Konfigurowanie bramy agentów na potrzeby dostępu do serwera MCP Workspace

Ta funkcja jest dostępna w wersji Gemini Enterprise.

Możesz skonfigurować projekt w chmurze Google Cloud, aby łączyć się z serwerami MCP Google Workspace za pomocą łącznika danych, i włączyć opcjonalną Bramę agentów z punktem decyzyjnym zasad Workspace (PDP) w celu zarządzania Workspace.

Skonfigurowanie bramy agentów z usługą PDP Workspace umożliwia agentom AI (np. agentom Gemini Enterprise) dostęp do danych aplikacji Workspace (np. Dysk Google) przy jednoczesnym egzekwowaniu zasad kontroli dostępu skonfigurowanych bezpośrednio w konsoli administracyjnej Google.

Wymagania wstępne

Przed skonfigurowaniem bramy agentów musisz mieć:

Krok 1. Utwórz lub wybierz projekt Google Cloud

  1. W konsoli Google Cloud utwórz nowy projekt w chmurze Google Cloud lub wybierz istniejący projekt w chmurze, w którym chcesz przeprowadzić konfigurację. Zanotuj identyfikator projektu (np. my-project-id).

Krok 2. Włącz wymagane interfejsy API sieciowe i zabezpieczeń

Włącz interfejsy Network Services API i Network Security API w projekcie Google Cloud za pomocą gcloud lub konsoli Cloud:

gcloud services enable networkservices.googleapis.com \
                       networksecurity.googleapis.com \
                       --project=PROJECT_ID

Zastąp PROJECT_ID identyfikatorem projektu Google Cloud.

Krok 3. Włącz interfejs Agent Registry API i MCP

  1. W konsoli Google Cloud otwórz Interfejsy API i usługi a potem Biblioteka.
  2. Wyszukaj i włącz Agent Registry API (agentregistry.googleapis.com).
  3. Włącz serwer MCP Dysku Google lub inne serwery MCP potrzebne w Twoim procesie. Szczegółowe informacje znajdziesz w artykule Rejestrowanie serwerów MCP.

Ważne: gdy włączysz serwery MCP z bramą agenta wymagającą zgody użytkownika, Gemini Enterprise będzie kierować ruch do bramy tylko w przypadku standardowych łączników danych własnych i innych firm. Konfigurowanie niestandardowego łącznika danych nie jest obsługiwane w przypadku zarządzania danymi w Workspace.

Krok 4. Utwórz i zaimportuj zasoby bramy agenta i autoryzacji

Skonfiguruj bramę agenta, rozszerzenie autoryzacji (punkt decyzyjny zasad Workspace) i zasoby zasad autoryzacji. Możesz zdefiniować te zasoby deklaratywnie za pomocą plików konfiguracji YAML i zaimportować je za pomocą polecenia gcloud:

  1. Utwórz plik konfiguracji bramy agenta (agent-gateway.yaml):

    name: AGENT_GATEWAY_NAME
protocols:
- MCP
googleManaged:
  governedAccessPath: AGENT_TO_ANYWHERE
registries:
  - //agentregistry.googleapis.com/projects/PROJECT_ID/locations/global

    Zastąp AGENT_GATEWAY_NAME nazwą zasobu bramy agenta (np. ge-agent-gateway), a PROJECT_ID – identyfikatorem projektu Google Cloud.

  2. Utwórz plik konfiguracji rozszerzenia autoryzacji wskazujący punkt decyzyjny zasad obszaru roboczego (ws-pdp-authz-extension.yaml):

    name: AUTHZ_EXT_NAME
service: workspacepolicyengine.pa.googleapis.com
failOpen: true
timeout: 5s

    Zastąp AUTHZ_EXT_NAME nazwą rozszerzenia autoryzacji (np. ws-pdp-authz-ext).

