Agent Gateway instellen voor inkomend verkeer van Workspace MCP

Ondersteunde versies voor deze functie: Gemini Enterprise.

U kunt een Google Cloud-project instellen om via een gegevensconnector verbinding te maken met Google Workspace MCP-servers en u kunt de optionele Agent Gateway aanzetten met Workspace Policy Decision Point (PDP) om Workspace-beheer toe te passen.

Als u de Agent Gateway instelt met Workspace PDP, hebben AI-agents (zoals Gemini Enterprise-agents) toegang tot Workspace-app-gegevens (zoals Google Drive) terwijl het toegangsbeheerbeleid wordt afgedwongen dat rechtstreeks in de Google Beheerdersconsole is ingesteld.

Vereisten

Voordat je de Agent Gateway instelt, heb je het volgende nodig:

  • Een Google Cloud-project met Gemini Enterprise.
  • Een geverifieerde gcloudCLI met rechten om API's aan te zetten en resources voor netwerkservices, netwerkbeveiliging en service-extensies te beheren in uw Google Cloud-project.
  • Google Workspace-beheerdersrechten (beveiligingsbeheerdersrechten).
  • We hebben nagekeken hoe u een agentgateway instelt in Google Cloud.

Stap 1: Maak of selecteer een Google Cloud-project

  1. Maak in de Google Cloud Console een nieuw Google Cloud-project of selecteer een bestaand project voor deze instelling en noteer je project-ID (bijvoorbeeld my-project-id).

Stap 2: Zet de vereiste netwerk- en beveiligings-API's aan

Zet de Network Services API en de Network Security API aan in uw Google Cloud-project via gcloud of de Cloud Console:

gcloud services enable networkservices.googleapis.com \
                       networksecurity.googleapis.com \
                       --project=PROJECT_ID

Vervang PROJECT_ID door uw Google Cloud-project-ID.

Stap 3: Zet de Agent Registry API en MCP aan

  1. Ga in de Google Cloud Console naar API's en services en dan Bibliotheek.
  2. Zoek naar de Agent Registry API (agentregistry.googleapis.com) en zet deze aan.
  3. Zet Google Drive MCP of andere MCP-servers aan die je nodig hebt voor je workflow. Ga naar MCP-servers registreren voor meer informatie.

Belangrijk: Als u MCP-servers aanzet met de opt-in Agent Gateway, leidt Gemini Enterprise alleen verkeer naar de gateway voor standaard first-party (1P)- en third-party (3P)-gegevensconnectors. U kunt geen aangepaste gegevensconnector instellen met Workspace-gegevensbeheer.

Stap 4: Maak en importeer Agent Gateway- en autorisatiebronnen

Stel de Agent Gateway, de autorisatie-extensie (beslissingspunt voor Workspace-beleid) en de bronnen voor autorisatiebeleid in. Je kunt deze resources declaratief definiëren met YAML-configuratiebestanden en ze importeren met gcloud:

  1. Maak het configuratiebestand voor de agentgateway (agent-gateway.yaml):

    name: AGENT_GATEWAY_NAME
protocols:
- MCP
googleManaged:
  governedAccessPath: AGENT_TO_ANYWHERE
registries:
  - //agentregistry.googleapis.com/projects/PROJECT_ID/locations/global

    Vervang AGENT_GATEWAY_NAME door een naam voor uw Agent Gateway-resource (zoals ge-agent-gateway) en PROJECT_ID door uw Google Cloud-project-ID.

  2. Maak het configuratiebestand voor de autorisatie-extensie dat naar het beslissingspunt voor Workspace-beleid wijst (ws-pdp-authz-extension.yaml):

    name: AUTHZ_EXT_NAME
service: workspacepolicyengine.pa.googleapis.com
failOpen: true
timeout: 5s

    Vervang AUTHZ_EXT_NAME door een naam voor de autorisatie-extensie (zoals ws-pdp-authz-ext).

