Wenn Sie den Zugriff für bereitgestellte Agenten in der Gemini Enterprise Agent Platform verwalten möchten, müssen Sie die Authentifizierung und Autorisierung sowohl für den Agenten, der auf externe Ressourcen zugreift, als auch für externe Clients, die auf den Agenten zugreifen, konfigurieren. In diesem Dokument werden die verfügbaren Authentifizierungsmethoden beschrieben, einschließlich Agent-Identität, Dienstkonten, API-Schlüssel und OAuth-Clients.
Für die verschiedenen Zugriffsmethoden sind unterschiedliche Authentifizierungsmethoden verfügbar:
| Authentifizierungsmethode | Anwendungsfall | Informationen zu dieser Authentifizierungsmethode |
|---|---|---|
| Agentenidentität (Vorabversion) | Greifen Sie direkt über einen Agenten auf Datenquellen zu. | Ein mit einer Agentenidentität bereitgestellter Agent kann gemäß den IAM-Berechtigungen, die Sie ihm gewähren, auf Ressourcen zugreifen. |
| Dienstkonten | Greifen Sie direkt über einen Agenten auf Datenquellen zu. | Bereitgestellte Agents haben Zugriff auf alle Ressourcen, auf die ihr Dienstkonto Zugriff hat. |
| API-Schlüssel | Anfragen an Endpunkte mit API-Schlüsseln aus einem Agenten senden. | Prüfen Sie, ob API-Schlüssel von der gewünschten API unterstützt werden, bevor Sie diese Authentifizierungsmethode verwenden. |
| OAuth-Client-ID | Nutzerkonten, Registrierung, Anmeldung oder Autorisierung für die Endnutzer des Agents verwalten. | Der Agent muss die Einwilligung des Nutzers anfordern und erhalten. |
Agentenidentität
Wenn Sie die Agentenidentität verwendet haben, um die Identität und Berechtigungen für Ihren Agenten einzurichten, finden Sie unter Agentenidentität mit Agent Runtime verwenden Informationen zum Verwalten der Zugriffssteuerung für Ressourcen.
Dienstkonten
Wenn Sie Dienstkonten verwendet haben, um die Identität und Berechtigungen für Ihren Agenten einzurichten, werden Agenten, die Sie in der Agent Runtime bereitstellen, entweder mit dem KI Platform Reasoning Engine-Dienst-Agent oder Ihrem benutzerdefinierten Dienstkonto ausgeführt.
AI Platform Reasoning Engine Service Agent
Das Dienstkonto KI-Plattform Reasoning Engine Dienst-Agent hat das Format service-PROJECT_NUMBER@gcp-sa-aiplatform-re.iam.gserviceaccount.com.
Das Dienstkonto hat die Rolle Gemini Enterprise Agent Platform Reasoning Engine-Dienst-Agent (roles/aiplatform.reasoningEngineServiceAgent), die die Standardberechtigungen für bereitgestellte Agenten gewährt. Eine vollständige Liste der Standardberechtigungen finden Sie in der IAM-Dokumentation.
Rollen eines bereitgestellten KI-Agenten auflisten
Console
Rufen Sie die IAM-Seite auf.
Wählen Sie das Projekt aus, das Ihrem Google Cloud -Projekt entspricht.
Suchen Sie das Hauptkonto, das dem Dienstkonto entspricht, das als Agent-Identität verwendet wird.
Die Rollen des bereitgestellten KI-Agenten finden Sie in der Spalte Rolle.
gcloud
Installieren und initialisieren Sie zuerst die gcloud-Befehlszeile. Führen Sie dann den folgenden Befehl aus:
gcloud projects get-iam-policy PROJECT_ID_OR_NUMBER \
--flatten="bindings[].members" \
--filter="bindings.members:serviceAccount:PRINCIPAL" \
--format="value(bindings.role)"Dabei gilt:
PROJECT_ID_OR_NUMBERist die ID oder Nummer Ihres Projekts undPRINCIPALbasiert auf dem Dienstkonto, das bei der Bereitstellung des Agents in der Laufzeit verwendet wurde.
Weitere Informationen finden Sie in der IAM-Dokumentation und in der CLI-Referenz.
