Papéis e permissões

Nesta página, listamos os papéis e as permissões do IAM para o Agent Registry.

Conceda os papéis do IAM adequados do Agent Registry aos usuários ou grupos que gerenciam ou visualizam agentes, servidores MCP, ferramentas, habilidades independentes, endpoints e vinculações no registro. Para conceder papéis, use a página do IAM no console do Google Cloud ou a Google Cloud CLI. Para instruções detalhadas, consulte Gerenciar o acesso a projetos, pastas e organizações.

Funções do Agent Registry

A tabela a seguir descreve os papéis do IAM do Agent Registry e as responsabilidades típicas deles:

Atenção: conceda apenas os papéis Administrador da API do Agent Registry (roles/agentregistry.admin) ou Editor da API do Agent Registry (roles/agentregistry.editor) a administradores confiáveis que precisam de permissões para gerenciar o registro e evite conceder esses papéis diretamente aos agentes. Esses papéis contêm permissões para criar, excluir e atualizar serviços, incluindo a modificação de metadados críticos do agente e anotações de ferramentas como readOnlyHint ou destructiveHint. Alterações maliciosas nos metadados e nas anotações podem causar consequências indesejadas e destrutivas quando um orquestrador usa a ferramenta modificada. Além disso, um agente com essas permissões pode registrar explicitamente um agente externo malicioso no registro.

Papel	Descrição	Purpose
Administrador da API Agent Registry (roles/agentregistry.admin)	Acesso total a todos os recursos do Agent Registry, incluindo agentes, servidores MCP, ferramentas, endpoints, habilidades independentes, revisões de habilidades, vinculações e políticas do IAM de habilidades.	Registre e gerencie agentes, servidores MCP, ferramentas e endpoints. Criar, atualizar e excluir habilidades independentes e revisões de habilidades. Criar e gerenciar vinculações e políticas do IAM de capacidade.
Editor da API Agent Registry (roles/agentregistry.editor)	Acesso de edição aos recursos do Agent Registry, incluindo agentes, servidores MCP, ferramentas, endpoints, habilidades independentes e revisões de habilidades.	Registre e gerencie agentes e servidores MCP. Atualize as definições e os endpoints de ferramentas. Criar, atualizar e excluir habilidades independentes e revisões de habilidades.
Leitor da API Agent Registry (roles/agentregistry.viewer)	Acesso somente leitura para visualizar e pesquisar agentes, servidores MCP, ferramentas, habilidades independentes, revisões de habilidades, editores, endpoints e vinculações.	Descobrir agentes, servidores MCP e ferramentas disponíveis. Ver habilidades A2A, habilidades independentes, revisões de habilidades, editores, endpoints e vinculações para integração.
Usuário do Agent Registry (roles/agentregistry.user)	Acesso somente leitura aos recursos do Agent Registry, além de acesso para criar, atualizar e excluir habilidades independentes e revisões de habilidades.	Criar, atualizar e excluir habilidades e revisões de habilidades independentes sem acesso de edição a agentes, servidores MCP ou endpoints. Mantenha o controle de versões para revisões de habilidades e gerencie centralmente os estados ativos das habilidades.

Permissões do Agent Registry

A tabela a seguir lista as permissões de cada papel do IAM do Agent Registry:

Administrador da API Agent Registry Editor da API Agent Registry Leitor da API Agent Registry Usuário do Agent Registry Limpar tudo

Administrador da API Agent Registry ^Beta (roles/agentregistry.admin) Acesso total aos recursos da API Agent Registry.	agentregistry.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.create agentregistry.bindings.delete agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.bindings.update agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.getIamPolicy agentregistry.skills.list agentregistry.skills.search agentregistry.skills.setIamPolicy agentregistry.skills.update
Editor da API Agent Registry ^Beta (roles/agentregistry.editor) Acesso de edição aos recursos da API Agent Registry.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.* agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.* agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update
Leitor da API Agent Registry ^Beta (roles/agentregistry.viewer) Acesso somente leitura aos recursos da API Agent Registry.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search
Usuário do Agent Registry ^Beta (roles/agentregistry.user) Criar, atualizar e excluir habilidades e revisões de habilidades.	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update

Para mais informações sobre as permissões do IAM, consulte Encontrar os papéis predefinidos certos e Índice de papéis e permissões do IAM.

Controle de acesso para recursos registrados

As funções do Agent Registry governam quem pode gerenciar e descobrir recursos no registro. Para controlar quais agentes podem se comunicar com serviços, endpoints e servidores MCP registrados pelo Gateway de Agente, use as políticas de saída do Identity-Aware Proxy:

• Permissões de acesso de saída: para autorizar um agente a rotear o tráfego para um agente, servidor MCP ou endpoint registrado, conceda o papel Egressor protegido pelo IAP (roles/iap.egressor) ao principal do agente no recurso de destino.
• Permissões de administração de políticas: para configurar políticas do IAM da Web do IAP em recursos registrados, você precisa receber a função Administrador de políticas do IAP (roles/iap.admin) no projeto que hospeda o registro.

Para instruções detalhadas sobre como configurar políticas de saída da IAP, consulte Configurar políticas do agente do IAM.