Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Configura Agent Gateway per l'ingresso MCP di Workspace

Versioni supportate per questa funzionalità: Gemini Enterprise.

Puoi configurare un progetto Google Cloud per connetterti ai server MCP di Google Workspace tramite un connettore dati e attivare il gateway dell'agente con il punto decisionale dei criteri (PDP) di Workspace per avere la governance di Workspace.

La configurazione di Agent Gateway con Workspace PDP consente agli agenti AI (come gli agenti Gemini Enterprise) di accedere ai dati delle applicazioni Workspace (come Google Drive) applicando al contempo i criteri di controllo dell'accesso configurati direttamente nella Console di amministrazione Google.

Prerequisiti

Prima di configurare l'Agent Gateway, devi:

Un progetto Google Cloud con Gemini Enterprise.
Un'interfaccia a riga di comando gcloud autenticata con autorizzazioni per abilitare le API e gestire le risorse di Network Services, Network Security e Service Extensions nel tuo progetto Google Cloud.
Privilegi di amministratore di Google Workspace (privilegio di amministratore della sicurezza).
Hai esaminato come configurare un Agent Gateway in Google Cloud.

Passaggio 1: crea o seleziona un progetto Google Cloud

Nella console Google Cloud, crea un nuovo progetto Google Cloud o seleziona un progetto esistente per questa configurazione e annota l'ID progetto (ad esempio, my-project-id).

Passaggio 2: abilita le API Network & Security richieste

Attiva le API Network Services e Network Security nel tuo progetto Google Cloud utilizzando gcloud o la console Google Cloud:

gcloud services enable networkservices.googleapis.com \
                       networksecurity.googleapis.com \
                       --project=PROJECT_ID

Sostituisci PROJECT_ID con l'ID progetto Google Cloud.

Passaggio 3: abilita l'API Agent Registry e MCP

Nella console Google Cloud, vai ad API e servizi Libreria.
Cerca e abilita l'API Agent Registry (agentregistry.googleapis.com).
Attiva Google Drive MCP o altri server MCP necessari per il tuo flusso di lavoro. Per maggiori dettagli, vai a Registrare i server MCP.

Importante:quando abiliti i server MCP con l'Agent Gateway con consenso esplicito, Gemini Enterprise indirizza il traffico al gateway solo per i connettori di dati standard, proprietari (1P) e di terze parti (3P). La configurazione di un connettore dati personalizzato non è supportata con la governance dei dati di Workspace.

Passaggio 4: crea e importa le risorse di Agent Gateway e di autorizzazione

Configura le risorse dell'Agent Gateway, dell'estensione di autorizzazione (punto decisionale dei criteri di Workspace) e dei criteri di autorizzazione. Puoi definire queste risorse in modo dichiarativo utilizzando i file di configurazione YAML e importarle utilizzando gcloud:

Crea il file di configurazione di Agent Gateway (agent-gateway.yaml):
```
name: AGENT_GATEWAY_NAME
protocols:
- MCP
googleManaged:
  governedAccessPath: AGENT_TO_ANYWHERE
registries:
  - //agentregistry.googleapis.com/projects/PROJECT_ID/locations/global
```
Sostituisci AGENT_GATEWAY_NAME con un nome per la risorsa Agent Gateway (ad esempio ge-agent-gateway) e PROJECT_ID con l'ID progetto Google Cloud.
Crea il file di configurazione dell'estensione di autorizzazione che punta al punto decisionale dei criteri di Workspace (ws-pdp-authz-extension.yaml):
```
name: AUTHZ_EXT_NAME
service: workspacepolicyengine.pa.googleapis.com
failOpen: true
timeout: 5s
```
Sostituisci AUTHZ_EXT_NAME con un nome per l'estensione dell'autorizzazione (ad esempio ws-pdp-authz-ext).
Crea il file di configurazione della policy di autorizzazione (ws-pdp-authz-policy.yaml) per associare l'estensione al gateway:
```
name: AUTHZ_POLICY_NAME
target:
  resources:
  - "projects/PROJECT_ID/locations/LOCATION/agentGateways/AGENT_GATEWAY_NAME"
policyProfile: CONTENT_AUTHZ
action: CUSTOM
customProvider:
  authzExtension:
    resources:
    - "projects/PROJECT_ID/locations/LOCATION/authzExtensions/AUTHZ_EXT_NAME"
```
Sostituisci quanto segue:
- AUTHZ_POLICY_NAME: Un nome per la policy di autorizzazione (ad esempio ws-pdp-authz-policy).
- PROJECT_ID: l'ID del tuo progetto Google Cloud.
- LOCATION: la regione per il deployment (ad esempio, us-central1).
- AGENT_GATEWAY_NAME: il nome dell'Agent Gateway del passaggio 1.
- AUTHZ_EXT_NAME: il nome dell'estensione dell'autorizzazione del passaggio 2.

