Sebagian atau seluruh informasi di halaman ini mungkin tidak berlaku untuk Cloud de Confiance dari S3NS. Lihat Perbedaan dengan Google Cloud untuk mengetahui detail selengkapnya.

Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Menyiapkan Gateway Agen

Untuk memusatkan kontrol akses dan mengamankan konektivitas di seluruh alur kerja agentic, Anda dapat menyiapkan resource Agent Gateway untuk mengelola traffic masuk atau keluar.

Sebelum menyiapkan gateway, tinjau dasar-dasar konseptual dan komponen inti dalam Ringkasan Gateway Agen.

Izin yang diperlukan

Izin berikut diperlukan untuk membuat dan mengelola Gateway Agen. Anda bisa mendapatkan izin ini dengan peran khusus atau menggunakan peran bawaan lainnya.

Izin yang diperlukan

agentregistry.agents.list
agentregistry.endpoints.list
agentregistry.mcpServers.list
compute.networkAttachments.create
compute.networkAttachments.delete
compute.networkAttachments.get
compute.networkAttachments.list
compute.networkAttachments.update
compute.regionOperations.get
compute.regions.list
modelarmor.templates.list
networksecurity.authzPolicies.create
networksecurity.authzPolicies.delete
networksecurity.authzPolicies.get
networksecurity.authzPolicies.list
networksecurity.operations.get
networkservices.agentConnectivityTemplates.create
networkservices.agentConnectivityTemplates.delete
networkservices.agentConnectivityTemplates.get
networkservices.agentConnectivityTemplates.list
networkservices.agentConnectivityTemplates.update
networkservices.agentGateways.create
networkservices.agentGateways.delete
networkservices.agentGateways.get
networkservices.agentGateways.list
networkservices.agentGateways.update
networkservices.agentGateways.use
networkservices.authzExtensions.create
networkservices.authzExtensions.delete
networkservices.authzExtensions.get
networkservices.authzExtensions.list
networkservices.authzExtensions.update
networkservices.authzExtensions.use
networkservices.operations.get
certificatemanager.trustconfigs.create
certificatemanager.trustconfigs.get
certificatemanager.trustconfigs.list
certificatemanager.trustconfigs.use

API yang diperlukan

Aktifkan API minimum yang diperlukan berikut di project Cloud de Confiance tempat Anda men-deploy Agent Gateway:

Compute Engine API (compute.googleapis.com): Menyediakan infrastruktur jaringan inti, subnet, pemilihan rute, dan lampiran jaringan Private Service Connect (PSC).
API Keamanan Jaringan (networksecurity.googleapis.com): Membuat dan menerapkan kebijakan otorisasi (authzPolicies) untuk traffic gateway.
Network Services API (networkservices.googleapis.com): Mengelola resource Agent Gateway (agentGateways), template konektivitas (agentConnectivityTemplates), dan ekstensi otorisasi (authzExtensions).
Identity and Access Management API (iam.googleapis.com): Mengelola akun layanan dan Unified Access Policies (UAP) IAM untuk identitas agen.
Identity-Aware Proxy API (iap.googleapis.com): Mengautentikasi dan memverifikasi traffic agen, endpoint, dan server.
Agent Registry API (agentregistry.googleapis.com): Mendaftarkan dan mengelola agen, server MCP, dan endpoint alat yang diatur oleh gateway.

Untuk mengaktifkan API minimum yang diperlukan, jalankan perintah berikut:

gcloud services enable \
    compute.googleapis.com \
    networksecurity.googleapis.com \
    networkservices.googleapis.com \
    iam.googleapis.com \
    iap.googleapis.com \
    agentregistry.googleapis.com \
    --project=PROJECT_ID

Ganti PROJECT_ID dengan project ID tempat Anda men-deploy Agent Gateway.

Bergantung pada fitur, alat kemampuan observasi, dan runtime agen yang Anda gunakan dengan Agent Gateway, Anda mungkin juga perlu mengaktifkan API opsional:

API opsional menurut fitur

Konektivitas VPC pribadi dan TLS:
- Cloud DNS API (dns.googleapis.com): Hanya diperlukan jika Anda mengonfigurasi konektivitas VPC dengan peering Cloud DNS untuk resolusi domain pribadi.
- Certificate Manager API (certificatemanager.googleapis.com): Hanya diperlukan jika Anda mengonfigurasi trust anchor TLS kustom (TrustConfig) saat terhubung ke backend pribadi yang menggunakan CA pribadi atau sertifikat yang ditandatangani sendiri.
Keamanan AI dan pemfilteran konten:
- Model Armor API (modelarmor.googleapis.com): Hanya diperlukan jika Anda mengaktifkan pedoman Model Armor untuk memeriksa dan memfilter injeksi perintah, konten beracun, dan data sensitif.
Kemampuan observasi dan audit:
- Cloud Logging API (logging.googleapis.com): Merekam log akses gateway, log audit keamanan, dan peristiwa evaluasi kebijakan uji coba.
- Cloud Monitoring API (monitoring.googleapis.com): Melacak kondisi, latensi, throughput, dan rasio error gateway, serta mengonfigurasi pemberitahuan operasional.
- Observability API (observability.googleapis.com): Menyediakan dasbor operasional dan kemampuan observasi terpadu untuk aktivitas agen dan gateway.
- Telemetry API (telemetry.googleapis.com): Mengumpulkan dan melakukan streaming telemetri runtime dan metrik performa di seluruh komponen platform.
- Cloud Trace API (cloudtrace.googleapis.com): Menyediakan pelacakan terdistribusi untuk memeriksa permintaan multi-hop di seluruh agen dan backend.
Agent Runtime dan tata kelola semantik:
- Vertex AI API (aiplatform.googleapis.com): Diperlukan dalam project yang menghosting agen Agent Runtime atau menggunakan Kebijakan Tata Kelola Semantik.
- Discovery Engine API (discoveryengine.googleapis.com): Diperlukan dalam project yang menghosting aplikasi dan agen Gemini Enterprise.
- Agent Identity API (agentidentity.googleapis.com): Hanya diperlukan jika Anda mengelola kredensial keluar dengan pengelola autentikasi Agent Identity atau melihat penyedia autentikasi Agent Identity di konsol Cloud de Confiance .

Merencanakan deployment Agent Gateway Anda

Gunakan bagian ini untuk merencanakan deployment Gateway Agen dan memahami persyaratan arsitektur tata kelola. Anda dapat meninjau kembali langkah-langkah ini saat mendaftarkan tujuan baru, menambahkan kebijakan kontrol akses baru, atau men-deploy lebih banyak agen.

Memilih mode deployment

Agent Gateway mendukung dua mode deployment:

Klien-ke-Agen (ingress): Mengamankan komunikasi dari klien ke agen Anda yang berjalan di Cloud de Confiance.
Agen ke Mana Saja (egress): Mengamankan komunikasi dari agen Anda ke target eksternal, API publik, dan server MCP.

Pilih runtime, project, dan region deployment Anda

Agent Gateway mengatur traffic dari agen yang berjalan di Gemini Enterprise dan Runtime.

Agent Runtime: Agent Gateway mendukung mode Agen-ke-Mana Saja (egress) dan Klien-ke-Agen (ingress). Dalam mode Agent-to-Anywhere, agen dapat berada dalam project yang sama dengan gateway atau dalam project yang berbeda. Dalam mode Client-to-Agent, agen harus berada dalam project yang sama dengan gateway. Dalam kedua mode, agen harus berada di region yang sama dengan gateway.
Gemini Enterprise: Agent Gateway hanya mendukung mode Agent-to-Anywhere (egress). Dengan Gemini Enterprise, setiap gateway mengatur interaksi agentic hanya dalam cakupan project dan region tempat gateway tersebut di-deploy.

Untuk mengatur agen di seluruh Gemini Enterprise dan Runtime, Anda dapat menggunakan satu instance Agent Gateway. Atau, Anda juga dapat men-deploy instance Agent Gateway independen untuk Gemini Enterprise dan Runtime.

Contoh pola deployment

Berikut beberapa contoh pola deployment yang dapat Anda pertimbangkan:

Tata kelola lintas project untuk agen Runtime

Dalam pola deployment ini, Anda men-deploy Agent Gateway Agen-ke-Mana Saja (egress) dalam project tata kelola khusus. Agen runtime di-deploy dalam project terpisah di region yang sama dengan gateway dan dapat berada di folder mana pun dalam organisasi Anda.

