Mengonfigurasi kebijakan agen IAM

Anda dapat membuat kebijakan izin Identity and Access Management (IAM) untuk mengatur komunikasi agen dengan resource yang terdaftar di Agent Registry. Agent Gateway menggunakan Identity-Aware Proxy (IAP) untuk menerapkan kebijakan.

Halaman Policies di konsol Google Cloud memungkinkan Anda membuat kebijakan izin IAM.

Google Cloud CLI mendukung pembuatan kebijakan izin dan penolakan IAM.

Anda juga dapat membuat Kebijakan Akses Terpadu (UAP) IAM, yang dapat berisi aturan efek izinkan dan efek tolak.

Sebelum memulai

Sebelum Anda membuat kebijakan izin IAM:

  1. Siapkan Google Cloud project penagihan.

  2. Aktifkan Identity-Aware Proxy API (iap.googleapis.com) di project Anda. Gateway menggunakan Identity-Aware Proxy API untuk mengautentikasi dan mengotorisasi traffic keluar dari agen Anda.

  3. Ketahui identitas agen yang aksesnya ingin Anda kelola dari. Untuk mengelola akses dari seluruh registri menggunakan konsol Google Cloud , pilih project yang berisi registri.

    • Agent Platform dan agen Gemini Enterprise: Ketahui identitas agen.

    • Agen DIY (Cloud Run): Ketahui identitas berbasis akun layanan.

  4. Resource agen target—agen, server MCP, dan endpoint—yang ingin Anda kelola aksesnya harus terdaftar di Agent Registry.

    Validasi resource target terjadi saat kebijakan terikat ke resource, bukan saat runtime. Anda tidak dapat mengikat kebijakan ke resource yang tidak terdaftar. Mencoba membuat binding kebijakan untuk resource yang tidak terdaftar akan langsung gagal dengan error entitas yang diminta tidak ditemukan (NOT_FOUND).

    Sebaiknya Anda menentukan dan menerapkan kebijakan dalam pipeline continuous integration dan continuous deployment (CI/CD). Hal ini membantu memastikan bahwa referensi yang tidak valid atau salah ketik terdeteksi selama pemeriksaan integrasi sebelum deployment.

  5. Siapkan Agent Gateway. Sebaiknya Anda mengonfigurasi Agent Gateway dalam mode uji coba terlebih dahulu. Untuk mempelajari Agent Gateway, lihat Ringkasan Agent Gateway.

Peran yang diperlukan

Untuk mendapatkan izin yang diperlukan untuk mengonfigurasi Agent Platform untuk agen AI, minta administrator Anda untuk memberi Anda peran IAM berikut di project Anda:

Untuk mengetahui informasi selengkapnya tentang pemberian peran, lihat Mengelola akses ke project, folder, dan organisasi.

Anda mungkin juga bisa mendapatkan izin yang diperlukan melalui peran khusus atau peran bawaan lainnya.

Membuat kebijakan izin IAM menggunakan IAP

Anda dapat menentukan kebijakan egress untuk jenis interaksi agen berikut:

Membuat kebijakan agent-to-registry

Kebijakan agent-to-registry memungkinkan agen Anda mengakses semua agen, server MCP, dan endpoint di Agent Registry dalam project saat ini.

Konsol

Google Cloud console, lakukan hal berikut:

  1. Pilih agen sumber dan target registry.

    1. Di konsol Google Cloud , buka halaman Policies:

      Buka Kebijakan

    2. Untuk menambahkan UAP IAM untuk egress Agent Gateway, klik Tambahkan kebijakan IAM.
    3. Untuk memilih agen sumber, lakukan tindakan berikut:
      1. Untuk memilih semua agen di Agent Registry yang ada di project yang saat ini dipilih, pilih Semua agen.
      2. Untuk memilih agen tertentu dalam project saat ini, lakukan hal berikut:
        1. Pilih Agen perorangan. Untuk menemukan agen Anda, telusuri dengan menggunakan kolom Filter.
        2. Pilih agen sumber yang ingin Anda beri akses.
        3. Untuk memilih agen, klik OK.
    4. Di Access target, klik Registry.
    5. Untuk membuat kebijakan izin IAM dan mengikatnya di Registry, klik Create.
  2. Untuk membuat kondisi, lakukan hal berikut: Di Kondisi, klik Tambahkan Kondisi. Dalam dialog Add condition, lakukan hal berikut:
    1. Di bagian Title, masukkan nama kondisi.
    2. Di Deskripsi, masukkan deskripsi kondisi.
    3. Untuk menambahkan kondisi menggunakan Pembuat kondisi, lakukan hal berikut:
      1. Di Jenis kondisi, pilih jenis kondisi dari berikut ini:
        1. Nama: akses agen dibatasi berdasarkan nama resource yang diakses.
        2. ReadOnly: apakah akses agen dibatasi untuk membaca data, yang mencegah operasi tulis oleh agen.
        3. Destruktif: apakah agen dapat melakukan tindakan yang dianggap berbahaya atau tidak dapat dibatalkan, seperti menghapus resource.
        4. Idempotensi: apakah akses agen dapat diganti.
        5. Dunia Terbuka: apakah agen dapat berinteraksi dengan "dunia terbuka" entitas eksternal (misalnya, alat penelusuran web). Jika Anda menyetel kondisi ini ke `false`, interaksi agen dianggap ditutup.
      2. Di Operator, pilih operator Boolean.
      3. Di Nilai, pilih nilai untuk kondisi.
    4. Untuk menambahkan kondisi lain, klik Tambahkan kondisi lain.
    5. Untuk menyimpan kondisi, klik Simpan.

gcloud

Untuk membuat kebijakan keluar dari agen ke registry menggunakan gcloud CLI, lakukan hal berikut:

  1. Buat kebijakan IAP yang berisi kebijakan IAM.

    {
  "policy": {
    "bindings": [
      {
        "role": "roles/iap.egressor",
        "members": [
          "AGENT_PRINCIPALS"
        ],
        "condition": {
          CONDITION
        }

      }
    ]
  }
}

    Ganti kode berikut:

    • AGENT_PRINCIPALS: array principal untuk identitas agen sumber. Akun utama dapat berupa array dari satu atau beberapa akun utama individual (principal://...) atau set akun utama (principalSet://...), yang diformat sebagai berikut:
      • Identitas agen bawaan (Agent Runtime, Gemini Enterprise, atau Cloud Run dengan identitas agen): principal://TRUST_DOMAIN/AGENT_UNIQUE_IDENTIFIER—misalnya:
        • Agent Runtime (Mesin Penalaran): principal://agents.global.org-123456789012.system.id.goog/resources/aiplatform/projects/9876543210/locations/us-central1/reasoningEngines/my-agent
        • Gemini Enterprise (Discovery Engine): principal://agents.global.org-123456789012.system.id.goog/resources/discoveryengine/projects/9876543210/locations/global/engines/my-engine/assistants/default_assistant/agents/default/core_assistant
        • Cloud Run (Identitas Agen): principal://agents.global.org-123456789012.system.id.goog/resources/run/projects/9876543210/locations/us-central1/services/my-cloud-run-agent
      • Workload Identity Federation (agen kustom atau eksternal): principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT—misalnya, principal://iam.googleapis.com/projects/1234567890/locations/global/workloadIdentityPools/my-agent-identity/subject/ns/default/sa/my-agent
    • CONDITION:

      parameter kondisi, yang diformat sebagai berikut:

      "condition": {
  "title": "CONDITION_TITLE",
  "description": "CONDITION_DESCRIPTION",
  "expression": "CEL_EXPRESSION"
}

      Ganti kode berikut:

      • CONDITION_TITLE: judul kondisi
      • CONDITION_DESCRIPTION: deskripsi kondisi
      • CEL_EXPRESSION: ekspresi bersyarat. Ekspresi ini harus berupa ekspresi CEL yang valid. Harus bernilai true agar akses diizinkan.

