IAM-Richtlinien – Übersicht

Sie können IAM-Zulassungs- und Ablehnungsrichtlinien erstellen, die Agent Gateway verwendet, um die agentische Kommunikation zwischen Ihren KI-Agenten und anderen Diensten, einschließlich anderer KI-Agenten, MCP-Server und Endpunkte, sicher zu verwalten. Agent Gateway verwendet Identity-Aware Proxy (IAP), um die Richtlinien durchzusetzen. IAP erzwingt außerdem die End-to-End-Authentifizierung und -Autorisierung der Agentenidentität.

Informationen zum Erstellen einer IAM-Richtlinie für Agent Gateway finden Sie unter IAM-Richtlinien erstellen.

Sie können auch eine Principal Access Boundary (PAB) für die Agent-Identität erstellen. Das KI-Agenten-Gateway kann IAP verwenden, um Principal Access Boundary-Richtlinien zu erzwingen.

KI-Agenten-Gateway aktivieren

Wenn Sie Kommunikationsrichtlinien für KI-Agenten verwenden möchten, müssen Sie Agent Gateway einrichten.

Wir empfehlen, das Agent Gateway im Probelaufmodus (DRY_RUN) in einer Staging-Umgebung zu konfigurieren, um zu prüfen, ob Ihre Richtlinien wie erwartet funktionieren. Im Probelaufmodus protokolliert IAP unzulässige agentische Kommunikation in Cloud-Audit-Logs, blockiert sie jedoch nicht.

Wenn Sie mit der Funktionsweise der Richtlinien zufrieden sind, können Sie die Agent Gateway-Konfiguration aktualisieren, um den Erzwingungsmodus auf ENFORCE festzulegen. In diesem Modus ist die agentische Kommunikation, die gegen die Richtlinie verstößt, nicht zulässig und die Kommunikation mit der Ressource wird blockiert.

Richtlinienkomponenten

Richtlinien bestehen aus den folgenden Komponenten:

• Agents: In Ihren IAM-Zulassungsrichtlinien werden Quell-Agents durch ihre Agentenidentität definiert (die Identität des Agents, der die Kommunikation mit einem Dienst initiiert). Informationen dazu, wie verschiedene Arten von KI-Agenten Identitäten erhalten, finden Sie unter Identität von KI-Agenten. KI-Agentenidentitäten werden durch Hauptkonto-IDs dargestellt, die die SPIFFE-formatierte Identität des KI-Agenten enthalten, z. B. principal://agents.global.org-.... Beachten Sie, dass Agent-IDs im URN-Format (z. B. urn:agent:...) nur für die Inventar- und Katalogsuche und nicht in IAM-Richtlinienbindungen verwendet werden. Wenn Sie die gcloud CLI zum Konfigurieren der IAM-Richtlinie verwenden, ist der Agenten-Prinzipal das Mitglied, dem Sie Zugriff gewähren.

  Gemini Enterprise-Agenten und Agent Runtime-Instanzen werden automatisch einer Agentenidentität zugewiesen und in der Agent Registry registriert.

• Agent Registry-Ressource: Der Agent Registry-Dienst, für den Sie den Zugriff zulassen oder verweigern. In IAM-Zulassungs- und Ablehnungsrichtlinien werden Agent Registry-Dienste als Ressourcen bezeichnet. Die Ressource kann eine gesamte Registry innerhalb eines Projekts oder ein einzelner Dienst sein, z. B. ein MCP-Server, ein KI-Agent oder ein Endpunkt.

  Einzelne Dienste müssen in der Agent-Registry registriert werden, bevor sie in einer IAM-Richtlinie referenziert werden können. Diese Registrierung wird zum Zeitpunkt der Bindung validiert (wenn die Richtlinienbindung erstellt oder aktualisiert wird). Wenn Sie auf einen Dienst verweisen, der nicht registriert ist, schlägt die Richtlinienerstellung sofort mit dem Fehler „Angeforderte Entität nicht gefunden“ (NOT_FOUND) fehl.

  Wenn Sie Richtlinien mit der gcloud CLI oder Terraform konfigurieren, werden Zielressourcen nicht über ihre logischen URN-IDs, sondern über ihre von der Registry generierten Pfade oder IDs angegeben (mit Flags wie --agent, --endpoint oder --mcp-server). Zur Laufzeit gleicht das Sicherheits-Gateway Trafficziele anhand ihres genauen Hostnamens ab, anstatt URNs zu verwenden.

  Wenn Sie Ihre Agent-Registries regionalisieren, gilt Ihre IAM-Zulassungsrichtlinie nur für die Ressourcen, die sich in der Region der Registry befinden.

