设置具有 VPC 连接的 Agent Gateway

本文档将引导您完成在部署 Agent Gateway 时配置 VPC 连接的过程，以便 Agent Gateway 可以与组织中的 VPC 网络进行私密通信。

设置 VPC 连接后，您可以执行以下操作：

  • 强制执行 VPC 出站流量：使用 PRIVATE_RANGES_ONLY 或 ALL_TRAFFIC 模式，通过 Private Service Connect 网络连接将源自代理的流量路由到 VPC 网络。
  • 静态源 IP 地址范围：出站流量使用 Private Service Connect 网络连接子网的专用 IP 地址范围作为其源 IP 地址。借助此静态源 IP 范围，您可以为 VPC 网络配置防火墙政策，以控制来自网关的流量。
  • 自定义 DNS 解析：使用 Cloud DNS 对等互连直接从代理解析内部专用域名和外部域名。
  • 边界安全：使用 VPC Service Controls 服务边界保护代理通信。
  • 私有或自签名证书验证：连接到使用私有 CA 或自签名证书的目标。

如需配置 VPC 连接，您可以创建代理网关连接模板 (AgentConnectivityTemplate)，在其中定义和管理代理网关实例的出站网络设置。

VPC 连接的运作方式

当您使用连接模板部署 Agent Gateway 时，该网关会使用 Private Service Connect 接口将出站代理流量路由到您指定的 VPC 网络中。

VPC 出站流量模式

您可以使用连接模板中的 vpcEgress 设置来配置网关如何通过网络连接路由流量。

  • 发送到专用 IP 地址范围 (PRIVATE_RANGES_ONLY) 的流量：将仅以专用 IP 地址范围为目标的流量路由到您的 VPC 网络。仅当出站流量的目标 IP 地址属于以下范围之一时，该流量才会路由到您的 VPC 网络中：

    • RFC 1918：10.0.0.0/8、172.16.0.0/12、192.168.0.0/16
    • RFC 6598：100.64.0.0/10
    • E 类：240.0.0.0/4
    • private.googleapis.com：199.36.153.8/30
    • restricted.googleapis.com：199.36.153.4/30
    • Google API 的 PSC 端点：如果您使用 VPC 网络中的内部专用 IP 地址为 Google API 部署自定义 Private Service Connect 端点，则流向此端点的流量会通过您的 VPC 网络进行路由。确保在连接模板中配置 Cloud DNS 对等互连，以便 Agent Gateway 正确地将 Google API 网域解析为内部 PSC 端点 IP 地址。

    系统会自动使用专用 Google 访问通道处理对标准公共 Google API 的请求，并将发往互联网的流量直接通过 Agent Gateway 路由，而不是通过您的 VPC 网络路由。

  • 所有 IP 地址范围 (ALL_TRAFFIC) 的流量：通过您的 VPC 网络路由源自代理的所有出站流量，包括公共互联网、外部 SaaS API 和非 RFC 1918 地址。

    • 路由和安全性：由于此设置会将所有出站流量路由到您的 VPC，因此您需要负责管理其路由和安全性。确保您的 VPC 网络具有默认路由 (0.0.0.0/0)，以便将此流量转发到出站网关或安全设备（例如下一个跃点防火墙或 Cloud Interconnect 接口）。
    • 公共互联网出站流量：Agent Gateway 将出站流量发送到您的 VPC 网络，然后通过 Private Service Connect 网络连接子网上的 Cloud NAT 网关将流量发送到公共互联网。如果您为 Cloud NAT 网关分配静态外部 IP 地址，远程服务可以根据这些源 IP 地址将代理的出站流量列入许可名单。
    • VPC Service Controls：出站模式必须设置为 ALL_TRAFFIC，才能支持 VPC Service Controls 服务边界。

DNS 解析和流量路由

默认情况下，Agent Gateway 使用公共递归 DNS 解析域名。如果您的代理需要访问 VPC 网络中托管在专用域名（例如 corp.internal. 或 PSC 端点）上的内部工作负载、专用工具或 Google API，您可以配置 Cloud DNS 对等互连，以将 DNS 查询转发到您网络的专用 Cloud DNS 代管式可用区。