  2. Tetapkan kebijakan izinkan IAM di IAP untuk semua resource di Agent Registry:

    gcloud iap web set-iam-policy agents-iap-policy.json \
    --project=PROJECT_ID \
    --resource-type=agent-registry \
    --region=REGION

    Ganti kode berikut:

    • PROJECT_ID: project ID project yang berisi resource. Atau, Anda dapat mengikat kebijakan ke folder atau organisasi dengan menentukan flag --folder atau --organization.
    • REGION: region tempat resource berada

    Contoh berikut menunjukkan akses keluar untuk hierarki agen:

    {
"policy": {
  "bindings": [
    {
      "role": "roles/iap.egressor",
      "members": [
        "principalSet://agents.global.org-ORGANIZATION_ID.system.id.goog/attribute.platformContainer/aiplatform/projects/1234"
      ]
    }
  ]
}
}

Membuat kebijakan egress agen-ke-agen

Konsol

Untuk menentukan kebijakan traffic keluar antar-agen menggunakan konsol Google Cloud , lakukan hal berikut:

  1. Di konsol Google Cloud , buka halaman Policies:

    Buka Kebijakan

  2. Untuk menambahkan UAP IAM untuk egress Agent Gateway, klik Tambahkan kebijakan IAM.
  3. Untuk memilih agen sumber, lakukan tindakan berikut:
    1. Untuk memilih semua agen di Agent Registry yang ada di project yang saat ini dipilih, pilih Semua agen.
    2. Untuk memilih agen tertentu dalam project saat ini, lakukan hal berikut:
      1. Pilih Agen perorangan. Untuk menemukan agen Anda, telusuri dengan menggunakan kolom Filter.
      2. Pilih agen sumber yang ingin Anda beri akses.
      3. Untuk memilih agen, klik OK.
  4. Di Target akses, klik Agen.
  5. Di Pilih Agen, pilih Agen target yang Anda inginkan untuk diakses oleh agen sumber Anda. Untuk menemukan Agen, telusuri berdasarkan menggunakan kolom filter Filter.
  6. Untuk membuat kebijakan izin IAM dan mengikatnya di Agen, klik Create.

gcloud

  1. Buat kebijakan izin IAM dalam file berformat JSON.

    {
  "policy": {
    "bindings": [
      {
        "role": "roles/iap.egressor",
        "members": [
          "AGENT_PRINCIPALS"
        ]
      }
    ]
  }
}

    Ganti kode berikut:

    • AGENT_PRINCIPALS: array principal untuk identitas agen sumber. Akun utama dapat berupa array dari satu atau beberapa akun utama individual (principal://...) atau set akun utama (principalSet://...), yang diformat sebagai berikut:
      • Identitas agen bawaan (Agent Runtime, Gemini Enterprise, atau Cloud Run dengan identitas agen): principal://TRUST_DOMAIN/AGENT_UNIQUE_IDENTIFIER—misalnya:
        • Agent Runtime (Mesin Penalaran): principal://agents.global.org-123456789012.system.id.goog/resources/aiplatform/projects/9876543210/locations/us-central1/reasoningEngines/my-agent
        • Gemini Enterprise (Discovery Engine): principal://agents.global.org-123456789012.system.id.goog/resources/discoveryengine/projects/9876543210/locations/global/engines/my-engine/assistants/default_assistant/agents/default/core_assistant
        • Cloud Run (Identitas Agen): principal://agents.global.org-123456789012.system.id.goog/resources/run/projects/9876543210/locations/us-central1/services/my-cloud-run-agent
      • Workload Identity Federation (agen kustom atau eksternal): principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT—misalnya, principal://iam.googleapis.com/projects/1234567890/locations/global/workloadIdentityPools/my-agent-identity/subject/ns/default/sa/my-agent

