Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Implementa Secure Web Proxy como un Agent Gateway

En esta página, se describe cómo configurar e implementar tu instancia de Secure Web Proxy como un Agent Gateway.

Descripción general

Las cargas de trabajo de IA empresariales implementadas en Google Cloud requieren límites de red estructurados para mantener el cumplimiento de la privacidad de los datos, evitar filtraciones de datos sensibles y proteger contra las amenazas de IA emergentes, como la inyección de instrucciones.

Agent Gateway proporciona administración de seguridad centralizada, aplicación forzosa de identidad y protecciones de contenido para el tráfico saliente de los agentes de IA a los modelos de lenguaje grandes (LLM), las herramientas del Protocolo de contexto del modelo (MCP), las APIs externas, los agentes remotos y los destinos web estándar.

Puedes implementar una Agent Gateway administrada por Google o una instancia de Secure Web Proxy como una Agent Gateway autoadministrada. Ambos modelos de implementación proporcionan una solución de administración común de Gemini Enterprise Agent Platform, que incluye políticas de acceso centralizadas, integración de Agent Registry y protecciones de contenido.

Elige entre las siguientes opciones de implementación según tus preferencias operativas:

Agent Gateway administrado por Google: Usa esta opción si deseas una experiencia completamente administrada y sin mantenimiento, sin necesidad de administrar la infraestructura de proxy de red. Para obtener más información, consulta Agent Gateway administrada por Google. Este modelo está optimizado para agentes que se ejecutan en Gemini Enterprise o Agent Runtime en Gemini Enterprise Agent Platform.
Secure Web Proxy como un Agent Gateway autoadministrado: implementa tu instancia de Secure Web Proxy como un Agent Gateway si quieres conservar el control total sobre el perímetro de tu red de VPC, los certificados de la AC privados y el enrutamiento de proxy para admitir agentes que se ejecutan en Google Kubernetes Engine (GKE) o Cloud Run.

Beneficios

Implementar Secure Web Proxy como un Agent Gateway proporciona los siguientes beneficios:

Infraestructura controlada por el cliente: Puedes administrar la puerta de enlace del proxy web seguro en tu propia red de nube privada virtual (VPC), lo que te permite mantener el control total sobre el enrutamiento de red, el direccionamiento IP, los certificados de AC privados y la inspección de TLS.
Aplicación centralizada de políticas de IA: Puedes definir políticas de autorización en un recurso de agentGateway. Esto te permite aplicar estas políticas directamente en tu puerta de enlace de Secure Web Proxy para restringir las llamadas a la herramienta de MCP, filtrar los destinos externos de los agentes de IA y, además, invocar servicios de limpieza de contenido, como Model Armor.
Compatibilidad con entornos de ejecución: Puedes enrutar el tráfico saliente de los agentes de IA que se alojan en varios entornos de ejecución, como GKE o Cloud Run, a través de un solo perímetro de proxy.
Observabilidad adaptada a los agentes: Los registros de transacciones en Cloud Logging contienen automáticamente metadatos de ejecución de agentes de IA (agentGatewayInfo), incluidos los métodos de MCP, los nombres de las herramientas y los nombres de recursos uniformes (URN) de los destinos de Agent Registry.

Arquitectura

En los siguientes pasos, se muestra cómo Secure Web Proxy protege el tráfico saliente como una Agent Gateway:

Agent runtimes: Los agentes autónomos que se ejecutan en GKE o Cloud Run inician conexiones salientes a APIs externas, proveedores de modelos, servidores de herramientas de MCP, agentes remotos o destinos web estándar.
Enrutamiento del tráfico saliente: El tráfico del agente se dirige al Secure Web Proxy con el enrutamiento de proxy en la VPC o los adjuntos de servicio de Private Service Connect (PSC) entre VPC.
Evaluación de políticas y limpieza de contenido: Secure Web Proxy finaliza las conexiones TLS, aplica las políticas de autorización de MCP y, además, invoca servicios de extensión, como Model Armor o Identity-Aware Proxy (IAP), para limpiar las cargas útiles y verificar la identidad del cliente.