Untuk menyiapkan tata kelola traffic keluar lintas project, konfigurasikan resource berikut:

Dalam project tata kelola pusat:

Membuat Gateway Agen. Pastikan gateway terkait dengan instance Agent Registry.
Daftarkan agen lintas project beserta alat, server, atau endpoint apa pun dengan Agent Registry yang terpasang ke gateway.
Berikan izin IAM lintas project ke agen layanan Runtime dari setiap project tempat agen berada, sehingga agen dalam project ini dapat mengikat ke gateway dalam project tata kelola. Misalnya, lihat Merutekan traffic Runtime melalui Agent Gateway.
Konfigurasikan kebijakan IAP, Principal Access Boundary, dan identitas workload yang kompatibel dengan SPIFFE untuk mengatur dan mengamankan traffic egress ke endpoint yang diizinkan.
Buat template Model Armor yang ingin Anda gunakan untuk egress.
Jika ingin melakukan egress ke jaringan VPC, Anda dapat membuat lampiran jaringan PSC, trust anchor TLS kustom (tlsConfig) untuk CA pribadi, dan konfigurasi peering DNS di project tata kelola.

Di Agent Runtime projects:

Deploy agen dan ikat ke gateway pusat di project tata kelola.

Perhatikan bahwa tata kelola lintas project hanya didukung untuk Runtime dengan gateway Agent-to-Anywhere (egress); Gemini Enterprise tidak didukung.

Tata kelola bersama untuk agen Gemini Enterprise dan Runtime

Dalam pola deployment ini, semua traffic dari aplikasi Gemini Enterprise dan agen Runtime dirutekan melalui satu Agent Gateway.

Berikut adalah contoh deployment:

Aplikasi Gemini Enterprise di-deploy sebagai deployment global.
Agen runtime di-deploy dalam satu region (us-central1) yang sesuai dengan deployment Gemini Enterprise.
Agent Gateway di-deploy di region yang sama (us-central1).
Instance Agent Registry global dan us-central1 dapat dikaitkan dengan Agent Gateway. Agen dan tujuan harus terdaftar di instance Agent Registry yang terkait dengan gateway.

Tata kelola independen untuk agen Gemini Enterprise dan Runtime

Dalam pola deployment ini, setiap region memiliki Agent Gateway khusus untuk memantau dan mengatur traffic agen, sehingga memastikan isolasi regional:

Aplikasi Gemini Enterprise di-deploy sebagai deployment global atau multi-region (di global, us, atau eu).
Agen runtime di-deploy di setiap region yang diperlukan.
Instance Agent Gateway di-deploy di setiap region tempat agen dan aplikasi berada.
Anda harus mendaftarkan agen dan tujuan di instance Agent Registry yang terkait dengan setiap gateway.

Siapkan identitas agen

Setiap agen yang diatur oleh Agent Gateway memerlukan Identitas Agen yang unik (ID SPIFFE). Karena kebijakan akses IAM bergantung pada workload identity ini, traffic dari agen yang tidak teridentifikasi akan diblokir secara default.

Anda dapat menyediakan Identitas Agen saat men-deploy agen di Runtime atau menetapkannya ke workload agen yang ada. Untuk petunjuk mendetail, lihat Menggunakan Identitas Agen dengan Runtime.

Mendaftarkan agen dan resource tujuan Anda

Untuk mengaktifkan komunikasi yang aman, Anda harus mengidentifikasi instance Agent Registry dan mendaftarkan resource yang akan diatur oleh gateway Anda.

Identifikasi instance Agent Registry yang akan Anda gunakan. Agent Gateway dapat dikaitkan dengan maksimal dua registry (satu registry global dan satu registry regional atau multi-regional):
- Agen Agent Runtime adalah resource regional dan biasanya terdaftar di registry regional yang cocok dengan region deployment-nya. Perhatikan bahwa agen lintas project harus terdaftar di registry yang terkait dengan project tata kelola pusat tempat Agent Gateway di-deploy.
- Agen Gemini Enterprise adalah resource global atau multi-region dan terdaftar di registry global atau multi-regional (seperti global, us, atau eu).
Pastikan instance registry yang Anda kaitkan dengan Agent Gateway adalah instance tempat agen, endpoint, dan server Anda terdaftar.

Catatan: Entri regional dan multi-regional lebih diprioritaskan daripada entri global saat Agent Gateway me-resolve URL tujuan ke entri registry. Hal ini untuk membantu menyelesaikan konflik yang dapat terjadi saat registry regional, multi-regional, dan global berisi entri dengan URL antarmuka yang identik.
Daftarkan agen Anda dengan Agent Registry. Jika belum membuat agen, Anda harus menyelesaikan langkah ini nanti. Untuk mengetahui petunjuknya, lihat Mendaftarkan agen.
Direkomendasikan: Identifikasi dan daftarkan semua alat, server MCP, dan endpoint API yang akan dipanggil agen Anda (termasuk API platform penting). Akses agen ke tujuan selalu memerlukan kebijakan IAM Access yang memberikan izin iap.resources.egressViaIAP ke identitas agen. Sebaiknya daftarkan resource di Registry Agen agar Anda dapat menerapkan kebijakan per resource yang terperinci dan kontrol tingkat alat. Untuk tujuan yang tidak terdaftar, Anda harus memberikan izin ini kepada agen dengan mengonfigurasi kebijakan untuk endpoint yang tidak terdaftar.

