IAM Unified Access Policies – Übersicht

Sie können IAM-UAPs (Unified Access Policies) erstellen, um die Kommunikation zwischen Agenten-Prinzipalen und Zielressourcen wie Ziel-Agenten, MCP-Servern und Endpunkten sicher zu steuern. Diese Richtlinien sind an das Projekt gebunden, das Ihre Agent Gateway-Instanzen enthält.

Agent Gateway verwendet Identity-Aware Proxy (IAP), um die UAPs auszuwerten und durchzusetzen.

IAP lässt sich auch in den kontextsensitiven Zugriff einbinden, um eine End-to-End-Authentifizierung und -Autorisierung der Agentenidentität zu ermöglichen.

Informationen zum Einrichten von UAPs für Agent Gateway finden Sie unter IAM-UAPs konfigurieren.

Sie können auch eine Principal Access Boundary (PAB) für die Agent-Identität erstellen. Das KI-Agenten-Gateway kann IAP verwenden, um Principal Access Boundary-Richtlinien zu erzwingen.

KI-Agenten-Gateway aktivieren

Wenn Sie Kommunikationsrichtlinien für KI-Agenten verwenden möchten, müssen Sie Agent Gateway einrichten.

Wir empfehlen, das Agent Gateway im Probelaufmodus (DRY_RUN) in einer Staging-Umgebung zu konfigurieren, um zu prüfen, ob Ihre Richtlinien wie erwartet funktionieren.

Wenn Sie mit der Funktionsweise der Richtlinien zufrieden sind, können Sie die Agent Gateway-Konfiguration aktualisieren, um den Erzwingungsmodus auf ENFORCE festzulegen. In diesem Modus ist die Kommunikation von KI-Agenten, die gegen die Richtlinie verstößt, nicht zulässig und die Kommunikation mit der Ressource wird blockiert.

UAPs – Übersicht

UAPs steuern, ob ein oder mehrere Agenten-Prinzipale auf eine oder mehrere Zielressourcen zugreifen können. UAPs erweitern das IAM-Richtlinienmodell, indem sie mehrere Regeln in einer einzigen Richtlinie unterstützen. Im Gegensatz zu IAM-Zulassungs- und Ablehnungsrichtlinien kann jede Regel in einer UAP sowohl eine Zulassungs- als auch eine Ablehnungswirkung haben. Weitere Informationen zu IAM-Richtlinientypen

Regeln enthalten auch Bedingungen, die in der Common Expression Language (CEL) ausgedrückt werden. Bedingungen sind der primäre Mechanismus, um den Zugriff auf Ressourcen hinter dem Gateway zu steuern. Durch die Durchsetzung von UAPs mit Agent Gateway und IAP erhalten Sie eine strenge Kontrolle über das Verhalten von Agenten, die in Ihrem Unternehmen bereitgestellt werden. Sie können reale, detaillierte Anwendungsfälle für die Agenten-Governance in einer einzigen Richtlinie darstellen.

Eine typische Richtlinie enthält mindestens zwei verschiedene Regeln:

• Zulassungsregel: Zulassungsregeln haben einen Zulassungseffekt, der Agenten-Prinzipalen den Zugriff auf bestimmte, sichere Vorgänge ermöglicht, z. B. das Ausführen eines Lesevorgangs in einem Tool, um Tracking-Daten abzurufen oder Registry-Einträge anzusehen.
• Ablehnungsregel: Ablehnungsregeln haben einen Ablehnungseffekt, der verhindert, dass der Agent unerwünschte Aktionen ausführt, z. B. einen nicht angewiesenen Lösch- oder Aktualisierungsvorgang für eine kritische Ressource.

Stellen Sie sich beispielsweise einen automatisierten Kundensupport-Agenten vor, der mit internen Tools interagieren muss, die privilegierten Zugriff auf eine Kundendatenbank haben. Der Administrator konfiguriert ein KI-Agenten-Gateway mit IAP, um IAM-UAPs zu erzwingen. Der Administrator kann eine UAP mit einer Zulassungsregel konfigurieren, die den Agenten-Prinzipal zum Lesen von Support-Tickets autorisiert, und einer Ablehnungsregel, die dem Agenten-Prinzipal das Löschen oder Aktualisieren von Datenbankeinträgen verbietet.

Durch die Verwendung von UAPs, die sowohl Zulassungs- als auch Ablehnungsregeln enthalten, können Unternehmen eine einzige Compliance-Richtlinie direkt auf der zugrunde liegenden Cloud-Infrastruktur bereitstellen, um das Verhalten von KI-Agenten einzuschränken.

