設定具備 VPC 連線的 Agent Gateway

本文將逐步說明部署 Agent Gateway 時如何設定 VPC 連線，以便與貴機構的虛擬私有雲網路私下通訊。

設定虛擬私有雲連線後，您就能執行下列操作：

  • 強制執行虛擬私有雲輸出流量：使用 PRIVATE_RANGES_ONLY 或 ALL_TRAFFIC 模式，透過 Private Service Connect 網路連結，將代理程式產生的流量轉送至虛擬私有雲網路。
  • 靜態來源 IP 位址範圍：輸出流量會使用 Private Service Connect 網路附加元件子網路的私人 IP 位址範圍，做為來源 IP 位址。有了這個靜態來源 IP 範圍，您就能為虛擬私有雲網路設定防火牆政策，控管來自閘道的流量。
  • 自訂 DNS 解析：使用 Cloud DNS 對等互連，直接從代理程式解析內部私人網域名稱和外部網域名稱。
  • 範圍安全：使用 VPC Service Controls 服務範圍保護代理程式通訊。
  • 私人或自行簽署的憑證驗證：連線至使用私人 CA 或自行簽署憑證的目的地。

如要設定虛擬私有雲連線，請建立Agent Gateway 連線範本 (AgentConnectivityTemplate)，定義及管理 Agent Gateway 執行個體的輸出網路設定。

虛擬私有雲連線的運作方式

使用連線範本部署 Agent Gateway 時，閘道會使用 Private Service Connect 介面，將傳出代理程式流量路由至您指定的虛擬私有雲網路。

虛擬私有雲輸出模式

您可以使用連線範本中的 vpcEgress 設定，設定閘道如何透過網路連結轉送流量。

  • 前往私有 IP 位址範圍 (PRIVATE_RANGES_ONLY) 的流量：將僅以私有 IP 位址範圍為目的地的流量，路由至虛擬私有雲網路。只有在目的地 IP 位址屬於下列其中一個範圍時，傳出流量才會轉送至虛擬私有雲網路：

    • RFC 1918：10.0.0.0/8、172.16.0.0/12、192.168.0.0/16
    • RFC 6598：100.64.0.0/10
    • E 級：240.0.0.0/4
    • private.googleapis.com：199.36.153.8/30
    • restricted.googleapis.com：199.36.153.4/30
    • Google API 的 PSC 端點：如果您使用虛擬私有雲網路中的內部私人 IP 位址，為 Google API 部署自訂 Private Service Connect 端點，系統會透過虛擬私有雲網路將流量傳送至這個端點。請確認連線範本中已設定 Cloud DNS 對等互連，以便 Agent Gateway 正確將 Google API 網域解析為內部 PSC 端點 IP 位址。

    系統會使用 Private Google Access 自動處理對標準公開 Google API 的要求，並直接透過 Agent Gateway 轉送傳輸至網際網路的流量，而不是透過虛擬私有雲網路。

  • 所有 IP 位址範圍 (ALL_TRAFFIC) 的流量：透過 VPC 網路轉送從代理程式發出的所有輸出流量，包括公用網際網路、外部 SaaS API 和非 RFC 1918 位址。

    • 路由和安全性：由於這項設定會將所有輸出流量轉送至虛擬私有雲，因此您必須負責管理路由和安全性。請確認虛擬私有雲網路具有預設路由 (0.0.0.0/0)，可將這類流量轉送至輸出閘道或安全設備 (例如下一個躍點防火牆或 Cloud Interconnect 介面)。
    • 公開網際網路輸出：Agent Gateway 會將輸出流量傳送至虛擬私有雲網路，並透過 Private Service Connect 網路連結子網路上的 Cloud NAT 閘道輸出至公開網際網路。如果為 Cloud NAT 閘道指派靜態外部 IP 位址，遠端服務就能根據這些來源 IP 位址，將代理程式的出站流量加入許可清單。
    • VPC Service Controls：如要支援 VPC Service Controls 服務範圍，必須將輸出模式設為 ALL_TRAFFIC。