下表总结了在 ALL_TRAFFIC 模式下配置 VPC 连接时，Cloud DNS 对等互连要求以及针对不同目的地的流量路由行为：

表格：ALL_TRAFFIC 模式下的 DNS 解析和流量路由
流量目的地 是否需要 Cloud DNS 对等互连？ DNS 解析 出站路径
专用 IP 服务
（RFC 1918 / 内部）		 是（例如 corp.internal.） 通过 Cloud DNS 对等互连与目标 VPC 网络的专用 Cloud DNS 代管区域进行解析。 流量通过网络连接进入 VPC 网络，以连接到内部工作负载。
具有私有 IP 的公共主机名
（水平分割 DNS）		 否 使用网关代理上的标准公共递归 DNS 进行解析，无需 Cloud DNS 对等互连。 流量通过网络连接进入 VPC 网络，以连接到内部工作负载。
公共互联网和 SaaS API
（外部网域）		 否 使用网关代理上的标准公共递归 DNS 进行解析，无需 Cloud DNS 对等互连。 流量通过网络连接进入 VPC 网络，并使用在子网上配置的 Cloud NAT 出站到公共互联网。
Cloud de Confiance API
（标准，不含 VPC Service Controls）		 否 使用网关代理上的标准公共递归 DNS 进行解析，无需 Cloud DNS 对等互连。 流量通过网络连接进入您的 VPC 网络，并使用在子网上启用的专用 Google 访问通道以私密方式路由，而无需使用 Cloud NAT 或 DNS 对等互连。
Cloud de Confiance API
（使用 VPC Service Controls）		 是（适用于 googleapis.com.） 解析为受限 Google API 范围 (199.36.153.4/30) 或使用专用 Cloud DNS 区域的内部 Private Service Connect 端点。 流量通过网络连接进入 VPC 网络，以强制执行 VPC Service Controls 边界安全规则1。

1 如果请求因违反 VPC Service Controls 而失败，例如在引用宿主项目的 compute.googleapis.com 或 dns.googleapis.com 上出现 NETWORK_NOT_IN_SAME_SERVICE_PERIMETER 或 SECURITY_POLICY_VIOLATED，请验证宿主项目是否与网关项目位于同一边界内。

TLS 证书要求

通过 HTTPS 路由出站流量时，Agent Gateway 会在 TLS 握手期间验证目标服务器的 TLS 证书链。HTTPS 连接的证书要求取决于目标端点是使用受公开信任的证书授权机构 (CA)，还是使用私有/自签名 CA。

  • Public CA：默认情况下，Agent Gateway 信任由公开可信的证书授权机构 (CA) 颁发的符合标准服务器证书要求（包括与目标主机名匹配的主体备用名称 (SAN)）的证书。

  • 私有 CA 和自签名证书：如果目标目的地（VPC 网络中的代理、工具或 MCP 服务器）使用私有 CA 或内部 PKI，您可以使用连接模板中的 tlsConfig 设置来配置自定义信任锚。通过引用 Certificate Manager TrustConfig 资源，您可以配置 Agent Gateway，使其仅信任特定的私有 CA，或者将私有根 CA 与广受信任的 CA 相结合，以建立对公共端点和私有端点的信任。

    使用 trustConfig 将流量路由到使用私有 CA 的目的地时，您必须手动轮换 PEM 文件。不支持使用密钥管理工具（例如 Cloud de Confiance的 Secret Manager）自动轮替 PEM 文件。