Best Practices

Beachten Sie beim Konfigurieren von Richtlinien für ausgehenden Traffic für KI-Agenten die folgenden Best Practices:

• Probelaufmodus verwenden: Stellen Sie neue oder geänderte Richtlinien zuerst im Probelaufmodus bereit, um sicherzustellen, dass Ihre Richtlinie wie erwartet funktioniert, ohne den aktiven Agent-Traffic zu blockieren.
• Prinzip der geringsten Berechtigung anwenden: Gewähren Sie nur die erforderlichen Berechtigungen. Verwenden Sie in CEL-Bedingungen bestimmte Toolnamen oder Pfade anstelle von Platzhaltern.
• Ablehnungsregeln für Schutzmaßnahmen verwenden: Verwenden Sie explizite Ablehnungsregeln, um wichtige Schutzmaßnahmen zu implementieren, z. B. das Blockieren destruktiver Tools auf Produktionsendpunkten. Die Verwendung von Ablehnungsregeln für Schutzmaßnahmen ist effektiv, da Ablehnungsregeln Zulassungsregeln überschreiben.
• Regelmäßige Audits durchführen: Überprüfen Sie regelmäßig die Cloud-Audit-Logs und Richtlinienkonfigurationen, um sicherzustellen, dass sie den Sicherheitsrichtlinien Ihrer Organisation entsprechen.

UAP-Komponenten

UAPs enthalten eine oder mehrere Regeln. Regeln bestehen aus den folgenden Komponenten:

Agenten-Prinzipale

In Ihren IAM-UAPs definieren Sie einen oder mehrere Agenten-Prinzipale. Agenten-Prinzipale sind die Mitglieder, denen Sie Zugriff gewähren. Sie geben Agents anhand ihrer Agent-Identität an, also der Identität des Agents, der die Kommunikation mit einer Ressource initiiert. Weitere Informationen dazu, wie verschiedene Arten von Agents Identitäten erhalten, finden Sie unter Agent-Identität. KI-Agentenidentitäten werden durch Hauptkonto-IDs dargestellt, die die SPIFFE-formatierte Identität des KI-Agenten enthalten (z. B. principal://agents.global.org-...).

Sie können ein Array einzelner Agent-Identitäten oder ein Array von Hauptkontosätzen angeben.

Integrierte Agentenidentitäten werden für Cloud de Confiance -Dienste wie Agent Runtime (Reasoning Engine), Gemini Enterprise (Discovery Engine) und Cloud Run-Dienste bereitgestellt, die mit einer Agentenidentität konfiguriert sind. Diese Agenten-Prinzipale haben das Format principal://TRUST_DOMAIN/AGENT_UNIQUE_IDENTIFIER, wobei die Kennung den Ressourcenpfad des Agenten im Hosting-Dienst darstellt. Sie können Agenten auch mithilfe von Hauptkonto-IDs der Identitätsföderation von Arbeitslasten angeben.

Regelauswirkung

Die Regelwirkung definiert, ob die Regel Agenten-Prinzipalen den Zugriff auf eine Ressource erlaubt oder verwehrt.

Zielressourcen

IAM-UAPs verwalten den Zugriff von Agenten-Prinzipalen auf Zielressourcen. Zielressourcen sind die Ressourcen, auf die Agenten-Hauptkonten zugreifen möchten. Zielressourcen werden in den Bedingungen der Regel angegeben. Zielressourcen können entweder registrierte Ressourcen oder nicht registrierte Ressourcen sein.

Registrierte Ressourcen

Registrierte Ressourcen sind Ressourcen, die in einer Agent Registry-Registry registriert sind.

Zu den registrierten Ressourcen gehören:

• Registries: Gesamte KI-Agenten-Registries innerhalb eines Projekts.
• MCP-Server: MCP-Server, die in einer Agent Registry registriert sind.
• KI-Agenten: KI-Agenten, die in einer Agent Registry registriert sind. Einzelne KI-Agenten können individuell über ihre Agentenidentität angegeben werden. Eine Gruppe von Agenten kann durch eine Hauptkontosatz-ID angegeben werden.
• Endpunkte: Endpunkte, die in einer Agentenregistrierung registriert sind.

Einzelne Dienste können in der Agent Registry registriert werden. Wenn Sie Ihre Agent-Registries regionalisieren und Ihre Regel den Zugriff auf registrierte Ressourcen verwaltet, gelten Ihre UAPs nur für die Ressourcen, die sich in der Region der Registry befinden.

Nicht registrierte Ressourcen

Nicht registrierte Ressourcen sind Ressourcen, die nicht in einer Agent-Registry registriert sind. Wenn Sie in Ihren UAP-Regeln den Zugriff auf nicht registrierte Ressourcen gewähren oder verweigern möchten, müssen Sie nicht registrierte Ressourcen in Ihren Regelbedingungen angeben. Verwenden Sie dazu CEL-Ausdrücke (Common Expression Language), die nicht registrierte Host- und Pfadattribute enthalten.

