Esegui il deployment di Secure Web Proxy come Agent Gateway

Questa pagina descrive come configurare ed eseguire il deployment dell'istanza di Secure Web Proxy come Agent Gateway.

Panoramica

I workload di AI aziendali distribuiti su Google Cloud richiedono confini di rete strutturati per mantenere la conformità alla privacy dei dati, prevenire fughe di dati sensibili e proteggere dalle minacce di AI emergenti, come il prompt injection.

Agent Gateway fornisce una governance della sicurezza centralizzata, l'applicazione dell'identità e guardrail dei contenuti per il traffico in uscita dagli agenti AI ai modelli linguistici di grandi dimensioni (LLM), agli strumenti Model Context Protocol (MCP), alle API esterne, agli agenti remoti e alle destinazioni web standard.

Puoi eseguire il deployment di un Agent Gateway gestito da Google o di un'istanza di Secure Web Proxy come Agent Gateway autogestito. Entrambi i modelli di deployment forniscono una soluzione di governance comune di Gemini Enterprise Agent Platform, tra cui policy di accesso centralizzate, integrazione di Agent Registry e guardrail dei contenuti.

Scegli tra le seguenti opzioni di deployment in base alle tue preferenze operative:

  • Agent Gateway gestito da Google: utilizza questa opzione se vuoi un'esperienza completamente gestita e senza manutenzione, senza la necessità di gestire l'infrastruttura del proxy di rete. Per saperne di più, consulta Agent Gateway gestito da Google. Questo modello è ottimizzato per gli agenti eseguiti su Gemini Enterprise o Agent Runtime su Gemini Enterprise Agent Platform.

  • Secure Web Proxy come Agent Gateway autogestito: esegui il deployment dell'istanza di Secure Web Proxy come Agent Gateway se vuoi mantenere il controllo completo sul perimetro della rete VPC, sui certificati CA privati e sul routing del proxy per supportare gli agenti eseguiti su Google Kubernetes Engine (GKE) o Cloud Run.

Vantaggi

Il deployment di Secure Web Proxy come Agent Gateway offre i seguenti vantaggi:

  • Infrastruttura controllata dal cliente: puoi gestire il gateway Secure Web Proxy nella tua rete Virtual Private Cloud (VPC), mantenendo il controllo completo su routing di rete, indirizzamento IP, certificati CA privati e ispezione TLS.

  • Applicazione centralizzata delle policy AI: puoi definire policy di autorizzazione su una risorsa agentGateway. In questo modo, puoi applicare direttamente queste policy al gateway Secure Web Proxy per limitare le chiamate allo strumento MCP, filtrare le destinazioni esterne degli agenti AI e richiamare servizi di sanitizzazione dei contenuti come Model Armor.

  • Supporto dei runtime: puoi instradare il traffico in uscita dagli agenti AI ospitati in vari runtime, come GKE o Cloud Run, attraverso un unico perimetro proxy.

  • Osservabilità agent-aware: i log delle transazioni in Cloud Logging contengono automaticamente i metadati di esecuzione degli agenti AI (agentGatewayInfo), inclusi i metodi MCP, i nomi degli strumenti e gli Uniform Resource Name (URN) delle destinazioni di Agent Registry.

Architettura

I passaggi seguenti mostrano come Secure Web Proxy protegge il traffico in uscita come Agent Gateway:

  1. Agent Runtime: gli agenti autonomi in esecuzione su GKE o Cloud Run avviano connessioni in uscita verso API esterne, provider di modelli, server di strumenti MCP, agenti remoti o destinazioni web standard.

  2. Routing del traffico in uscita: il traffico dell'agente viene indirizzato a Secure Web Proxy utilizzando il routing del proxy in-VPC o i collegamenti ai servizi Private Service Connect (PSC) tra VPC.