Antes de comenzar

Antes de implementar tu instancia de Secure Web Proxy como un Agent Gateway, completa los siguientes requisitos previos:

Habilita las siguientes APIs de Google Cloud necesarias:

gcloud services enable \
    networkservices.googleapis.com \
    networksecurity.googleapis.com \
    privateca.googleapis.com \
    certificatemanager.googleapis.com \
    serviceextensions.googleapis.com \
    agentregistry.googleapis.com \
    compute.googleapis.com

Asegúrate de tener los siguientes roles de Identity and Access Management (IAM) necesarios:
- Rol de administrador de red de Compute (roles/compute.networkAdmin)
- Rol de administrador de seguridad de redes (roles/networksecurity.admin)
- Rol de administrador de CA Service (roles/privateca.admin)

Configura las siguientes variables de entorno para tu implementación:

export PROJECT_ID="my-project-id"
export PROJECT_NUMBER="my-project-number"
export REGION="us-central1"
export NETWORK_NAME="swp-vpc"
export PROXY_SUBNET_NAME="swp-proxy-subnet"
export PSC_NAT_SUBNET_NAME="swp-psc-nat-subnet"
export CA_POOL_NAME="swp-ca-pool"
export ROOT_CA_NAME="swp-root-ca"
export TLS_INSPECTION_POLICY_NAME="swp-tls-inspection-policy"
export SECURE_WEB_PROXY_NAME="swp-agent-gateway"
export SWP_IP_ADDRESS="10.129.0.10"
export SWP_CERTIFICATE_NAME="swp-cert"
export SERVER_TLS_POLICY_NAME="swp-server-tls-policy"
export GATEWAY_SECURITY_POLICY_NAME="swp-security-policy"
export SERVICE_ATTACHMENT_NAME="swp-service-attachment"
export AGENT_GATEWAY_NAME="my-agent-gateway"

Opcional: Si tus Agent Runtimes operan en redes de VPC o entornos administrados independientes, como clústeres de GKE o Cloud Run entre proyectos, debes exponer Secure Web Proxy a través de un adjunto de servicio de Private Service Connect:
- Crea una subred de NAT de PSC con --purpose=PRIVATE_SERVICE_CONNECT.
- Crea un adjunto de servicio que se oriente a tu puerta de enlace de Secure Web Proxy. Para obtener más información, consulta Implementa Secure Web Proxy como un servicio de Private Service Connect.

Configura la inspección de TLS

Secure Web Proxy finaliza las conexiones TLS para inspeccionar los encabezados HTTP, evaluar los métodos de MCP y limpiar las cargas útiles.

Para configurar la inspección de TLS, crea un grupo de autoridad certificadora (AC) privada, una AC raíz y, luego, un recurso tlsInspectionPolicy. Para ello, sigue estos pasos:

Crea un grupo de AC privado.
```
gcloud privateca pools create CA_POOL_NAME \
    --location=REGION \
    --tier=devops \
    --project=PROJECT_ID
```
Reemplaza lo siguiente:
- CA_POOL_NAME: nombre del grupo de AC
- REGION: Es la región en la que se crea el grupo de AC.
- PROJECT_IDEs el ID del proyecto de Google Cloud .
Crea una AC raíz en el grupo de AC privado.
```
gcloud privateca roots create ROOT_CA_NAME \
    --pool=CA_POOL_NAME \
    --location=REGION \
    --subject="CN=Agent Gateway SWP Root CA, O=MyOrganization" \
    --auto-enable \
    --project=PROJECT_ID
```
Reemplaza lo siguiente:
- ROOT_CA_NAME: Es el nombre de la AC raíz.
- CA_POOL_NAME: nombre del grupo de AC
- REGION: Es la región en la que se crea la AC raíz.
- PROJECT_IDEs el ID del proyecto de Google Cloud .
Nota: Para permitir que las cargas de trabajo del cliente, como Cloud Run o GKE, confíen en los certificados emitidos por este grupo de AC durante la inspección de TLS, exporta el certificado de la AC raíz y, luego, agrégalo al almacén de confianza de tu carga de trabajo. Por ejemplo, puedes establecer la variable de entorno AGENT_GATEWAY_ROOT_CERTIFICATES.

