Als Administrator von Gemini Enterprise können Sie einer Gemini Enterprise-App einen A2A-Agenten aus der Agent Registry hinzufügen.
Sie können Richtlinien für die Zugriffssteuerung auf Traffic über das Agent Gateway anwenden. Mit diesen Richtlinien können Sie die Governance für ausgehenden Traffic erzwingen, um den Traffic zu Agenten zu steuern.
A2A-Agenten und Agent Registry
Das Agent2Agent-Protokoll (A2A) ist ein offenes Kommunikationsprotokoll und eine universelle Sprache für Agenten. So können Agenten von verschiedenen Entwicklern und Plattformen einander finden, zusammenarbeiten und Aufgaben sicher delegieren.
Agent Registry ist ein zentraler, abfragbarer Katalog, der als zentrale Informationsquelle für das Suchen, Verfolgen und Verwalten von A2A-Agenten, Endpunkten und MCP-Servern dient.
Die A2A-Agenten in der Registry können benutzerdefinierte Agenten sein, die von Ihnen und Ihren Kollegen erstellt und in verschiedenen Laufzeiten wie der Agent Runtime auf der Gemini Enterprise Agent Platform, Cloud Run oder der Google Kubernetes Engine (GKE) bereitgestellt werden. Diese Agenten können auch in unseren Google-Produkten wie Google Workspace integriert sein.
Sie können die KI-Agenten in der Agent Registry mit Ihren Gemini Enterprise-Apps verknüpfen, um sie für die Endnutzer der App verfügbar zu machen.
Agent Gateway
Agent Gateway ist die verwaltete regionale Netzwerkkomponente der Agent Platform, die als Traffic-Controller und Durchsetzungspunkt für Laufzeitrichtlinien für A2A-Agenten, MCP-Server und Endpunkte fungiert. Es sichert und verwaltet die Konnektivität zwischen Clients und A2A-Agenten, A2A-Agenten und Backend-Tools sowie A2A-Agenten und anderen Agenten.
Bevor Sie A2A-Agenten mit Ihren Gemini Enterprise Apps verknüpfen können, müssen Sie ein Agent Gateway einrichten, über das der Agent-Traffic weitergeleitet werden kann. Weitere Informationen finden Sie unten im Abschnitt Vorbereitung.
Regionale Einschränkungen für die Registry, das Gateway und die Anwendung
Um die Einhaltung der Anforderungen an den Datenstandort zu gewährleisten, sind sowohl Agent Registry- als auch Agent Gateway-Ressourcen projekt- und regionsspezifisch.
Ein KI-Agenten-Gateway muss so konfiguriert sein, dass es mit einer KI-Agenten-Registry verknüpft ist, die sich in einer Region befindet, die mit der Betriebsregion der Gemini Enterprise-App kompatibel ist. Dadurch werden Verstöße gegen die Konventionen für den Datenstandort verhindert. Eine Gemini Enterprise-App, die in der Region „USA“ erstellt wurde, muss beispielsweise ein KI-Agenten-Gateway verwenden, das mit einer US-regionalen KI-Agenten-Registry konfiguriert ist, nicht mit einer globalen.
Bei Gemini Enterprise-Apps wird die regionale Ausrichtung strikt durch einen bestimmten Bindungsprozess erzwungen:
Die Gemini Enterprise-App darf nur an ein KI-Agenten-Gateway gebunden werden, das sich in einer der zulässigen Regionen für diese App befindet.
Das ausgewählte Agent Gateway muss mit einer Agent Registry verknüpft sein. Diese Agent Registry muss sich auch in derselben Region wie das Agent Gateway und die Anwendung befinden.
Das bedeutet, dass die drei Komponenten (Anwendung, Gateway und Registry) regional aufeinander abgestimmt sein müssen. In der folgenden Tabelle finden Sie die spezifischen Regionszuordnungen:
| Speicherort der Gemini Enterprise-App | Standort des KI-Agenten-Gateways | Agent Registry-Standort |
|---|---|---|
global |
us-central1 |
us-central1 |
us |
us-central1 |
us-central1 |
eu |
europe-west1 |
europe-west1 |
Beschränkungen
Beim Importieren von Agenten aus der Agent Registry gelten die folgenden Einschränkungen:
Sie können Agenten nur dann aus der Agent Registry finden und importieren, wenn die Registry mit dem Agent Gateway verknüpft ist, das für Ihre Gemini Enterprise-App eingerichtet wurde.
Sie können Governance-Richtlinien nur auf Agenten anwenden, die sich in der einzelnen Registry befinden, die mit dem Agent Gateway verknüpft ist.
Die direkte Kommunikation zwischen Gemini Enterprise-Agenten oder zwischen einem Gemini Enterprise-Agenten und einem Gemini Enterprise-Daten-Connector (einschließlich MCP-basierter Connectors wie dem benutzerdefinierten MCP-Server) löst keine Durchsetzung von Agenten-Gateway-Richtlinien aus.