  3. Valutazione delle policy e sanitizzazione dei contenuti: Secure Web Proxy termina le connessioni TLS, applica le policy di autorizzazione MCP e richiama servizi di estensione come Model Armor o Identity-Aware Proxy (IAP) per sanitizzare i payload e verificare l'identità del client.

Prima di iniziare

Prima di eseguire il deployment dell'istanza di Secure Web Proxy come Agent Gateway, completa i seguenti prerequisiti:

  1. Abilita le seguenti API Google Cloud richieste:

    gcloud services enable \
    networkservices.googleapis.com \
    networksecurity.googleapis.com \
    privateca.googleapis.com \
    certificatemanager.googleapis.com \
    serviceextensions.googleapis.com \
    agentregistry.googleapis.com \
    compute.googleapis.com

  2. Assicurati di disporre dei seguenti ruoli Identity and Access Management (IAM) richiesti:

  3. Configura le seguenti variabili di ambiente per il deployment:

    export PROJECT_ID="my-project-id"
export PROJECT_NUMBER="my-project-number"
export REGION="us-central1"
export NETWORK_NAME="swp-vpc"
export PROXY_SUBNET_NAME="swp-proxy-subnet"
export PSC_NAT_SUBNET_NAME="swp-psc-nat-subnet"
export CA_POOL_NAME="swp-ca-pool"
export ROOT_CA_NAME="swp-root-ca"
export TLS_INSPECTION_POLICY_NAME="swp-tls-inspection-policy"
export SECURE_WEB_PROXY_NAME="swp-agent-gateway"
export SWP_IP_ADDRESS="10.129.0.10"
export SWP_CERTIFICATE_NAME="swp-cert"
export SERVER_TLS_POLICY_NAME="swp-server-tls-policy"
export GATEWAY_SECURITY_POLICY_NAME="swp-security-policy"
export SERVICE_ATTACHMENT_NAME="swp-service-attachment"
export AGENT_GATEWAY_NAME="my-agent-gateway"

  4. (Facoltativo) Se gli Agent Runtime operano in reti VPC o ambienti gestiti separati, ad esempio cluster GKE o Cloud Run tra progetti, devi esporre Secure Web Proxy tramite un collegamento al servizio Private Service Connect:

Configura l'ispezione TLS

Secure Web Proxy termina le connessioni TLS per ispezionare le intestazioni HTTP, valutare i metodi MCP e sanificare i payload.

Per configurare l'ispezione TLS, crea un pool di autorità di certificazione (CA) private, una CA radice e poi una risorsa tlsInspectionPolicy seguendo questi passaggi:

  1. Crea un pool CA privato.

    gcloud privateca pools create CA_POOL_NAME \
    --location=REGION \
    --tier=devops \
    --project=PROJECT_ID

    Sostituisci quanto segue:

    • CA_POOL_NAME: il nome del pool CA
    • REGION: regione in cui viene creato il pool CA
    • PROJECT_ID: l'ID del tuo progetto Google Cloud

  2. Crea una CA radice nel pool CA privato.

    gcloud privateca roots create ROOT_CA_NAME \
    --pool=CA_POOL_NAME \
    --location=REGION \
    --subject="CN=Agent Gateway SWP Root CA, O=MyOrganization" \
    --auto-enable \
    --project=PROJECT_ID

    Sostituisci quanto segue:

    • ROOT_CA_NAME: il nome della CA radice
    • CA_POOL_NAME: il nome del pool CA
    • REGION: la regione in cui viene creata la CA root
    • PROJECT_ID: l'ID del tuo progetto Google Cloud

    Nota: per consentire ai workload client, come Cloud Run o GKE, di considerare attendibili i certificati emessi da questo pool di CA durante l'ispezione TLS, esporta il certificato CA root e aggiungilo all'archivio di attendibilità del workload. Ad esempio, puoi impostare la variabile di ambiente AGENT_GATEWAY_ROOT_CERTIFICATES.