Otorga permiso a la cuenta de servicio de seguridad de redes para solicitar certificados.

gcloud privateca pools add-iam-policy-binding CA_POOL_NAME \
    --location=REGION \
    --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-networksecurity.iam.gserviceaccount.com" \
    --role="roles/privateca.certificateRequester" \
    --project=PROJECT_ID

Crea el recurso tlsInspectionPolicy en un archivo llamado tls-inspection-policy.yaml.
```
name: projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_POLICY_NAME
caPool: projects/PROJECT_ID/locations/REGION/caPools/CA_POOL_NAME
```
Reemplaza lo siguiente:
- PROJECT_IDEs el ID del proyecto de Google Cloud .
- REGION: Es la región en la que se crea el TlsInspectionPolicy.
- TLS_INSPECTION_POLICY_NAME: Es el nombre del recurso de TlsInspectionPolicy.
- CA_POOL_NAME: nombre del grupo de AC

Para importar la política, ejecuta el comando gcloud network-security tls-inspection-policies import.

gcloud network-security tls-inspection-policies import TLS_INSPECTION_POLICY_NAME \
    --source=tls-inspection-policy.yaml \
    --location=REGION \
    --project=PROJECT_ID

Implementa Secure Web Proxy

Crear una puerta de enlace de Secure Web Proxy con TLS mutua (mTLS) configurada

Asegúrate de que tu red de VPC tenga una subred de solo proxy en la región en la que deseas implementar la puerta de enlace.
```
gcloud compute networks subnets create PROXY_SUBNET_NAME \
    --purpose=REGIONAL_MANAGED_PROXY \
    --role=ACTIVE \
    --region=REGION \
    --network=NETWORK_NAME \
    --range=10.129.0.0/23
```
Reemplaza lo siguiente:
- PROXY_SUBNET_NAME: Es el nombre de la subred de solo proxy.
- NETWORK_NAME: Es el nombre de tu red de VPC.
- REGION: Es la región en la que se crea la subred.
Opcional: Selecciona una dirección IP disponible del rango de subred de solo proxy, por ejemplo, 10.129.0.10 dentro de 10.129.0.0/23, para asignarla a tu SWP_IP_ADDRESS.

Nota: Si no agregas el campo addresses en el archivo swp.yaml, Secure Web Proxy asigna automáticamente una dirección IP de la subred de solo proxy.
Para asegurarte de que tu puerta de enlace de Secure Web Proxy pueda aceptar de forma segura las conexiones entrantes de agentes de cliente, crea un certificado de servidor SSL/TLS regional en el Administrador de certificados.
1. Genera un certificado autoadministrado y una clave privada.
```
openssl req -x509 -newkey rsa:2048 -nodes \
    -keyout "swp.key" \
    -out "swp.crt" \
    -days 365 \
    -subj "/CN=SWP_IP_ADDRESS"
```
  Reemplaza SWP_IP_ADDRESS por la dirección IP de tu puerta de enlace de Secure Web Proxy.
2. Para subir el certificado al Administrador de certificados, ejecuta el comando gcloud certificate-manager certificates create.
```
gcloud certificate-manager certificates create SWP_CERTIFICATE_NAME \
    --location=REGION \
    --certificate-file="swp.crt" \
    --private-key-file="swp.key" \
    --project=PROJECT_ID
```
  Reemplaza lo siguiente:
  - SWP_CERTIFICATE_NAME: el nombre del recurso de certificado
  - REGION: región en la que se crea el certificado
  - PROJECT_ID: Es el ID de tu proyecto de Google Cloud .
Para habilitar mTLS de frontend, crea un recurso ServerTlsPolicy. Para permitir que las cargas de trabajo, como Cloud Run, pasen sus certificados de identidad a servicios como IAP, configura la política con clientValidationMode: ALLOW_INVALID_OR_MISSING_CLIENT_CERT.