Tujuan dalam project yang berbeda dengan gateway harus didaftarkan ke Agent Registry di project gateway. Tujuan tersebut hanya valid untuk agen Runtime dalam mode Agent-to-Anywhere.

Untuk mengetahui petunjuknya, lihat panduan berikut:
- Mendaftarkan server MCP
- Mendaftarkan endpoint

Mengonfigurasi kebijakan kontrol akses

Setiap Gateway Agen memerlukan kebijakan otorisasi terkait.

IAM (khusus mode Agent-to-Anywhere)

Konfigurasikan kebijakan IAM yang menetapkan izin iap.resources.egressViaIAP ke akun utama identitas agen Anda untuk setiap resource tujuan yang Anda daftarkan di Agent Registry.

Secara default, Gateway Agen memblokir semua traffic kecuali jika kebijakan akses IAM secara eksplisit mengizinkan akses agen ke resource tujuan dengan memberikan izin iap.resources.egressViaIAP ke identitas agen.

Sebaiknya daftarkan tujuan di Agent Registry karena Anda dapat mencakup kebijakan ke resource tertentu dan menerapkan kontrol alat yang mendetail. Jika tujuan tidak terdaftar di Agent Registry, Anda harus memberikan izin iap.resources.egressViaIAP kepada agen dengan mengonfigurasi kebijakan untuk endpoint yang tidak terdaftar.

Karena registry dapat bersifat global, multi-regional, atau regional, pastikan setiap binding di seluruh registry cocok dengan instance registry (atau beberapa instance) yang dikonfigurasi untuk Gateway Agen Anda.

Untuk mengetahui petunjuknya, lihat Membuat kebijakan agen IAM.

Untuk memvalidasi konfigurasi Anda tanpa memblokir traffic, sebaiknya deploy IAP dalam mode uji coba terlebih dahulu.

Model Armor

(Opsional) Jika deployment Anda memerlukan perlindungan terhadap serangan injeksi perintah, jailbreak, konten beracun, atau kebocoran data sensitif, Anda harus merencanakan integrasi guardrail Model Armor dan membuat template dengan filter keamanan yang Anda perlukan.

Untuk informasi selengkapnya, baca dokumen berikut:

Kebijakan Tata Kelola Semantik

(Opsional) Anda dapat memilih untuk menambahkan kontrol kontekstual berbasis bahasa alami pada agen Anda untuk mengaktifkan perlindungan terhadap kombinasi alat yang beracun.

Sebaiknya Anda memulai dengan men-deploy Kebijakan Tata Kelola Semantik dalam mode uji coba agar Anda dapat memvalidasi konfigurasi tanpa memblokir traffic. Untuk mengetahui detailnya, lihat Mengonfigurasi kebijakan tata kelola semantik.

Mesin otorisasi kustom

(Opsional) Jika Anda ingin mendelegasikan otorisasi ke mesin otorisasi kustom atau sistem pihak ketiga menggunakan Service Extensions, Anda harus memastikan bahwa mesin otorisasi kustom tersedia saat men-deploy gateway.

Model Armor, Kebijakan Tata Kelola Semantik, dan mesin otorisasi kustom lainnya dapat diaktifkan selama penyiapan awal Agent Gateway atau dilampirkan setelah deployment sebagai update kebijakan keamanan inkremental.

Mengonfigurasi Agent Gateway dalam mode Agent-to-Anywhere (egress)

Saat menyiapkan Gateway Agen dalam mode Agen ke Mana Saja (egress), Anda dapat mengonfigurasi cara traffic yang diatur mencapai endpoint dan alat tujuan. Bergantung pada persyaratan jaringan dan keamanan Anda, pilih di antara opsi deployment berikut:

Egress internet: Gateway merutekan traffic agen dengan aman ke endpoint dan API yang dapat diakses secara publik melalui internet. Untuk mengonfigurasi Agent Gateway dengan egress Internet, Anda dapat menggunakan petunjuk di halaman ini.
Egress jaringan VPC: Gateway merutekan traffic agen secara pribadi ke jaringan VPC menggunakan lampiran jaringan Private Service Connect. Anda dapat memilih untuk merutekan semua traffic melalui jaringan VPC (ALL_TRAFFIC) atau hanya traffic yang ditujukan untuk rentang alamat IP pribadi (PRIVATE_RANGES_ONLY).