• Rolle: Agentische Kommunikationsrichtlinien gewähren immer die Rolle IAP-secured Egressor (roles/iap.egressor) für die Dienstressource.

• Bedingung: Sie können optional eine Bedingung für die IAM-Zulassungsrichtlinie konfigurieren, um den Zugriff des KI-Agenten weiter einzuschränken. In derCloud de Confiance Console können Sie mit dem Tool zur Bedingungserstellung eine Bedingung erstellen, indem Sie UI-Elemente auswählen. Alternativ können Sie den Bedingungseditor verwenden, um komplexere Bedingungen als CEL-Ausdrücke (Common Expression Language) einzugeben.

  In der folgenden Tabelle sind die Attributnamen aufgeführt, die Sie zum Erstellen von CEL-Ausdrücken verwenden können. Da der direkte Feldzugriff (z. B. request.mcp.toolName) nicht unterstützt wird, müssen Sie die Funktion api.getAttribute() verwenden, um den Wert der einzelnen Attribute abzurufen.

  Weitere Informationen zum Konfigurieren von Zulassungsrichtlinien mit Bedingungen finden Sie unter IAM-Agent-Richtlinien konfigurieren.

  Attributname	Beschreibung und CEL-Beispiel
  mcp.toolName	Name des aufgerufenen Tools. Beispiel: request.mcp.toolName == 'GetCalendarEvents'
  iap.googleapis.com/mcp.resourceName	Name der Ressource, auf die zugegriffen wird. Beispiel: api.getAttribute('iap.googleapis.com/mcp.resourceName', '') == 'my-resource'
  iap.googleapis.com/mcp.promptName	Der Name des verwendeten Prompts. Beispiel: api.getAttribute('iap.googleapis.com/mcp.promptName', '') == 'my-prompt'
  mcp.method	Der spezifische MCP-Vorgang (z.B. tools/call, resources/read).
  iap.googleapis.com/mcp.tool.isReadOnly iap.googleapis.com/mcp.tool.isDestructive iap.googleapis.com/mcp.tool.isIdempotent iap.googleapis.com/mcp.tool.isOpenWorld	Boolesche Flags, die den Typ des Vorgangs angeben. Beispiel: api.getAttribute('iap.googleapis.com/mcp.tool.isReadOnly', false) == true
  request.auth.type	Enum, das das Protokoll angibt (z.B. „MCP“).

Richtlinien erstellen

Auf der Seite Richtlinien in der Cloud de Confiance Console erstellen Sie IAM-Zulassungs- und Ablehnungsrichtlinien, die Agent Gateway zur Steuerung der Kommunikation zwischen KI-Agenten verwendet.

In der gcloud CLI können Sie sowohl IAM-Zulassungs- als auch IAM-Ablehnungsrichtlinien konfigurieren, mit denen das Agent Gateway die Kommunikation von Agenten steuert.

Richtlinien in der Cloud de Confiance Console

Informationen zum Erstellen von IAM-Richtlinien mit der Cloud de Confiance Console finden Sie unter IAM-Richtlinien konfigurieren.

Richtlinien in der gcloud CLI

Informationen zum Erstellen von IAM-Richtlinien mit der gcloud CLI finden Sie unter IAM-Richtlinien konfigurieren.

End-to-End-Authentifizierung und -Autorisierung

IAP und kontextsensitiver Zugriff bieten standardmäßig eine End-to-End-Authentifizierung und -Autorisierung der Agentenidentität mithilfe der folgenden Protokolle:

• Gegenseitiges TLS (mTLS)
• Demonstrating Proof of Possession (DPoP)

Agentenidentitäten werden mit einem X.509-Zertifikat und einem zertifikatsgebundenen Token bereitgestellt. IAP erzwingt, dass KI-Agentenidentitäten gegenseitiges TLS (mTLS) verwenden, um sich bei Agent Gateway zu authentifizieren. Wenn das Gateway dem Agenten erlaubt, ausgehenden Traffic zu senden und auf Cloud de Confiance -APIs, MCP-Server, andere Agenten und Endpunkte zuzugreifen, versucht der Agent, außerhalb der mTLS-Grenze zuzugreifen. Zum Schutz der Kommunikation wird beim kontextsensitiven Zugriff eine von Google verwaltete Richtlinie für den kontextsensitiven Zugriff erzwungen. Die Richtlinie erfordert, dass DPoP das zertifikatsgebundene Token validiert, das an die Agent-Identität gebunden ist. Weitere Informationen dazu, wie der kontextsensitive Zugriff für End-to-End-mTLS- und DPoP-Sicherheit sorgt, finden Sie unter Sicherheit des Agenten für kontextsensitiven Zugriff.

Nächste Schritte