查看项目的拓扑

如需回答有关代理健康状况、关系、依赖项和政策合规性的问题，您可以运行相关查询，将代理数据、流量数据和其他资源数据相关联。结果会以拓扑图的形式显示，您可以探索该图。

拓扑图可帮助您执行以下操作：

• 映射资源关系：直观呈现与智能体相关联的数据，包括 MCP 服务器、底层基础设施、端点、技能和身份。
• 识别注册缺口：识别未在 Agent Registry 中注册的已发现的计算工作负载。
• 验证政策合规性：识别 Security Command Center 发现的漏洞和安全问题。
• 分析更改的影响：评估对访问政策、端点凭据或代理资源所依赖的基础设施的更改所产生的影响。

您可以运行建议的查询、自定义建议的查询，也可以创建自己的自定义查询。

准备工作

1. 确定要设置的 Cloud de Confiance 项目。

   Security Command Center 提供的安全和合规性数据仅适用于 Cloud de Confiance by S3NS 组织中的项目。如果您想将项目迁移到组织，请参阅迁移说明。

2. 设置提供您要查询的资源数据的服务：

   • 如需查看软件供应链数据（例如 build 出处），请配置 Developer Connect 数据分析。

   • 如需查看在 Agent Registry 中注册的代理资源的数据，请设置 Agent Registry 并注册您的代理资源。

   • 如需查看代理流量，请对 AI 应用进行插桩处理。

   • 如需查看安全和合规性数据，请为安全和合规性数据设置 Security Command Center。在组织级层激活 Security Command Center，并配置要使用的功能。只有 Premium 和 Enterprise 层级才能查询 Security Command Center 中的数据。

3. 启用 App Hub、App Topology、Cloud Asset Inventory 和 Observability API（如果尚未启用）。

   启用 API 所需的角色

   如需启用 API，您需要拥有 serviceusage.services.enable 权限。如果您创建了项目，则可能已经通过 Owner 角色 (roles/owner) 拥有此权限。否则，您可以通过 Service Usage Admin 角色 (roles/serviceusage.serviceUsageAdmin) 获取此权限。 了解如何授予角色。

   启用 API

4. 验证您的 Cloud de Confiance 项目是否已启用结算功能。

5. 如果您要保护 VPC Service Controls 边界内的服务，请更新该边界以纳入 App Topology 和提供底层数据的服务。了解详情。

所需的角色

如需获得查看拓扑图所需的权限，请让您的管理员为您授予项目的 App Topology Viewer (roles/apptopology.viewer) IAM 角色，以便您在这些项目中使用应用拓扑。 如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

此预定义角色包含查看拓扑图所需的权限。如需查看所需的确切权限，请展开所需权限部分：

所需权限

如需查看拓扑图，您需要具备以下权限：

• 获取发现的资源数据： apptopology.discoveredResourcesTopologies.generate
• 获取资源数据： apptopology.sreDomainTopologies.generate

您也可以使用自定义角色或其他预定义角色来获取这些权限。

关于查询

App Topology 查询包含多个组成部分：

• 节点 - 已发现或已注册的 Cloud de Confiance by S3NS 资源。节点示例包括：

  • Compute Engine 虚拟机
  • Artifact Registry 中的容器映像
  • 代理
  • Cloud Monitoring 提醒
  • AI 应用
  • 漏洞

