Acheminer le trafic Gemini Enterprise via Agent Gateway

Cette page explique comment router le trafic Gemini Enterprise via Agent Gateway. Agent Gateway est un composant central de mise en réseau et de sécurité de l'écosystème Gemini Enterprise Agent Platform. Il fournit une connectivité sécurisée et régie pour toutes les interactions agentiques, qu'elles se produisent entre les utilisateurs et les agents, entre les agents et les outils, ou entre les agents eux-mêmes.

Avant de commencer

  • Assurez-vous de bien connaître les concepts de Gemini Enterprise.
  • En savoir plus sur Agent Gateway Notez qu'Agent Gateway n'est compatible qu'avec Gemini Enterprise en mode Agent-to-Anywhere (sortie). Le trafic d'Ingress n'est pas pris en charge.
  • Déployer une application Gemini Enterprise (également appelée "moteur") La procédure décrite sur cette page suppose que vous avez déjà déployé une application. Pour en savoir plus, consultez Créer une application.

Planifier vos mappages d'emplacement et de registre d'agents

Avant de déployer votre Agent Gateway, choisissez la région dans laquelle vous déployez la passerelle et l'Agent Registry dans lequel vous enregistrez vos ressources. Notez les exigences suivantes :

  • Mappage de l'emplacement : déployez l'Agent Gateway dans la région spécifique qui correspond à l'emplacement de votre application Gemini Enterprise pour assurer un routage correct.

  • Mappage du registre : associez votre Agent Gateway à l'instance Agent Registry régionale dans le même projet et la même région que la passerelle. Pour en savoir plus sur les modèles de déploiement, consultez Planifier votre déploiement d'Agent Gateway.

Tableau : Emplacement de l'application Gemini Enterprise et mappages Agent Registry
Emplacement de l'application Gemini Enterprise Région Agent Gateway requise Instance Agent Registry requise pour Agent Gateway
global us-central1 us-central1 (//agentregistry.googleapis.com/projects/PROJECT_ID/locations/us-central1)
us us-central1 us-central1 (//agentregistry.googleapis.com/projects/PROJECT_ID/locations/us-central1)
eu europe-west1 europe-west1 (//agentregistry.googleapis.com/projects/PROJECT_ID/locations/europe-west1)

Acheminer le trafic Gemini Enterprise via Agent Gateway

Pour router le trafic Gemini Enterprise via Agent Gateway, procédez comme suit :

  1. Créez une ressource Agent Gateway et assurez-vous de respecter la région et le registre que vous avez sélectionnés dans la section précédente. Pour obtenir des instructions, consultez Configurer Agent Gateway.

    Vérifiez la configuration de votre passerelle. Utilisez l'API Network Services pour récupérer la configuration de votre Agent Gateway et inspecter les paramètres.

    curl -X GET \
-H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
"https://networkservices.googleapis.com/v1/projects/PROJECT_ID/locations/AGENT_GATEWAY_REGION/agentGateways/AGENT_GATEWAY_NAME"

    Voici un exemple de résultat pour une passerelle correctement configurée :

    {
  "name": "projects/my-ge-project/locations/us-central1/agentGateways/my-egress-gateway",
  "description": "A full configuration for Agent Gateway for Gemini Enterprise egress",
  "googleManaged": {
    "governedAccessPath": "AGENT_TO_ANYWHERE"
  },
  "protocols": [
    "MCP"
  ],
  "registries": [
    "//agentregistry.googleapis.com/projects/my-ge-project/locations/us-central1"
  ]
}

  2. Liez la passerelle à votre application Gemini Enterprise à l'aide de l'API UpdateEngine. Notez que cette étape achemine immédiatement tout le trafic existant de l'agent via l'Agent Gateway spécifié.

