Quando gli agenti di AI generativa interagiscono con strumenti, API o servizi esterni (come BigQuery, Jira, GitHub o Google Maps), hanno bisogno di un meccanismo sicuro per autenticare le richieste in uscita. Il gestore di autenticazione di identità dell'agente (gestore di autenticazione) fornisce questo meccanismo fungendo da vault di credenziali centralizzato e broker di autenticazione che semplifica l'autenticazione degli strumenti in uscita.
Vantaggi dell'utilizzo del gestore di autenticazione
Il gestore di autenticazione offre i seguenti vantaggi per lo sviluppo degli agenti:
- Vault di credenziali centralizzato: archivia chiavi API, client secret OAuth e token utente in un vault gestito da Google, contribuendo a evitare secret hardcoded e l'archiviazione di database personalizzati.
- OAuth 2.0 automatizzato: gestisce i flussi OAuth 2.0 in più passaggi, come il consenso dell'utente, lo scambio di codici di autorizzazione e gli aggiornamenti dei token, senza codice backend personalizzato.
- Integrazione ADK senza interruzioni: si integra in modo nativo con l'
Agent Development Kit (ADK) per recuperare e inserire le intestazioni di autenticazione in uscita, come
AuthorizationoX-Goog-Api-Key, nelle chiamate al server dello strumento e del Model Context Protocol (MCP). - Controllo dell'accesso granulare all'ID SPIFFE: utilizza le identità dell'agente basate su SPIFFE per definire policy IAM (Identity and Access Management) precise, contribuendo a garantire che solo i principal e gli sviluppatori degli agenti autorizzati possano accedere a provider di autenticazione specifici.
Come funziona il gestore di autenticazione
Il gestore di autenticazione funge da vault di credenziali tra Agent Runtime nell'ambiente Gemini Enterprise Agent Platform e gli endpoint dei servizi esterni.
Quando un agente chiama uno strumento esterno, l'ADK intercetta l'esecuzione dello strumento, richiede le credenziali appropriate dal vault del gestore di autenticazione e allega le intestazioni di autenticazione richieste prima di inviare la richiesta all'API di destinazione.
Il seguente diagramma di flusso illustra l'architettura di alto livello e
il ciclo di vita del recupero delle credenziali:
- L'utente finale attiva un evento o un prompt che richiede l'autenticazione dello strumento in uscita.
- L'agente di cui è stato eseguito il deployment (utilizzando l'ADK) intercetta in modo trasparente la richiesta dello strumento ed esegue una query sul vault del gestore di autenticazione sicuro.
- Il gestore di autenticazione restituisce le credenziali sicure (chiave API o token OAuth) all'agente.
- L'agente richiama l'API o lo strumento esterno con le credenziali allegate.
- Il servizio di terze parti convalida le credenziali e restituisce i dati richiesti all'agente.
- L'agente utilizza i dati restituiti per generare e fornire la risposta finale all'utente.
Località
Il gestore di autenticazione di identità dell'agente è disponibile nelle regioni delle Americhe, dell'Europa e dell'Asia Pacifico. Per un elenco delle regioni supportate, consulta Località di identità dell'agente.
Passaggi successivi
- Autenticazione utilizzando la chiave API con il gestore di autenticazione
- Autenticazione utilizzando OAuth a due vie con il gestore di autenticazione
- Autenticazione utilizzando OAuth a tre vie con il gestore di autenticazione
- Panoramica di identità dell'agente
- Gestire i provider di autenticazione di identità dell'agente
- Località di identità dell'agente