如果 Agent Gateway 无法验证证书链，连接会失败。

所需的角色和权限

如需为代理网关配置 VPC 连接，请确保用于预配的身份和网关服务代理具有所需的角色。

独立项目部署

在网关、网络连接和 VPC 网络位于同一项目中的独立项目中，标准 Agent Gateway 权限适用。如需了解详情，请参阅所需权限。

共享 VPC 或跨项目部署

如果您使用的是共享 VPC 或跨项目设置（其中目标 VPC 网络、网络连接或专用 DNS 区域位于中央宿主项目 [TARGET_VPC_PROJECT_ID] 中），除了标准 Agent Gateway 权限之外，还需要以下角色：

表格：共享 VPC 和跨项目部署所需的权限
主体或身份 授予项目权限 所需 IAM 角色 用途
预配身份1
（用户账号或部署服务账号）		 宿主项目 (TARGET_VPC_PROJECT_ID)
  • Compute Network Viewer (roles/compute.networkViewer)
  • DNS Reader (roles/dns.reader)
  • Network Connectivity Regional Endpoint Admin (roles/networkconnectivity.regionalEndpointAdmin)
  • Network Connectivity Consumer Network Admin (roles/networkconnectivity.consumerNetworkAdmin)
 允许在创建或更新网关期间对目标 VPC 网络、子网、网络连接和专用 DNS 区域进行后端验证。
网络连接创建者
（创建 PSC 连接的管理员）		 宿主项目 (TARGET_VPC_PROJECT_ID)
  • Compute Network User (roles/compute.networkUser)
 允许使用宿主项目中的共享 VPC 子网创建 Private Service Connect 网络连接。
服务项目中的网络连接（推荐）
Agent Gateway Service Agent2 宿主项目 (TARGET_VPC_PROJECT_ID)
  • Compute Network User (roles/compute.networkUser)
  • DNS peer (roles/dns.peer)
 允许 Agent Gateway 服务代理使用宿主项目子网进行网络连接、连接 Private Service Connect 接口以路由出站流量，以及与宿主项目中的专用 Cloud DNS 区域建立对等互连。
宿主项目中的网络连接
Agent Gateway Service Agent2 宿主项目 (TARGET_VPC_PROJECT_ID)
  • Compute Network Admin (roles/compute.networkAdmin)，或具有以下权限的自定义角色：
    • compute.networkAttachments.get
    • compute.networkAttachments.update
    • compute.regionOperations.get
  • DNS peer (roles/dns.peer)
 允许 Agent Gateway 服务代理更新宿主项目网络连接，以允许从 Agent Gateway 租户项目进行连接、路由出站流量，以及与宿主项目中的专用 Cloud DNS 区域进行对等互连。

1 对于配置身份，宿主项目上的基本项目级角色（例如 Viewer [roles/viewer] 或 Editor [roles/editor]）也足够。

2 Agent Gateway Service Agent 的格式为：service-AGENT_GATEWAY_PROJECT_NUMBER@gcp-sa-agentgateway.s3ns-system.iam.gserviceaccount.com。

配置 VPC 连接

如需使用连接模板部署 Agent Gateway，请执行以下步骤：

  1. 在目标 VPC 网络中创建 Private Service Connect 网络连接。

    确保您的网络连接符合以下要求：

    • 连接偏好设置：将网络连接配置为自动接受连接 (--connection-preference=ACCEPT_AUTOMATIC)。
    • 相同的 VPC 网络要求：网络连接子网和为 DNS 对等互连配置的目标网络 (targetNetwork) 必须位于完全相同的 VPC 网络中。如果网络连接的子网属于不同于 DNS 对等互连目标网络的网络，则配置验证会失败。
    • 子网要求：请注意以下有关网络连接子网的要求：
      • 子网范围：网络连接子网支持所有有效范围。
      • 子网大小：Agent Gateway 要求网络连接的子网大小至少为 /28。/28 子网提供 12 个可用 IP 地址，足以支持单个 Agent Gateway 实例。如果您计划将多个网关连接到同一网络连接或子网，请使用较大的子网（例如 /26 或 /24），以避免 IP 地址耗尽。
      • 专用 Google 访问通道要求：您必须在托管网络连接的子网上启用专用 Google 访问通道 (private_ip_google_access = true)。
    • 共享 VPC 部署：对于共享 VPC 部署，请参阅共享 VPC 部署拓扑。