  3. Concedi al account di servizio Sicurezza di rete l'autorizzazione per richiedere i certificati.

    gcloud privateca pools add-iam-policy-binding CA_POOL_NAME \
    --location=REGION \
    --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-networksecurity.iam.gserviceaccount.com" \
    --role="roles/privateca.certificateRequester" \
    --project=PROJECT_ID

  4. Crea la risorsa tlsInspectionPolicy in un file denominato tls-inspection-policy.yaml.

    name: projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_POLICY_NAME
caPool: projects/PROJECT_ID/locations/REGION/caPools/CA_POOL_NAME

    Sostituisci quanto segue:

    • PROJECT_ID: l'ID del tuo progetto Google Cloud
    • REGION: la regione in cui viene creato TlsInspectionPolicy
    • TLS_INSPECTION_POLICY_NAME: il nome della risorsa TlsInspectionPolicy
    • CA_POOL_NAME: il nome del pool CA

  5. Per importare la policy, esegui il comando gcloud network-security tls-inspection-policies import.

    gcloud network-security tls-inspection-policies import TLS_INSPECTION_POLICY_NAME \
    --source=tls-inspection-policy.yaml \
    --location=REGION \
    --project=PROJECT_ID

Esegui il deployment di Secure Web Proxy

Creare un gateway Secure Web Proxy con mutual TLS (mTLS) configurato.

  1. Assicurati che la tua rete VPC abbia una subnet solo proxy nella regione in cui vuoi eseguire il deployment del gateway.

    gcloud compute networks subnets create PROXY_SUBNET_NAME \
    --purpose=REGIONAL_MANAGED_PROXY \
    --role=ACTIVE \
    --region=REGION \
    --network=NETWORK_NAME \
    --range=10.129.0.0/23

    Sostituisci quanto segue:

    • PROXY_SUBNET_NAME: il nome della subnet solo proxy
    • NETWORK_NAME: il nome della tua rete VPC
    • REGION: la regione in cui viene creata la subnet

  2. (Facoltativo) Seleziona un indirizzo IP disponibile dall'intervallo della subnet solo proxy, ad esempio 10.129.0.10 all'interno di 10.129.0.0/23, da assegnare a SWP_IP_ADDRESS.

    Nota: se non aggiungi il campo addresses nel file swp.yaml, Secure Web Proxy alloca automaticamente un indirizzo IP dalla subnet solo proxy.

  3. Per assicurarti che il gateway Secure Web Proxy possa accettare in modo sicuro le connessioni degli agenti client in entrata, crea un certificato server SSL/TLS regionale in Certificate Manager.

    1. Genera un certificato autogestito e una chiave privata.

      openssl req -x509 -newkey rsa:2048 -nodes \
    -keyout "swp.key" \
    -out "swp.crt" \
    -days 365 \
    -subj "/CN=SWP_IP_ADDRESS"

      Sostituisci SWP_IP_ADDRESS con l'indirizzo IP del gateway Secure Web Proxy.

    2. Per caricare il certificato in Certificate Manager, esegui il comando gcloud certificate-manager certificates create.

      gcloud certificate-manager certificates create SWP_CERTIFICATE_NAME \
    --location=REGION \
    --certificate-file="swp.crt" \
    --private-key-file="swp.key" \
    --project=PROJECT_ID

      Sostituisci quanto segue:

      • SWP_CERTIFICATE_NAME: il nome della risorsa certificato
      • REGION: la regione in cui viene creato il certificato
      • PROJECT_ID: l'ID del tuo progetto Google Cloud

  4. Per abilitare mTLS frontend, crea una risorsa ServerTlsPolicy. Per consentire ai workload, come Cloud Run, di passare i propri certificati di identità a servizi come IAP, configura la policy con clientValidationMode: ALLOW_INVALID_OR_MISSING_CLIENT_CERT.

    Nota: se utilizzi IAP, non impostare alcun valore per il campo clientValidationTrustConfig perché non è supportato.

