Gli agenti spesso richiedono l'accesso alle API in tempo reale a piattaforme software-as-a-service (SaaS) esterne e pubbliche per recuperare le cronologie delle interazioni o attivare workflow operativi immediati. Questa operazione viene eseguita configurando strumenti e callback.
Categorie di traffico in uscita
Per fornire interazioni in tempo reale e sensibili al contesto, CX Agent Studio deve interfacciarsi senza problemi con un ecosistema diversificato di origini dati e piattaforme di automazione dei workflow. Per questo sono necessari meccanismi di routing del traffico in uscita robusti e sicuri in grado di attraversare sia i confini della rete internet pubblica sia le reti private altamente limitate. In genere, le architetture di integrazione rientrano in due categorie principali di traffico in uscita:
Traffico in uscita SaaS pubblico e ibrido
Per impostazione predefinita, gli agenti di CX Agent Studio operano all'interno di un progetto tenant gestito da Google che instrada il traffico internet in uscita tramite un pool condiviso e dinamico di indirizzi IP pubblici. Se la tua architettura di sicurezza si basa sull'inserimento in una lista consentita del firewall e deve supportare questo percorso predefinito, puoi recuperare l'elenco completo degli intervalli IP pubblici allocati alle API di Google e ai servizi.
Tuttavia, poiché Google gestisce questi indirizzi IP a livello globale, gli intervalli pubblicati sono ampi, condivisi tra più Google Cloud clienti e soggetti a modifiche frequenti. Con questo metodo non è possibile isolare blocchi IP specifici dedicati esclusivamente all'istanza dell'applicazione dell'agente individuale.
Per monitorare queste modifiche dinamiche e mantenere la sincronizzazione del firewall, devi implementare un processo di sincronizzazione automatizzato:
Google pubblica i suoi intervalli IP per i domini predefiniti in un payload JSON. Poiché questi intervalli cambiano di frequente senza preavviso, devi configurare uno script automatizzato giornaliero (ad esempio un cron job o una Cloud Function) per recuperare il payload, analizzare i blocchi CIDR e aggiornare a livello di programmazione le regole del firewall aziendale.
Traffico in uscita privato, multi-cloud e on-premise
Per i dati proprietari o altamente sensibili, le applicazioni degli agenti possono essere configurate per instradare in modo sicuro il traffico in ambienti isolati. Ciò include l'interfacciamento con strumenti Model Context Protocol (MCP) ospitati privatamente, middleware personalizzati e database principali o piattaforme SaaS pubbliche conformi a firewall in entrata rigorosi utilizzando un indirizzo IP esterno statico e stabile. Le topologie di rete supportate includono:
- Cross-Cloud Interconnect (CCI) collega le applicazioni degli agenti direttamente agli endpoint privati ospitati su provider di servizi cloud secondari (come AWS, Azure o OCI) tramite un collegamento fisico dedicato, bypassando completamente la rete internet pubblica per garantire bassa latenza e alta sicurezza.
- Cloud Interconnect e VPN ad alta disponibilità (VPN ad alta disponibilità) collegano gli agenti GECX alle reti on-premise collegando il progetto tenant gestito da Google al tuo VPC, quindi instradando il traffico direttamente al tuo data center tramite una connessione in fibra fisica privata.
- SaaS pubblico: per fornire un indirizzo IP esterno statico e stabile per il traffico internet in uscita, puoi eseguire il deployment di un'infrastruttura dedicata all'interno del tuo VPC autogestito ed esporla all'applicazione dell'agente utilizzando Service Directory. Questa architettura collega il progetto tenant gestito da Google alla tua rete privata, consentendo a GECX di instradare il traffico internet in uscita tramite i gateway gestiti (come Cloud NAT, appliance virtuale di rete) in cui puoi assegnare e controllare indirizzi IP esterni statici permanenti.
Service Directory e accesso a rete privata
CX Agent Studio si integra con Service Directory, un registro gestito che consente alle organizzazioni di registrare e risolvere i servizi per il traffico in uscita sicuro nel proprio VPC. Per CX Agent Studio, Service Directory funge da registro di routing fondamentale, mappando le connessioni dal progetto tenant gestito da Google direttamente al tuo ambiente privato.