  2. Ikat kebijakan IAM ke IAP.

    gcloud iap web set-iam-policy agents-iap-policy.json \
    --project=PROJECT_ID \
    --resource-type=agent-registry \
    --agent=AGENT_ID \
    --region=REGION

    Ganti kode berikut:

    • PROJECT_ID: project ID project yang berisi resource. Atau, Anda dapat mengikat kebijakan ke folder atau organisasi dengan menentukan flag --folder atau --organization.
    • AGENT_ID: ID agen
    • REGION: region tempat resource berada

Membuat kebijakan keluar dari server MCP ke agen

Konsol

Untuk menentukan kebijakan keluar dari agen ke server MCP menggunakan konsol Google Cloud , lakukan hal berikut:

  1. Di konsol Google Cloud , buka halaman Policies:

    Buka Kebijakan

  2. Untuk menambahkan UAP IAM untuk egress Agent Gateway, klik Tambahkan kebijakan IAM.
  3. Untuk memilih agen sumber, lakukan tindakan berikut:
    1. Untuk memilih semua agen di Agent Registry yang ada di project yang saat ini dipilih, pilih Semua agen.
    2. Untuk memilih agen tertentu dalam project saat ini, lakukan hal berikut:
      1. Pilih Agen perorangan. Untuk menemukan agen Anda, telusuri dengan menggunakan kolom Filter.
      2. Pilih agen sumber yang ingin Anda beri akses.
      3. Untuk memilih agen, klik OK.
  4. Di Target akses, klik Server MCP.
  5. Di Select MCP server, pilih server MCP target yang ingin diakses oleh agen sumber Anda. Untuk menemukan server MCP, telusuri berdasarkan menggunakan filter Filter.
  6. Untuk membuat kebijakan izin IAM dan mengikatnya di server MCP, klik Create.

  1. Buat kondisi:

    Di Kondisi, klik Tambahkan Kondisi. Dalam dialog Tambahkan kondisi, lakukan hal berikut:

    1. Di bagian Title, masukkan nama kondisi.
    2. Di Deskripsi, masukkan deskripsi kondisi.
    3. Untuk menambahkan kondisi menggunakan Pembuat kondisi, lakukan hal berikut:
      1. Di Jenis kondisi, pilih jenis kondisi dari berikut ini:
        1. Nama: akses agen dibatasi berdasarkan nama resource yang diakses.
        2. ReadOnly: apakah akses agen dibatasi untuk membaca data, yang mencegah operasi tulis oleh agen.
        3. Destruktif: apakah agen dapat melakukan tindakan yang dianggap berbahaya atau tidak dapat dibatalkan, seperti menghapus resource.
        4. Idempotensi: apakah akses agen dapat diganti.
        5. Dunia Terbuka: apakah agen dapat berinteraksi dengan "dunia terbuka" entitas eksternal (misalnya, alat penelusuran web). Jika Anda menyetel kondisi ini ke `false`, interaksi agen dianggap ditutup.
      2. Di Operator, pilih operator Boolean.
      3. Di Nilai, pilih nilai untuk kondisi.
    4. Untuk menambahkan kondisi lain, klik Tambahkan kondisi lain.
    5. Untuk menyimpan kondisi, klik Simpan.

gcloud

Untuk membuat kebijakan keluar server agent-to-MCP menggunakan gcloud CLI, lakukan hal berikut:

  1. Buat kebijakan izin IAM dalam file berformat JSON.

    {
  "policy": {
    "bindings": [
      {
        "role": "roles/iap.egressor",
        "members": [
          "AGENT_PRINCIPALS"
        ],
        "condition": {
          CONDITION
        }

      }
    ]
  }
}

    Ganti kode berikut:

    • AGENT_PRINCIPALS: array principal untuk identitas agen sumber. Akun utama dapat berupa array dari satu atau beberapa akun utama individual (principal://...) atau set akun utama (principalSet://...), yang diformat sebagai berikut:
      • Identitas agen bawaan (Agent Runtime, Gemini Enterprise, atau Cloud Run dengan identitas agen): principal://TRUST_DOMAIN/AGENT_UNIQUE_IDENTIFIER—misalnya:
        • Agent Runtime (Mesin Penalaran): principal://agents.global.org-123456789012.system.id.goog/resources/aiplatform/projects/9876543210/locations/us-central1/reasoningEngines/my-agent
        • Gemini Enterprise (Discovery Engine): principal://agents.global.org-123456789012.system.id.goog/resources/discoveryengine/projects/9876543210/locations/global/engines/my-engine/assistants/default_assistant/agents/default/core_assistant
        • Cloud Run (Identitas Agen): principal://agents.global.org-123456789012.system.id.goog/resources/run/projects/9876543210/locations/us-central1/services/my-cloud-run-agent
      • Workload Identity Federation (agen kustom atau eksternal): principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT—misalnya, principal://iam.googleapis.com/projects/1234567890/locations/global/workloadIdentityPools/my-agent-identity/subject/ns/default/sa/my-agent
    • CONDITION:

      parameter kondisi, yang diformat sebagai berikut:

      "condition": {
  "title": "CONDITION_TITLE",
  "description": "CONDITION_DESCRIPTION",
  "expression": "CEL_EXPRESSION"
}

      Ganti kode berikut:

      • CONDITION_TITLE: judul kondisi
      • CONDITION_DESCRIPTION: deskripsi kondisi
      • CEL_EXPRESSION: ekspresi bersyarat. Ekspresi ini harus berupa ekspresi CEL yang valid. Harus bernilai true agar akses diizinkan.

  2. Ikat kebijakan IAM ke IAP.

    gcloud iap web set-iam-policy agents-iap-policy.json \
    --project=PROJECT_ID \
    --resource-type=agent-registry \
    --mcp-server=MCP_SERVER_ID \\
    --region=REGION

    Ganti kode berikut:

    • PROJECT_ID: project ID project yang berisi resource. Atau, Anda dapat mengikat kebijakan ke folder atau organisasi dengan menentukan flag --folder atau --organization.
    • MCP_SERVER_ID: ID server MCP
    • REGION: region tempat resource berada

    Contoh berikut menunjukkan kebijakan izin IAM yang memberikan akses hanya baca ke agen DIY ke alat bernama GitHubTool menggunakan jenis otorisasi MCP.

    {
"policy": {
  "bindings": [
    {
      "role": "roles/iap.egressor",
      "members": [
        "principal://iam.googleapis.com/projects/1234567890/locations/global/workloadIdentityPools/my-pool.svc.id.goog/subject/ns/default/sa/my-ae-agent"
      ],
      "condition": {
        "title": "Allow AE Agent Read-Only Egress to GitHub MCP server",
        "expression": "api.getAttribute('iap.googleapis.com/mcp.toolName', '') == 'GitHubTool' && api.getAttribute('iap.googleapis.com/mcp.tool.isReadOnly', false) == true && api.getAttribute('iap.googleapis.com/request.auth.type', '') == 'MCP'"
      }
    }
  ]
}
}

Membuat kebijakan egress agent-ke-endpoint

Konsol

Untuk menentukan kebijakan traffic keluar dari agen ke endpoint menggunakan konsol Google Cloud , lakukan hal berikut:

  1. Di konsol Google Cloud , buka halaman Policies:

    Buka Kebijakan

  2. Untuk menambahkan UAP IAM untuk egress Agent Gateway, klik Tambahkan kebijakan IAM.
  3. Untuk memilih agen sumber, lakukan tindakan berikut:
    1. Untuk memilih semua agen di Agent Registry yang ada di project yang saat ini dipilih, pilih Semua agen.
    2. Untuk memilih agen tertentu dalam project saat ini, lakukan hal berikut:
      1. Pilih Agen perorangan. Untuk menemukan agen Anda, telusuri dengan menggunakan kolom Filter.
      2. Pilih agen sumber yang ingin Anda beri akses.
      3. Untuk memilih agen, klik OK.
  4. Di Access target, klik Endpoint.
  5. Di Select Endpoint, pilih Endpoint target yang ingin diakses oleh agen sumber Anda. Untuk menemukan Endpoint, telusuri berdasarkan menggunakan filter Filter.
  6. Untuk membuat kebijakan izin IAM dan mengikatnya di Endpoint, klik Create.

  1. Buat kondisi:

    Di Kondisi, klik Tambahkan Kondisi. Dalam dialog Tambahkan kondisi, lakukan hal berikut:

    1. Di bagian Title, masukkan nama kondisi.
    2. Di Deskripsi, masukkan deskripsi kondisi.
    3. Untuk menambahkan kondisi menggunakan Pembuat kondisi, lakukan hal berikut:
      1. Di Jenis kondisi, pilih jenis kondisi dari berikut ini:
        1. Nama: akses agen dibatasi berdasarkan nama resource yang diakses.
        2. ReadOnly: apakah akses agen dibatasi untuk membaca data, yang mencegah operasi tulis oleh agen.
        3. Destruktif: apakah agen dapat melakukan tindakan yang dianggap berbahaya atau tidak dapat dibatalkan, seperti menghapus resource.
        4. Idempotensi: apakah akses agen dapat diganti.
        5. Dunia Terbuka: apakah agen dapat berinteraksi dengan "dunia terbuka" entitas eksternal (misalnya, alat penelusuran web). Jika Anda menyetel kondisi ini ke `false`, interaksi agen dianggap ditutup.
      2. Di Operator, pilih operator Boolean.
      3. Di Nilai, pilih nilai untuk kondisi.
    4. Untuk menambahkan kondisi lain, klik Tambahkan kondisi lain.
    5. Untuk menyimpan kondisi, klik Simpan.

gcloud

  1. Buat kebijakan izin IAM dalam file berformat JSON.

    {
  "policy": {
    "bindings": [
      {
        "role": "roles/iap.egressor",
        "members": [
          "AGENT_PRINCIPALS"
        ]
      }
    ]
  }
}

    Ganti kode berikut:

    • AGENT_PRINCIPALS: array principal untuk identitas agen sumber. Akun utama dapat berupa array dari satu atau beberapa akun utama individual (principal://...) atau set akun utama (principalSet://...), yang diformat sebagai berikut:
      • Identitas agen bawaan (Agent Runtime, Gemini Enterprise, atau Cloud Run dengan identitas agen): principal://TRUST_DOMAIN/AGENT_UNIQUE_IDENTIFIER—misalnya:
        • Agent Runtime (Mesin Penalaran): principal://agents.global.org-123456789012.system.id.goog/resources/aiplatform/projects/9876543210/locations/us-central1/reasoningEngines/my-agent
        • Gemini Enterprise (Discovery Engine): principal://agents.global.org-123456789012.system.id.goog/resources/discoveryengine/projects/9876543210/locations/global/engines/my-engine/assistants/default_assistant/agents/default/core_assistant
        • Cloud Run (Identitas Agen): principal://agents.global.org-123456789012.system.id.goog/resources/run/projects/9876543210/locations/us-central1/services/my-cloud-run-agent
      • Workload Identity Federation (agen kustom atau eksternal): principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT—misalnya, principal://iam.googleapis.com/projects/1234567890/locations/global/workloadIdentityPools/my-agent-identity/subject/ns/default/sa/my-agent

  2. Ikat kebijakan IAM ke IAP.

    gcloud iap web set-iam-policy agents-iap-policy.json \
    --project=PROJECT_ID \
    --resource-type=agent-registry \
    --endpoint=ENDPOINT_ID \
    --region=REGION

