Konfigurera Agent Gateway för Workspace MCP-ingångstrafik

Utgåvor som stöds för den här funktionen: Gemini Enterprise.

Du kan konfigurera ett Google Cloud-projekt för att ansluta till Google Workspace MCP-servrar via en dataanslutning och aktivera Agent Gateway med Workspace Policy Decision Point (PDP) för att få Workspace-styrning på dem.

Genom att konfigurera Agent Gateway med Workspace PDP kan AI-agenter (till exempel Gemini Enterprise-agenter) få åtkomst till Workspace-appdata (till exempel Google Drive) samtidigt som åtkomstkontrollpolicyer som konfigurerats direkt i Googles administratörskonsol tillämpas.

Förutsättningar

Innan du konfigurerar Agent Gateway behöver du följande:

Steg 1: Skapa eller välj ett Google Cloud-projekt

  1. Skapa ett nytt Google Cloud-projekt eller välj ett befintligt projekt för den här konfigurationen i Google Cloud Console och notera projekt-id:t (till exempel my-project-id).

Steg 2: Aktivera nödvändiga API:er för nätverk och säkerhet

Aktivera API:erna för nätverkstjänster och nätverkssäkerhet i Google Cloud-projektet med hjälp av gcloud eller Cloud Console:

gcloud services enable networkservices.googleapis.com \
                       networksecurity.googleapis.com \
                       --project=PROJECT_ID

Ersätt PROJECT_ID med ditt Google Cloud-projekt-id.

Steg 3: Aktivera Agent Registry API och MCP

  1. Gå till API:er och tjänster följt av Bibliotek i Google Cloud Console.
  2. Sök efter och aktivera Agent Registry API (agentregistry.googleapis.com).
  3. Aktivera Google Drive MCP eller andra MCP-servrar som behövs för arbetsflödet. Mer information finns i Registrera MCP-servrar.

Viktigt! När du aktiverar MCP-servrar med Agent Gateway som tillval dirigerar Gemini Enterprise endast trafik till gatewayen för standarddatakopplingar från första part (1P) och tredje part (3P). Det går inte att konfigurera en anpassad dataanslutning med Workspace-datastyre.

Steg 4: Skapa och importera Agent Gateway- och auktoriseringsresurser

Konfigurera agentgatewayen, auktoriseringstillägget (beslutspunkt för Workspace-policy) och resurserna för auktoriseringspolicy. Du kan definiera dessa resurser deklarativt med YAML-konfigurationsfiler och importera dem med gcloud:

  1. Skapa konfigurationsfilen för Agent Gateway (agent-gateway.yaml):

    name: AGENT_GATEWAY_NAME
protocols:
- MCP
googleManaged:
  governedAccessPath: AGENT_TO_ANYWHERE
registries:
  - //agentregistry.googleapis.com/projects/PROJECT_ID/locations/global

    Ersätt AGENT_GATEWAY_NAME med ett namn för Agent Gateway-resursen (till exempel ge-agent-gateway) och PROJECT_ID med ditt Google Cloud-projekt-id.

  2. Skapa konfigurationsfilen för auktoriseringstillägget som pekar på Workspace Policy Decision Point (ws-pdp-authz-extension.yaml):

    name: AUTHZ_EXT_NAME
service: workspacepolicyengine.pa.googleapis.com
failOpen: true
timeout: 5s

    Ersätt AUTHZ_EXT_NAME med ett namn för auktoriseringstillägget (till exempel ws-pdp-authz-ext).

  3. Skapa konfigurationsfilen för auktoriseringsprincipen (ws-pdp-authz-policy.yaml) för att koppla tillägget till gatewayen:

    name: AUTHZ_POLICY_NAME
target:
  resources:
  - "projects/PROJECT_ID/locations/LOCATION/agentGateways/AGENT_GATEWAY_NAME"
policyProfile: CONTENT_AUTHZ
action: CUSTOM
customProvider:
  authzExtension:
    resources:
    - "projects/PROJECT_ID/locations/LOCATION/authzExtensions/AUTHZ_EXT_NAME"

    Ersätt följande:

    • AUTHZ_POLICY_NAME: Ett namn på auktoriseringspolicyn (till exempel ws-pdp-authz-policy).
    • PROJECT_ID: Ditt Google Cloud-projekt-id.
    • LOCATION: Regionen för implementeringen (till exempel us-central1).
    • AGENT_GATEWAY_NAME: Namnet på agentgatewayen från steg 1.
    • AUTHZ_EXT_NAME: Namnet på auktoriseringstillägget från steg 2.

  4. Importera YAML-konfigurationsfilerna med gcloud:

    # Import the Agent Gateway
gcloud beta network-services agent-gateways import AGENT_GATEWAY_NAME \
  --source=agent-gateway.yaml \
  --location=LOCATION \
  --project=PROJECT_ID

# Import the Authorization Extension
gcloud beta service-extensions authz-extensions import AUTHZ_EXT_NAME \
  --source=ws-pdp-authz-extension.yaml \
  --location=LOCATION \
  --project=PROJECT_ID

# Import the Authorization Policy
gcloud beta network-security authz-policies import AUTHZ_POLICY_NAME \
  --source=ws-pdp-authz-policy.yaml \
  --location=LOCATION \
  --project=PROJECT_ID

Steg 5: Verifiera konfigurationen av Agent Gateway och hämta resursnamnet

  1. Visa listan över distribuerade Agent Gateways för att verifiera att importen lyckades:

    gcloud beta network-services agent-gateways list --location=LOCATION --project=PROJECT_ID

  2. Beskriv resursen Agent Gateway:

    gcloud beta network-services agent-gateways describe AGENT_GATEWAY_NAME --location=LOCATION --project=PROJECT_ID

  3. Kopiera det fullständiga resursnamnet för Agent Gateway (formaterat som projects/PROJECT_ID/locations/LOCATION/agentGateways/AGENT_GATEWAY_NAME, till exempel projects/my-project/locations/us-central1/agentGateways/ge-agent-gateway).

Steg 6: Anslut till Googles identitetsleverantör

  1. Navigera till Inställningar följt av Autentisering i Gen App Builder Engines Console.
  2. Anslut motorn till Googles identitetsleverantör.
  3. Mer dokumentation finns i Åtkomstkontroll för Google Cloud-datakällor.

Steg 7: Konfigurera Agent Gateway i Gemini Enterprise-instansen

  1. Navigera till Anslutna datalager i din Gemini Enterprise (GE) Instance.
  2. Välj Konfigurera Agent Gateway under MCP-servrar.
  3. Ange det fullständiga resursnamnet för Agent Gateway som du fick i steg 5 (till exempel projects/PROJECT_ID/locations/us-central1/agentGateways/ge-agent-gateway).

Steg 8: Konfigurera åtkomstkontroller för Workspace-representanter i Googles administratörskonsol

När du har konfigurerat Agent Gateway och Workspace Policy Decision Point kan du hantera agentåtkomstpolicyer direkt från Googles administratörskonsol:

  1. Öppna Meny i Googles administratörskonsol följt av Agenter.
  2. Konfigurera standardåtkomstpolicyn för alla Gemini Enterprise-agenter på fliken Inställningar. Mer information finns i Kontrollera åtkomsten till Gemini Enterprise-agenter.
  3. På fliken Agenthantering lägger du till specifika agenter i hanteringslistan för att konfigurera enskilda åtkomstbehörigheter (Betrodd eller Blockerad). Mer information finns i Hantera Gemini Enterprise-agenter för Workspace-användare.