設定代理閘道

Cloud de Confiance 控制台

1. 前往 Cloud de Confiance 控制台的「Agent Gateway」頁面。

   前往「Gateways」(閘道)

2. 按一下「Add gateway」(新增閘道)。
3. 輸入名稱。
4. 從「Region」(區域) 清單中選取區域。
5. 在「Deployment mode」(部署模式) 部分，確認已選取「Google-managed」(Google 代管)。
6. 在「Agent registries」(代理程式登錄檔) 中，從清單中選取至少一個登錄檔。如要選取兩個登錄檔，其中一個必須是全域登錄檔，另一個可以是區域性或多區域登錄檔。如要瞭解如何選擇部署作業的登錄檔，請參閱「規劃 Agent Gateway 部署作業」。
7. 從「Governed Access Path」(受管理的存取路徑) 清單中，選取「Agent-to-Anywhere (Agent Egress)」(代理至任何位置 (代理輸出))。

8. 在「Access Authorization」(存取權授權) 部分，選擇 IAP 處理流量的方式：

   • 如要以模擬測試模式部署閘道，讓閘道允許所有流量通過，並僅產生稽核記錄，請選取「Audit-only」(僅限稽核)。在模擬測試模式下，IAP 不會強制執行 IAM 政策。確認無誤後，即可停用模擬測試模式，強制執行 IAM 政策。
   • 如要封鎖沒有明確 Allow IAM 政策的要求，請選取「Enforce policies」(強制執行政策)。建議在正式環境中使用這個選項。
   • 在「政策模型」部分，選取「統一存取政策」。

9. 選用：在「AI Security」(AI 安全性) 部分，設定其他安全性選項：

   1. 如要使用 Model Armor 保護 AI 模型互動，請開啟「Enable Model Armor」(啟用 Model Armor)。
   2. 從清單中選取適用於傳入閘道要求的範本。

   3. 如要為回覆使用其他範本，請清除「Use same template for requests and responses」(要求和回覆使用相同的範本)，然後從清單中選取範本。

10. 點選「新增閘道」。

gcloud

您可以使用 YAML 以宣告方式定義 Agent Gateway。

1. 定義資源，並將設定儲存至 YAML 檔案。在本範例中，我們使用 my-agent-gateway-egress.yaml。

   name: AGENT_GATEWAY_NAME
   protocols:
     - MCP
   googleManaged:
     governedAccessPath: AGENT_TO_ANYWHERE
   registries:
     - AGENT_REGISTRY_URI_1
     - OPTIONAL_AGENT_REGISTRY_URI_2
   

   更改下列內容：

   • AGENT_GATEWAY_NAME：Agent Gateway 資源的名稱。

   • AGENT_REGISTRY_URI_1 和 OPTIONAL_AGENT_REGISTRY_URI_2：要與閘道建立關聯的 Agent Registry 執行個體路徑。一個 Agent Gateway 最多可設定兩個登錄檔。設定兩個登錄檔時，其中一個必須是全域登錄檔，另一個可以是區域性或多區域登錄檔。如要瞭解如何選擇部署作業適用的登錄檔，請參閱「規劃 Agent Gateway 部署作業」。登錄檔路徑格式必須如下：

     • 區域註冊資料庫：//agentregistry.googleapis.com/projects/PROJECT_ID/locations/REGION
     • 全域儲存庫：//agentregistry.googleapis.com/projects/PROJECT_ID/locations/global
     • 多區域登錄檔：//agentregistry.googleapis.com/projects/PROJECT_ID/locations/MULTI_REGION

2. 執行下列指令，根據 YAML 規格建立 Agent Gateway 資源：

   gcloud network-services agent-gateways import AGENT_GATEWAY_NAME \
    --source="my-agent-gateway-egress.yaml" \
    --location=LOCATION
   

   將 LOCATION 替換為要建立 Agent Gateway 資源的位置。例如：us-central1。

   請注意，如果是 Gemini Enterprise，您必須在與多區域設定相對應的區域部署 Agent Gateway。如要瞭解支援的位置對應，請參閱「透過 Agent Gateway 轉送 Gemini Enterprise 流量」。

3. 建立授權政策，對通過 Agent Gateway 的流量強制執行集中式存取控管和管理政策。下列步驟說明如何設定使用 IAP 的授權政策。

   1. 設定指向 IAP 的授權擴充功能。在 YAML 檔案中定義擴充功能，例如 iap-request-authz-extension.yaml。請使用下列範例值：

      cat >iap-request-authz-extension.yaml <<EOF
      name: AUTHORIZATION_EXTENSION_NAME
      service: iap.googleapis.com
      failOpen: false
      timeout: 1s
      metadata:
        iapPolicyVersion: "V2"
      EOF
      

      如要以模擬測試「僅限稽核」模式部署擴充功能，在不強制執行授權政策的情況下測試政策，可以在 metadata 區塊中指定 iamEnforcementMode 欄位。這可讓您驗證政策，並盡可能降低因設定錯誤而中斷流量的風險：

      cat >iap-request-authz-extension.yaml <<EOF
      name: AUTHORIZATION_EXTENSION_NAME
      service: iap.googleapis.com
      failOpen: false
      timeout: 1s
      metadata:
        iapPolicyVersion: "V2"
        iamEnforcementMode: "DRY_RUN"
      EOF
      

      準備好開始強制執行政策時，請從 metadata 區塊中移除 iamEnforcementMode: "DRY_RUN" 欄位。

   2. 將 YAML 設定檔匯入授權擴充功能。

      gcloud beta service-extensions authz-extensions import AUTHORIZATION_EXTENSION_NAME \
        --source=iap-request-authz-extension.yaml \
        --location=LOCATION
      