Untuk mengonfigurasi Agent Gateway dengan egress VPC, Anda harus menggunakan petunjuk di Menyiapkan konektivitas VPC untuk Agent Gateway.

Catatan: Penyiapan egress VPC diperlukan jika Anda ingin mengaktifkan penerapan perimeter Kontrol Layanan VPC untuk deployment Agent Gateway. Kontrol Layanan VPC hanya didukung untuk deployment Gateway Agen yang dibuat setelah 8 September 2026 yang menggunakan template konektivitas agen untuk mengonfigurasi konektivitas VPC.

Gunakan langkah-langkah berikut untuk membuat resource Agent Gateway untuk komunikasi Agen-ke-Mana Saja.

Konsol Cloud de Confiance

Di konsol Cloud de Confiance , buka halaman Agent Gateway.
Buka Gateways
Klik Add gateway.
Masukkan Nama.
Dari daftar Region, pilih region.
Untuk Deployment mode, pastikan Google-managed dipilih.
Untuk Agent registries, pilih setidaknya satu registry dari daftar. Jika Anda ingin memilih dua registry, salah satunya harus berupa registry global dan yang lainnya dapat berupa registry regional atau multi-regional.Untuk panduan tentang registry yang harus dipilih untuk deployment Anda, lihat Merencanakan deployment Agent Gateway.
Dari daftar Governed Access Path, pilih Agent-to-Anywhere (Agent Egress).
Di bagian Access Authorization, pilih cara traffic ditangani oleh IAP:
- Untuk men-deploy gateway dalam mode uji coba, yang memungkinkan gateway mengizinkan semua traffic dan hanya membuat log audit, pilih Audit-only. Kebijakan IAM Anda tidak diterapkan oleh IAP dalam mode uji coba. Setelah yakin, Anda dapat menonaktifkan mode uji coba untuk menerapkan kebijakan IAM.
- Untuk memblokir permintaan yang tidak memiliki kebijakan IAM Allow eksplisit, pilih Enforce policies. Opsi ini direkomendasikan untuk lingkungan produksi.
- Untuk Policy model, pilih Unified Access Policy.
Catatan: Sebaiknya gunakan Unified Access Policy untuk kontrol akses yang canggih, ekspresif, dan terperinci. Untuk mengganti kebijakan Izinkan lama di gateway yang ada, buka UI Policies dan tentukan ulang aturan Anda secara manual di tab Unified Access Policy. Untuk mengetahui informasi selengkapnya, lihat Membuat kebijakan agen IAM.
Opsional: Di bagian AI Security, konfigurasikan keamanan tambahan:
1. Untuk melindungi interaksi model AI dengan Model Armor, aktifkan Enable Model Armor.
2. Pilih template yang berlaku untuk permintaan masuk ke gateway dari daftar.
3. Untuk menggunakan template yang berbeda untuk respons, hapus centang Use same template for requests and responses, lalu pilih template dari daftar.
  
  Penting: Saat menggunakan Model Armor, Anda harus memberikan izin yang diperlukan kepada akun layanan Agent Gateway agar dapat menggunakan template Model Armor. Untuk mengetahui detailnya, lihat Mendelegasikan otorisasi ke Model Armor.
Klik Add Gateway.

gcloud

Anda menentukan Gateway Agen secara deklaratif menggunakan YAML.

Tentukan resource dan simpan konfigurasi ke file YAML. Untuk contoh ini, kita menggunakan my-agent-gateway-egress.yaml.
```
name: AGENT_GATEWAY_NAME
protocols:
  - MCP
googleManaged:
  governedAccessPath: AGENT_TO_ANYWHERE
registries:
  - AGENT_REGISTRY_URI_1
  - OPTIONAL_AGENT_REGISTRY_URI_2
```
Ganti kode berikut:
- AGENT_GATEWAY_NAME: Nama resource Agent Gateway.
- AGENT_REGISTRY_URI_1 dan OPTIONAL_AGENT_REGISTRY_URI_2: Jalur ke instance Agent Registry yang akan dikaitkan dengan gateway. Anda dapat mengonfigurasi hingga dua registry untuk Agent Gateway. Saat mengonfigurasi dua registry, salah satunya harus berupa registry global dan yang lainnya dapat berupa registry regional atau multi-regional. Untuk panduan tentang registry yang harus dipilih untuk deployment Anda, lihat Merencanakan deployment Agent Gateway. Jalur registry harus diformat sebagai berikut:
  - Regional registries: //agentregistry.googleapis.com/projects/PROJECT_ID/locations/REGION
  - Registry global: //agentregistry.googleapis.com/projects/PROJECT_ID/locations/global
  - Multi-region registries: //agentregistry.googleapis.com/projects/PROJECT_ID/locations/MULTI_REGION
Jalankan perintah berikut untuk membuat resource Agent Gateway berdasarkan spesifikasi YAML:
```
gcloud network-services agent-gateways import AGENT_GATEWAY_NAME \
 --source="my-agent-gateway-egress.yaml" \
 --location=LOCATION
```
Ganti LOCATION dengan lokasi tempat Anda ingin membuat resource Agent Gateway. Contoh, us-central1.