Hinweis
Bevor Sie beginnen, müssen die folgenden Voraussetzungen erfüllt sein:
Sie haben die Rolle Gemini Enterprise Admin.
Sie haben ein Gateway eingerichtet, um den KI-Agenten-Traffic über das Agent Gateway weiterzuleiten. Weitere Informationen finden Sie unter Gemini Enterprise-Traffic über das Agent Gateway weiterleiten.
KI-Agenten aus der Agent Registry in eine Gemini Enterprise-App importieren
Wenn Sie einen A2A-Agenten aus der Agent Registry in Ihre Gemini Enterprise-App importieren, können Sie den Agenten für die Endnutzer der App verfügbar machen.
Console
So importieren Sie einen Agenten aus der Agent Registry in eine Gemini Enterprise-App:
Rufen Sie in der Google Cloud Console die Seite Gemini Enterprise auf.
Klicken Sie auf den Namen der Anwendung, mit der Sie einen A2A-Agenten verknüpfen möchten.
Klicken Sie auf Agenten.
Klicken Sie auf + KI-Agent hinzufügen und dann für Benutzerdefinierter KI-Agent über Agent Runtime auf Hinzufügen.
Suchen Sie den KI-Agenten, den Sie hinzufügen möchten, und klicken Sie auf Agent hinzufügen.
Prüfen Sie die Agentendetails und klicken Sie dann auf Weiter.
Führen Sie einen der folgenden Schritte aus:
Wenn der Agent öffentlich verfügbar ist oder bereits eine Berechtigung für eine Laufzeit vorhanden ist, klicken Sie auf Überspringen und beenden.
Andernfalls prüfen oder geben Sie die Anmeldedaten des Anbieters und Zusätzliche Details ein und klicken Sie auf Fertigstellen.
Feld Beschreibung Client-ID Die eindeutige Kennung der OAuth-Anwendung, die Sie bei Ihrem Identitätsanbieter registriert haben, um Gemini Enterprise darzustellen. Clientschlüssel Der vertrauliche Schlüssel, der mit der OAuth-Anwendung verknüpft ist, die Sie bei Ihrem Identitätsanbieter registriert haben, um Gemini Enterprise darzustellen. Autorisierungs-URL Die URL, über die Nutzer Gemini Enterprise autorisieren, auf den Agenten zuzugreifen. Beispiel: https://accounts.google.com/o/oauth2/v2/auth?client_id=123...abc.apps.googleusercontent&redirect_uri=https%3A%2F%2Fvertexaisearch.cloud.google.com%2Foauth-redirect&oauth-redirect&include_granted_scopes=true&response_type=code&access_type=offline&prompt=consentToken-URL Der Endpunkt, der zum Austauschen des Autorisierungscodes gegen ein Zugriffstoken verwendet wird. Wenn der Agent beispielsweise von Google gehostet wird, lautet die Token-URL https://oauth2.googleapis.com/token.Bereiche Die Berechtigungen, die festlegen, welche Aktionen Gemini Enterprise im Namen eines Nutzers ausführen oder auf welche Daten es zugreifen kann. Gemini Enterprise fordert diese Bereiche während der Nutzerautorisierung an. Beispiel: https://www.googleapis.com/auth/cloud-platform
Beachten Sie beim Angeben von Bereichen Folgendes:- Geben Sie eine durch Leerzeichen getrennte Liste von Bereichen an. Beispiel:
read write. - Achten Sie darauf, dass die Bereiche ausreichen, damit sich der Nutzer anmelden und den KI-Agenten verwenden kann.
PKCE-Überprüfung aktiviert Wählen Sie diese Option aus, wenn der Proof Key for Code Exchange vom Agenten benötigt wird. - Geben Sie eine durch Leerzeichen getrennte Liste von Bereichen an. Beispiel:
So machen Sie den KI-Agenten für die Endnutzer der Anwendung verfügbar:
Rufen Sie den Tab Nutzerberechtigungen für den Agent auf: Anwendungen > APP_NAME > Agents > AGENT_NAME > Nutzerberechtigungen.
Klicken Sie auf Nutzer hinzufügen.
Weisen Sie im Dialogfeld Nutzerberechtigungsrollen zum Agenten hinzufügen einem Nutzer, einer Gruppe oder allen Nutzern die Rolle Agent-Nutzer zu.
Governance-Richtlinien für ausgehenden Traffic einrichten und anwenden
Mit dem KI-Agenten-Gateway können Sie Richtlinien für die semantische und IAM-Steuerung für ausgehenden KI-Agenten-Traffic bewerten und anwenden. Sie können detaillierte Richtlinien für ausgehenden Traffic erstellen, um den Zugriff zwischen Agenten für Ihre A2A-Agenten zu verwalten.
Sie definieren Zulassungs- und Ablehnungsregeln, um den Zugriff eines KI-Agenten auf bestimmte Einträge in der Agent Registry einzuschränken.
So erstellen Sie Governance-Regeln für ausgehenden Traffic und wenden sie auf Agenten an: