控管代理程式

Gemini Enterprise Agent Platform 提供全套功能，涵蓋完整的代理開發生命週期，協助代理開發人員和企業建構、擴充、管理及最佳化代理應用程式。

治理機制提供架構，可大規模探索、保護及稽核 AI 代理和基礎架構。隨著機構部署複雜的 Agentic Workflows，Govern 套件功能可做為系統管理員和安全團隊的集中式指揮中心，以便維持監督。

核心管理元件

下列 Agent Platform 元件會共同運作，提供統一的代理治理架構：

• 代理身分 (誰提出要求？)：為每個代理指派專屬的安全 ID (SPIFFE ID)。這個身分會做為代理的數位簽章，用於驗證、存取控管和稽核。

  代理身分預設會受到情境感知存取權保護，該功能會使用 mTLS 和 DPoP 強制執行端對端加密驗證。

• 代理註冊資料庫 (哪些目的地已獲核准？)：做為組織中所有已核准代理、工具、Model Context Protocol (MCP) 伺服器和端點 (例如基本 Cloud de Confiance API) 的中央目錄。Agent Gateway 會使用這個目錄檢查權限，再允許連線。

• 政策 (允許哪些動作？)：您可以實施一組豐富的代理安全性與管理政策，控管哪些代理可以存取特定資源，以及允許哪些內容通過：

  • IAM 統一存取政策：存取規則，將代理的身分連結至 Agent Registry 中核准的工具和端點。根據預設，除非明確的 IAM 政策授予存取權，否則所有連線都會遭到封鎖。
  • Model Armor：附加至閘道的內容安全篩選器。Model Armor 會即時掃描使用者提示詞和工具回覆，阻擋提示詞注入攻擊、敏感資料外洩和有害內容。
  • 語意管理政策：以淺顯易懂的語言撰寫的規則，用於控管代理使用工具的方式。在執行階段強制執行業務規則，防止代理採取非預期的動作，例如執行不安全的工具組合。
  • 權杖管理政策：監控及歸因大型語言模型 (LLM) 權杖用量的政策，並在代理和應用程式中強制執行共用權杖預算，防止權杖用量失控及費用意外飆升。
  • 自訂授權引擎：自訂授權擴充功能，可讓您使用 Service Extensions，將授權決策委派給第三方系統。

  在內部，所有這些政策類型都是透過 Service Extensions 管理的授權政策或擴充繫結強制執行。

• Agent Gateway (政策執行位置)：做為網路流量的主要進出點，包括用戶端與代理程式之間，以及代理程式與任何位置之間的流量。這項服務會管理加密連線 (mTLS)、轉譯通訊協定 (例如 MCP、REST 和 gRPC)，並對所有流量套用政策檢查。詳情請參閱「Agent Gateway 如何強制執行政策」。

• 代理觀測：Agent Gateway 會在網路層為所有代理互動生成觀測遙測資料，並匯出至代理觀測，讓您全面瞭解代理動作。

建議設定順序

為確保部署程序順利進行，建議您在設定受控管的代理平台環境時，遵循下列順序：

1. 佈建代理身分：為代理佈建 Workload Identity (SPIFFE ID)。如需操作說明，請參閱「代理程式身分」。

2. 在 Agent Registry 中註冊目的地：在 Agent Registry 中註冊目標工具、MCP 伺服器、端點和代理。如需操作說明，請參閱「Agent Registry」。

3. 設定 IAM 政策：定義 IAM 存取權政策，授予代理身分 (SPIFFE ID) 存取重要平台 API 和已註冊目的地的權限。如需操作說明，請參閱「設定 IAM 存取權政策」。

4. 設定 Model Armor 範本：設定內容安全範本，檢查提示詞酬載和工具回覆，防範提示詞注入、越獄和敏感資料外洩。如需操作說明，請參閱「設定 Model Armor」。

5. 設定語意管理政策：定義自然語言限制，規範工具使用方式，並防止在執行階段出現不安全的工具組合。如需操作說明，請參閱「設定語意管理政策」。

6. 部署 Agent Gateway 並監控流量：部署 Agent Gateway，開始攔截流量。如果您在稽核模式中啟用了任何存取控管機制，請查看 Cloud Logging 中的記錄，確認存取權評估結果符合預期，再將政策轉換為啟用強制執行狀態。如需操作說明，請參閱「設定 Agent Gateway」。

Agent Registry、安全性和共用

政策

Agent Gateway

安全性