DNS 解析和流量路由

根據預設，Agent Gateway 會使用公開遞迴 DNS 解析網域名稱。如果代理程式需要存取內部工作負載、私人工具，或 VPC 網路中以私有網域名稱代管的 Google API (例如 corp.internal. 或 PSC 端點)，您可以設定 Cloud DNS 對等互連，將 DNS 查詢轉送至網路的私有 Cloud DNS 受管理區域。

下表概略說明在 ALL_TRAFFIC 模式下設定 VPC 連線時，Cloud DNS 對接需求和不同目的地的流量轉送行為：

表格：ALL_TRAFFIC 模式下的 DNS 解析和流量路由
流量目的地 是否需要 Cloud DNS 對等互連？ DNS 解析 輸出路徑
私人 IP 服務
(RFC 1918 / 內部)		 是 (例如 corp.internal.) 使用 Cloud DNS 對接功能，解析目標虛擬私有雲網路的私人 Cloud DNS 代管區域。 流量會透過網路連結進入虛擬私有雲網路，連線至內部工作負載。
具有私人 IP 的公開主機名稱
(水平分割 DNS)		 否 在閘道 Proxy 使用標準公開遞迴 DNS 解析，不需 Cloud DNS 對接。 流量會透過網路連結進入虛擬私有雲網路，連線至內部工作負載。
公用網際網路和軟體即服務 (SaaS) API
(外部網域)		 否 在閘道 Proxy 使用標準公開遞迴 DNS 解析，不需 Cloud DNS 對接。 流量會透過網路連結進入虛擬私有雲網路，並使用子網路上設定的 Cloud NAT 離開，前往公用網際網路。
Cloud de Confiance API
(標準，不含 VPC Service Controls)		 否 在閘道 Proxy 使用標準公開遞迴 DNS 解析，不需 Cloud DNS 對接。 流量會透過網路連結進入虛擬私有雲網路，並使用子網路上啟用的 Private Google Access 私下轉送，不需使用 Cloud NAT 或 DNS 對等互連。
Cloud de Confiance API
(搭配 VPC Service Controls)		 是 (適用於 googleapis.com.) 使用私人 Cloud DNS 區域解析為受限的 Google API 範圍 (199.36.153.4/30) 或內部 Private Service Connect 端點。 流量會透過網路連結進入虛擬私有雲網路，強制執行 VPC Service Controls 服務範圍安全規則1。

1 如果要求因 VPC Service Controls 違規而失敗，例如在參照主專案的 compute.googleapis.com 或 dns.googleapis.com 上出現 NETWORK_NOT_IN_SAME_SERVICE_PERIMETER 或 SECURITY_POLICY_VIOLATED，請確認主專案與閘道專案位於相同 perimeter。

傳輸層安全標準 (TLS) 憑證規定

透過 HTTPS 轉送輸出流量時，Agent Gateway 會在 TLS 握手期間驗證目的地伺服器的 TLS 憑證鏈結。HTTPS 連線的憑證規定取決於目標端點是否使用公開信任的憑證授權單位 (CA)，或是私有/自行簽署的 CA。

  • 公開 CA：根據預設，Agent Gateway 會信任公開信任的憑證授權單位 (CA) 核發的憑證，這些憑證必須符合標準伺服器憑證規定 (包括與目標主機名稱相符的主體別名 (SAN))。

  • 私有 CA 和自行簽署的憑證：如果目標目的地 (虛擬私有雲網路中的代理程式、工具或 MCP 伺服器) 使用私有 CA 或內部 PKI，您可以使用連線範本中的 tlsConfig 設定，設定自訂信任錨點。只要參照 Certificate Manager TrustConfig 資源，即可設定 Agent Gateway，只信任特定私人 CA，或將私人根 CA 與公開信任的 CA 結合，為公開和私人端點建立信任關係。

    使用 trustConfigs 將流量路由至使用私有 CA 的目的地時，您必須手動輪替 PEM 檔案。不支援使用 Secret Manager (例如 Cloud de Confiance的 Secret Manager) 自動輪換 PEM 檔案。