    记下网络连接的 URI。在稍后的步骤中更新连接模板资源的 PSC_NETWORK_ATTACHMENT_URI 属性时，您需要用到此值。

  2. 设置 DNS 对等互连（可选）：通过 DNS 对等互连，Agent Gateway 可以使用 VPC 网络中 Cloud DNS 专用代管式区域的记录来解析 DNS 名称。仅当您的代理需要解析专用内部网域名（例如 corp.internal.）或针对 Google API (googleapis.com.) 强制执行 VPC Service Controls 时，才需要进行 DNS 对等互连。对于公共互联网网域或没有 VPC Service Controls 的标准 Google API，则不需要进行 DNS 对等互连。

    Agent Gateway 支持传递性 DNS 对等互连，但只能通过一个传递跃点，这意味着最多只能有 3 个 VPC 网络。例如，vpc-net-a（代理网关租户网络）可以与 vpc-net-b（附加网络）对等互连，而又与 vpc-net-c（远程网络）对等互连，从而解析整个链中的 DNS 查询。

    如需设置 DNS 对等互联，请执行以下步骤：

    1. 在目标 VPC 网络中设置专用 DNS 区域。如需将 DNS 记录添加到专用 DNS 区域，请参阅添加资源记录集。

    2. 收集以下信息，以配置连接模板来启用对等互连：

      • 目标网络 URI (targetNetwork)：目标 VPC 网络的完整资源 URI。此网络必须与包含网络连接的 VPC 网络相同。

      • 域名：用于 DNS 对等互连的一个或多个域名后缀。每个网域都必须以英文句点 (.) 结尾（例如 corp.internal. 或 googleapis.com.）。

        如需有关如何配置 domains 字段的更多指导，请参阅 DNS 对等互连网域模式。对于共享 VPC 等跨项目部署，请参阅跨项目 DNS 区域和对等互连要求。

  3. 设置 TLS 信任配置（仅适用于具有私有 CA 和自签名证书的目标）：

    如果目标目的地使用私有 CA 或自签名证书，您需要在 Certificate Manager 中创建 TrustConfig 资源。TrustConfig 资源定义了 Agent Gateway 用于验证 TLS 连接的信任锚点和证书。

    1. 以 PEM 格式准备证书文件：

      • 受信任证书存储区：PEM 格式的根 CA 证书或中间 CA 证书。 代理网关信任信任链指向这些 CA 证书之一的任何服务器证书。受信任证书存储区必须包含至少一个根 CA 证书或中间 CA 证书。
      • 已列入许可名单的证书（可选）：您要明确信任的 PEM 格式的服务器证书，例如自签名证书。

    2. 运行以下命令以创建 TrustConfig 资源。TrustConfig 必须在与代理网关和连接模板相同的项目和区域中创建。

      gcloud certificate-manager trust-configs create TRUST_CONFIG_NAME \
  --location=LOCATION \
  --trust-store="trust-anchors=ROOT_CERT_FILE" \
  --allowlisted-certificates=ALLOWLISTED_CERT_FILE

      替换以下内容：

      • TRUST_CONFIG_NAME：TrustConfig 资源的名称。
      • LOCATION：信任配置的区域（例如 europe-west1）。此区域必须与 Agent Gateway 和连接模板的区域相同。
      • ROOT_CERT_FILE：PEM 编码的根 CA 证书或中间 CA 证书的路径。
      • ALLOWLISTED_CERT_FILE：（可选）您要明确信任的 PEM 编码证书的路径。如果您未使用已列入许可名单的证书，请省略此标志。