    1. Crea un file denominato server-tls-policy.yaml, quindi aggiungi i seguenti contenuti:

      name: projects/PROJECT_ID/locations/REGION/serverTlsPolicies/SERVER_TLS_POLICY_NAME
mtlsPolicy:
  clientValidationMode: ALLOW_INVALID_OR_MISSING_CLIENT_CERT

      Sostituisci quanto segue:

      • PROJECT_ID: l'ID del tuo progetto Google Cloud
      • REGION: la regione in cui viene creato ServerTlsPolicy
      • SERVER_TLS_POLICY_NAME: il nome della risorsa ServerTlsPolicy

    2. Per importare la policy, esegui il comando gcloud network-security server-tls-policies import.

      gcloud network-security server-tls-policies import SERVER_TLS_POLICY_NAME \
    --source=server-tls-policy.yaml \
    --location=REGION \
    --project=PROJECT_ID

  5. Crea una policy di sicurezza del gateway da collegare a tlsInspectionPolicy.

    1. Crea un file denominato gateway-security-policy.yaml e aggiungi i seguenti contenuti:

      name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/GATEWAY_SECURITY_POLICY_NAME
tlsInspectionPolicy: projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_POLICY_NAME

      Sostituisci quanto segue:

      • PROJECT_ID: l'ID del tuo progetto Google Cloud
      • REGION: la regione in cui viene creato GatewaySecurityPolicy
      • GATEWAY_SECURITY_POLICY_NAME: il nome della risorsa GatewaySecurityPolicy
      • TLS_INSPECTION_POLICY_NAME: il nome della risorsa TlsInspectionPolicy

    2. Per importare la policy, esegui il comando gcloud network-security gateway-security-policies import.

      gcloud network-security gateway-security-policies import GATEWAY_SECURITY_POLICY_NAME \
    --source=gateway-security-policy.yaml \
    --location=REGION \
    --project=PROJECT_ID

  6. Crea un file di specifica di Secure Web Proxy denominato swp.yaml.

    name: projects/PROJECT_ID/locations/REGION/gateways/SECURE_WEB_PROXY_NAME
type: SECURE_WEB_GATEWAY
addresses:
  - "SWP_IP_ADDRESS"
ports:
  - 443
routingMode: EXPLICIT_ROUTING_MODE
certificateUrls:
  - projects/PROJECT_ID/locations/REGION/certificates/SWP_CERTIFICATE_NAME
serverTlsPolicy: projects/PROJECT_ID/locations/REGION/serverTlsPolicies/SERVER_TLS_POLICY_NAME
network: projects/PROJECT_ID/global/networks/NETWORK_NAME
subnetwork: projects/PROJECT_ID/regions/REGION/subnetworks/PROXY_SUBNET_NAME
gatewaySecurityPolicy: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/GATEWAY_SECURITY_POLICY_NAME

    Sostituisci quanto segue:

    • PROJECT_ID: l'ID del tuo progetto Google Cloud
    • REGION: la regione in cui viene creato il gateway Secure Web Proxy
    • SECURE_WEB_PROXY_NAME: il nome del gateway Secure Web Proxy
    • SWP_IP_ADDRESS: l'indirizzo IP del gateway Secure Web Proxy
    • SWP_CERTIFICATE_NAME: il nome del certificato associato al gateway Secure Web Proxy
    • SERVER_TLS_POLICY_NAME: il nome della risorsa ServerTlsPolicy
    • NETWORK_NAME: il nome della tua rete VPC
    • PROXY_SUBNET_NAME: il nome della subnet solo proxy
    • GATEWAY_SECURITY_POLICY_NAME: il nome della risorsa GatewaySecurityPolicy

  7. Per importare il gateway Secure Web Proxy, esegui il comando gcloud network-services gateways import.

    gcloud network-services gateways import SECURE_WEB_PROXY_NAME \
    --source=swp.yaml \
    --location=REGION \
    --project=PROJECT_ID

Per modificare questi campi su un gateway Secure Web Proxy esistente senza causare tempi di inattività del workload, segui questi passaggi:

  1. Crea un altro gateway Secure Web Proxy con un nuovo nome e la configurazione richiesta.

  2. Aggiorna la risorsa agentGateway (selfManaged.resourceUris) in modo che faccia riferimento al nuovo gateway Secure Web Proxy.

