Ruoli e autorizzazioni

I ruoli e le autorizzazioni di Identity and Access Management (IAM) ti consentono di controllare chi può visualizzare, registrare e gestire agenti, server MCP, strumenti, skill autonomi, endpoint e associazioni in Agent Registry.

Per concedere i ruoli IAM di Agent Registry a utenti o gruppi nel tuo progetto di governance, utilizza la pagina IAM nella console Google Cloud o Google Cloud CLI. Per istruzioni dettagliate, consulta Controllo dell'accesso con IAM e Gestisci l'accesso a progetti, cartelle e organizzazioni.

Ruoli di Agent Registry

La tabella seguente descrive i ruoli IAM di Agent Registry e le relative responsabilità tipiche:

Attenzione: concedi i ruoli Agent Registry API Admin (roles/agentregistry.admin) o Agent Registry API Editor (roles/agentregistry.editor) solo agli amministratori attendibili che gestiscono il registry. Evita di concedere questi ruoli direttamente agli agenti. Questi ruoli contengono le autorizzazioni per creare, eliminare e aggiornare i servizi, inclusa la modifica dei metadati critici dell'agente e delle annotazioni degli strumenti come readOnlyHint o destructiveHint. Le modifiche dannose ai metadati e alle annotazioni possono causare conseguenze indesiderate e distruttive quando un orchestratore utilizza lo strumento modificato. Inoltre, un agente con queste autorizzazioni può registrare esplicitamente un agente esterno dannoso nel registry.

Role	Descrizione	Purpose
Agent Registry API Admin (roles/agentregistry.admin)	Accesso completo a tutte le risorse di Agent Registry, inclusi agenti, server MCP, strumenti, endpoint, skill autonomi, revisioni di skill, associazioni e policy IAM delle skill.	Registra e gestisci agenti, server MCP, strumenti ed endpoint. Crea, aggiorna ed elimina competenze autonome e revisioni delle competenze. Creare e gestire le associazioni e le policy IAM delle skill.
Agent Registry API Editor (roles/agentregistry.editor)	Accesso in modifica alle risorse di Agent Registry, inclusi agenti, server MCP, strumenti, endpoint, skill autonomi e revisioni delle skill.	Registra e gestisci agenti e server MCP. Aggiorna le definizioni e gli endpoint degli strumenti. Crea, aggiorna ed elimina competenze autonome e revisioni delle competenze.
Agent Registry API Viewer (roles/agentregistry.viewer)	Accesso di sola lettura per visualizzare e cercare agenti, server MCP, strumenti, skill autonome, revisioni delle skill, publisher, endpoint e associazioni.	Scopri gli agenti, i server MCP e gli strumenti disponibili. Visualizza le competenze A2A, le competenze autonome, le revisioni delle competenze, i publisher, gli endpoint e le associazioni per l'integrazione.
Agent Registry User (roles/agentregistry.user)	Accesso di sola lettura alle risorse del registro degli agenti, oltre all'accesso per creare, aggiornare ed eliminare competenze autonome e revisioni delle competenze.	Crea, aggiorna ed elimina skill autonome e revisioni delle skill senza accesso in modifica ad agenti, server MCP o endpoint. Mantieni il controllo della versione per le revisioni delle skill e gestisci centralmente gli stati attivi delle skill.

Autorizzazioni di Agent Registry

La tabella seguente elenca le autorizzazioni di ciascun ruolo IAM di Agent Registry:

Agent Registry API Admin Agent Registry API Editor Agent Registry API Viewer Agent Registry User Cancella tutto

Agent Registry API Admin ^Beta (roles/agentregistry.admin) Accesso completo alle risorse dell'API Agent Registry.	agentregistry.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.create agentregistry.bindings.delete agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.bindings.update agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.getIamPolicy agentregistry.skills.list agentregistry.skills.search agentregistry.skills.setIamPolicy agentregistry.skills.update
Agent Registry API Editor ^Beta (roles/agentregistry.editor) Accesso in modifica alle risorse dell'API Agent Registry.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.* agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.* agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update
Agent Registry API Viewer ^Beta (roles/agentregistry.viewer) Accesso di sola lettura alle risorse dell'API Agent Registry.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search
Agent Registry User ^Beta (roles/agentregistry.user) Crea, aggiorna ed elimina competenze e revisioni delle competenze.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update

Per saperne di più sulle autorizzazioni IAM, consulta Trova i ruoli predefiniti giusti e Indice di ruoli e autorizzazioni IAM.

Controllo dell'accesso per le risorse registrate

I ruoli di Agent Registry regolano chi può gestire e rilevare le risorse nel registry stesso. Per controllare quali agenti possono comunicare con servizi, endpoint e server MCP registrati tramite Agent Gateway, utilizza le policy in uscita di Identity-Aware Proxy (IAP):

• Autorizzazioni di accesso in uscita: per autorizzare un agente a instradare il traffico a un agente, un server MCP o un endpoint registrato, concedi il ruolo IAP-secured Egressor (roles/iap.egressor) all'entità dell'agente sulla risorsa di destinazione.
• Autorizzazioni di amministrazione delle policy: per configurare le policy IAM web di IAP sulle risorse registrate, devi ottenere il ruolo IAP Policy Admin (roles/iap.admin) nel progetto di governance che ospita il registry.

Per istruzioni dettagliate sulla configurazione delle policy in uscita di IAP, consulta Configura le policy degli agenti IAM.