      如需详细了解如何管理信任配置，请参阅创建和管理信任配置。

  4. 部署 Agent Gateway

    1. 创建连接模板配置文件：

      创建一个名为 agw-connectivity-template.yaml 的 YAML 文件：

      name: projects/AGENT_GATEWAY_PROJECT_NUMBER/locations/LOCATION/agentConnectivityTemplates/CONNECTIVITY_TEMPLATE_NAME
accessPath: AGENT_TO_ANYWHERE
deploymentModel: CENTRALIZED
egressNetworkConfig:
  networkAttachment: PSC_NETWORK_ATTACHMENT_URI
  dnsPeeringConfig:
    domains:
      - DOMAIN_NAME
    targetNetwork: TARGET_VPC_NETWORK_URI
  vpcEgress: VPC_EGRESS_MODE
  tlsConfig:
    trustConfig: projects/AGENT_GATEWAY_PROJECT_NUMBER/locations/LOCATION/trustConfigs/TRUST_CONFIG_NAME
    additionalRoots: ADDITIONAL_ROOTS_OPTION

      替换以下内容：

      • AGENT_GATEWAY_PROJECT_NUMBER：网关部署到的 Cloud de Confiance 项目的数字项目编号。如需检索项目编号，请运行：gcloud projects describe PROJECT_ID --format="value(projectNumber)"。

      • LOCATION：连接模板的区域（例如 europe-west1）。

      • CONNECTIVITY_TEMPLATE_NAME：连接模板资源的名称。

      • accessPath：连接模板的受控访问路径。设置为 AGENT_TO_ANYWHERE（仅支持出口网关的连接模板）。

      • deploymentModel：网关的部署模型。设置为 CENTRALIZED。

      • PSC_NETWORK_ATTACHMENT_URI：用于连接到 VPC 的 PSC 接口网络附件。如果网络连接是在不同于网关部署位置的项目（例如共享 VPC 宿主项目）中创建的，请传递网络连接的完整路径：projects/TARGET_VPC_PROJECT_ID/regions/REGION/networkAttachments/ATTACHMENT_NAME。

      • DOMAIN_NAME：（可选）用于 DNS 对等互联的一个或多个网域后缀（例如 corp.internal.、googleapis.com. 或 .）。在 domains 下为要对等互联的每个网域后缀添加一个列表项。每个值都必须以尾随句点 (.) 结尾，并且具有已获授权可用于目标网络的相应专用 Cloud DNS 代管区域。

        如需有关如何配置 domains 字段的更多指导，请参阅 DNS 对等互连网域模式。

      • TARGET_VPC_NETWORK_URI：您在其中创建网络连接的目标 VPC 网络。此值必须采用以下格式：projects/TARGET_VPC_PROJECT_ID/global/networks/TARGET_VPC_NETWORK_NAME。 请始终使用项目 ID (TARGET_VPC_PROJECT_ID) 而不是项目编号来指定 targetNetwork。

      • VPC_EGRESS_MODE：设置出站流量路由模式。设置为 PRIVATE_RANGES_ONLY 或 ALL_TRAFFIC。

      • tlsConfig：（可选）通过 HTTPS 连接到专用端点时用于服务器证书验证的 TLS 配置：

        • TRUST_CONFIG_NAME：包含您的私有 CA 证书或信任锚点的 Certificate Manager TrustConfig 资源的名称。
        • ADDITIONAL_ROOTS_OPTION：指定除了自定义信任配置之外，是否还要信任公开信任的 CA 根。设置为 PUBLICLY_TRUSTED_ROOTS（默认值）以同时信任由 trustConfig 参数验证的证书和所有广受信任的 CA。设置为 NO_ADDITIONAL_ROOTS 可仅信任由 trustConfig 参数验证的证书。

    2. 创建连接模板：

      运行以下命令以创建连接模板：

      gcloud network-services agent-connectivity-templates import CONNECTIVITY_TEMPLATE_NAME \
    --source="agw-connectivity-template.yaml" \
    --location=LOCATION

      替换以下内容：

      • CONNECTIVITY_TEMPLATE_NAME：连接模板资源的名称。
      • LOCATION：您要创建连接模板资源的位置。例如 europe-west1。

    3. 定义 Agent Gateway 资源：

      通过创建引用连接模板的网关 YAML 配置文件（例如 my-agent-gateway-vpc-egress.yaml），以 AGENT_TO_ANYWHERE 模式定义新的 Agent Gateway 资源：

      name: AGENT_GATEWAY_NAME
protocols:
  - MCP
googleManaged:
  governedAccessPath: AGENT_TO_ANYWHERE
agentConnectivityTemplate: projects/AGENT_GATEWAY_PROJECT_NUMBER/locations/LOCATION/agentConnectivityTemplates/CONNECTIVITY_TEMPLATE_NAME
registries:
  - AGENT_REGISTRY_PATH

      替换以下内容：

      • AGENT_GATEWAY_NAME：Agent Gateway 资源的名称。

      • AGENT_GATEWAY_PROJECT_NUMBER：您在其中创建了网关和连接模板的 Cloud de Confiance 项目的数字项目编号。如需检索项目编号，请运行：gcloud projects describe PROJECT_ID --format="value(projectNumber)"。

      • LOCATION：连接模板的位置（例如，europe-west1）。

      • CONNECTIVITY_TEMPLATE_NAME：连接模板资源的名称。

      • AGENT_REGISTRY_PATH：Agent Registry 的路径。您可以为 Agent Gateway 配置最多两个注册中心。配置两个注册库时，其中一个必须是全球注册库，另一个可以是区域级注册库或多区域注册库。注册表路径必须采用以下格式：

        • 区域注册表： //agentregistry.googleapis.com/projects/PROJECT_ID/locations/REGION
        • 全球注册表： //agentregistry.googleapis.com/projects/PROJECT_ID/locations/global
        • 多区域注册表： //agentregistry.googleapis.com/projects/PROJECT_ID/locations/MULTI_REGION

    4. 导入并部署 Agent Gateway：

      运行以下命令，根据 YAML 规范创建 Agent Gateway 资源：

      gcloud network-services agent-gateways import AGENT_GATEWAY_NAME \
    --source="my-agent-gateway-vpc-egress.yaml" \
    --location=LOCATION

      将 LOCATION 替换为要创建 Agent Gateway 资源的位置。例如 europe-west1。

架构和网络注意事项

本部分提供了有关部署具有 VPC 连接的 Agent Gateway 的架构指南和高级网络模式。

更新 VPC 出站流量设置

如果连接模板被 Agent Gateway 引用，则无法修改该模板。

  • 如需更新可变的 VPC 出站流量设置（例如 DNS 对等互连配置、VPC 出站流量模式或 TLS 配置），您需要创建一个使用相同 networkAttachment 的新连接模板，并更新 Agent Gateway 以引用新模板。

  • networkAttachment 本身在 Agent Gateway 上配置后便不可变。如需切换到其他网络连接（或目标 VPC 网络），您必须创建新的连接模板和新的 Agent Gateway。

共享 VPC 部署拓扑

在共享 VPC 架构中，您可以在服务项目（推荐）或宿主项目中创建网络连接：

VPC Service Controls 合规性

如需针对代理通信强制实施 VPC Service Controls 边界，请确保满足以下条件：

  • 在连接模板中将 vpcEgress 设置为 ALL_TRAFFIC。

  • 将 Google API 请求直接发送到 restricted.googleapis.com IP 范围 (199.36.153.4/30) 或 Google API 的内部 Private Service Connect 端点。

  • 为 googleapis.com 配置 DNS 解析。在 VPC 网络中创建一个专用 Cloud DNS 区域，将 *.googleapis.com 映射到 restricted.googleapis.com，并在连接模板的 domains 字段中添加 googleapis.com.。

    如需详细了解 DNS 配置，请参阅专用 Google 访问通道文档中的为 googleapis.com 配置 DNS。

  • 对于共享 VPC 部署，拥有网络连接的子网和 dnsPeeringConfig.targetNetwork 的宿主项目必须与部署 Agent Gateway 的项目位于同一服务边界内。即使您在服务项目中创建网络连接，也是如此，因为子网和 VPC 网络仍然属于宿主项目。如果您的专用 DNS 区域托管在单独的 DNS 项目中，请将该项目也纳入边界。