Python
Installieren Sie zuerst die Clientbibliothek, indem Sie Folgendes ausführen:
pip install google-api-python-clientAuthentifizieren Sie sich dann und führen Sie den folgenden Befehl aus, um die Rollen eines bereitgestellten KI-Agenten aufzulisten:
from google.cloud import resourcemanager_v3
from google.iam.v1 import iam_policy_pb2
project_id = "PROJECT_ID"
principal = "PRINCIPAL"
crm_service = resourcemanager_v3.ProjectsClient()
policy = crm_service.get_iam_policy(iam_policy_pb2.GetIamPolicyRequest(
resource=f"projects/{project_id}"
))
for binding in policy.bindings:
for member in binding.members:
if principal in member:
print(binding.role)
Dabei basiert PRINCIPAL auf dem Dienstkonto, das bei der Bereitstellung des Agents in der Laufzeit verwendet wurde.
Rollen für einen bereitgestellten Agenten gewähren
Konsole (empfohlen)
Rufen Sie die IAM-Seite auf.
Wählen Sie das Projekt aus, das Ihrem Google Cloud -Projekt entspricht.
Suchen Sie das Hauptkonto, das dem Dienstkonto entspricht, das als Agent-Identität verwendet wird.
Fügen Sie dem Hauptkonto die erforderlichen Rollen hinzu. Klicken Sie dazu auf den Button „Bearbeiten“, fügen Sie die Rollen hinzu und klicken Sie dann auf den Button „Speichern“.
gcloud
Installieren und initialisieren Sie zuerst die gcloud-Befehlszeile. Führen Sie dann den folgenden Befehl aus:
gcloud projects add-iam-policy-binding PROJECT_ID --member=PRINCIPAL --role=ROLE_NAMEDabei gilt:
PRINCIPALbasiert auf dem Dienstkonto, das bei der Bereitstellung des Agents in der Laufzeit verwendet wurde.ROLE_NAMEist der Name der Rolle, die Sie zuweisen möchten. Eine Liste der vordefinierten Rollen finden Sie unter Informationen zu Rollen.
Weitere Informationen finden Sie in der IAM-Dokumentation und in der CLI-Referenz.
Python
Wir empfehlen nicht, eigenen Python-Code zu schreiben, um Rollen für bereitgestellte Agenten zu gewähren oder zu widerrufen. Stattdessen empfehlen wir, für einmalige Vorgänge entweder die Google Cloud Console oder gcloud zu verwenden oder Terraform, um die IAM-Zugriffssteuerung programmatisch zu verwalten. Wenn Sie dies in Python tun möchten oder müssen, lesen Sie die Dokumentation zur IAM-Clientbibliothek.
Rollen von einem bereitgestellten Agenten widerrufen
Konsole (empfohlen)
Rufen Sie die IAM-Seite auf.
Wählen Sie das Projekt aus, das Ihrem Google Cloud -Projekt entspricht.
Suchen Sie das Hauptkonto, das dem Dienstkonto entspricht, das als Agent-Identität verwendet wird.
Entziehen Sie dem Hauptkonto die Rollen, indem Sie auf die Schaltfläche „Bearbeiten“ klicken, die entsprechenden Rollen entfernen und dann auf die Schaltfläche „Speichern“ klicken.
gcloud
Installieren und initialisieren Sie zuerst die gcloud-Befehlszeile. Führen Sie dann den folgenden Befehl aus:
gcloud projects remove-iam-policy-binding PROJECT_ID --member=PRINCIPAL --role=ROLE_NAMEDabei gilt:
PRINCIPALbasiert auf dem Dienstkonto, das bei der Bereitstellung des Agents in der Laufzeit verwendet wurde.ROLE_NAMEist der Name der Rolle, die Sie widerrufen möchten. Eine Liste der vordefinierten Rollen finden Sie unter Informationen zu Rollen.
Weitere Informationen finden Sie in der IAM-Dokumentation und in der CLI-Referenz.
Python
Wir empfehlen nicht, eigenen Python-Code zu schreiben, um Rollen für bereitgestellte Agenten zu gewähren oder zu widerrufen. Stattdessen empfehlen wir, für einmalige Vorgänge entweder die Google Cloud Console oder gcloud zu verwenden oder Terraform, um die IAM-Zugriffssteuerung programmatisch zu verwalten. Wenn Sie dies in Python tun möchten oder müssen, lesen Sie die Dokumentation zur IAM-Clientbibliothek.
