan binding di Agent Registry.

Untuk memberikan peran IAM Agent Registry kepada pengguna atau grup di project tata kelola Anda, gunakan halaman IAM di konsol Google Cloud atau Google Cloud CLI. Untuk mengetahui petunjuk mendetail, lihat Kontrol akses dengan IAM dan Mengelola akses ke project, folder, dan organisasi.

Peran Agent Registry

Tabel berikut menjelaskan peran IAM Agent Registry dan tanggung jawab umumnya:

Perhatian: Berikan peran Agent Registry API Admin (roles/agentregistry.admin) atau Agent Registry API Editor (roles/agentregistry.editor) hanya kepada administrator tepercaya yang mengelola registry. Hindari memberikan peran ini langsung kepada agen. Peran ini berisi izin untuk membuat, menghapus, dan memperbarui layanan, termasuk mengubah metadata agen penting dan anotasi alat seperti readOnlyHint atau destructiveHint. Perubahan berbahaya pada metadata dan anotasi dapat menyebabkan konsekuensi yang tidak diinginkan dan merusak saat orchestrator menggunakan alat yang dimodifikasi. Selain itu, agen dengan izin ini dapat secara eksplisit mendaftarkan agen eksternal berbahaya ke dalam registry.

Peran	Deskripsi	Tujuan
Agent Registry API Admin (roles/agentregistry.admin)	Akses penuh ke semua resource Agent Registry, termasuk agen, server MCP, alat, endpoint, keahlian mandiri, revisi keahlian, binding, dan kebijakan IAM keahlian.	Mendaftarkan dan mengelola agen, server MCP, alat, dan endpoint. Membuat, memperbarui, dan menghapus skill mandiri dan revisi skill. Membuat dan mengelola binding serta kebijakan IAM keahlian.
Agent Registry API Editor (roles/agentregistry.editor)	Mengedit akses ke resource Agent Registry, termasuk agen, server MCP, alat, endpoint, keahlian mandiri, dan revisi keahlian.	Mendaftarkan dan mengelola agen dan server MCP. Memperbarui definisi dan endpoint alat. Membuat, memperbarui, dan menghapus skill mandiri dan revisi skill.
Agent Registry API Viewer (roles/agentregistry.viewer)	Akses hanya baca untuk melihat dan menelusuri agen, server MCP, alat, keahlian mandiri, revisi keahlian, penayang, endpoint, dan binding.	Temukan agen, server MCP, dan alat yang tersedia. Melihat skill A2A, skill mandiri, revisi skill, penayang, endpoint, dan binding untuk integrasi.
Agent Registry User (roles/agentregistry.user)	Akses hanya baca ke resource Agent Registry, serta akses untuk membuat, memperbarui, dan menghapus skill mandiri dan revisi skill.	Membuat, memperbarui, dan menghapus keterampilan mandiri dan revisi keterampilan tanpa akses edit ke agen, server MCP, atau endpoint. Pertahankan kontrol versi untuk revisi keahlian dan kelola status aktif keahlian secara terpusat.

Izin Agent Registry

Tabel berikut mencantumkan izin yang dimiliki setiap peran IAM Agent Registry:

Agent Registry API Admin Agent Registry API Editor Agent Registry API Viewer Agent Registry User Hapus semua

Agent Registry API Admin ^Beta (roles/agentregistry.admin) Akses penuh ke resource Agent Registry API.	agentregistry.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.create agentregistry.bindings.delete agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.bindings.update agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.getIamPolicy agentregistry.skills.list agentregistry.skills.search agentregistry.skills.setIamPolicy agentregistry.skills.update
Agent Registry API Editor ^Beta (roles/agentregistry.editor) Mengedit akses ke resource Agent Registry API.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.* agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.* agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update
Agent Registry API Viewer ^Beta (roles/agentregistry.viewer) Akses hanya baca ke resource Agent Registry API.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search
Agent Registry User ^Beta (roles/agentregistry.user) Membuat, memperbarui, dan menghapus keterampilan dan revisi keterampilan.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update

Untuk mengetahui informasi selengkapnya tentang izin IAM, lihat Menemukan peran bawaan yang tepat dan Indeks peran dan izin IAM.

Kontrol akses untuk resource terdaftar

Peran Agent Registry mengatur siapa yang dapat mengelola dan menemukan resource di registry itu sendiri. Untuk mengontrol agen mana yang dapat berkomunikasi dengan layanan, endpoint, dan server MCP yang terdaftar melalui Agent Gateway, Anda menggunakan kebijakan egress Identity-Aware Proxy (IAP):

• Izin akses egress: untuk mengizinkan agen merutekan traffic ke agen, server MCP, atau endpoint terdaftar, berikan peran IAP-secured Egressor (roles/iap.egressor) kepada entitas agen di resource target.
• Izin administrasi kebijakan: untuk mengonfigurasi kebijakan IAM web IAP pada resource terdaftar, Anda harus mendapatkan peran IAP Policy Admin (roles/iap.admin) di project tata kelola yang menghosting registry.

Untuk mengetahui petunjuk mendetail tentang cara mengonfigurasi kebijakan egress IAP, lihat Mengonfigurasi kebijakan agen IAM.