Accesso a rete privata
CX Agent Studio utilizza l'accesso a rete privata per stabilire un percorso di traffico in uscita sicuro e isolato per gli strumenti degli agenti. Quando uno strumento dell'agente richiama un'API che fa riferimento a Service Directory, il sistema bypassa il normale routing pubblico e protegge il percorso dei dati utilizzando quanto segue:
- CX Agent Studio facilita il routing diretto del traffico all'interno del tuo Virtual Private Cloud (VPC) associando i dati in uscita a un indirizzo IP privato designato dall'endpoint di Service Directory. Questa configurazione crea un gateway privato che trasferisce in modo efficiente le richieste all'infrastruttura di rete interna.
- Anziché instradare il traffico sulla rete internet pubblica, che introduce latenza e rischi per la sicurezza, CX Agent Studio stabilisce un tunnel point-to-point privato e sicuro. Questo traffico transita interamente sul backbone della rete interna di Google, garantendo che i dati sensibili non tocchino mai l'infrastruttura pubblica.
- Combinando l'accesso alla rete privata con Service Directory, questa architettura consente agli agenti di raggiungere in modo sicuro endpoint privati, strumenti on-premise legacy e risorse multi-cloud isolate. Le organizzazioni possono concedere senza problemi agli agenti AI l'accesso operativo alle API interne o instradare in modo sicuro il traffico alle API pubbliche utilizzando indirizzi IP esterni statici e prevedibili per un controllo rigoroso dell'accesso al firewall.
Gli strumenti di CX Agent Studio possono essere configurati per utilizzare Service Directory per la connettività di rete privata. In alternativa, possono utilizzare il percorso di traffico internet in uscita predefinito dalla rete tenant.
La tabella seguente illustra la compatibilità di ogni funzionalità di CX Agent Studio in base a queste opzioni di connettività:
| Funzionalità di CX Agent Studio | Privato | Pubblico |
|---|---|---|
| OpenAPI | ✅ Accesso a rete privata | ✅ Utilizzo della rete internet pubblica |
| Server MCP | ✅ Accesso a rete privata | ✅ Utilizzo della rete internet pubblica |
| Strumento Salesforce | ✅ Accesso a rete privata | ✅ Utilizzo della rete internet pubblica |
| Strumento ServiceNow | ✅ Accesso a rete privata | ✅ Utilizzo della rete internet pubblica |
| Strumento per il codice Python | ❌ | ✅ Utilizzo della rete internet pubblica |
| Callback Python | ❌ | ✅ Utilizzo della rete internet pubblica |
Utilizzo di Service Directory per l'accesso a rete privata
L'accesso a rete privata di Service Directory consente a CX Agent Studio di comunicare con la risorsa di rete Virtual Private Cloud (VPC) dopo aver configurato uno strumento con Service Directory. Le richieste vengono inviate tramite la rete privata applicando Identity and Access Management(IAM) e i Controlli di servizio VPC.
Le risorse di rete supportate come destinazioni sono:
- Indirizzi IP on-premise, raggiungibili tramite Cloud Interconnect o Cloud VPN
- Bilanciatori del carico delle applicazioni interni regionali
- Istanze di macchine virtuali (VM)
- Bilanciatori del carico di rete passthrough interni
Per ulteriori informazioni, consulta Utilizzare Service Directory per l'accesso a rete privata.
Limitazioni di Service Directory:
- Service Directory funziona come un servizio regionale.
- Ogni applicazione dell'agente CX Agent Studio è limitata a una singola configurazione di Service Directory.
- Service Directory non supporta il targeting di un endpoint PSC
Pattern di networking in uscita
Per ottimizzare la connettività, configura una voce di Service Directory in modo che punti a un bilanciatore del carico delle applicazioni (ALB) interno. Questo approccio fornisce l'accesso centralizzato a più endpoint di traffico in uscita, utilizzando le mappe URL e il routing dell'indicazione nome server (SNI) per indirizzare il traffico attraverso i servizi di backend.