API-Schlüssel
API-Schlüssel verwenden Secrets, die eine oder mehrere Secret-Versionen sowie Metadaten wie Labels und Replikationsinformationen enthalten. Die tatsächliche Nutzlast eines Secrets wird in einer Secret-Version gespeichert. Secrets werden (über Secret Manager) auf Projektebene verwaltet und können für bereitgestellte Agenten freigegeben werden. Wenn Sie die Secrets für einen Agenten in Secret Manager auflisten möchten, können Sie Labels hinzufügen und diese zum Filtern verwenden.
Secret erstellen
Console
Rufen Sie die Seite Secret Manager auf.
Klicken Sie auf der Seite Secret Manager auf Secret erstellen.
Geben Sie im Feld Name einen Namen für das Secret ein (z. B.
my-secret).Optional: Wenn Sie beim Erstellen des ursprünglichen Secrets auch eine Secret-Version hinzufügen möchten, geben Sie im Feld Secret-Wert einen Wert für das Secret ein (z. B.
abcd1234).Gehen Sie zu Labels und klicken Sie auf Label hinzufügen.
Geben Sie einen Schlüssel und den entsprechenden Wert ein, um ein Label zu erstellen.
Klicken Sie auf Secret erstellen.
gcloud
Installieren und initialisieren Sie zuerst die gcloud-Befehlszeile. Führen Sie dann die folgenden Befehle aus:
gcloud secrets create SECRET_ID --replication-policy="automatic"gcloud secrets versions add SECRET_ID --data-file="FILE_PATH"
Dabei gilt:
SECRET_IDist die ID des Secrets oder die voll qualifizierte Kennung für das Secret.FILE_PATHist der vollständige Pfad (einschließlich Dateiname) zur Datei mit den Versionsdetails.
Weitere Informationen finden Sie in der Secret Manager-Dokumentation zum Erstellen eines Secrets und einer Secret-Version oder in der CLI-Referenz zum Erstellen eines Secrets bzw. einer Secret-Version.
Python
Installieren Sie zuerst die Clientbibliothek, indem Sie Folgendes ausführen:
pip install google-cloud-secret-managerAuthentifizieren Sie sich und führen Sie Folgendes aus:
from google.cloud import secretmanager
import google_crc32c
client = secretmanager.SecretManagerServiceClient()
secret = client.create_secret(request={
"parent": "projects/PROJECT_ID",
"secret_id": "SECRET_ID",
"secret": { # google.cloud.secretmanager_v1.types.Secret
# Required. The replication policy cannot be changed after the Secret has been created.
"replication": {"automatic": {}},
# Optional. Labels to associate with the secret.
"labels": {"type": "api_key", "provider": "anthropic"},
# Optional. The secret's time-to-live in seconds with format (e.g.,
# "900s" for 15 minutes). If specified, the secret versions will be
# automatically deleted upon reaching the end of the TTL period.
"ttl": "TTL",
},
})
anthropic_api_key = "API_KEY" # The secret to be stored.
payload_bytes = anthropic_api_key.encode("UTF-8")
# Optional. Calculate payload checksum.
crc32c = google_crc32c.Checksum()
crc32c.update(payload_bytes)
version = client.add_secret_version(request={
"parent": secret.name,
"payload": {
"data": payload_bytes,
"data_crc32c": int(crc32c.hexdigest(), 16), # Optional.
},
})
print(f"Added secret version: {version.name}")
Secret abrufen
Console
Rufen Sie die Seite Secret Manager auf.
Klicken Sie auf der Seite Secret Manager auf den Namen des Secrets, das Sie beschreiben möchten.
Auf der Seite Secret-Detail werden Informationen zum Secret aufgelistet.
gcloud
Installieren und initialisieren Sie zuerst die gcloud-Befehlszeile. Führen Sie dann den folgenden Befehl aus:
gcloud secrets versions describe VERSION_ID --secret=SECRET_IDDabei gilt:
VERSION_IDist die ID der Secret-Version undSECRET_IDist die ID des Secrets oder die voll qualifizierte Kennung für das Secret.
Weitere Informationen finden Sie in der Secret Manager-Dokumentation oder in der CLI-Referenz.
Python
Installieren Sie zuerst die Clientbibliothek, indem Sie Folgendes ausführen:
pip install google-cloud-secret-managerAuthentifizieren Sie sich und führen Sie Folgendes aus:
from google.cloud import secretmanager
client = secretmanager.SecretManagerServiceClient()
name = client.secret_path("PROJECT_ID", "SECRET_ID")
response = client.get_secret(request={"name": name})
Secrets auflisten
Console
Rufen Sie die Seite Secret Manager auf.
Klicken Sie in der Tabelle „Secrets“ in das Feld Filter.