Nota: Si usas IAP, no establezcas ningún valor para el campo clientValidationTrustConfig, ya que no es compatible.
1. Crea un archivo llamado server-tls-policy.yaml y, luego, agrega el siguiente contenido:
```
name: projects/PROJECT_ID/locations/REGION/serverTlsPolicies/SERVER_TLS_POLICY_NAME
mtlsPolicy:
  clientValidationMode: ALLOW_INVALID_OR_MISSING_CLIENT_CERT
```
  Reemplaza lo siguiente:
  - PROJECT_IDEs el ID del proyecto de Google Cloud .
  - REGION: Es la región en la que se crea el ServerTlsPolicy.
  - SERVER_TLS_POLICY_NAME: Es el nombre del recurso de ServerTlsPolicy.
2. Para importar la política, ejecuta el comando gcloud network-security server-tls-policies import.
```
gcloud network-security server-tls-policies import SERVER_TLS_POLICY_NAME \
    --source=server-tls-policy.yaml \
    --location=REGION \
    --project=PROJECT_ID
```
Crea una política de seguridad de puerta de enlace para adjuntar tu tlsInspectionPolicy.
1. Crea un archivo llamado gateway-security-policy.yaml y, luego, agrega el siguiente contenido:
```
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/GATEWAY_SECURITY_POLICY_NAME
tlsInspectionPolicy: projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_POLICY_NAME
```
  Reemplaza lo siguiente:
  - PROJECT_IDEs el ID del proyecto de Google Cloud .
  - REGION: Es la región en la que se crea el GatewaySecurityPolicy.
  - GATEWAY_SECURITY_POLICY_NAME: Es el nombre del recurso de GatewaySecurityPolicy.
  - TLS_INSPECTION_POLICY_NAME: Es el nombre del recurso de TlsInspectionPolicy.
2. Para importar la política, ejecuta el comando gcloud network-security gateway-security-policies import.
```
gcloud network-security gateway-security-policies import GATEWAY_SECURITY_POLICY_NAME \
    --source=gateway-security-policy.yaml \
    --location=REGION \
    --project=PROJECT_ID
```
Crea un archivo de especificación de Secure Web Proxy llamado swp.yaml.
```
name: projects/PROJECT_ID/locations/REGION/gateways/SECURE_WEB_PROXY_NAME
type: SECURE_WEB_GATEWAY
addresses:
  - "SWP_IP_ADDRESS"
ports:
  - 443
routingMode: EXPLICIT_ROUTING_MODE
certificateUrls:
  - projects/PROJECT_ID/locations/REGION/certificates/SWP_CERTIFICATE_NAME
serverTlsPolicy: projects/PROJECT_ID/locations/REGION/serverTlsPolicies/SERVER_TLS_POLICY_NAME
network: projects/PROJECT_ID/global/networks/NETWORK_NAME
subnetwork: projects/PROJECT_ID/regions/REGION/subnetworks/PROXY_SUBNET_NAME
gatewaySecurityPolicy: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/GATEWAY_SECURITY_POLICY_NAME
```
Reemplaza lo siguiente:
- PROJECT_IDEs el ID del proyecto de Google Cloud .
- REGION: Es la región en la que se crea la puerta de enlace de Secure Web Proxy.
- SECURE_WEB_PROXY_NAME: Es el nombre de tu puerta de enlace de Secure Web Proxy.
- SWP_IP_ADDRESS: Es la dirección IP de tu puerta de enlace de Secure Web Proxy.
- SWP_CERTIFICATE_NAME: Es el nombre del certificado asociado a tu puerta de enlace de Secure Web Proxy.
- SERVER_TLS_POLICY_NAME: Es el nombre del recurso ServerTlsPolicy.
- NETWORK_NAME: Es el nombre de tu red de VPC.
- PROXY_SUBNET_NAME: Es el nombre de la subred de solo proxy.
- GATEWAY_SECURITY_POLICY_NAME: Es el nombre del recurso de GatewaySecurityPolicy.