Perhatikan bahwa untuk Gemini Enterprise, Anda harus men-deploy Agent Gateway di region yang sesuai dengan penyiapan multi-region Anda. Untuk pemetaan lokasi yang didukung, lihat Merutekan traffic Gemini Enterprise melalui Agent Gateway.
Buat kebijakan otorisasi untuk menerapkan kebijakan kontrol akses dan tata kelola terpusat pada traffic yang melewati Gateway Agen. Langkah-langkah berikut menunjukkan cara mengonfigurasi kebijakan otorisasi yang menggunakan IAP.
1. Konfigurasi ekstensi otorisasi yang mengarah ke IAP. Tentukan ekstensi dalam file YAML, seperti iap-request-authz-extension.yaml. Gunakan nilai contoh yang diberikan:
```
cat >iap-request-authz-extension.yaml <<EOF
name: AUTHORIZATION_EXTENSION_NAME
service: iap.googleapis.com
failOpen: false
timeout: 1s
metadata:
  iapPolicyVersion: "V2"
EOF
```
  Jika Anda ingin men-deploy ekstensi dalam mode uji coba khusus audit untuk menguji kebijakan otorisasi tanpa menerapkannya, Anda dapat menentukan kolom iamEnforcementMode di dalam blok metadata. Hal ini memungkinkan Anda memverifikasi kebijakan dan meminimalkan risiko gangguan traffic karena kesalahan konfigurasi:
```
cat >iap-request-authz-extension.yaml <<EOF
name: AUTHORIZATION_EXTENSION_NAME
service: iap.googleapis.com
failOpen: false
timeout: 1s
metadata:
  iapPolicyVersion: "V2"
  iamEnforcementMode: "DRY_RUN"
EOF
```
  Hapus kolom iamEnforcementMode: "DRY_RUN" dari blok metadata saat Anda siap untuk mulai menerapkan kebijakan.
  
  Catatan: Sebaiknya gunakan Unified Access Policy (iapPolicyVersion: "V2") untuk kontrol akses yang canggih, ekspresif, dan terperinci. Untuk mengganti kebijakan Izinkan lama (iapPolicyVersion: "V1") di gateway yang ada, buka UI Policies dan tentukan ulang aturan Anda secara manual di tab Unified Access Policy. Untuk mengetahui informasi selengkapnya, lihat Membuat kebijakan agen IAM.
2. Impor file konfigurasi YAML ke ekstensi otorisasi.
```
gcloud beta service-extensions authz-extensions import AUTHORIZATION_EXTENSION_NAME \
  --source=iap-request-authz-extension.yaml \
  --location=LOCATION
```
  Ganti AUTHORIZATION_EXTENSION_NAME dengan nama ekstensi otorisasi—misalnya, my-iap-request-authz-ext.
3. Tentukan kebijakan otorisasi dalam file YAML, seperti iap-request-authz-policy.yaml, untuk mengaitkan ekstensi dengan gateway Anda:
```
cat >iap-request-authz-policy.yaml <<EOF
name: AUTHORIZATION_POLICY_NAME
target:
  resources:
    - "projects/PROJECT_ID/locations/LOCATION/agentGateways/AGENT_GATEWAY_NAME"
policyProfile: REQUEST_AUTHZ
action: CUSTOM
customProvider:
  authzExtension:
    resources:
      - "projects/PROJECT_ID/locations/LOCATION/authzExtensions/AUTHORIZATION_EXTENSION_NAME"
EOF
```
  Ganti kode berikut:
  - AUTHORIZATION_POLICY_NAME: nama kebijakan otorisasi—misalnya, my-iap-request-authz-policy
  - PROJECT_ID: project ID
4. Impor file konfigurasi YAML ke kebijakan otorisasi.
```
gcloud network-security authz-policies import AUTHORIZATION_POLICY_NAME \
  --source=iap-request-authz-policy.yaml \
  --location=LOCATION
```
Opsional: Jika Anda ingin mengonfigurasi guardrail Model Armor untuk membantu melindungi deployment Anda dari serangan injeksi perintah dan kebocoran data sensitif, lihat Mendelegasikan otorisasi ke Model Armor.

