KI‑Agenten-Gateway für Workspace MCP-Ingress einrichten

Unterstützte Versionen für diese Funktion: Gemini Enterprise.

Sie können ein Google Cloud-Projekt so konfigurieren, dass es über einen Datenconnector eine Verbindung zu Google Workspace MCP-Servern herstellt. Außerdem können Sie das Opt-in-Agent Gateway mit Workspace Policy Decision Point (PDP) aktivieren, um die Workspace-Governance zu nutzen.

Wenn Sie das Agent Gateway mit Workspace PDP einrichten, können KI-Agenten (z. B. Gemini Enterprise-KI-Agenten) auf Workspace-Anwendungsdaten (z. B. Google Drive) zugreifen. Gleichzeitig werden die Zugriffssteuerungsrichtlinien erzwungen, die direkt in der Google Admin-Konsole konfiguriert sind.

Voraussetzungen

Bevor Sie das Agent Gateway einrichten können, benötigen Sie Folgendes:

Schritt 1: Google Cloud-Projekt erstellen oder auswählen

  1. Erstellen Sie in der Google Cloud Console ein neues Google Cloud-Projekt oder wählen Sie ein vorhandenes Projekt für diese Einrichtung aus und notieren Sie sich die Projekt-ID (z. B. my-project-id).

Schritt 2: Erforderliche Network & Security APIs aktivieren

Aktivieren Sie die Network Services API und die Network Security API in Ihrem Google Cloud-Projekt mit der gcloud oder der Cloud Console:

gcloud services enable networkservices.googleapis.com \
                       networksecurity.googleapis.com \
                       --project=PROJECT_ID

Ersetzen Sie PROJECT_ID durch Ihre Google Cloud-Projekt-ID.

Schritt 3: Agent Registry API und MCP aktivieren

  1. Rufen Sie in der Google Cloud Console APIs & Dienste und dann Bibliothek auf.
  2. Suchen Sie nach der Agent Registry API (agentregistry.googleapis.com) und aktivieren Sie sie.
  3. Aktivieren Sie Google Drive MCP oder andere MCP-Server, die für Ihren Workflow erforderlich sind. Weitere Informationen finden Sie unter MCP-Server registrieren.

Wichtig:Wenn Sie MCP-Server mit dem Opt-in-Agent-Gateway aktivieren, leitet Gemini Enterprise Traffic nur für Standard-, eigene (1P) und Drittanbieter-Daten-Connectors (3P) an das Gateway weiter. Das Konfigurieren eines benutzerdefinierten Daten-Connectors wird bei der Workspace-Data Governance nicht unterstützt.

Schritt 4: Agent Gateway- und Autorisierungsressourcen erstellen und importieren

Konfigurieren Sie das Agent Gateway, die Autorisierungserweiterung (Workspace Policy Decision Point) und die Autorisierungsrichtlinienressourcen. Sie können diese Ressourcen deklarativ mit YAML-Konfigurationsdateien definieren und mit gcloud importieren:

  1. Erstellen Sie die Konfigurationsdatei für das Agent Gateway (agent-gateway.yaml):

    name: AGENT_GATEWAY_NAME
protocols:
- MCP
googleManaged:
  governedAccessPath: AGENT_TO_ANYWHERE
registries:
  - //agentregistry.googleapis.com/projects/PROJECT_ID/locations/global

    Ersetzen Sie AGENT_GATEWAY_NAME durch einen Namen für Ihre Agent Gateway-Ressource (z. B. ge-agent-gateway) und PROJECT_ID durch Ihre Google Cloud-Projekt-ID.

  2. Erstellen Sie die Konfigurationsdatei für die Autorisierungserweiterung, die auf den Workspace-Richtlinienentscheidungspunkt verweist (ws-pdp-authz-extension.yaml):

    name: AUTHZ_EXT_NAME
service: workspacepolicyengine.pa.googleapis.com
failOpen: true
timeout: 5s

    Ersetzen Sie AUTHZ_EXT_NAME durch einen Namen für die Autorisierungserweiterung, z. B. ws-pdp-authz-ext.