    Ganti kode berikut:

    • PROJECT_ID: project ID project yang berisi resource. Atau, Anda dapat mengikat kebijakan ke folder atau organisasi dengan menentukan flag --folder atau --organization.
    • ENDPOINT_ID: ID endpoint
    • REGION: region tempat resource berada

Mengautentikasi server MCP Cloud Run Anda dengan IAP

Untuk mengonfigurasi autentikasi berbasis IAP untuk server MCP yang Anda deploy di Cloud Run, lakukan hal berikut:

  1. Aktifkan IAP di Cloud Run.

  2. Berikan peran Invoker ke agen layanan IAP:

    gcloud run services add-iam-policy-binding SERVICE_NAME \
    --member='serviceAccount:service-PROJECT_NUMBER@gcp-sa-iap.iam.gserviceaccount.com' \
    --role='roles/run.invoker'

    Ganti kode berikut:

    • SERVICE_NAME: nama layanan
    • PROJECT_NUMBER: nomor project

  3. Aktifkan IAP di layanan Cloud Run baru atau yang sudah ada.

    Layanan baru

    Untuk men-deploy layanan baru, jalankan perintah berikut:

    gcloud run deploy SERVICE_NAME \
  --image=CONTAINER_IMAGE \
  --region=REGION \
  --project=PROJECT_ID \
  --allow-unauthenticated \
  --iap \
  --functional-type=mcp-server

    Ganti kode berikut:

    • SERVICE_NAME: nama layanan
    • CONTAINER_IMAGE: image container Anda
    • REGION: region tempat Anda men-deploy layanan
    • PROJECT_ID: ID project tempat Cloud Run diaktifkan.

    Layanan yang ada

    Untuk mengupdate layanan yang ada, jalankan perintah berikut:

    gcloud run services update SERVICE_NAME \
  --region=REGION \
  --iap \
  --functional-type=mcp-server

    Ganti kode berikut:

    • SERVICE_NAME: Nama layanan.
    • REGION: Region.

  4. Buat dan konfigurasi klien OAuth.

    Ikuti petunjuk di Membagikan klien OAuth untuk akses terprogram guna mendaftarkan ID klien universal klien OAuth Anda untuk digunakan dengan IAP.

    Pastikan untuk mencatat nilai berikut yang Anda peroleh saat menyelesaikan langkah ini:

    • Client ID OAuth
    • Rahasia Klien OAuth
    • URI Pengalihan

  5. Konfigurasi klien Anda seperti Gemini CLI atau agen Anda untuk menghubungkan server MCP yang di-deploy dengan mengedit file settings.json yang berada di direktori beranda Gemini Anda (~/.gemini/).

    Berikut adalah template settings.json:

    {
  "mcpServers": {
    "my_mcp_server": {
      "httpUrl": "https://SERVICE_URL",
      "oauth": {
        "enabled": "true",
        "clientId": "OAUTH_CLIENT_ID",
        "clientSecret": "OAUTH_CLIENT_SECRET",
        "scopes": [ "email", "openid" ],
        "redirectUri": "REDIRECT_URI"
      }
    }
  }
}

    Ganti kode berikut:

    • SERVICE_URL: URL layanan Cloud Run Anda.
    • OAUTH_CLIENT_ID: ID Klien dari Langkah 2.
    • OAUTH_CLIENT_SECRET: Client Secret dari Langkah 2.
    • REDIRECT_URI: URI pengalihan, yang harus cocok dengan Langkah 2.

  6. Uji bahwa Anda dapat terhubung ke server MCP.

Langkah berikutnya

Ringkasan

Dapatkan ringkasan Agent Gateway.

Panduan

Mengonfigurasi kebijakan konten dan bisnis

Pelajari cara mengonfigurasi konten dan kebijakan bisnis.

Panduan

Pelajari cara menguji kebijakan.