    Console

    1. Dans la console Google Cloud , accédez à la page Gemini Enterprise.

      Gemini Enterprise

    2. Cliquez sur le nom de l'application que vous souhaitez associer à une Agent Gateway.

    3. Cliquez sur Sécurité.

    4. Dans l'onglet Configuration, sous Configuration de l'Agent Gateway, saisissez le nom de ressource complet de la passerelle. Utilisez le format suivant : projects/PROJECT_ID/locations/LOCATION/agentGateways/AGENT_GATEWAY_NAME.

    5. Cliquez sur Enregistrer.

    REST

    1. Utilisez la requête suivante pour mettre à jour votre application.

      curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "X-Goog-User-Project: PROJECT_ID" \
-d '{
  "agentGatewaySetting": {
    "defaultEgressAgentGateway": {
      "name": "projects/PROJECT_ID/locations/AGENT_GATEWAY_REGION/agentGateways/AGENT_GATEWAY_NAME"
    }
  }
}' \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_NUMBER/locations/GE_APP_LOCATION/collections/default_collection/engines/GE_APP_ID?updateMask=agentGatewaySetting.defaultEgressAgentGateway.name"

      Remplacez les éléments suivants :

      • PROJECT_ID : ID du projet.
      • AGENT_GATEWAY_REGION : région de l'Agent Gateway.
      • AGENT_GATEWAY_NAME : nom de l'Agent Gateway.
      • ENDPOINT_LOCATION : préfixe multirégional du point de terminaison de l'API qui correspond à GE_APP_LOCATION. Spécifiez global, us ou eu. Par exemple, les applications eu utilisent eu-discoveryengine.googleapis.com. Pour les applications global, discoveryengine.googleapis.com sans préfixe est également accepté.
      • PROJECT_NUMBER : numéro du projet.
      • GE_APP_LOCATION : emplacement de l'application Gemini Enterprise. Spécifiez global, us ou eu.
      • GE_APP_ID : ID de l'application Gemini Enterprise.

    2. Pour vérifier la configuration de l'application, utilisez la commande suivante pour récupérer votre configuration et inspecter les paramètres :

      curl -s -X GET \
-H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
-H "X-Goog-User-Project: PROJECT_ID" \
-H "Content-Type: application/json" \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1/projects/PROJECT_NUMBER/locations/GE_APP_LOCATION/collections/default_collection/engines/GE_APP_ID" \
| jq '{name: .name, displayName: .displayName, agentGatewaySetting: .agentGatewaySetting}'

      Remplacez les éléments suivants :

      • PROJECT_ID : ID du projet.
      • ENDPOINT_LOCATION : préfixe multirégional du point de terminaison de l'API qui correspond à GE_APP_LOCATION. Spécifiez global, us ou eu.
      • PROJECT_NUMBER : numéro du projet.
      • GE_APP_LOCATION : emplacement de l'application Gemini Enterprise. Spécifiez global, us ou eu.
      • GE_APP_ID : ID de l'application Gemini Enterprise.

      Voici un exemple de résultat pour une application correctement configurée :

      {
"name": "projects/PROJECT_NUMBER/locations/GE_APP_LOCATION/collections/default_collection/engines/GE_APP_ID",
"displayName": "GE_APP_ID",
"agentGatewaySetting": {
  "defaultEgressAgentGateway": {
    "name": "projects/PROJECT_ID/locations/AGENT_GATEWAY_REGION/agentGateways/AGENT_GATEWAY_NAME"
  }
}
}

  3. Bien que la gouvernance de sortie soit désormais activée pour votre application Gemini Enterprise, celle-ci ne sait pas automatiquement avec quelles ressources externes du registre d'agents elle peut interagir.

    Vous devez importer explicitement les agents, les points de terminaison et les serveurs MCP choisis dans votre application Gemini Enterprise. La ressource importée doit être référencée à l'aide de son nom de ressource exact basé sur le registre. Pour obtenir des instructions, consultez les guides suivants :

  4. Pour vérifier que la sortie fonctionne correctement, procédez comme suit :

    1. Ouvrez l'application Web Gemini Enterprise.
    2. Envoyez une requête conçue pour déclencher un outil externe (par exemple, "Donne-moi une liste des problèmes récents sur GitHub").
    3. Surveillez l'exécution pour vous assurer que la réponse est bien récupérée. En arrière-plan, l'agent Gemini Enterprise empaquette la requête, l'achemine via votre Agent Gateway (qui applique les règles d'autorisation configurées) et récupère la réponse de la destination.