Terraform

Untuk menyediakan Agent Gateway Agent-to-Anywhere (egress) dan ekstensi otorisasi serta kebijakan IAP terkait secara deklaratif dalam project tata kelola pusat menggunakan penyedia google:

Buat resource google_network_services_agent_gateway dan kaitkan instance Agent Registry regional atau global Anda:

resource "google_network_services_agent_gateway" "egress_gateway" {
  project   = "PROJECT_ID"
  location  = "LOCATION"
  name      = "AGENT_GATEWAY_NAME"
  protocols = ["MCP"]

  google_managed {
    governed_access_path = "AGENT_TO_ANYWHERE"
  }

  registries = [
    "//agentregistry.googleapis.com/projects/PROJECT_ID/locations/LOCATION",
  ]
}

Konfigurasi google_network_services_authz_extension IAP dan lampirkan ke gateway dengan google_network_security_authz_policy:

resource "google_network_services_authz_extension" "iap_request_authz_ext" {
  project   = "PROJECT_ID"
  location  = "LOCATION"
  name      = "my-iap-request-authz-ext"
  service   = "iap.googleapis.com"
  timeout   = "1s"
  fail_open = false

  metadata = {
    iapPolicyVersion = "V2"
    # Uncomment the following line to deploy in dry-run (audit-only) mode:
    # iamEnforcementMode = "DRY_RUN"
  }
}

resource "google_network_security_authz_policy" "iap_request_authz_policy" {
  project        = "PROJECT_ID"
  location       = "LOCATION"
  name           = "my-iap-request-authz-policy"
  policy_profile = "REQUEST_AUTHZ"
  action         = "CUSTOM"

  target {
    resources = [
      google_network_services_agent_gateway.egress_gateway.id
    ]
  }

  custom_provider {
    authz_extension {
      resources = [
        google_network_services_authz_extension.iap_request_authz_ext.id
      ]
    }
  }
}

Setelah dibuat, Gateway Agen berfungsi sebagai titik koneksi utama untuk merutekan traffic agen dalam project dan region yang Anda pilih. Sekarang Anda dapat menggunakan endpoint ini untuk membuat saluran komunikasi yang aman, terenkripsi, dan terautentikasi antara agen dan tujuannya (alat, agen lain, atau endpoint lain).

Tinjau kembali bagian Merencanakan deployment Agent Gateway di halaman ini dan pastikan agen Anda terdaftar di Agent Registry dan agen Anda telah diberi izin iap.resources.egressViaIAP untuk semua tujuan yang ingin dihubungkan. Jika Anda mengalami masalah konektivitas, lihat Memecahkan masalah konektivitas Agent Gateway.

Selanjutnya, pelajari cara men-deploy agen dan merutekan traffic melalui Agent Gateway.

Mengonfigurasi Agent Gateway dalam mode Klien ke Agen (ingress)

Bagian ini menunjukkan cara menyiapkan Gateway Agen untuk komunikasi Klien-ke-Agen.

Gunakan langkah-langkah berikut untuk membuat resource Agent Gateway.

Konsol Cloud de Confiance

Di konsol Cloud de Confiance , buka halaman Agent Gateway.
Buka Gateways
Klik Add gateway.
Masukkan Nama.
Dari daftar Region, pilih region.
Untuk Deployment mode, pastikan Google-managed dipilih.
Biarkan setelan Registry agen apa adanya. Registry tidak digunakan untuk ingress.
Dari daftar Governed Access Path, pilih Client-to-Agent (ingress).
Opsional: Di bagian AI Security, konfigurasikan keamanan tambahan:
1. Untuk melindungi interaksi model AI dengan Model Armor, aktifkan Enable Model Armor.
  
  Catatan: Jika template Model Armor Anda berada di project yang berbeda dari gateway, Anda harus memberikan izin tertentu secara manual ke akun layanan Agent Gateway. Untuk mengetahui detailnya, lihat Mendelegasikan otorisasi ke Model Armor.
2. Pilih template yang berlaku untuk permintaan masuk ke gateway dari daftar.
3. Untuk menggunakan template yang berbeda untuk respons, hapus centang Use same template for requests and responses, lalu pilih template dari daftar.
Klik Add Gateway.

gcloud

Anda menentukan Gateway Agen secara deklaratif menggunakan YAML.