  3. Utwórz plik konfiguracji zasad autoryzacji (ws-pdp-authz-policy.yaml), aby powiązać rozszerzenie z bramą:

    name: AUTHZ_POLICY_NAME
target:
  resources:
  - "projects/PROJECT_ID/locations/LOCATION/agentGateways/AGENT_GATEWAY_NAME"
policyProfile: CONTENT_AUTHZ
action: CUSTOM
customProvider:
  authzExtension:
    resources:
    - "projects/PROJECT_ID/locations/LOCATION/authzExtensions/AUTHZ_EXT_NAME"

    Zastąp te elementy:

    • AUTHZ_POLICY_NAME: nazwa zasady autoryzacji (np. ws-pdp-authz-policy).
    • PROJECT_ID: identyfikator Twojego projektu Google Cloud;
    • LOCATION: region wdrożenia (na przykład us-central1).
    • AGENT_GATEWAY_NAME: nazwa bramy agenta z kroku 1.
    • AUTHZ_EXT_NAME: nazwa rozszerzenia autoryzacji z kroku 2.

  4. Zaimportuj pliki konfiguracji YAML za pomocą ikony gcloud:

    # Import the Agent Gateway
gcloud beta network-services agent-gateways import AGENT_GATEWAY_NAME \
  --source=agent-gateway.yaml \
  --location=LOCATION \
  --project=PROJECT_ID

# Import the Authorization Extension
gcloud beta service-extensions authz-extensions import AUTHZ_EXT_NAME \
  --source=ws-pdp-authz-extension.yaml \
  --location=LOCATION \
  --project=PROJECT_ID

# Import the Authorization Policy
gcloud beta network-security authz-policies import AUTHZ_POLICY_NAME \
  --source=ws-pdp-authz-policy.yaml \
  --location=LOCATION \
  --project=PROJECT_ID

Krok 5. Zweryfikuj konfigurację bramy agenta i uzyskaj nazwę zasobu

  1. Wyświetl listę wdrożonych bram agentów, aby sprawdzić, czy import się powiódł:

    gcloud beta network-services agent-gateways list --location=LOCATION --project=PROJECT_ID

  2. Opisz zasób bramy agenta:

    gcloud beta network-services agent-gateways describe AGENT_GATEWAY_NAME --location=LOCATION --project=PROJECT_ID

  3. Skopiuj pełną nazwę zasobu bramy agenta (w formacie projects/PROJECT_ID/locations/LOCATION/agentGateways/AGENT_GATEWAY_NAME, np. projects/my-project/locations/us-central1/agentGateways/ge-agent-gateway).

Krok 6. Połącz się z dostawcą tożsamości Google

  1. W konsoli silników Kreatora aplikacji generatywnych kliknij Ustawienia a potem Uwierzytelnianie.
  2. Połącz silnik z dostawcą tożsamości Google.
  3. Dodatkowe informacje znajdziesz w artykule Kontrola dostępu do źródła danych Google Cloud.

Krok 7. Skonfiguruj bramę agentów w instancji Gemini Enterprise

  1. W instancji Gemini Enterprise (GE) otwórz Połączone magazyny danych.
  2. W sekcji Serwery MCP kliknij Skonfiguruj bramę agenta.
  3. Wpisz pełną nazwę zasobu bramy agenta uzyskaną w kroku 5 (np. projects/PROJECT_ID/locations/us-central1/agentGateways/ge-agent-gateway).

Krok 8. Skonfiguruj kontrolę dostępu agenta Workspace w konsoli administracyjnej Google

Po skonfigurowaniu bramy agenta i punktu decyzyjnego zasad Workspace możesz zarządzać zasadami dostępu agenta bezpośrednio w konsoli administracyjnej Google:

  1. W konsoli administracyjnej Google otwórz Menu a potem Agenty.
  2. Na karcie Ustawienia skonfiguruj domyślne zasady dostępu dla wszystkich agentów Gemini Enterprise. Szczegółowe informacje znajdziesz w artykule Kontrolowanie dostępu do agentów Gemini Enterprise.
  3. Na karcie Zarządzanie agentami dodaj konkretnych agentów do listy zarządzania, aby skonfigurować indywidualne uprawnienia dostępu (Zaufane lub Zablokowane). Szczegółowe informacje znajdziesz w artykule Zarządzanie agentami Gemini Enterprise dla użytkowników Workspace.