  3. Maak het configuratiebestand voor het autorisatiebeleid (ws-pdp-authz-policy.yaml) om de extensie aan je gateway te koppelen:

    name: AUTHZ_POLICY_NAME
target:
  resources:
  - "projects/PROJECT_ID/locations/LOCATION/agentGateways/AGENT_GATEWAY_NAME"
policyProfile: CONTENT_AUTHZ
action: CUSTOM
customProvider:
  authzExtension:
    resources:
    - "projects/PROJECT_ID/locations/LOCATION/authzExtensions/AUTHZ_EXT_NAME"

    Vervang het volgende:

    • AUTHZ_POLICY_NAME: Een naam voor het autorisatiebeleid (zoals ws-pdp-authz-policy).
    • PROJECT_ID: Uw Google Cloud-project-ID.
    • LOCATION: De regio voor uw implementatie (bijvoorbeeld us-central1).
    • AGENT_GATEWAY_NAME: De naam van de agentgateway uit stap 1.
    • AUTHZ_EXT_NAME: De naam van de autorisatie-extensie uit stap 2.

  4. Importeer de YAML-configuratiebestanden met gcloud:

    # Import the Agent Gateway
gcloud beta network-services agent-gateways import AGENT_GATEWAY_NAME \
  --source=agent-gateway.yaml \
  --location=LOCATION \
  --project=PROJECT_ID

# Import the Authorization Extension
gcloud beta service-extensions authz-extensions import AUTHZ_EXT_NAME \
  --source=ws-pdp-authz-extension.yaml \
  --location=LOCATION \
  --project=PROJECT_ID

# Import the Authorization Policy
gcloud beta network-security authz-policies import AUTHZ_POLICY_NAME \
  --source=ws-pdp-authz-policy.yaml \
  --location=LOCATION \
  --project=PROJECT_ID

Stap 5: Controleer de instellingen van Agent Gateway en haal de resourcenaam op

  1. Maak een lijst van de geïmplementeerde agentgateways om te controleren of de import is gelukt:

    gcloud beta network-services agent-gateways list --location=LOCATION --project=PROJECT_ID

  2. Beschrijf de bron Agent Gateway:

    gcloud beta network-services agent-gateways describe AGENT_GATEWAY_NAME --location=LOCATION --project=PROJECT_ID

  3. Kopieer de volledige resourcenaam van Agent Gateway (opgemaakt als projects/PROJECT_ID/locations/LOCATION/agentGateways/AGENT_GATEWAY_NAME, bijvoorbeeld projects/my-project/locations/us-central1/agentGateways/ge-agent-gateway).

Stap 6: Maak verbinding met de Google-identiteitsprovider

  1. Ga in de Gen App Builder Engines Console naar Instellingen en dan Verificatie.
  2. Koppel uw engine aan de Google-identiteitsprovider.
  3. Ga naar Google Cloud Data Source Access Control (Toegangsbeheer voor Google Cloud-gegevensbronnen) voor meer documentatie.

Stap 7: Stel Agent Gateway in in het Gemini Enterprise-exemplaar

  1. Ga in je Gemini Enterprise-instantie naar Gekoppelde gegevensopslag.
  2. Selecteer onder MCP-servers de optie Agent Gateway instellen.
  3. Voer de volledige bronnaam van Agent Gateway in die u in stap 5 heeft gekregen (bijvoorbeeld projects/PROJECT_ID/locations/us-central1/agentGateways/ge-agent-gateway).

Stap 8: Stel toegangsbeheer voor Workspace-agenten in via de Google Beheerdersconsole.

Nadat u de Agent Gateway en het beslissingspunt voor Workspace-beleid heeft ingesteld, kunt u het beleid voor agenttoegang rechtstreeks beheren vanuit de Google Beheerdersconsole:

  1. Ga in de Google Beheerdersconsole naar Menu en dan Agents.
  2. Stel op het tabblad Instellingen het standaardtoegangsbeleid in voor alle Gemini Enterprise-agents. Ga naar Toegang tot Gemini Enterprise-agents beheren voor meer informatie.
  3. Voeg op het tabblad Agentbeheer specifieke agents toe aan uw beheerlijst om afzonderlijke toegangsrechten (Vertrouwd of Geblokkeerd) in te stellen. Ga naar Gemini Enterprise-agents beheren voor Workspace-gebruikers voor meer informatie.