Gemini Enterprise-Traffic über das Agent Gateway weiterleiten

Auf dieser Seite wird beschrieben, wie Sie Gemini Enterprise-Traffic über Agent Gateway weiterleiten. Agent Gateway ist eine zentrale Netzwerk- und Sicherheitskomponente des Gemini Enterprise Agent Platform-Ökosystems. Es bietet sichere und verwaltete Verbindungen für alle Interaktionen zwischen KI-Agenten, unabhängig davon, ob sie zwischen Nutzern und KI-Agenten, KI-Agenten und Tools oder zwischen KI-Agenten selbst stattfinden.

Hinweis

  • Machen Sie sich mit den Gemini Enterprise-Konzepten vertraut.
  • KI-Agenten-Gateway Das Agent Gateway unterstützt Gemini Enterprise nur im Agent-to-Anywhere-Modus (ausgehend). Eingehender Traffic wird nicht unterstützt.
  • Gemini Enterprise App (auch als Engine bezeichnet) bereitstellen Bei dem Verfahren auf dieser Seite wird davon ausgegangen, dass Sie bereits eine Anwendung bereitgestellt haben. Weitere Informationen finden Sie unter App erstellen.

Standort- und Agent Registry-Zuordnungen planen

Bevor Sie Ihr Agent Gateway bereitstellen, wählen Sie die Region aus, in der Sie das Gateway bereitstellen, und die Agent Registry, in der Sie Ihre Ressourcen registrieren. Beachten Sie folgende Anforderungen:

  • Standortzuordnung: Stellen Sie das Agent Gateway in der Region bereit, die dem Standort Ihrer Gemini Enterprise App entspricht, um ein ordnungsgemäßes Routing zu gewährleisten.

  • Registry-Zuordnung: Verknüpfen Sie Ihr Agent Gateway mit der regionalen Agent Registry-Instanz im selben Projekt und in derselben Region wie das Gateway. Weitere Informationen zu Bereitstellungsmustern finden Sie unter Agent Gateway-Bereitstellung planen.

Tabelle: Zuordnung von Gemini Enterprise-App-Standorten und Agent Registry
Speicherort der Gemini Enterprise-App Erforderliche Agent Gateway-Region Erforderliche Agent Registry-Instanz für Agent Gateway
global us-central1 us-central1 (//agentregistry.googleapis.com/projects/PROJECT_ID/locations/us-central1)
us us-central1 us-central1 (//agentregistry.googleapis.com/projects/PROJECT_ID/locations/us-central1)
eu europe-west1 europe-west1 (//agentregistry.googleapis.com/projects/PROJECT_ID/locations/europe-west1)

Gemini Enterprise-Traffic über Agent Gateway weiterleiten

So leiten Sie Gemini Enterprise-Traffic über Agent Gateway weiter:

  1. Erstellen Sie eine Agent Gateway-Ressource und achten Sie darauf, dass Sie die Region und Registry verwenden, die Sie im vorherigen Abschnitt ausgewählt haben. Eine Anleitung finden Sie unter Agent Gateway einrichten.

    Prüfen Sie die Gateway-Konfiguration. Verwenden Sie die Network Services API, um Ihre Agent-Gateway-Konfiguration abzurufen und die Einstellungen zu prüfen.

    curl -X GET \
-H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
"https://networkservices.googleapis.com/v1/projects/PROJECT_ID/locations/AGENT_GATEWAY_REGION/agentGateways/AGENT_GATEWAY_NAME"

    Hier sehen Sie ein Beispiel für die Ausgabe eines richtig konfigurierten Gateways:

    {
  "name": "projects/my-ge-project/locations/us-central1/agentGateways/my-egress-gateway",
  "description": "A full configuration for Agent Gateway for Gemini Enterprise egress",
  "googleManaged": {
    "governedAccessPath": "AGENT_TO_ANYWHERE"
  },
  "protocols": [
    "MCP"
  ],
  "registries": [
    "//agentregistry.googleapis.com/projects/my-ge-project/locations/us-central1"
  ]
}

  2. Binden Sie das Gateway mit der UpdateEngine API an Ihre Gemini Enterprise App. Wenn Sie diesen Schritt ausführen, wird der gesamte vorhandene KI-Agenten-Traffic sofort über das angegebene Agent Gateway geleitet.