Para importar la puerta de enlace de Secure Web Proxy, ejecuta el comando gcloud network-services gateways import.

gcloud network-services gateways import SECURE_WEB_PROXY_NAME \
    --source=swp.yaml \
    --location=REGION \
    --project=PROJECT_ID

Para cambiar estos campos en una puerta de enlace de Secure Web Proxy existente sin causar tiempo de inactividad de la carga de trabajo, haz lo siguiente:

Crea otra puerta de enlace de Secure Web Proxy con un nombre nuevo y la configuración necesaria.
Actualiza el recurso agentGateway (selfManaged.resourceUris) para que haga referencia a la nueva puerta de enlace de Secure Web Proxy.
Actualiza tu recurso EgressRouting para que apunte a la nueva puerta de enlace de Secure Web Proxy.
Después de verificar que la nueva puerta de enlace administra correctamente las rutas de tráfico, quita la puerta de enlace de Secure Web Proxy anterior del recurso agentGateway y, luego, borra el recurso de la puerta de enlace anterior.

Asocia tu instancia de Secure Web Proxy con un Agent Gateway

Para asociar tu instancia de Secure Web Proxy con un recurso agentGateway, haz lo siguiente:

Crea un archivo de configuración llamado agent-gateway.yaml.
```
name: projects/PROJECT_ID/locations/REGION/agentGateways/AGENT_GATEWAY_NAME
selfManaged:
  resourceUris:
    - //networkservices.googleapis.com/projects/PROJECT_ID/locations/REGION/gateways/SECURE_WEB_PROXY_NAME
registries:
  - //agentregistry.googleapis.com/projects/PROJECT_ID/locations/REGION
```
Reemplaza lo siguiente:
- PROJECT_IDEs el ID del proyecto de Google Cloud .
- REGION: región donde se crea el Agent Gateway
- AGENT_GATEWAY_NAME: Es el nombre del Agent Gateway.
- SECURE_WEB_PROXY_NAME: Es el nombre de tu instancia de Secure Web Proxy.
Opcional: El campo registries asocia tu Agent Gateway con un Agent Registry. Si no quieres usar el Registro de agentes para la resolución de destinos o herramientas, no especifiques el campo registries.

Para importar el recurso agentGateway, ejecuta el comando gcloud beta network-services agent-gateways import.

gcloud beta network-services agent-gateways import AGENT_GATEWAY_NAME \
    --source=agent-gateway.yaml \
    --location=REGION \
    --project=PROJECT_ID

Configura vinculaciones de extensiones y políticas de autorización

Para controlar el tráfico saliente de los agentes de IA, configura vinculaciones de extensiones y políticas de autorización en tu recurso agentGateway. El proxy ignora cualquier política que se adjunte directamente al recurso Gateway de Secure Web Proxy subyacente.

Agent Gateway admite las siguientes dos capas de administración:

Vinculaciones de extensiones: Adjunta servicios externos de seguridad y administración, como IAP y Model Armor, directamente a tu Agent Gateway con Service Extensions.
Políticas de autorización: Aplican restricciones de métodos de MCP de L7 y reglas de red de L4.

Adjunta vinculaciones de extensiones a Agent Gateway

Usa vinculaciones de extensiones en Service Extensions para vincular servicios administrados a tu Agent Gateway para inspeccionar, autenticar y controlar las interacciones de los agentes.

Paso 1: Vincula Identity-Aware Proxy (IAP) a tu Agent Gateway

Para verificar las identidades de los emisores de agentes y aplicar políticas de acceso antes de que el tráfico llegue a las herramientas de destino, vincula IAP a tu Agent Gateway de la siguiente manera:

Crea un archivo de configuración llamado ext-binding-iap.yaml.

name: ext-binding-iap
target:
  resources:
  - "//networkservices.googleapis.com/projects/PROJECT_ID/locations/REGION/agentGateways/AGENT_GATEWAY_NAME"
failOpen: false
producerExtension: iap.googleapis.com
matchConditions:
- to:
    destination:
      resources:
      - prefix: "urn:mcp"
    notDestinations:
      hosts:
      - suffix: ".googleapis.com"

Reemplaza lo siguiente:

PROJECT_IDEs el ID del proyecto de Google Cloud .
REGION: Es la región en la que se crea la vinculación de la extensión.
AGENT_GATEWAY_NAME: Es el nombre del Agent Gateway.