如果 Agent Gateway 無法驗證憑證鏈結，連線就會失敗。

所需角色和權限

如要設定 Agent Gateway 的 VPC 連線，請確認用於佈建的身分和閘道服務代理程式具有必要角色。

獨立專案部署作業

在閘道、網路連結和虛擬私有雲網路位於相同專案的獨立專案中，適用標準的 Agent Gateway 權限。詳情請參閱「必要權限」。

Shared VPC 或跨專案部署作業

如果您使用Shared VPC 或跨專案設定，且目標虛擬私有雲網路、網路連結或私人 DNS 區域位於中央主專案 (TARGET_VPC_PROJECT_ID)，則除了標準 Agent Gateway 權限外，還需要下列角色：

表格：Shared VPC 和跨專案部署作業所需的權限
主體或身分 授予專案層級權限 必要 IAM 角色 目的
佈建身分1
(使用者帳戶或部署服務帳戶)		 主專案 (TARGET_VPC_PROJECT_ID)
  • Compute 網路檢視者 (roles/compute.networkViewer)
  • DNS 讀取者 (roles/dns.reader)
  • Network Connectivity 區域端點管理員 (roles/networkconnectivity.regionalEndpointAdmin)
  • Network Connectivity 消費端網路管理員 (roles/networkconnectivity.consumerNetworkAdmin)
 在建立或更新閘道時，允許後端驗證目標 VPC 網路、子網路、網路連結和私人 DNS 區域。
網路連結建立者
(建立 PSC 連結的管理員)		 主專案 (TARGET_VPC_PROJECT_ID)
  • Compute 網路使用者 (roles/compute.networkUser)
 允許使用主專案中的共用虛擬私有雲子網路，建立 Private Service Connect 網路連結。
服務專案中的網路連結 (建議)
Agent Gateway Service Agent2 主專案 (TARGET_VPC_PROJECT_ID)
  • Compute 網路使用者 (roles/compute.networkUser)
  • DNS 對等互連 (roles/dns.peer)
 允許 Agent Gateway 服務代理程式使用主機專案子網路進行網路連結、連結 Private Service Connect 介面來轉送輸出流量，以及與主機專案中的私人 Cloud DNS 區域對等互連。
主專案中的網路連結
Agent Gateway Service Agent2 主專案 (TARGET_VPC_PROJECT_ID)
  • Compute 網路管理員 (roles/compute.networkAdmin)，或具有下列權限的自訂角色：
    • compute.networkAttachments.get
    • compute.networkAttachments.update
    • compute.regionOperations.get
  • DNS 對等互連 (roles/dns.peer)
 允許 Agent Gateway 服務代理更新主專案網路連結，允許從 Agent Gateway 租戶專案建立連線、轉送輸出流量，以及與主專案中的私人 Cloud DNS 區域對等互連。

1 對於佈建身分，主專案中基本專案層級的角色 (例如檢視者 (roles/viewer) 或編輯者 (roles/editor)) 也已足夠。

2 Agent Gateway 服務代理的格式為： service-AGENT_GATEWAY_PROJECT_NUMBER@gcp-sa-agentgateway.s3ns-system.iam.gserviceaccount.com。

設定虛擬私有雲連線

如要使用連線範本部署 Agent Gateway，請按照下列步驟操作：

  1. 在目標虛擬私有雲網路中建立 Private Service Connect 網路連結。

    請確認網路連結符合下列規定：

    • 連線偏好設定：將網路連結設定為自動接受連線(--connection-preference=ACCEPT_AUTOMATIC)。
    • 虛擬私有雲網路必須相同：網路連結子網路和為 DNS 對接設定的目標網路 (targetNetwork) 必須位於完全相同的虛擬私有雲網路。如果網路附件的子網路屬於與 DNS 對接目標網路不同的網路，設定驗證就會失敗。
    • 子網路需求：請注意網路附加子網路的下列需求：
      • 子網路範圍：網路連結子網路支援所有有效範圍。
      • 子網路大小：Agent Gateway 至少需要一個/28子網路，才能建立網路連結。/28 子網路提供 12 個可用 IP 位址，足以容納單一 Agent Gateway 執行個體。如果打算將多個閘道連線至同一個網路連結或子網路，請使用較大的子網路 (例如 /26 或 /24)，以免 IP 位址用盡。
      • 私人 Google 存取權規定：您必須在代管網路附件的子網路上啟用私人 Google 存取權 (private_ip_google_access = true)。
    • Shared VPC 部署作業：如為 Shared VPC 部署作業，請參閱「Shared VPC 部署作業拓撲」。