    Console

    1. Rufen Sie in der Google Cloud Console die Seite Gemini Enterprise auf.

      Gemini Enterprise

    2. Klicken Sie auf den Namen der App, die Sie mit einem Agent Gateway verknüpfen möchten.

    3. Klicken Sie auf Sicherheit.

    4. Geben Sie auf dem Tab Konfiguration unter Agent-Gateway-Konfiguration den vollständigen Ressourcennamen für das Gateway ein. Verwenden Sie das Format projects/PROJECT_ID/locations/LOCATION/agentGateways/AGENT_GATEWAY_NAME.

    5. Klicken Sie auf Speichern.

    REST

    1. Verwenden Sie die folgende Anfrage, um Ihre App zu aktualisieren.

      curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "X-Goog-User-Project: PROJECT_ID" \
-d '{
  "agentGatewaySetting": {
    "defaultEgressAgentGateway": {
      "name": "projects/PROJECT_ID/locations/AGENT_GATEWAY_REGION/agentGateways/AGENT_GATEWAY_NAME"
    }
  }
}' \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_NUMBER/locations/GE_APP_LOCATION/collections/default_collection/engines/GE_APP_ID?updateMask=agentGatewaySetting.defaultEgressAgentGateway.name"

      Ersetzen Sie Folgendes:

      • PROJECT_ID: Projekt-ID.
      • AGENT_GATEWAY_REGION: die Region des Agent-Gateways.
      • AGENT_GATEWAY_NAME: der Name des Agent-Gateways.
      • ENDPOINT_LOCATION: das multiregionale Präfix für den API-Endpunkt, der mit GE_APP_LOCATION übereinstimmt. Geben Sie global, us oder eu an. eu-Anwendungen verwenden beispielsweise eu-discoveryengine.googleapis.com. Für global-Anwendungen wird auch discoveryengine.googleapis.com ohne Präfix unterstützt.
      • PROJECT_NUMBER: die Projektnummer
      • GE_APP_LOCATION: Der Standort der Gemini Enterprise-App. Geben Sie global, us oder eu an.
      • GE_APP_ID: die ID der Gemini Enterprise-App.

    2. Verwenden Sie den folgenden Befehl, um die Anwendungskonfiguration zu prüfen und die Einstellungen zu prüfen:

      curl -s -X GET \
-H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
-H "X-Goog-User-Project: PROJECT_ID" \
-H "Content-Type: application/json" \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_NUMBER/locations/GE_APP_LOCATION/collections/default_collection/engines/GE_APP_ID" \
| jq '{name: .name, displayName: .displayName, agentGatewaySetting: .agentGatewaySetting}'

      Ersetzen Sie Folgendes:

      • PROJECT_ID: Projekt-ID.
      • ENDPOINT_LOCATION: das multiregionale Präfix für den API-Endpunkt, der mit GE_APP_LOCATION übereinstimmt. Geben Sie global, us oder eu an.
      • PROJECT_NUMBER: die Projektnummer
      • GE_APP_LOCATION: Der Standort der Gemini Enterprise-App. Geben Sie global, us oder eu an.
      • GE_APP_ID: die ID der Gemini Enterprise-App.

      Hier ein Beispiel für die Ausgabe einer richtig konfigurierten App:

      {
"name": "projects/PROJECT_NUMBER/locations/GE_APP_LOCATION/collections/default_collection/engines/GE_APP_ID",
"displayName": "GE_APP_ID",
"agentGatewaySetting": {
  "defaultEgressAgentGateway": {
    "name": "projects/PROJECT_ID/locations/AGENT_GATEWAY_REGION/agentGateways/AGENT_GATEWAY_NAME"
  }
}
}

  3. Die Governance für ausgehenden Traffic ist jetzt für Ihre Gemini Enterprise-App aktiviert. Ihre App weiß jedoch nicht automatisch, mit welchen externen Ressourcen in der Agent Registry sie interagieren kann.

    Sie müssen die ausgewählten KI-Agenten, Endpunkte und MCP-Server explizit in Ihre Gemini Enterprise App importieren. Die importierte Ressource muss mit ihrem genauen, in der Registry hinterlegten Ressourcennamen referenziert werden. Eine Anleitung finden Sie in den folgenden Leitfäden:

  4. So prüfen Sie, ob der ausgehende Traffic ordnungsgemäß funktioniert:

    1. Öffnen Sie die Gemini Enterprise-Webanwendung.
    2. Senden Sie eine Anfrage, die ein externes Tool auslösen soll (z. B. „Gib mir eine Liste der letzten Probleme von GitHub“).
    3. Beobachten Sie die Ausführung, um sicherzustellen, dass die Antwort erfolgreich abgerufen wird. Im Hintergrund verpackt der Gemini Enterprise-Agent die Anfrage, leitet sie über Ihr Agent Gateway weiter (das alle konfigurierten Autorisierungsrichtlinien erzwingt) und ruft die Antwort vom Ziel ab.