Para importar la vinculación de la extensión, ejecuta el comando gcloud beta service-extensions extension-bindings import.

gcloud beta service-extensions extension-bindings import ext-binding-iap \
    --source=extension-binding-iap.yaml \
    --location=REGION

Para obtener más información, consulta Delega la autorización a IAP.

Paso 2: Vincula Model Armor para la limpieza de instrucciones y respuestas

Para protegerte contra la inyección de instrucciones, el contenido tóxico y las filtraciones de datos sensibles, vincula Model Armor a tu Agent Gateway de la siguiente manera:

Crea un archivo de configuración llamado ext-binding-model-armor.yaml.

name: ext-binding-model-armor
target:
  resources:
  - "//networkservices.googleapis.com/projects/PROJECT_ID/locations/REGION/agentGateways/AGENT_GATEWAY_NAME"
failOpen: false
producerExtension: modelarmor.googleapis.com
producerMetadata:
  model_armor_settings: '[
    {
      "request_template_id": "projects/PROJECT_ID/locations/REGION/templates/REQUEST_TEMPLATE_ID",
      "response_template_id": "projects/PROJECT_ID/locations/REGION/templates/RESPONSE_TEMPLATE_ID"
    }
  ]'
matchConditions:
- to:
    destination:
      resources:
      - prefix: "urn:mcp"

Reemplaza lo siguiente:

PROJECT_IDEs el ID del proyecto de Google Cloud .
REGION: Es la región en la que se crea la vinculación de la extensión.
AGENT_GATEWAY_NAME: Es el nombre del Agent Gateway.
REQUEST_TEMPLATE_ID: Es el ID de la plantilla de solicitud de Model Armor.
RESPONSE_TEMPLATE_ID: Es el ID de la plantilla de respuesta de Model Armor.

Para importar la vinculación de la extensión, ejecuta el comando gcloud beta service-extensions extension-bindings import.

gcloud beta service-extensions extension-bindings import ext-binding-model-armor \
    --source=extension-binding-model-armor.yaml \
    --location=REGION

Para obtener más información, consulta Delega la autorización a Model Armor y Ejemplo 3: Habilita la inspección profunda de cargas útiles con Model Armor a través de vinculaciones de extensiones en Configura políticas de autorización para Secure Web Proxy.

Restringe las herramientas de MCP con políticas de autorización

Para restringir el descubrimiento y la ejecución de herramientas de agentes a las herramientas aprobadas, crea e importa una política de autorización de la siguiente manera:

Crea un archivo de configuración llamado authz-policy-restrict-mcp-tools.yaml.

name: authz-policy-restrict-mcp-tools
target:
  resources:
  - "projects/PROJECT_ID/locations/REGION/agentGateways/AGENT_GATEWAY_NAME"
policyProfile: REQUEST_AUTHZ
httpRules:
- to:
    operations:
    - mcp:
        baseProtocolMethodsOption: MATCH_BASE_PROTOCOL_METHODS
        methods:
        - name: "tools/list"
        - name: "tools/call"
          params:
          - exact: "get_weather"
          - exact: "get_location"
action: ALLOW

Reemplaza lo siguiente:

PROJECT_IDEs el ID del proyecto de Google Cloud .
REGION: Es la región en la que se crea la política de autorización.
AGENT_GATEWAY_NAME: Es el nombre del Agent Gateway.

Para importar la política de autorización, ejecuta el comando gcloud network-security authz-policies import.

gcloud network-security authz-policies import authz-policy-restrict-mcp-tools \
    --source=authz-policy-restrict-mcp-tools.yaml \
    --location=REGION \
    --project=PROJECT_ID

Enruta agentes a través de Agent Gateway

Después de configurar tu Agent Gateway y adjuntarle políticas de autorización, debes configurar tus entornos de Agent Runtime para que dirijan su tráfico saliente a tu instancia de Secure Web Proxy. El enrutamiento del tráfico saliente opera de forma transparente en la capa de red y redirecciona las solicitudes a la puerta de enlace sin modificar el código de la aplicación del agente.

