Papéis e permissões

Os papéis e as permissões do Identity and Access Management (IAM) permitem controlar quem pode visualizar, registrar e gerenciar agentes, servidores MCP, ferramentas, habilidades independentes, endpoints e vinculações no Agent Registry.

Para conceder papéis do IAM do Agent Registry a usuários ou grupos no seu projeto de governança, use a página do IAM no console do Google Cloud ou a Google Cloud CLI. Para instruções detalhadas, consulte Controle de acesso com o IAM e Gerenciar o acesso a projetos, pastas e organizações.

Papéis do Agent Registry

A tabela a seguir descreve os papéis do IAM do Agent Registry e as responsabilidades típicas deles:

Atenção: conceda os papéis de administrador da API Agent Registry (roles/agentregistry.admin) ou editor da API Agent Registry (roles/agentregistry.editor) apenas a administradores confiáveis que gerenciam o registro. Evite conceder esses papéis diretamente aos agentes. Esses papéis contêm permissões para criar, excluir e atualizar serviços, incluindo a modificação de metadados críticos de agentes e anotações de ferramentas, como readOnlyHint ou destructiveHint. Alterações maliciosas em metadados e anotações podem causar consequências não intencionais e destrutivas quando um orquestrador usa a ferramenta modificada. Além disso, um agente com essas permissões pode registrar explicitamente um agente externo malicioso no registro.

Papel	Descrição	Purpose
Administrador da API Agent Registry (roles/agentregistry.admin)	Acesso total a todos os recursos do Agent Registry, incluindo agentes, servidores MCP, ferramentas, endpoints, habilidades independentes, revisões de habilidades, vinculações e políticas de IAM de habilidades.	Registre e gerencie agentes, servidores MCP, ferramentas e endpoints. Criar, atualizar e excluir habilidades independentes e revisões de habilidades. Criar e gerenciar vinculações e políticas de IAM de habilidades.
Editor da API Agent Registry (roles/agentregistry.editor)	Acesso de edição aos recursos do Agent Registry, incluindo agentes, servidores MCP, ferramentas, endpoints, habilidades independentes e revisões de habilidades.	Registre e gerencie agentes e servidores MCP. Atualize as definições e os endpoints das ferramentas. Criar, atualizar e excluir habilidades independentes e revisões de habilidades.
Leitor da API Agent Registry (roles/agentregistry.viewer)	Acesso somente leitura para visualizar e pesquisar agentes, servidores MCP, ferramentas, habilidades independentes, revisões de habilidades, editores, endpoints e vinculações.	Descubra agentes, servidores MCP e ferramentas disponíveis. Ver habilidades de A2A, habilidades independentes, revisões de habilidades, editores, endpoints e vinculações para integração.
Usuário do registro de agentes (roles/agentregistry.user)	Acesso somente leitura aos recursos do Registro de Agentes, além de acesso para criar, atualizar e excluir habilidades independentes e revisões de habilidades.	Criar, atualizar e excluir habilidades independentes e revisões de habilidades sem acesso de edição a agentes, servidores MCP ou endpoints. Mantenha o controle de versões para revisões de habilidades e gerencie centralmente os estados ativos das habilidades.

Permissões do Agent Registry

A tabela a seguir lista as permissões de cada papel do IAM do Agent Registry:

Administrador da API Agent Registry Editor da API Agent Registry Leitor da API Agent Registry Usuário do Agent Registry Limpar tudo

Administrador da API Agent Registry ^Beta (roles/agentregistry.admin) Acesso total aos recursos da API Agent Registry.	agentregistry.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.create agentregistry.bindings.delete agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.bindings.update agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.getIamPolicy agentregistry.skills.list agentregistry.skills.search agentregistry.skills.setIamPolicy agentregistry.skills.update
Editor da API Agent Registry ^Beta (roles/agentregistry.editor) Acesso de edição aos recursos da API Agent Registry.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.* agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.* agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update
Leitor da API Agent Registry ^Beta (roles/agentregistry.viewer) Acesso somente leitura aos recursos da API Agent Registry.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search
Usuário do Agent Registry ^Beta (roles/agentregistry.user) Criar, atualizar e excluir habilidades e revisões de habilidades.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update

Para mais informações sobre as permissões do IAM, consulte Encontrar os papéis predefinidos certos e Índice de papéis e permissões do IAM.

Controle de acesso para recursos registrados

Os papéis do Agent Registry controlam quem pode gerenciar e descobrir recursos no próprio registro. Para controlar quais agentes podem se comunicar com serviços, endpoints e servidores MCP registrados pelo Gateway de Agente, use as políticas de saída do Identity-Aware Proxy (IAP):

• Permissões de acesso de saída: para autorizar um agente a rotear o tráfego para um agente registrado, servidor MCP ou endpoint, conceda o papel Saída protegida pelo IAP (roles/iap.egressor) ao principal do agente no recurso de destino.
• Permissões de administração de políticas: para configurar políticas do IAM da Web do IAP em recursos registrados, é necessário receber o papel de Administrador de políticas do IAP (roles/iap.admin) no projeto de governança que hospeda o registro.

Para instruções detalhadas sobre como configurar políticas de saída do IAP, consulte Configurar políticas de agente do IAM.