Gemini Enterprise-Bindung auf genehmigte Agent-Gateways beschränken

Sie können benutzerdefinierte Organisationsrichtlinien-Einschränkungen erstellen, um festzulegen, ob eine Gemini Enterprise-App an ein oder alle Agent Gateways gebunden werden kann.

Benutzerdefinierte Einschränkungen für Organisationsrichtlinien erstellen

In diesem Beispiel wird eine benutzerdefinierte Einschränkung erstellt, die alle Bindungen zwischen Gemini Enterprise-Apps und Agent Gateways blockiert.

Agent zu beliebigem Ziel

  1. Erstellen Sie eine Datei mit dem Namen constraint-agent-gateway-egress.yaml, um eine benutzerdefinierte Einschränkung für den Agent-to-Anywhere-Modus (ausgehender Traffic) zu definieren.

    Im folgenden Beispiel wird gezeigt, wie Sie eine strikte Netzwerkisolation erzwingen, indem Sie alle Bindungen verbieten. Das Feld condition gibt an, dass der Vorgang abgelehnt wird, wenn eine Agent-Gateway-Ressource angegeben ist (Feld ist vorhanden und nicht leer).

    name: organizations/ORGANIZATION_ID/customConstraints/custom.disallowGeminiEnterpriseAgentGatewayBinding
resource_types:
    


      

    • discoveryengine.googleapis.com/Engine
condition: >-
has(resource.agentGatewaySetting.defaultEgressAgentGateway.name) &&
resource.agentGatewaySetting.defaultEgressAgentGateway.name != ''
actionType: DENY
displayName: "Disallow all Agent Gateway Bindings for Discovery Engines"
description: "To enforce strict network isolation, Discovery Engines are not permitted to bind to any Agent Gateway."

    2. Ersetzen Sie Folgendes:

    • ORGANIZATION_ID: Ihre Organisations-ID.
    • PROJECT_ID: Ihre Projekt-ID.
    • REGION: die Region, in der das Gateway erstellt wurde.
    • AGENT_GATEWAY_NAME: der Name Ihres Gateways.

  2. Wenden Sie die benutzerdefinierte Einschränkung an.

    gcloud org-policies set-custom-constraint EGRESS_CONSTRAINT_PATH

    Ersetzen Sie EGRESS_CONSTRAINT_PATH durch den vollständigen Pfad zur benutzerdefinierten Einschränkungsdatei, die im vorherigen Schritt erstellt wurde.

  3. Erstellen Sie die Organisationsrichtlinie, um die Einschränkung zu erzwingen. Erstellen Sie zum Definieren der Organisationsrichtlinie eine YAML-Richtliniendatei mit dem Namen policy-agent-gateway-egress.yaml. In diesem Beispiel wird diese Einschränkung auf Projektebene erzwungen. Sie können diese Einschränkung aber auch auf Organisations- oder Ordnerebene festlegen.

    name: projects/PROJECT_ID/policies/custom.disallowGeminiEnterpriseAgentGatewayBinding
spec:
rules:
    


      

    • enforce: true

    4. Ersetzen Sie PROJECT_ID durch Ihre Projekt-ID.

  4. Organisationsrichtlinie erzwingen

    gcloud org-policies set-policy EGRESS_POLICY_PATH

    Ersetzen Sie EGRESS_POLICY_PATH durch den vollständigen Pfad zur YAML-Datei der Organisationsrichtlinie, die im vorherigen Schritt erstellt wurde. Es kann bis zu 15 Minuten dauern, bis die Richtlinie wirksam wird.

Weitere Informationen zur Verwendung benutzerdefinierter Einschränkungen für Organisationsrichtlinien finden Sie unter Benutzerdefinierte Einschränkungen erstellen.

Nächste Schritte

Codelab

Hier erfahren Sie, wie Sie agentische Arbeitslasten mit Agent Gateway auf der Gemini Enterprise Agent Platform verwalten.

Anleitung

Hier erfahren Sie, wie Sie die Autorisierung für Agent Gateway an IAP, Model Armor oder Ihren eigenen benutzerdefinierten Autorisierungsdienst delegieren.

Anleitung

Informationen zum Monitoring des KI-Agenten-Gateways

Fehlerbehebung

Informationen zur Fehlerbehebung bei der KI-Agenten-Gateway-Verbindung.