    請記下網路連結的 URI。您會在後續步驟更新連線範本資源的 PSC_NETWORK_ATTACHMENT_URI 屬性時用到這個值。

  2. 設定 DNS 對接 (選用)：透過 DNS 對接，Agent Gateway 可以使用虛擬私有雲網路中 Cloud DNS 私人代管區域的記錄，解析 DNS 名稱。只有在代理程式需要解析私人內部網域名稱 (例如 corp.internal.) 或對 Google API (googleapis.com.) 強制執行 VPC Service Controls 時，才需要 DNS 對等互連。如果是公用網際網路網域或沒有 VPC Service Controls 的標準 Google API，則不需要 DNS 對等互連。

    Agent Gateway 僅支援最多單一遞移躍點的遞移 DNS 對接，也就是最多三個虛擬私有雲網路。舉例來說，vpc-net-a (代理程式閘道租戶網路) 可以與 vpc-net-b (附加網路) 對接，而 又與 vpc-net-c (遠端網路) 對接，以便在整個鏈結中 解析 DNS 查詢。

    如要設定 DNS 對等互連，請按照下列步驟操作：

    1. 在目標虛擬私有雲網路中設定私人 DNS 區域。如要將 DNS 記錄新增至私人 DNS 區域，請參閱「新增資源記錄集」。

    2. 請收集下列資訊，設定連線範本以啟用對等互連：

      • 目標網路 URI (targetNetwork)：目標虛擬私有雲網路的完整資源 URI。這個虛擬私有雲網路必須與包含網路連結的虛擬私有雲網路相同。

      • 網域名稱：用於 DNS 對接的一或多個網域尾碼。每個網域結尾都必須加上尾隨半形句號 (.)，例如 corp.internal. 或 googleapis.com.。

        如需設定 domains 欄位的其他指引，請參閱「DNS 對等互連網域模式」。如要瞭解跨專案部署 (例如 Shared VPC) 的相關資訊，請參閱「跨專案 DNS 區域和對接需求」。

  3. 設定 TLS 信任設定 (僅適用於具有私有 CA 和自簽憑證的目的地)：

    如果目標目的地使用私有 CA 或自行簽署的憑證，您需要在 Certificate Manager 中建立 TrustConfig 資源。TrustConfig 資源會定義 Agent Gateway 用來驗證 TLS 連線的信任錨點和憑證。

    1. 準備 PEM 格式的憑證檔案：

      • 信任存放區：PEM 格式的根或中繼 CA 憑證。 如果伺服器憑證的信任鏈結指向其中一個 CA 憑證，Agent Gateway 就會信任該憑證。信任存放區必須包含至少一個根或中繼 CA 憑證。
      • 允許的憑證 (選用)：您要明確信任的 PEM 格式伺服器憑證，例如自簽憑證。

    2. 執行下列指令來建立 TrustConfig 資源。TrustConfig 必須與 Agent Gateway 和連線範本位於相同專案和區域。

      gcloud certificate-manager trust-configs create TRUST_CONFIG_NAME \
  --location=LOCATION \
  --trust-store="trust-anchors=ROOT_CERT_FILE" \
  --allowlisted-certificates=ALLOWLISTED_CERT_FILE

      更改下列內容：

      • TRUST_CONFIG_NAME： TrustConfig 資源的名稱。
      • LOCATION：信任設定的區域 (例如 europe-west1)。這必須與 Agent Gateway 和連線範本的區域相同。
      • ROOT_CERT_FILE：PEM 編碼的根或中繼 CA 憑證路徑。
      • ALLOWLISTED_CERT_FILE：(選用) 要明確信任的 PEM 編碼憑證路徑。如果未使用已加入許可清單的憑證，請省略這個標記。