Wählen Sie ein Filterattribut und den entsprechenden Wert aus, z. B.
Location:asia-east1.Die Tabelle wird automatisch anhand der eingegebenen Werte gefiltert.
(Optional) So filtern Sie Secret-Versionen: Wählen Sie ein Secret aus, um auf seine Versionen zuzugreifen, und verwenden Sie dann die Option Filter in der Tabelle Versionen.
gcloud
Installieren und initialisieren Sie zuerst die gcloud-Befehlszeile.
Führen Sie den folgenden Befehl aus, um alle Secrets eines Projekts aufzulisten:
gcloud secrets list --filter="FILTER"Dabei ist FILTER ein String (z.B. name:asecret OR name:bsecret) oder ein regulärer Ausdruck (z.B. name ~ "secret_ab.*").
Führen Sie den folgenden Befehl aus, um alle Versionen eines Secrets aufzulisten:
gcloud secrets versions list SECRET_IDDabei ist SECRET_ID die ID des Secrets oder die voll qualifizierte Kennzeichnung für das Secret.
Weitere Informationen finden Sie in der Secret Manager-Dokumentation zum Filtern von Secrets und zum Auflisten von Secret-Versionen oder in der CLI-Referenz zum Auflisten von Secrets bzw. Secret-Versionen.
Python
Installieren Sie zuerst die Clientbibliothek, indem Sie Folgendes ausführen:
pip install google-cloud-secret-managerAuthentifizieren Sie sich und führen Sie Folgendes aus:
from google.cloud import secretmanager
client = secretmanager.SecretManagerServiceClient()
for secret in client.list_secrets(request={
"parent": "projects/PROJECT_ID",
"filter": "FILTER", # e.g. "labels.provider=anthropic"
}):
print(f"Found secret: {secret.name}")
Secret aktualisieren
Console
Rufen Sie die Seite Secret Manager auf.
Klicken Sie auf der Seite Secret Manager auf das Kästchen neben dem Namen des Secrets.
Wenn das Infofeld geschlossen ist, klicken Sie auf Infofeld ansehen, um es einzublenden.
Wählen Sie im Infofeld den Tab Labels aus.
Klicken Sie auf Label hinzufügen und geben Sie einen Schlüssel und einen Wert für das Label ein.
Klicken Sie auf Speichern.
gcloud
Installieren und initialisieren Sie zuerst die gcloud-Befehlszeile. Führen Sie dann den folgenden Befehl aus:
gcloud secrets update SECRET_ID --update-labels=KEY=VALUEDabei gilt:
SECRET_IDist die ID des Secrets oder die voll qualifizierte Kennung für das Secret.KEYist der Labelschlüssel undVALUEist der entsprechende Wert des Labels.
Weitere Informationen finden Sie in der Secret Manager-Dokumentation oder in der CLI-Referenz.
Python
Installieren Sie zuerst die Clientbibliothek, indem Sie Folgendes ausführen:
pip install google-cloud-secret-managerAuthentifizieren Sie sich und führen Sie Folgendes aus:
from google.cloud import secretmanager
client = secretmanager.SecretManagerServiceClient()
name = client.secret_path("PROJECT_ID", "SECRET_ID")
response = client.update_secret(request={
"secret": {
"name": name,
"labels": {"type": "api_key", "provider": "anthropic"}, # updated labels
},
"update_mask": {"paths": ["labels"]},
})
print(f"Updated secret: {response.name}")
Secret löschen
Console
Rufen Sie die Seite Secret Manager auf.
Klicken Sie auf der Seite Secret Manager in der Spalte Aktionen für das Secret auf Weitere Informationen.
Wählen Sie im Menü die Option Löschen aus.
Geben Sie im Dialogfeld Secret löschen den Namen des Secrets ein.
Klicken Sie auf den Button Secret löschen.
gcloud
Installieren und initialisieren Sie zuerst die gcloud-Befehlszeile.
Führen Sie den folgenden Befehl aus, um eine Secret-Version zu löschen:
gcloud secrets versions destroy VERSION_ID --secret=SECRET_IDDabei gilt:
VERSION_IDist der Ressourcenname der Secret-Version undSECRET_IDist die ID des Secrets oder die voll qualifizierte Kennung für das Secret.
Führen Sie den folgenden Befehl aus, um ein Secret und alle zugehörigen Versionen zu löschen:
gcloud secrets delete SECRET_IDDabei ist SECRET_ID die ID des Secrets oder die voll qualifizierte Kennung für das Secret.