Conditions

In UAP-Regeln verwenden Sie CEL-Ausdrücke (Common Expression Language) im Block conditions, um sowohl den Zielressourcenbereich als auch die feingranularen Zugriffskriterien zu definieren:

• Zielressourcenbereich: Gibt an, für welche Zielressourcen die Regel gilt. In JSON-formatierten Richtliniendateien geben Sie Zielattribute wie destination.agent_registry.mcp_server.name oder destination.unregistered.host an. Wenn Sie in der Cloud de Confiance Console Ziele unter Zielressourcen auswählen, werden diese Ressourcenkriterien automatisch dem Bedingungsausdruck der Regel hinzugefügt.

• Zugriffskriterien: Verwenden Sie einen booleschen Ausdruck, um festzulegen, wann und unter welchen Einschränkungen die Regel gilt. Sie können den Zugriff beispielsweise anhand von Toolnamen, Lesezugriff, HTTP-Methoden oder Pfadpräfixen mithilfe von UAP-CEL-Attributen einschränken. Der Regeleffekt (Zulassen oder Ablehnen) wird nur wirksam, wenn der gesamte CEL-Ausdruck als true ausgewertet wird.

In der gcloud CLI und der REST API geben Sie diese CEL-Ausdrücke im Feld conditions der Regeldefinition an.

In der Cloud de Confiance Console können Sie Standardregeln mit dem Tool zur Bedingungserstellung konfigurieren oder benutzerdefinierte CEL-Ausdrücke direkt im Bedingungseditor schreiben.

Berechtigungen

In IAP V2 mit IAM-UAPs wird die Berechtigung iap.googleapis.com/resources.egressViaIAP immer für die Zielressource gewährt. In der gcloud CLI und der REST API geben Sie die Berechtigung im Feld operation.permissions Ihrer Richtliniendatei an.

Optionen zum Erstellen von Richtlinien

Auf der Seite Richtlinien in der Cloud de Confiance Console können Sie IAM-UAPs erstellen. Wir empfehlen, nur UAPs (IAM v3-Richtlinien) zu erstellen.

Sowohl in der gcloud CLI als auch in der REST API können Sie IAM-UAPs konfigurieren, indem Sie zuerst eine JSON-formatierte Datei erstellen. Wir empfehlen, nur UAPs zu erstellen.

End-to-End-Authentifizierung und -Autorisierung

IAP und kontextsensitiver Zugriff bieten standardmäßig eine End-to-End-Authentifizierung und -Autorisierung der Agentenidentität mithilfe der folgenden Protokolle:

• Gegenseitiges TLS (mTLS)
• Demonstrating Proof of Possession (DPoP)

Agentenidentitäten werden mit einem X.509-Zertifikat und einem zertifikatsgebundenen Token bereitgestellt. IAP erzwingt, dass KI-Agentenidentitäten gegenseitiges TLS (mTLS) verwenden, um sich bei Agent Gateway zu authentifizieren. Wenn das Gateway dem Agenten erlaubt, ausgehenden Traffic zu senden und auf Cloud de Confiance -APIs, MCP-Server, andere Agenten und Endpunkte zuzugreifen, versucht der Agent, außerhalb der mTLS-Grenze zuzugreifen. Zum Schutz der Kommunikation wird beim kontextsensitiven Zugriff eine von Google verwaltete Richtlinie für den kontextsensitiven Zugriff erzwungen. Die Richtlinie erfordert, dass DPoP das zertifikatsgebundene Token validiert, das an die Agent-Identität gebunden ist. Weitere Informationen dazu, wie der kontextsensitive Zugriff mTLS und DPoP verwendet, finden Sie unter Sicherheit des Agenten für kontextsensitiven Zugriff.

UAP-CEL-Attribute

In Ihren UAPs können Sie Bedingungen mit bedingten Ausdrücken definieren. Die Ausdrücke können mehrere Unterausdrücke enthalten. Der Zielressourcentyp, den Sie in jeder relationalen Unterbedingung verwenden, bestimmt, welche Attribute Sie verwenden können.

In der folgenden Bedingung ist im Unterausdruck destination.unregistered.path.startsWith('/v1/statements') der Ressourcentyp ein nicht registriertes Ziel, das Attribut ist destination.unregistered.path und startsWith() ist die CEL-Funktion.

destination.unregistered.host == 'finance.example.com' &&
destination.unregistered.path.startsWith('/v1/statements')

Die in der folgenden Tabelle beschriebenen Attribute sind für jeden Ressourcentyp verfügbar:

Nächste Schritte

• CEL-Attribute für UAPs
• IAM-UAPs erstellen
• IAM-UAPs verwalten
• Fehlerbehebung bei IAM-UAPs