      如要進一步瞭解如何管理信任設定，請參閱「建立及管理信任設定」。

  4. 部署 Agent Gateway

    1. 建立連線範本設定檔：

      建立名為 agw-connectivity-template.yaml 的 YAML 檔案：

      name: projects/AGENT_GATEWAY_PROJECT_NUMBER/locations/LOCATION/agentConnectivityTemplates/CONNECTIVITY_TEMPLATE_NAME
accessPath: AGENT_TO_ANYWHERE
deploymentModel: CENTRALIZED
egressNetworkConfig:
  networkAttachment: PSC_NETWORK_ATTACHMENT_URI
  dnsPeeringConfig:
    domains:
      - DOMAIN_NAME
    targetNetwork: TARGET_VPC_NETWORK_URI
  vpcEgress: VPC_EGRESS_MODE
  tlsConfig:
    trustConfig: projects/AGENT_GATEWAY_PROJECT_NUMBER/locations/LOCATION/trustConfigs/TRUST_CONFIG_NAME
    additionalRoots: ADDITIONAL_ROOTS_OPTION

      更改下列內容：

      • AGENT_GATEWAY_PROJECT_NUMBER：部署閘道的 Cloud de Confiance 專案的數值專案編號。 如要擷取專案編號，請執行： gcloud projects describe PROJECT_ID --format="value(projectNumber)"。

      • LOCATION：連線範本的區域 (例如 europe-west1)。

      • CONNECTIVITY_TEMPLATE_NAME：連線範本資源的名稱。

      • accessPath：連線範本的受控存取路徑。設為 AGENT_TO_ANYWHERE (連線範本僅支援輸出閘道)。

      • deploymentModel：閘道的部署模型。請設為 CENTRALIZED。

      • PSC_NETWORK_ATTACHMENT_URI：用於連線至虛擬私有雲的 PSC 介面網路連結。如果網路連結是在部署閘道的專案以外的專案中建立 (例如 Shared VPC 主專案)，請傳遞網路連結的完整路徑：projects/TARGET_VPC_PROJECT_ID/regions/REGION/networkAttachments/ATTACHMENT_NAME。

      • DOMAIN_NAME：(選用) 一或多個 DNS 對等互連的網域尾碼 (例如 corp.internal.、googleapis.com. 或 .)。針對要對等互連的每個網域尾碼，在 domains 下方新增清單項目。每個值都必須以尾隨點 (.) 結尾，且具有授權給目標網路的對應私人 Cloud DNS 代管區域。

        如需設定 domains 欄位的其他指引，請參閱「DNS 對等互連網域模式」。

      • TARGET_VPC_NETWORK_URI：您建立網路連結的目標虛擬私有雲網路。這個值必須採用 projects/TARGET_VPC_PROJECT_ID/global/networks/TARGET_VPC_NETWORK_NAME 格式。請一律使用專案 ID (TARGET_VPC_PROJECT_ID) 指定 targetNetwork，而非專案編號。

      • VPC_EGRESS_MODE：設定輸出路徑模式。設為 PRIVATE_RANGES_ONLY 或 ALL_TRAFFIC。

      • tlsConfig：(選用) 透過 HTTPS 連線至私人端點時，用於伺服器憑證驗證的 TLS 設定：

        • TRUST_CONFIG_NAME：Certificate Manager TrustConfig 資源的名稱，其中包含您的私有 CA 憑證或信任錨點。
        • ADDITIONAL_ROOTS_OPTION：指定除了自訂信任設定外，是否要信任公開信任的 CA 根憑證。設為 PUBLICLY_TRUSTED_ROOTS (預設值) 可同時信任由 trustConfig 參數驗證的憑證，以及所有公開信任的 CA。設為 NO_ADDITIONAL_ROOTS，只信任由 trustConfig 參數驗證的憑證。

    2. 建立連線範本：

      執行下列指令，建立連線範本：

      gcloud network-services agent-connectivity-templates import CONNECTIVITY_TEMPLATE_NAME \
    --source="agw-connectivity-template.yaml" \
    --location=LOCATION

      更改下列內容：

      • CONNECTIVITY_TEMPLATE_NAME：連線範本資源的名稱。
      • LOCATION：您要建立連線範本資源的位置。例如：europe-west1。