Según dónde se ejecuten tus cargas de trabajo de IA, consulta los siguientes recursos de documentación para configurar el enrutamiento de salida:

GKE: Usa Ambient Networking de Cloud Service Mesh para interceptar el tráfico saliente del agente a nivel del nodo y, luego, reenviarlo a través de un túnel HTTP CONNECT a tu instancia de Secure Web Proxy. Para configurar políticas de enrutamiento en tu clúster, consulta Enruta el tráfico de salida de Ambient a través de Secure Web Proxy y Agent Gateway para GKE.
Cloud Run: Configura la salida de VPC directa para enviar el tráfico saliente del agente a tu red de VPC, donde las redes de Ambient Networking de Cloud Run redireccionan las solicitudes a tu instancia de Secure Web Proxy a través de un túnel HTTP CONNECT que lleva la identidad del agente. Para configurar el enrutamiento del tráfico saliente, consulta VPC directa con una red de VPC y Agent Gateway para Cloud Run.

Telemetría, registro y supervisión

Cuando tu puerta de enlace de Secure Web Proxy se asocia con un recurso de Agent Gateway, los registros de transacciones se emiten en el recurso supervisado estándar de Secure Web Proxy networkservices.googleapis.com/Gateway. El registro está habilitado de forma predeterminada con una tasa de muestreo de 1.0.

Logging

Las entradas de registro en Cloud Logging usan el formato LoadBalancerLogEntry y contienen los siguientes campos de carga útil de seguridad y agente de IA:

agentGatewayInfo: Contiene metadatos sobre la transacción del agente:
- agentRegistryResource: Es el nombre completo del recurso del destino del registro de agentes coincidente, como un servidor de MCP o una habilidad.
- destinationUrn: información sobre el URN de destino
- mcpInfo: Detalles de la llamada de MCP JSON-RPC, incluido el método, como tools/call o resources/read, y el nombre de la herramienta o el URI del recurso
authzPolicyInfo: Son los resultados de la evaluación de autorización (ALLOWED o DENIED) y los nombres de las políticas que coinciden.
tls: Detalles de la negociación de TLS y atributos de verificación del certificado de cliente criptográfico (mTLS), como clientCertPresent y clientCertSha256Fingerprint

Métricas de supervisión

Agent Gateway exporta las siguientes métricas a Cloud Monitoring:

Duración del MCP:
- gcp.mcp.server.operation.duration: Es la latencia de las operaciones que realiza el servidor de herramientas de MCP.
- gcp.mcp.client.operation.duration: duración de ida y vuelta de extremo a extremo de una llamada de cliente de MCP
Latencia de HTTP:
- http.server.request.duration: Es la latencia de ejecución de las solicitudes entrantes del agente que procesa la puerta de enlace.
- http.client.request.duration: Latencia de las solicitudes salientes del proxy a destinos externos
Capacidad de procesamiento del tráfico:
- gcp.server.request.total_size y gcp.server.response.total_size: Es el tamaño en bytes de las solicitudes y respuestas que la puerta de enlace recibe y envía.
- gcp.client.request.total_size y gcp.client.response.total_size: Es el tamaño en bytes de las solicitudes y respuestas que la puerta de enlace envía a destinos externos.

Implementa Secure Web Proxy como un Agent Gateway Organiza tus páginas con colecciones Guarda y categoriza el contenido según tus preferencias.

Descripción general

Beneficios

Arquitectura

Antes de comenzar

Configura la inspección de TLS

Implementa Secure Web Proxy

Asocia tu instancia de Secure Web Proxy con un Agent Gateway

Configura vinculaciones de extensiones y políticas de autorización

Adjunta vinculaciones de extensiones a Agent Gateway

Paso 1: Vincula Identity-Aware Proxy (IAP) a tu Agent Gateway

Paso 2: Vincula Model Armor para la limpieza de instrucciones y respuestas

Restringe las herramientas de MCP con políticas de autorización

Enruta agentes a través de Agent Gateway

Telemetría, registro y supervisión

Logging

Métricas de supervisión

¿Qué sigue?

Implementa Secure Web Proxy como un Agent Gateway