  3. Erstellen Sie die Konfigurationsdatei für die Autorisierungsrichtlinie (ws-pdp-authz-policy.yaml), um die Erweiterung mit Ihrem Gateway zu verknüpfen:

    name: AUTHZ_POLICY_NAME
target:
  resources:
  - "projects/PROJECT_ID/locations/LOCATION/agentGateways/AGENT_GATEWAY_NAME"
policyProfile: CONTENT_AUTHZ
action: CUSTOM
customProvider:
  authzExtension:
    resources:
    - "projects/PROJECT_ID/locations/LOCATION/authzExtensions/AUTHZ_EXT_NAME"

    Ersetzen Sie Folgendes:

    • AUTHZ_POLICY_NAME: Ein Name für die Autorisierungsrichtlinie, z. B. ws-pdp-authz-policy.
    • PROJECT_ID: Ihre Google Cloud-Projekt-ID.
    • LOCATION: Die Region für Ihre Bereitstellung, z. B. us-central1.
    • AGENT_GATEWAY_NAME: Der Name des Agent Gateway aus Schritt 1.
    • AUTHZ_EXT_NAME: Der Name der Autorisierungserweiterung aus Schritt 2.

  4. Importieren Sie die YAML-Konfigurationsdateien mit gcloud:

    # Import the Agent Gateway
gcloud beta network-services agent-gateways import AGENT_GATEWAY_NAME \
  --source=agent-gateway.yaml \
  --location=LOCATION \
  --project=PROJECT_ID

# Import the Authorization Extension
gcloud beta service-extensions authz-extensions import AUTHZ_EXT_NAME \
  --source=ws-pdp-authz-extension.yaml \
  --location=LOCATION \
  --project=PROJECT_ID

# Import the Authorization Policy
gcloud beta network-security authz-policies import AUTHZ_POLICY_NAME \
  --source=ws-pdp-authz-policy.yaml \
  --location=LOCATION \
  --project=PROJECT_ID

Schritt 5: Einrichtung des KI-Agenten-Gateways überprüfen und Ressourcennamen abrufen

  1. Rufen Sie eine Liste der bereitgestellten Agent Gateways auf, um den erfolgreichen Import zu prüfen:

    gcloud beta network-services agent-gateways list --location=LOCATION --project=PROJECT_ID

  2. Beschreiben Sie die KI-Agenten-Gateway-Ressource:

    gcloud beta network-services agent-gateways describe AGENT_GATEWAY_NAME --location=LOCATION --project=PROJECT_ID

  3. Kopieren Sie den vollständigen Ressourcenname des Agent Gateways (im Format projects/PROJECT_ID/locations/LOCATION/agentGateways/AGENT_GATEWAY_NAME, z. B. projects/my-project/locations/us-central1/agentGateways/ge-agent-gateway).

Schritt 6: Mit dem Google-Identitätsanbieter verbinden

  1. Rufen Sie in der Gen App Builder Engines Console die Einstellungen und dann Authentifizierung auf.
  2. Verbinden Sie Ihre Engine mit dem Google Identity Provider.
  3. Weitere Informationen zur Zugriffssteuerung für Google Cloud-Datenquellen

Schritt 7: Agent Gateway in der Gemini Enterprise-Instanz konfigurieren

  1. Rufen Sie in Ihrer Gemini Enterprise-Instanz die Seite Verbundene Datenspeicher auf.
  2. Wählen Sie unter MCP-Server die Option Agent Gateway konfigurieren aus.
  3. Geben Sie den vollständigen Ressourcennamen des Agent Gateways ein, den Sie in Schritt 5 erhalten haben (z. B. projects/PROJECT_ID/locations/us-central1/agentGateways/ge-agent-gateway).

Schritt 8: Workspace-Agent-Zugriffssteuerung in der Admin-Konsole konfigurieren

Nachdem Sie das Agent Gateway und den Workspace Policy Decision Point eingerichtet haben, können Sie Richtlinien für den Agent-Zugriff direkt über die Admin-Konsole verwalten:

  1. Öffnen Sie in der Admin-Konsole das Menü und dann KI-Agenten.
  2. Konfigurieren Sie auf dem Tab Einstellungen die Standardzugriffsrichtlinie für alle Gemini Enterprise-KI-Agenten. Weitere Informationen finden Sie unter Zugriff auf Gemini Enterprise-KI-Agenten steuern.
  3. Fügen Sie auf dem Tab KI-Agenten verwalten bestimmte KI-Agenten Ihrer Verwaltungsliste hinzu, um individuelle Zugriffsberechtigungen zu konfigurieren („Vertrauenswürdig“ oder „Blockiert“). Weitere Informationen finden Sie unter Gemini Enterprise-KI-Agenten für Workspace-Nutzende verwalten.