    3. 定義 Agent Gateway 資源：

      在 AGENT_TO_ANYWHERE模式中定義新的 Agent Gateway 資源，方法是建立參照連線範本的閘道 YAML 設定檔 (例如 my-agent-gateway-vpc-egress.yaml)：

      name: AGENT_GATEWAY_NAME
protocols:
  - MCP
googleManaged:
  governedAccessPath: AGENT_TO_ANYWHERE
agentConnectivityTemplate: projects/AGENT_GATEWAY_PROJECT_NUMBER/locations/LOCATION/agentConnectivityTemplates/CONNECTIVITY_TEMPLATE_NAME
registries:
  - AGENT_REGISTRY_PATH

      更改下列內容：

      • AGENT_GATEWAY_NAME：Agent Gateway 資源的名稱。

      • AGENT_GATEWAY_PROJECT_NUMBER：您建立閘道和連線範本的 Cloud de Confiance 專案的數值專案編號。如要擷取專案編號，請執行： gcloud projects describe PROJECT_ID --format="value(projectNumber)"。

      • LOCATION：連線範本的位置 (例如 europe-west1)。

      • CONNECTIVITY_TEMPLATE_NAME：連線範本資源的名稱。

      • AGENT_REGISTRY_PATH：Agent Registry 的路徑。每個 Agent Gateway 最多可設定兩個登錄檔。設定兩個登錄檔時，其中一個必須是全域登錄檔，另一個可以是區域或多區域登錄檔。登錄路徑的格式必須如下：

        • 區域註冊機構： //agentregistry.googleapis.com/projects/PROJECT_ID/locations/REGION
        • 全域登錄： //agentregistry.googleapis.com/projects/PROJECT_ID/locations/global
        • 多區域登錄檔： //agentregistry.googleapis.com/projects/PROJECT_ID/locations/MULTI_REGION

    4. 匯入及部署 Agent Gateway：

      執行下列指令，根據 YAML 規格建立 Agent Gateway 資源：

      gcloud network-services agent-gateways import AGENT_GATEWAY_NAME \
    --source="my-agent-gateway-vpc-egress.yaml" \
    --location=LOCATION

      將 LOCATION 替換為要建立 Agent Gateway 資源的位置。例如：europe-west1。

架構和網路注意事項

本節提供架構指引和進階網路模式，說明如何部署 Agent Gateway 並建立虛擬私有雲連線。

更新虛擬私有雲輸出設定

如果連線範本遭到 Agent Gateway 參照，就無法修改。

  • 如要更新可變動的虛擬私有雲輸出設定 (例如 DNS 對等互連設定、虛擬私有雲輸出模式或 TLS 設定)，您需要建立使用相同 networkAttachment 的新連線範本，並更新 Agent Gateway 以參照新範本。

  • 在 Agent Gateway 上設定 networkAttachment 後，即無法變更。如要改用其他網路連結 (或目標虛擬私有雲網路)，您必須建立新的連線能力範本和新的 Agent Gateway。

Shared VPC 部署拓撲

在 Shared VPC 架構中，您可以在服務專案 (建議) 或主專案中建立網路連結：

VPC Service Controls 合規性

如要對代理通訊強制執行 VPC Service Controls perimeter，請確認下列事項：

  • 在連線範本中，將 vpcEgress 設為 ALL_TRAFFIC。

  • 將 Google API 要求直接傳送至 restricted.googleapis.com IP 範圍 (199.36.153.4/30)，或是 Google API 的內部 Private Service Connect 端點。

  • 為 googleapis.com 設定 DNS 解析。在虛擬私有雲網路中建立對應 *.googleapis.com 至 restricted.googleapis.com 的私人 Cloud DNS 區域，並在連線範本的 domains 欄位中加入 googleapis.com.。

    如要進一步瞭解 DNS 設定，請參閱 Private Google Access 說明文件中的「為 googleapis.com 設定 DNS」。

  • 如果是 Shared VPC 部署作業，擁有網路附件子網路和 dnsPeeringConfig.targetNetwork 的主專案，必須與您部署 Agent Gateway 的專案位於相同 service perimeter。即使您在服務專案中建立網路連結，也適用這項規定，因為子網路和虛擬私有雲網路仍屬於主專案。如果私人 DNS 區域代管在另一個 DNS 專案中，請將該專案也納入 perimeter。