Weitere Informationen finden Sie in der Secret Manager-Dokumentation unter Secret löschen und Secret-Version löschen oder in der CLI-Referenz unter Secret löschen und Secret-Version löschen.
Python
Installieren Sie zuerst die Clientbibliothek, indem Sie Folgendes ausführen:
pip install google-cloud-secret-managerAuthentifizieren Sie sich und führen Sie Folgendes aus:
from google.cloud import secretmanager
client = secretmanager.SecretManagerServiceClient()
name = client.secret_path("PROJECT_ID", "SECRET_ID")
client.delete_secret(request={"name": name})
OAuth-Clients und ‑Anmeldedaten
Eine Client-ID wird zur Identifizierung eines einzelnen KI-Agenten bei den OAuth-Servern von Google verwendet. Wenn Ihr Agent auf mehreren Plattformen ausgeführt wird, erfordert jede Plattform eine eigene Client-ID. Auf übergeordneter Ebene führen Sie die folgenden Schritte aus, um einen OAuth-basierten Agent einzubinden:
Erstellen Sie einen OAuth-Client und Anmeldedaten.
Speichern Sie die Client-ID und den Clientschlüssel in Secret Manager. (Siehe Secret erstellen).
Greifen Sie während der Entwicklung auf das Secret in Ihrem Agenten zu.
OAuth-Clientanmeldedaten erstellen
Rufen Sie in der Google Cloud Console die Seite Google Auth Platform > Clients auf.
(Falls erforderlich) Wenn auf dem Bildschirm „Google Auth Platform noch nicht konfiguriert“ angezeigt wird, klicken Sie auf Jetzt starten und füllen Sie die Projektkonfigurationen aus. (Sie können später aktualisiert werden.) Weitere Informationen zur Produktionsbereitschaft finden Sie unter Einhaltung der OAuth 2.0-Richtlinie.
Klicken Sie auf Client erstellen.
Legen Sie für Anwendungstyp den Wert
Web applicationfest.Legen Sie den Namen des OAuth-Clients auf
OAUTH_CLIENT_DISPLAY_NAMEfest.Fügen Sie unter Autorisierte Weiterleitungs-URIs den URI für
REDIRECT_URIhinzu.Klicken Sie unter „Clientschlüssel“ auf den Button „JSON herunterladen“. Eine
client_secret.json-Datei mit folgendem Inhalt wird heruntergeladen:
{'web': {
'client_id': "CLIENT_ID",
'client_secret': "CLIENT_SECRET",
'project_id': "PROJECT_ID",
'redirect_uris': [REDIRECT_URIs],
'auth_uri': 'https://accounts.google.com/o/oauth2/auth',
'token_uri': 'https://www.googleapis.com/oauth2/v3/token',
'auth_provider_x509_cert_url': 'https://www.googleapis.com/oauth2/v1/certs',
'javascript_origins': "JAVASCRIPT_ORIGINS", # Optional.
}}
- Speichern Sie die Client-ID und den Clientschlüssel beispielsweise in Secret Manager.
from google.cloud import secretmanager
import google_crc32c
import json
client = secretmanager.SecretManagerServiceClient()
secret = client.create_secret(request={
"parent": "projects/PROJECT_ID",
"secret_id": "OAUTH_SECRET_ID", # e.g. "oauth-client-demo"
"secret": {
"labels": {"type": "oauth_client"},
"replication": {"automatic": {}},
},
})
payload_bytes = json.dumps(cred).encode("UTF-8")
crc32c = google_crc32c.Checksum()
crc32c.update(payload_bytes)
client.add_secret_version(request={
"parent": secret.name,
"payload": {
"data": payload_bytes,
"data_crc32c": int(crc32c.hexdigest(), 16),
},
})
OAuth-Clients auflisten
Rufen Sie in der Google Cloud Console die Seite Google Auth Platform > Clients auf. Dort sind die OAuth-Client-Anmeldedaten aufgeführt.
OAuth-Client löschen
Rufen Sie in der Google Cloud Console die Seite Google Auth Platform > Clients auf.
Wählen Sie die zu löschenden OAuth-Client-Anmeldedaten aus und klicken Sie auf „Löschen“.