      將 AUTHORIZATION_EXTENSION_NAME 替換成授權擴充功能的名稱，例如 my-iap-request-authz-ext。

   3. 在 YAML 檔案 (例如 iap-request-authz-policy.yaml) 中定義授權政策，將擴充功能與閘道建立關聯：

      cat >iap-request-authz-policy.yaml <<EOF
      name: AUTHORIZATION_POLICY_NAME
      target:
        resources:
          - "projects/PROJECT_ID/locations/LOCATION/agentGateways/AGENT_GATEWAY_NAME"
      policyProfile: REQUEST_AUTHZ
      action: CUSTOM
      customProvider:
        authzExtension:
          resources:
            - "projects/PROJECT_ID/locations/LOCATION/authzExtensions/AUTHORIZATION_EXTENSION_NAME"
      EOF
      

      更改下列內容：

      • AUTHORIZATION_POLICY_NAME：授權政策的名稱，例如 my-iap-request-authz-policy
      • PROJECT_ID：專案 ID

   4. 將 YAML 設定檔匯入授權政策。

      gcloud network-security authz-policies import AUTHORIZATION_POLICY_NAME \
        --source=iap-request-authz-policy.yaml \
        --location=LOCATION
      

4. 選用：如要設定 Model Armor 防護機制，保護部署作業免受提示詞注入攻擊和機密資料外洩，請參閱「將授權委派給 Model Armor」。

Terraform

如要使用 google 供應商，在中央管理專案中以宣告方式佈建 Agent-to-Anywhere (輸出) Agent Gateway，以及相關聯的 IAP 授權擴充功能和政策，請按照下列步驟操作：

1. 建立 google_network_services_agent_gateway 資源，並連結區域或全域代理程式註冊資料庫執行個體：

   resource "google_network_services_agent_gateway" "egress_gateway" {
     project   = "PROJECT_ID"
     location  = "LOCATION"
     name      = "AGENT_GATEWAY_NAME"
     protocols = ["MCP"]
   
     google_managed {
       governed_access_path = "AGENT_TO_ANYWHERE"
     }
   
     registries = [
       "//agentregistry.googleapis.com/projects/PROJECT_ID/locations/LOCATION",
     ]
   }
   

2. 設定 IAP google_network_services_authz_extension，並使用 google_network_security_authz_policy 將其附加至閘道：

   resource "google_network_services_authz_extension" "iap_request_authz_ext" {
     project   = "PROJECT_ID"
     location  = "LOCATION"
     name      = "my-iap-request-authz-ext"
     service   = "iap.googleapis.com"
     timeout   = "1s"
     fail_open = false
   
     metadata = {
       iapPolicyVersion = "V2"
       # Uncomment the following line to deploy in dry-run (audit-only) mode:
       # iamEnforcementMode = "DRY_RUN"
     }
   }
   
   resource "google_network_security_authz_policy" "iap_request_authz_policy" {
     project        = "PROJECT_ID"
     location       = "LOCATION"
     name           = "my-iap-request-authz-policy"
     policy_profile = "REQUEST_AUTHZ"
     action         = "CUSTOM"
   
     target {
       resources = [
         google_network_services_agent_gateway.egress_gateway.id
       ]
     }
   
     custom_provider {
       authz_extension {
         resources = [
           google_network_services_authz_extension.iap_request_authz_ext.id
         ]
       }
     }
   }
   

Cloud de Confiance 控制台

1. 前往 Cloud de Confiance 控制台的「Agent Gateway」頁面。

   前往「Gateways」(閘道)

2. 按一下「Add gateway」(新增閘道)。
3. 輸入名稱。
4. 從「Region」(區域) 清單中選取區域。
5. 在「Deployment mode」(部署模式) 部分，確認已選取「Google-managed」(Google 代管)。
6. 將「Agent registry」(代理程式登錄檔) 設定保持原樣。登錄檔不會用於輸入。
7. 從「Governed Access Path」(受管理的存取路徑) 清單中，選取「Client-to-Agent (ingress)」(用戶端至代理 (輸入))。

8. (選用) 在「AI Security」(AI 安全性) 部分，設定其他安全性功能：

   1. 如要使用 Model Armor 保護 AI 模型互動，請開啟「Enable Model Armor」(啟用 Model Armor)。

   2. 從清單中選取適用於傳入閘道要求的範本。

   3. 如要為回覆使用其他範本，請清除「Use same template for requests and responses」(要求和回覆使用相同的範本)，然後從清單中選取範本。

9. 點選「新增閘道」。

gcloud

您可以使用 YAML 以宣告方式定義 Agent Gateway。

1. 定義資源，並將設定儲存至 YAML 檔案。在本範例中，我們使用 my-agent-gateway-ingress.yaml。

   name: AGENT_GATEWAY_NAME
   protocols:
     - MCP
   googleManaged:
     governedAccessPath: CLIENT_TO_AGENT
   

   將 AGENT_GATEWAY_NAME 替換為 Agent Gateway 資源名稱。

2. 執行下列指令，根據 YAML 規格建立 Agent Gateway 資源：

   gcloud network-services agent-gateways import AGENT_GATEWAY_NAME \
    --source="my-agent-gateway-ingress.yaml" \
    --location=LOCATION
   

   將 LOCATION 替換為要建立 Agent Gateway 資源的位置。例如：us-central1。

Terraform

如要使用 google 供應商，以宣告方式佈建用戶端至代理 (輸入) Agent Gateway 資源，請按照下列步驟操作：

resource "google_network_services_agent_gateway" "ingress_gateway" {
  project   = "PROJECT_ID"
  location  = "LOCATION"
  name      = "AGENT_GATEWAY_NAME"
  protocols = ["MCP"]

  google_managed {
    governed_access_path = "CLIENT_TO_AGENT"
  }
}