  3. Aggiorna la risorsa EgressRouting in modo che rimandi al nuovo gateway Secure Web Proxy.

  4. Dopo aver verificato che il nuovo gateway gestisce correttamente le route del traffico, rimuovi il gateway Secure Web Proxy precedente dalla risorsa agentGateway ed elimina la risorsa del gateway precedente.

Associa l'istanza Secure Web Proxy a un Agent Gateway

Per associare l'istanza Secure Web Proxy a una risorsa agentGateway, segui questi passaggi:

  1. Crea un file di configurazione denominato agent-gateway.yaml.

    name: projects/PROJECT_ID/locations/REGION/agentGateways/AGENT_GATEWAY_NAME
selfManaged:
  resourceUris:
    - //networkservices.googleapis.com/projects/PROJECT_ID/locations/REGION/gateways/SECURE_WEB_PROXY_NAME
registries:
  - //agentregistry.googleapis.com/projects/PROJECT_ID/locations/REGION

    Sostituisci quanto segue:

    • PROJECT_ID: l'ID del tuo progetto Google Cloud
    • REGION: la regione in cui viene creato l'Agent Gateway
    • AGENT_GATEWAY_NAME: il nome dell'Agent Gateway
    • SECURE_WEB_PROXY_NAME: il nome dell'istanza Secure Web Proxy

    Facoltativo: il campo registries associa il tuo Agent Gateway a un Agent Registry. Se non vuoi utilizzare Agent Registry per la risoluzione della destinazione o dello strumento, non specificare il campo registries.

  2. Per importare la risorsa agentGateway, esegui il comando gcloud beta network-services agent-gateways import.

    gcloud beta network-services agent-gateways import AGENT_GATEWAY_NAME \
    --source=agent-gateway.yaml \
    --location=REGION \
    --project=PROJECT_ID

Configura le associazioni delle estensioni e le policy di autorizzazione

Per gestire il traffico in uscita degli agenti AI, configura le associazioni delle estensioni e le policy di autorizzazione sulla risorsa agentGateway. Il proxy ignora le policy collegate direttamente alla risorsa Secure Web Proxy Gateway sottostante.

Agent Gateway supporta i seguenti due livelli di governance:

  • Associazioni di estensioni: collega servizi esterni di sicurezza e governance, come IAP e Model Armor, direttamente ad Agent Gateway utilizzando Service Extensions.

  • Policy di autorizzazione: applicano le limitazioni dei metodi MCP L7 e le regole di rete L4.

Collega i binding delle estensioni ad Agent Gateway

Utilizza le associazioni delle estensioni in Service Extensions per associare i servizi gestiti all'Agent Gateway per ispezionare, autenticare e controllare le interazioni degli agenti.

Passaggio 1: associa Identity-Aware Proxy (IAP) ad Agent Gateway

Per verificare le identità degli agenti chiamanti e applicare le policy di accesso prima che il traffico raggiunga gli strumenti di destinazione, associa IAP ad Agent Gateway nel seguente modo:

  1. Crea un file di configurazione denominato ext-binding-iap.yaml.

    name: ext-binding-iap
target:
  resources:
  - "//networkservices.googleapis.com/projects/PROJECT_ID/locations/REGION/agentGateways/AGENT_GATEWAY_NAME"
failOpen: false
producerExtension: iap.googleapis.com
matchConditions:
- to:
    destination:
      resources:
      - prefix: "urn:mcp"
    notDestinations:
      hosts:
      - suffix: ".googleapis.com"

