Descripción general de las políticas de IAM

Puedes crear políticas de permiso y políticas de denegación de IAM que Agent Gateway usa para administrar de forma segura la comunicación entre tus agentes y otros servicios, incluidos otros agentes, servidores de MCP y extremos. Agent Gateway usa Identity-Aware Proxy (IAP) para aplicar las políticas. IAP también aplica la seguridad de autenticación y autorización de identidad del agente de extremo a extremo.

Para crear una política de IAM para Agent Gateway, consulta Crea políticas de IAM.

También puedes crear un límite de acceso de la entidad (PAB) en la identidad del agente. Agent Gateway puede usar IAP para aplicar políticas de límite de acceso de las entidades.

Habilita Agent Gateway

Para usar políticas de comunicación basadas en agentes, debes configurar Agent Gateway.

Te recomendamos que configures Agent Gateway en el modo de ejecución de prueba (DRY_RUN) en un entorno de etapa de pruebas para verificar que tus políticas funcionen según lo previsto. En el modo de ejecución de prueba, IAP registra las comunicaciones de agentes no permitidas en los Registros de auditoría de Cloud, pero no las bloquea.

Cuando confirmes que las políticas funcionan correctamente, puedes actualizar la configuración de Agent Gateway para establecer el modo de aplicación forzosa en ENFORCE. En este modo, no se permiten las comunicaciones de agentes que incumplan la política y se bloquean las comunicaciones al recurso.

Componentes de la política

Las políticas tienen los siguientes componentes:

• Agentes: En tus políticas de permiso de IAM, los agentes de origen se definen por su identidad de agente (la identidad del agente que inicia la comunicación con un servicio). Para obtener información sobre cómo los diferentes tipos de agentes reciben identidades, consulta Identidad del agente. Las identidades del agente se representan con identificadores principales que contienen la identidad del agente con formato SPIFFE, por ejemplo, principal://agents.global.org-.... Ten en cuenta que los identificadores de agentes en formato de URN (como urn:agent:...) se usan únicamente para la búsqueda de inventario y catálogo, y no se usan en las vinculaciones de políticas de IAM. Cuando usas la gcloud CLI para configurar la política de IAM, la principal del agente es el miembro al que le otorgas acceso.

  A los agentes de Gemini Enterprise y a las instancias de Agent Runtime se les asigna automáticamente una identidad de agente y se registran en Agent Registry.

• Recurso de Agent Registry: Es el servicio de Agent Registry al que le otorgas o deniegas acceso. En las políticas de IAM de permiso y denegación, los servicios de Agent Registry se conocen como recursos. El recurso puede ser un registro completo dentro de un proyecto o un servicio individual, que puede ser un servidor de MCP, un agente o un extremo.

  Los servicios individuales deben registrarse en Agent Registry antes de que se pueda hacer referencia a ellos en una política de IAM. Este registro se valida en el momento de la vinculación (cuando se crea o actualiza la vinculación de política). Si haces referencia a un servicio que no está registrado, la creación de la política falla de inmediato con un error de entidad solicitada no encontrada (NOT_FOUND).

  Cuando configuras políticas con gcloud CLI o Terraform, los recursos de destino se especifican por sus rutas o IDs generados por el registro (con marcas como --agent, --endpoint o --mcp-server), en lugar de sus identificadores URN lógicos. En el entorno de ejecución, la puerta de enlace segura hace coincidir los destinos del tráfico por su nombre de host exacto en lugar de usar URN.

  Si regionalizas los registros de tu agente, la política de permiso de IAM solo se aplicará a los recursos que se encuentren en la región del registro.

• Rol: Las políticas de comunicación de Agentic siempre otorgan el rol de Agente de salida protegido con IAP (roles/iap.egressor) en el recurso de servicio.

• Condición: De manera opcional, puedes configurar una condición en la política de permisos de IAM para restringir aún más a qué puede acceder el agente. En la consola deCloud de Confiance , puedes usar el Creador de condiciones para crear una condición seleccionando elementos de la IU. Como alternativa, puedes usar el Editor de condiciones para ingresar condiciones más complejas como expresiones de Common Expression Language (CEL).

  En la siguiente tabla, se enumeran los nombres de los atributos que puedes usar para crear expresiones de CEL. Dado que no se admite el estilo de acceso directo a campos (como request.mcp.toolName), debes usar la función api.getAttribute() para recuperar el valor de cada atributo.

  Para obtener más información sobre cómo configurar políticas de permisos con condiciones, consulta Configura políticas del agente de IAM.

  Nombre del atributo	Descripción y ejemplo de CEL
  mcp.toolName	Nombre de la herramienta específica a la que se llama. P. ej., request.mcp.toolName == 'GetCalendarEvents'
  iap.googleapis.com/mcp.resourceName	Nombre del recurso al que se accede. Por ejemplo: api.getAttribute('iap.googleapis.com/mcp.resourceName', '') == 'my-resource'
  iap.googleapis.com/mcp.promptName	Es el nombre de la instrucción que se usa. Por ejemplo: api.getAttribute('iap.googleapis.com/mcp.promptName', '') == 'my-prompt'
  mcp.method	Operación de MCP específica (p.ej., tools/call, resources/read).
  iap.googleapis.com/mcp.tool.isReadOnly iap.googleapis.com/mcp.tool.isDestructive iap.googleapis.com/mcp.tool.isIdempotent iap.googleapis.com/mcp.tool.isOpenWorld	Son indicadores booleanos que indican el tipo de operación. Por ejemplo: api.getAttribute('iap.googleapis.com/mcp.tool.isReadOnly', false) == true
  request.auth.type	Es un enum que indica el protocolo (p.ej., "MCP").

Crea políticas

En la página Políticas de la consola de Cloud de Confiance , crearás políticas de permisos y políticas de denegación de IAM que Agent Gateway usa para regir las comunicaciones de los agentes.

En gcloud CLI, puedes configurar políticas de permiso y de denegación de IAM que Agent Gateway usa para regir las comunicaciones de los agentes.

Políticas en la Cloud de Confiance consola

Para crear políticas de IAM con la consola de Cloud de Confiance , consulta Configura políticas de IAM.

Políticas en gcloud CLI

Para crear políticas de IAM con gcloud CLI, consulta Configura políticas de IAM.

Autenticación y autorización de extremo a extremo

IAP y el acceso adaptado al contexto proporcionan autenticación y autorización de identidad de agente de extremo a extremo predeterminadas con los siguientes protocolos:

• TLS mutua (mTLS)
• Cómo demostrar la prueba de posesión (DPoP)

Las identidades de los agentes se aprovisionan con un certificado X.509 y un token vinculado al certificado. IAP exige que las identidades de agente usen TLS mutua (mTLS) para autenticarse en Agent Gateway. Cuando la puerta de enlace permite que el agente salga y acceda a las APIs Cloud de Confiance , los servidores de MCP, otros agentes y extremos, el agente intenta acceder fuera del límite de mTLS. Para ayudar a proteger la comunicación, el acceso adaptado al contexto aplica una política de acceso adaptado al contexto administrada por Google. La política requiere que DPoP valide el token vinculado al certificado que está vinculado a la identidad del agente. Para obtener más información sobre cómo el Acceso adaptado al contexto proporciona seguridad de mTLS y DPoP de extremo a extremo, consulta Seguridad del agente de Acceso adaptado al contexto.

¿Qué sigue?