DNS 对等互连网域模式

本部分介绍了网域解析模式，以及用于在连接模板中配置 domains 字段的选项。

域名配置：根据以下注意事项配置连接模板中的 domains 字段：

  • 专用内部网域：如需解析 VPC 网络中托管的专用内部服务（例如 service.corp.internal），请指定内部网域后缀（例如 corp.internal.）。必须为目标 VPC 网络授权此网域的完全匹配专用 Cloud DNS 受管区域。

  • 分离式 DNS（具有 RFC 1918 IP 的公共网域）：如果您使用公共 DNS 区域来托管指向内部专用 IP 的记录（例如 mcp.example.com 解析为 Certificate Manager 公共证书的 RFC 1918 地址），网关会自动使用公共递归 DNS 解析这些记录，而无需进行 DNS 对等互连。

  • Cloud de Confiance 支持 VPC Service Controls 的 API：当 ALL_TRAFFIC 配置为强制执行 VPC Service Controls 时，Google API 请求必须解析为 restricted.googleapis.com IP 范围 (199.36.153.4/30) 或内部 PSC 端点。在 VPC 网络中创建一个专用 Cloud DNS 区域，将 *.googleapis.com 映射到 restricted.googleapis.com，并在连接模板的 domains 字段中添加 googleapis.com.。

  • 多网域解析模式：如果您的部署需要解析多个专用网域后缀，请选择以下模式之一：

    • 对等互连多个单独的网域：在 dnsPeeringConfig 的 domains 字段中指定网域后缀列表（例如 corp.internal.、prod.internal. 和 googleapis.com.）。列表中的每个网域都必须以句点 (.) 结尾，并且具有已针对目标 VPC 网络授权的相应专用 Cloud DNS 代管式区域。
    • 整合的父后缀（推荐）：将内部服务整合到共享的父网域后缀（例如 *.internal. 或 *.corp.internal.）下，并将该父网域纳入 domains 列表。

    • 包含专用转发可用区的全方位根对等互连：在连接模板的 domains 字段中添加 "."，并为 VPC 网络中的根域名 (.) 配置 Cloud DNS 专用转发可用区，使其指向上游递归解析器（例如 8.8.8.8 或内部企业解析器）。VPC 中更具体的专用区域首先通过最长后缀匹配进行匹配，而未匹配的公共查询通过上游转发器进行解析。

跨项目 DNS 区域和对等互连要求

连接模板的 dnsPeeringConfig 设置不支持直接跨项目 Cloud DNS 对等互连。导入连接模板时，如果 targetNetwork 与 networkAttachment 位于不同的项目中，或者您依赖于来自服务项目或外部项目的跨项目 DNS 区域绑定，则验证会失败。

网域的代管区域必须在拥有 targetNetwork 的宿主项目中创建。受管区域可以是以下任何区域类型：

  • 权威专用区域
  • 转发可用区
  • Cloud DNS 对等互连地区：必须与宿主项目 VPC 网络相关联，并以目标 VPC 网络为目标。目标 VPC 必须使用权威专用区域直接解析查询。不支持将查询转发到另一个 DNS 对等互连区域（链接），这样做会导致 NXDOMAIN 错误。

后续步骤

指南

了解如何通过 Agent Gateway 路由 Agent Runtime 流量，以实现安全且受管控的连接。

Codelab

了解如何使用 Gemini Enterprise Agent Platform 上的 Agent Gateway 治理智能体工作负载。

Codelab

了解 AI 代理访问 VPC 网络中的目标时的 Agent Gateway 出站流量治理。

指南

了解如何将 Agent Gateway 的授权委托给 IAP、Model Armor 或您自己的自定义授权服务。

指南

了解如何监控 Agent Gateway。

指南

了解如何通过 Agent Gateway 路由 Gemini Enterprise 流量。