    Sostituisci quanto segue:

    • PROJECT_ID: l'ID del tuo progetto Google Cloud
    • REGION: la regione in cui viene creato l'associazione dell'estensione
    • AGENT_GATEWAY_NAME: il nome dell'Agent Gateway

  2. Per importare l'associazione dell'estensione, esegui il comando gcloud beta service-extensions extension-bindings import.

    gcloud beta service-extensions extension-bindings import ext-binding-iap \
    --source=extension-binding-iap.yaml \
    --location=REGION

Per saperne di più, consulta Delega l'autorizzazione a IAP.

Passaggio 2: associa Model Armor per la sanitizzazione di prompt e risposte

Per proteggerti da prompt injection, contenuti tossici e fughe di dati sensibili, associa Model Armor ad Agent Gateway seguendo questi passaggi:

  1. Crea un file di configurazione denominato ext-binding-model-armor.yaml.

    name: ext-binding-model-armor
target:
  resources:
  - "//networkservices.googleapis.com/projects/PROJECT_ID/locations/REGION/agentGateways/AGENT_GATEWAY_NAME"
failOpen: false
producerExtension: modelarmor.googleapis.com
producerMetadata:
  model_armor_settings: '[
    {
      "request_template_id": "projects/PROJECT_ID/locations/REGION/templates/REQUEST_TEMPLATE_ID",
      "response_template_id": "projects/PROJECT_ID/locations/REGION/templates/RESPONSE_TEMPLATE_ID"
    }
  ]'
matchConditions:
- to:
    destination:
      resources:
      - prefix: "urn:mcp"

    Sostituisci quanto segue:

    • PROJECT_ID: l'ID del tuo progetto Google Cloud
    • REGION: la regione in cui viene creato l'associazione dell'estensione
    • AGENT_GATEWAY_NAME: il nome dell'Agent Gateway
    • REQUEST_TEMPLATE_ID: l'ID del template di richiesta Model Armor
    • RESPONSE_TEMPLATE_ID: l'ID del template di risposta Model Armor

  2. Per importare l'associazione dell'estensione, esegui il comando gcloud beta service-extensions extension-bindings import.

    gcloud beta service-extensions extension-bindings import ext-binding-model-armor \
    --source=extension-binding-model-armor.yaml \
    --location=REGION

Per saperne di più, consulta Delega l'autorizzazione a Model Armor e Esempio 3: abilita l'ispezione approfondita del payload con Model Armor utilizzando i binding delle estensioni in Configura le policy di autorizzazione per Secure Web Proxy.

Limita gli strumenti MCP utilizzando le policy di autorizzazione

Per limitare il rilevamento e l'esecuzione degli strumenti dell'agente agli strumenti approvati, crea e importa una policy di autorizzazione seguendo questi passaggi:

  1. Crea un file di configurazione denominato authz-policy-restrict-mcp-tools.yaml.

    name: authz-policy-restrict-mcp-tools
target:
  resources:
  - "projects/PROJECT_ID/locations/REGION/agentGateways/AGENT_GATEWAY_NAME"
policyProfile: REQUEST_AUTHZ
httpRules:
- to:
    operations:
    - mcp:
        baseProtocolMethodsOption: MATCH_BASE_PROTOCOL_METHODS
        methods:
        - name: "tools/list"
        - name: "tools/call"
          params:
          - exact: "get_weather"
          - exact: "get_location"
action: ALLOW

    Sostituisci quanto segue:

    • PROJECT_ID: l'ID del tuo progetto Google Cloud
    • REGION: la regione in cui viene creata la policy di autorizzazione
    • AGENT_GATEWAY_NAME: il nome dell'Agent Gateway