Restreindre la liaison Gemini Enterprise aux passerelles d'agent approuvées

Vous pouvez créer des contraintes de règles d'administration personnalisées pour limiter la possibilité pour une application Gemini Enterprise de se lier à une ou toutes les Agent Gateways.

Créer des contraintes personnalisées liées aux règles d'administration

Cet exemple crée une contrainte personnalisée qui bloque toutes les liaisons entre les applications Gemini Enterprise et les passerelles d'agent.

Agent vers n'importe quelle destination

  1. Pour définir une contrainte personnalisée pour le mode Agent-to-Anywhere (sortie), créez un fichier nommé constraint-agent-gateway-egress.yaml.

    L'exemple suivant montre comment appliquer une isolation réseau stricte en interdisant les liaisons. Le champ condition spécifie que l'opération est refusée si une ressource Agent Gateway est spécifiée (le champ est présent et n'est pas vide).

    name: organizations/ORGANIZATION_ID/customConstraints/custom.disallowGeminiEnterpriseAgentGatewayBinding
resource_types:
    


      

    • discoveryengine.googleapis.com/Engine
condition: >-
has(resource.agentGatewaySetting.defaultEgressAgentGateway.name) &&
resource.agentGatewaySetting.defaultEgressAgentGateway.name != ''
actionType: DENY
displayName: "Disallow all Agent Gateway Bindings for Discovery Engines"
description: "To enforce strict network isolation, Discovery Engines are not permitted to bind to any Agent Gateway."

    2. Remplacez les éléments suivants :

    • ORGANIZATION_ID : votre ID d'organisation.
    • PROJECT_ID : ID de votre projet.
    • REGION : région dans laquelle la passerelle a été créée.
    • AGENT_GATEWAY_NAME : nom de votre passerelle.

  2. Appliquez la contrainte personnalisée.

    gcloud org-policies set-custom-constraint EGRESS_CONSTRAINT_PATH

    Remplacez EGRESS_CONSTRAINT_PATH par le chemin d'accès complet au fichier de contrainte personnalisée créé à l'étape précédente.

  3. Créez la règle d'administration pour appliquer la contrainte. Pour définir la règle d'administration, créez un fichier YAML de règle nommé policy-agent-gateway-egress.yaml. Dans cet exemple, nous appliquons cette contrainte au niveau du projet, mais vous pouvez également la définir au niveau de l'organisation ou du dossier.

    name: projects/PROJECT_ID/policies/custom.disallowGeminiEnterpriseAgentGatewayBinding
spec:
rules:
    


      

    • enforce: true

    4. Remplacez PROJECT_ID par l'ID du projet.

  4. Appliquez la règle d'administration.

    gcloud org-policies set-policy EGRESS_POLICY_PATH

    Remplacez EGRESS_POLICY_PATH par le chemin d'accès complet au fichier YAML de la règle d'administration créé à l'étape précédente. L'application de la règle peut prendre jusqu'à 15 minutes.

Pour en savoir plus sur l'utilisation des contraintes de règles d'administration personnalisées, consultez Créer des contraintes personnalisées.

Étapes suivantes

Atelier de programmation

Découvrez comment gouverner les charges de travail agentiques avec Agent Gateway sur Gemini Enterprise Agent Platform.

Guide

Découvrez comment déléguer l'autorisation pour Agent Gateway à IAP, Model Armor ou à votre propre service d'autorisation personnalisé.

Guide

Découvrez comment surveiller Agent Gateway.

Dépannage

Découvrez comment résoudre les problèmes de connectivité d'Agent Gateway.