Tentukan resource dan simpan konfigurasi ke file YAML. Untuk contoh ini, kita menggunakan my-agent-gateway-ingress.yaml.
```
name: AGENT_GATEWAY_NAME
protocols:
  - MCP
googleManaged:
  governedAccessPath: CLIENT_TO_AGENT
```
Ganti AGENT_GATEWAY_NAME dengan nama untuk resource Agent Gateway.
Jalankan perintah berikut untuk membuat resource Agent Gateway berdasarkan spesifikasi YAML:
```
gcloud network-services agent-gateways import AGENT_GATEWAY_NAME \
 --source="my-agent-gateway-ingress.yaml" \
 --location=LOCATION
```
Ganti LOCATION dengan lokasi tempat Anda ingin membuat resource Agent Gateway. Contoh, us-central1.

Terraform

Untuk menyediakan resource Agent Gateway Klien ke Agen (ingress) secara deklaratif menggunakan penyedia google:

resource "google_network_services_agent_gateway" "ingress_gateway" {
  project   = "PROJECT_ID"
  location  = "LOCATION"
  name      = "AGENT_GATEWAY_NAME"
  protocols = ["MCP"]

  google_managed {
    governed_access_path = "CLIENT_TO_AGENT"
  }
}

Setelah dibuat, Agent Gateway berfungsi sebagai titik koneksi utama untuk merutekan traffic ke agen di project dan region yang Anda pilih.

Selanjutnya, pelajari cara men-deploy agen dan merutekan traffic melalui Agent Gateway.

Men-deploy agen dan merutekan traffic melalui Agent Gateway

Untuk men-deploy agen Agent Runtime yang merutekan traffic melalui Agent Gateway, lihat Merutekan traffic melalui Agent Gateway.

Untuk men-deploy agen Gemini Enterprise yang merutekan traffic melalui Agent Gateway, lihat Merutekan traffic Gemini Enterprise melalui Agent Gateway.

Codelab

Untuk demonstrasi menyeluruh tentang cara menyiapkan dan menggunakan Agent Gateway, lihat codelab berikut:

Mengatur workload agentic dengan Agent Platform: Pelajari cara men-deploy agen ADK yang diatur di Agent Runtime.
Egress Agent Gateway dari Agent Runtime ke server MCP Google Cloud: Pelajari cara mengonfigurasi Agent Gateway dalam mode Agent-to-Anywhere untuk mengatur panggilan agen ADK ke server MCP Google Cloud.
Egress Agent Gateway dari Agent Runtime ke server MCP eksternal: Pelajari cara mengonfigurasi Agent Gateway dalam mode Agent-to-Anywhere untuk mengatur panggilan agen ADK ke server MCP eksternal.
Egress Agent Gateway dari Agent Runtime ke jaringan VPC: Pelajari cara mengonfigurasi Agent Gateway dalam mode Agent-to-Anywhere untuk mengatur panggilan agen ADK ke tujuan di jaringan VPC.
Tata kelola Agent Gateway untuk agen Agent Runtime lintas project: Pelajari cara mengonfigurasi Agent Gateway dalam mode Agent-to-Anywhere untuk mengatur agen Agent Runtime lintas project.
Egress Gateway Agen Pribadi dari Gemini Enterprise: Pelajari cara menyiapkan tata kelola egress Gateway Agen pribadi untuk Gemini Enterprise.

Langkah berikutnya

Panduan

Menyiapkan Gateway Agen

Izin yang diperlukan

Izin yang diperlukan

API yang diperlukan

API opsional menurut fitur

Merencanakan deployment Agent Gateway Anda

Memilih mode deployment

Pilih runtime, project, dan region deployment Anda

Contoh pola deployment

Siapkan identitas agen

Mendaftarkan agen dan resource tujuan Anda

Mengonfigurasi kebijakan kontrol akses

Mengonfigurasi Agent Gateway dalam mode Agent-to-Anywhere (egress)

Konsol Cloud de Confiance

gcloud

Terraform

Mengonfigurasi Agent Gateway dalam mode Klien ke Agen (ingress)

Konsol Cloud de Confiance

gcloud

Terraform

Men-deploy agen dan merutekan traffic melalui Agent Gateway

Codelab

Langkah berikutnya

Merutekan traffic Agent Runtime melalui Agent Gateway

Mendelegasikan otorisasi untuk Agent Gateway

Memantau Agent Gateway

Memecahkan masalah Agent Gateway

Merutekan traffic Gemini Enterprise melalui Agent Gateway