  2. Per importare la policy di autorizzazione, esegui il comando gcloud network-security authz-policies import.

    gcloud network-security authz-policies import authz-policy-restrict-mcp-tools \
    --source=authz-policy-restrict-mcp-tools.yaml \
    --location=REGION \
    --project=PROJECT_ID

Instrada gli agenti tramite Agent Gateway

Dopo aver configurato l'Agent Gateway e aver collegato le policy di autorizzazione, devi configurare gli ambienti di Agent Runtime in modo che indirizzino il traffico in uscita all'istanza di Secure Web Proxy. Il routing del traffico in uscita opera in modo trasparente a livello di rete, reindirizzando le richieste al gateway senza modificare il codice dell'applicazione dell'agente.

A seconda di dove vengono eseguiti i workload AI, consulta i seguenti asset della documentazione per configurare il routing in uscita:

  • GKE: utilizza Ambient Networking di Cloud Service Mesh per intercettare il traffico degli agenti in uscita a livello di nodo e poi inoltrarlo tramite un tunnel HTTP CONNECT alla tua istanza di Secure Web Proxy. Per configurare le policy di routing nel cluster, consulta Instrada il traffico in uscita ambientale tramite Secure Web Proxy e Agent Gateway per GKE.
  • Cloud Run: configura il traffico VPC diretto in uscita per inviare il traffico dell'agente in uscita alla tua rete VPC, dove il networking Ambient di Cloud Run reindirizza le richieste alla tua istanza di Secure Web Proxy tramite un tunnel HTTP CONNECT che trasporta l'identità dell'agente. Per configurare il routing per il traffico in uscita, consulta VPC diretto con una rete VPC e Agent Gateway per Cloud Run.

Telemetria, logging e monitoraggio

Quando il gateway Secure Web Proxy è associato a una risorsa Agent Gateway, i log delle transazioni vengono emessi nella risorsa monitorata networkservices.googleapis.com/Gateway standard di Secure Web Proxy. Il logging è abilitato per impostazione predefinita con una frequenza di campionamento di 1.0.

Logging

Le voci di log in Cloud Logging utilizzano il formato LoadBalancerLogEntry e contengono i seguenti campi del payload di sicurezza e dell'agente AI:

  • agentGatewayInfo: contiene i metadati relativi alla transazione dell'agente:

    • agentRegistryResource: il nome completo della risorsa della destinazione di Agent Registry corrispondente, ad esempio un server MCP o una skill
    • destinationUrn: informazioni sull'URN di destinazione
    • mcpInfo: dettagli della chiamata MCP JSON-RPC, incluso il metodo, ad esempio tools/call o resources/read, e il nome dello strumento o l'URI della risorsa

  • authzPolicyInfo: i risultati della valutazione dell'autorizzazione (ALLOWED o DENIED) e i nomi delle norme di corrispondenza

  • tls: dettagli della negoziazione TLS e attributi di verifica del certificato client crittografico (mTLS), come clientCertPresent e clientCertSha256Fingerprint

Monitoraggio delle metriche

Agent Gateway esporta le seguenti metriche in Cloud Monitoring:

  • Durata MCP:

    • gcp.mcp.server.operation.duration: latenza delle operazioni eseguite dal server dello strumento MCP
    • gcp.mcp.client.operation.duration: durata end-to-end di andata e ritorno di una chiamata client MCP

  • Latenza HTTP:

    • http.server.request.duration: latenza di esecuzione per le richieste degli agenti in entrata elaborate dal gateway
    • http.client.request.duration: latenza per le richieste in uscita dal proxy verso destinazioni esterne

  • Velocità effettiva del traffico:

    • gcp.server.request.total_size e gcp.server.response.total_size: dimensioni in byte delle richieste e delle risposte che il gateway riceve e invia
    • gcp.client.request.total_size e gcp.client.response.total_size: dimensioni in byte delle richieste e delle risposte inviate dal gateway alle destinazioni esterne

Passaggi successivi