  查询构建器按服务对节点进行分组。

• Where 子句：应用于节点的过滤条件，用于根据节点的特定属性优化查询。

• 连接：两个节点之间的定向关系。连接具有上下文感知能力，并且仅显示所选节点类型的有效关系。例如：

  • contained in
  • sends traffic to
  • owns
  • depends on

以下示例查询用于搜索存在特定漏洞的部署：

该查询确定了调查的关键节点： - Agent - Vulnerability

连接 contains 表示节点关系：

• Agent contains Vulnerability

Where 子句会过滤漏洞结果，以显示特定 CVE。

• Where Id = CVE-2026-24061

使用或自定义建议的查询

App Topology 会提供查询建议，您可以直接使用这些建议，也可以根据自己的具体要求对其进行自定义。

1. 在 Cloud de Confiance 控制台中，前往“拓扑”页面。

   前往“拓扑”页面

2. 在项目选择器中，选择包含代理的项目。

3. 在快速查询下，点击某个查询即可查看查询组件的预览效果。

4. 如需使用该查询，请点击使用建议。查询会显示在显示部分中。

5. 如需更改查询，请添加、修改或移除组件。

   • 如需向查询中添加组件，请点击节点旁边的加号图标 (add)。
   • 如需移除组件，请点击关闭图标 close。
   • 如需更改 Where 子句的值，请点击相应值。

   您可以点击撤消图标 undo 来撤消更改，也可以点击重做图标 redo 来重新应用您使用撤消撤消的更改。

   随着您构建查询，可用的节点、过滤条件和连接也会随之更新。

6. 修改完查询后，点击运行查询。如果查询结果包含 Cloud de Confiance 已发现的资源或在 Agent Registry 中注册的资源，系统会显示拓扑图。

   如果查询结果仅包含字符串或计数等数据类型，则无法生成图表。

   根据结果，您可以修改查询，然后点击运行查询以更新拓扑图。

7. 探索拓扑图。该图显示了与您的查询匹配的资源以及这些资源之间的关系。

   • 图标表示节点、已发现和已注册的资源及其资源类型。
   • 线条表示连接，即节点之间的关系。

   

   您可以通过以下方式与拓扑互动：

   • 通过放大或缩小或重新定位节点来更改可视化图表。
   • 如需查看连接的标签，请将光标悬停在两个节点之间的连接线上。
   • 选择节点或连接即可获取相关信息。
   • 点击切换面板图标 first_page，即可隐藏或显示查询面板。

如果没有结果，请尝试优化查询。

创建自定义查询

如需创建自定义查询，请按照以下步骤操作，创建新查询或自定义现有建议查询：

1. 在 Cloud de Confiance 控制台中，前往“拓扑”页面。

   前往“拓扑”页面

2. 在项目选择器中，选择包含代理的项目。

3. 在查询构建器中，点击 add，选择一个资源或发现结果作为查询的主节点，然后点击继续。

4. 如需优化查询，请点击任意过滤条件或连接的切换开关，以针对所选节点启用相应过滤条件或连接。为启用的每个过滤条件定义值。

5. 如需更改查询，请添加、修改或移除组件。

   • 如需向查询中添加组件，请点击节点旁边的加号图标 (add)。
   • 如需移除组件，请点击关闭图标 close。
   • 如需更改 Where 子句的值，请点击相应值。

   您可以点击撤消图标 undo 来撤消更改，也可以点击重做图标 redo 来重新应用您使用撤消撤消的更改。

   随着您构建查询，可用的节点、过滤条件和连接也会随之更新。

6. 修改完查询后，点击运行查询。如果查询结果包含 Cloud de Confiance 已发现的资源或在 Agent Registry 中注册的资源，系统会显示拓扑图。

   如果查询结果仅包含字符串或计数等数据类型，则无法生成图表。

   根据结果，您可以修改查询，然后点击运行查询以更新拓扑图。

7. 探索拓扑图。该图显示了与您的查询匹配的资源以及这些资源之间的关系。

   • 图标表示节点、已发现和已注册的资源及其资源类型。
   • 线条表示连接，即节点之间的关系。

   

   您可以通过以下方式与拓扑互动：

   • 通过放大或缩小或重新定位节点来更改可视化图表。
   • 如需查看连接的标签，请将光标悬停在两个节点之间的连接线上。
   • 选择节点或连接即可获取相关信息。
   • 点击切换面板图标 first_page，即可隐藏或显示查询面板。

查询存在一些限制。如果没有结果，请尝试优化查询。

后续步骤

• 在 Agent Registry 中注册发现的代理。