DNS 對接網域模式

本節說明網域解析模式，以及設定連線範本中 domains 欄位的選項。

網域名稱設定：根據下列考量事項，在連線範本中設定 domains 欄位：

  • 私人內部網域：如要解析虛擬私有雲網路中託管的私人內部服務 (例如 service.corp.internal)，請指定內部網域尾碼 (例如 corp.internal.)。這個網域的完全相符私人 Cloud DNS 受管理區域必須已授權給目標虛擬私有雲網路。

  • 水平分割 DNS (含 RFC 1918 IP 的公開網域)：如果您使用公開 DNS 區域代管指向內部私人 IP 的記錄 (例如 mcp.example.com 解析為 Certificate Manager 公開憑證的 RFC 1918 位址)，閘道會使用公開遞迴 DNS 自動解析這些記錄，不需要 DNS 對等互連。

  • Cloud de Confiance 搭配 VPC Service Controls 使用的 API：如果 ALL_TRAFFIC 設定為強制執行 VPC Service Controls，Google API 要求必須解析為 restricted.googleapis.com IP 範圍 (199.36.153.4/30) 或內部 PSC 端點。在虛擬私有雲網路中建立私人 Cloud DNS 區域，將 *.googleapis.com 對應至 restricted.googleapis.com，並在連線能力範本的 domains 欄位中加入 googleapis.com.。

  • 多網域解析模式：如果部署作業需要解析多個私有網域尾碼，請選擇下列其中一種模式：

    • 對等互連多個個別網域：在 dnsPeeringConfig 的 domains 欄位中指定網域後置字串清單 (例如 corp.internal.、prod.internal. 和 googleapis.com.)。清單中的每個網域都必須以結尾點號 (.) 結尾，且具有對應的私人 Cloud DNS 代管區域，並已授權給目標虛擬私有雲網路。
    • 合併父項後置字串 (建議)：將內部服務合併至共用的父項網域後置字串 (例如 *.internal. 或 *.corp.internal.)，並將該父項網域納入 domains 清單。

    • 透過私人轉送區域建立根對等互連，以涵蓋所有項目：在連線範本的 domains 欄位中加入 "."，並在虛擬私有雲網路中為根網域 (.) 設定 Cloud DNS 私人轉送區域，指向上游遞迴解析器 (例如 8.8.8.8 或內部企業解析器)。虛擬私有雲中較明確的私人區域會先比對最長的尾碼，而未比對到的公開查詢會透過上游轉送器解析。

跨專案 DNS 區域和對等互連需求

連線範本的 dnsPeeringConfig 設定不支援直接跨專案的 Cloud DNS 對等互連。匯入連線範本時，如果 targetNetwork 與 networkAttachment 位於不同專案，或您依賴來自服務或外部專案的跨專案 DNS 區域繫結，驗證就會失敗。

網域的代管區域必須在擁有 targetNetwork 的主機專案中建立。受管理區域可以是下列任一區域類型：

  • 權威私人區域
  • 轉送區域
  • Cloud DNS 對等互連區域：必須與主專案虛擬私有雲網路建立關聯，並以目標虛擬私有雲網路為目標。目的地 VPC 必須使用授權私人區域直接解析查詢。系統不支援將查詢轉送至其他 DNS 對接區域 (鏈結)，否則會導致 NXDOMAIN 錯誤。

後續步驟

指南

瞭解如何透過 Agent Gateway 轉送 Agent Runtime 流量，確保連線安全無虞並受到控管。

程式碼研究室

瞭解如何透過 Gemini Enterprise Agent Platform 上的 Agent Gateway，控管代理工作負載。

程式碼研究室

瞭解 AI 代理程式存取虛擬私有雲網路中目的地時，Agent Gateway 的輸出管理機制。

指南

瞭解如何將 Agent Gateway 的授權委派給 IAP、Model Armor 或您自己的自訂授權服務。

指南

瞭解如何監控 Agent Gateway。

指南

瞭解如何透過 Agent Gateway 轉送 Gemini Enterprise 流量。