Importa i file di configurazione YAML utilizzando gcloud:

# Import the Agent Gateway
gcloud beta network-services agent-gateways import AGENT_GATEWAY_NAME \
  --source=agent-gateway.yaml \
  --location=LOCATION \
  --project=PROJECT_ID

# Import the Authorization Extension
gcloud beta service-extensions authz-extensions import AUTHZ_EXT_NAME \
  --source=ws-pdp-authz-extension.yaml \
  --location=LOCATION \
  --project=PROJECT_ID

# Import the Authorization Policy
gcloud beta network-security authz-policies import AUTHZ_POLICY_NAME \
  --source=ws-pdp-authz-policy.yaml \
  --location=LOCATION \
  --project=PROJECT_ID

Passaggio 5: verifica la configurazione di Agent Gateway e recupera il nome della risorsa

Elenca i gateway dell'agente di cui è stato eseguito il deployment per verificare l'importazione riuscita:
```
gcloud beta network-services agent-gateways list --location=LOCATION --project=PROJECT_ID
```

Descrivi la risorsa Agent Gateway:

gcloud beta network-services agent-gateways describe AGENT_GATEWAY_NAME --location=LOCATION --project=PROJECT_ID

Copia il nome completo della risorsa Agent Gateway (formattato come projects/PROJECT_ID/locations/LOCATION/agentGateways/AGENT_GATEWAY_NAME, ad esempio projects/my-project/locations/us-central1/agentGateways/ge-agent-gateway).

Passaggio 6: connettiti a Google Identity Provider

Nella console Gen App Builder Engines, vai a Impostazioni Autenticazione.
Collega il motore al provider di identità Google.
Per ulteriore documentazione, vai a Controllo dell'accesso all'origine dati di Google Cloud.

Passaggio 7: configura Agent Gateway nell'istanza di Gemini Enterprise

Nella tua istanza di Gemini Enterprise (GE), vai a Datastore connessi.
Nella sezione Server MCP, seleziona Configura Agent Gateway.
Inserisci il nome completo della risorsa Agent Gateway ottenuto nel passaggio 5 (ad esempio, projects/PROJECT_ID/locations/us-central1/agentGateways/ge-agent-gateway).

Passaggio 8: configura i controlli dell'accesso dell'agente Workspace nella Console di amministrazione Google

Dopo aver configurato l'Agent Gateway e il punto decisionale delle policy di Workspace, puoi gestire le policy di accesso degli agenti direttamente dalla Console di amministrazione Google:

Nella Console di amministrazione Google, vai a Menu Agenti.
Nella scheda Impostazioni, configura il criterio di accesso predefinito per tutti gli agenti Gemini Enterprise. Per maggiori dettagli, vai a Controllare l'accesso agli agenti Gemini Enterprise.
Nella scheda Gestione agenti, aggiungi agenti specifici all'elenco di gestione per configurare le autorizzazioni di accesso individuali (attendibili o bloccati). Per informazioni dettagliate, vedi Gestisci gli agenti Gemini Enterprise per gli utenti di Workspace.

Configura Agent Gateway per l'ingresso MCP di Workspace Mantieni tutto organizzato con le raccolte Salva e classifica i contenuti in base alle tue preferenze.