Kundenverwaltete Verschlüsselungsschlüssel (CMEK, Customer-Managed Encryption Keys)
Standardmäßig verschlüsselt Google Cloud Daten im inaktiven Zustand automatisch mit von Google verwalteten Verschlüsselungsschlüsseln. Wenn Sie bestimmte Compliance- oder behördliche Anforderungen in Bezug auf die Schlüssel zum Schutz Ihrer Daten haben, können Sie für Ihre bereitgestellten Agenten kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) verwenden.
Allgemeine Anforderungen und Anleitungen zur Verwendung von CMEK mit der Gemini Enterprise Agent Platform finden Sie in der Dokumentation zu CMEK für die Gemini Enterprise Agent Platform. Dazu gehören:
- Projekteinrichtung (Abrechnung und aktivierte APIs)
- Schlüsselbunde und Schlüssel erstellen
- Erforderliche Berechtigungen
Wenn Sie CMEK für Ihren Agenten aktivieren möchten, müssen Sie beim Erstellen einer Agent Platform-Instanz den encryption_spec mit Ihrem Cloud Key Management Service-Schlüssel angeben. Codebeispiele finden Sie unter Kundenverwaltete Verschlüsselungsschlüssel konfigurieren.
Beschränkungen
Bei der Verwendung von CMEK mit Agent Runtime gelten die folgenden Einschränkungen:
Multiregionale Schlüssel sind nicht zulässig: Es werden nur Schlüssel für einzelne Regionen unterstützt. Die Region des Schlüsselbunds und des Schlüssels muss mit der Region Ihrer Agent Platform-Instanz übereinstimmen.
Verschlüsselungsschlüssel kann für CMEK-Instanzen nicht aktualisiert werden: Wenn ein Agent mit einem CMEK-Schlüssel bereitgestellt wurde, kann der Verschlüsselungsschlüssel für diese Bereitstellung nicht mehr geändert werden. Wenn Sie einen neuen Schlüssel verwenden möchten, müssen Sie eine neue Agent Platform-Instanz bereitstellen.
Bestimmte Metadaten und Betriebsdaten werden nicht mit Ihrem Schlüssel verschlüsselt: CMEK verschlüsselt die Kerndaten des Agenten im Ruhezustand. Bestimmte Metadaten und Laufzeitdaten werden jedoch nicht mit Ihrem Schlüssel verschlüsselt. Stattdessen werden sie mit der Standardverschlüsselung von Google verschlüsselt. Dazu zählen:
- Agentenmetadaten:
- Anzeigenamen
- Beschreibungen
- Betriebsdaten zur Laufzeit:
- E‑Mail-Adressen von Dienstkonten
- Methodennamen der Agent-Objektklasse
- Umgebungsvariablen
- Agentenmetadaten:
VPC Service Controls (VPC-SC)
Agent Runtime unterstützt VPC Service Controls, um die Datensicherheit zu erhöhen und das Risiko einer Daten-Exfiltration zu minimieren.
Wenn VPC Service Controls konfiguriert ist, behält der bereitgestellte Agent den sicheren Zugriff auf Google APIs und Google-Dienste wie die BigQuery API, die Cloud SQL Admin API und die Agent Platform API bei. So wird ein reibungsloser Betrieb innerhalb des definierten Perimeters gewährleistet. VPC Service Controls blockiert effektiv den gesamten öffentlichen Internetzugriff, beschränkt die Datenübertragung auf Ihre autorisierten Netzwerkgrenzen und verbessert so den Sicherheitsstatus Ihres Unternehmens erheblich.
Die verfügbaren Bereitstellungsoptionen sind unter Agent bereitstellen aufgeführt. Je nach Bereitstellungsoption müssen die folgenden Regeln für eingehenden Traffic konfiguriert werden:
- Für Pickle-basierte Bereitstellungen ist eingehender Traffic zum Dienst
storage.googleapis.comund zum Dienstartifactregistry.googleapis.comerforderlich. - Für quellbasierte, Git-basierte und BYOD-Bereitstellungen (Bring Your Own Dockerfile) ist eingehender Traffic zum Dienst
artifactregistry.googleapis.comerforderlich. - Für BYOC-Bereitstellungen (Bring Your Own Container) ist keine zusätzliche Regel für eingehenden Traffic erforderlich.
Beschränkungen
VPC Service Controls wird mit Agent Gateway nicht unterstützt.
Sie können jedoch benutzerdefinierte Einschränkungen für Organisationsrichtlinien verwenden, um einzuschränken, welche Gateways mit Ihren Agenten verknüpft werden können. Weitere Informationen finden Sie unter Traffic über das Agent-Gateway weiterleiten.