Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

設定代理閘道

如要集中控管存取權，並確保代理工作流程的連線安全，您可以設定 Agent Gateway 資源，管理輸入或輸出流量。

設定閘道前，請先參閱 Agent Gateway 總覽，瞭解基本概念和核心元件。

所需權限

必須具備下列權限，才能建立及管理 Agent Gateway。您可以透過自訂角色或其他預先定義的角色取得這些權限。

所需權限

agentregistry.agents.list
agentregistry.endpoints.list
agentregistry.mcpServers.list
compute.networkAttachments.create
compute.networkAttachments.delete
compute.networkAttachments.get
compute.networkAttachments.list
compute.networkAttachments.update
compute.regionOperations.get
compute.regions.list
modelarmor.templates.list
networksecurity.authzPolicies.create
networksecurity.authzPolicies.delete
networksecurity.authzPolicies.get
networksecurity.authzPolicies.list
networksecurity.operations.get
networkservices.agentConnectivityTemplates.create
networkservices.agentConnectivityTemplates.delete
networkservices.agentConnectivityTemplates.get
networkservices.agentConnectivityTemplates.list
networkservices.agentConnectivityTemplates.update
networkservices.agentGateways.create
networkservices.agentGateways.delete
networkservices.agentGateways.get
networkservices.agentGateways.list
networkservices.agentGateways.update
networkservices.agentGateways.use
networkservices.authzExtensions.create
networkservices.authzExtensions.delete
networkservices.authzExtensions.get
networkservices.authzExtensions.list
networkservices.authzExtensions.update
networkservices.authzExtensions.use
networkservices.operations.get
certificatemanager.trustconfigs.create
certificatemanager.trustconfigs.get
certificatemanager.trustconfigs.list
certificatemanager.trustconfigs.use

必要 API

在部署 Agent Gateway 的 Google Cloud 專案中，啟用下列最低必要 API：

Compute Engine API (compute.googleapis.com)：提供核心網路基礎架構、子網路、轉送和 Private Service Connect (PSC) 網路連結。
網路安全 API (networksecurity.googleapis.com)：建立並強制執行閘道流量的授權政策 (authzPolicies)。
Network Services API (networkservices.googleapis.com)：管理 Agent Gateway 資源 (agentGateways)、連線能力範本 (agentConnectivityTemplates) 和授權擴充功能 (authzExtensions)。
Identity and Access Management API (iam.googleapis.com)：管理服務帳戶和代理身分的 IAM 統一存取權政策 (UAP)。
Identity-Aware Proxy API (iap.googleapis.com)：驗證及確認代理程式、端點和伺服器流量。
Agent Registry API (agentregistry.googleapis.com)：註冊及管理由閘道控管的代理、MCP 伺服器和工具端點。

如要啟用最低限度的必要 API，請執行下列指令：

gcloud services enable \
    compute.googleapis.com \
    networksecurity.googleapis.com \
    networkservices.googleapis.com \
    iam.googleapis.com \
    iap.googleapis.com \
    agentregistry.googleapis.com \
    --project=PROJECT_ID

將 PROJECT_ID 替換為部署 Agent Gateway 的專案 ID。

視您搭配 Agent Gateway 使用的功能、觀測能力工具和 Agent Runtime 而定，您可能也需要啟用選用 API：

依功能劃分的選用 API

私人虛擬私有雲連線能力和傳輸層安全標準：TLS：
- Cloud DNS API (dns.googleapis.com)：只有在您使用 Cloud DNS 對接設定虛擬私有雲連線能力，以解析私人網域時，才需要啟用這項 API。
- Certificate Manager API (certificatemanager.googleapis.com)：只有在連線至使用私人 CA 或自行簽署憑證的私人後端時，設定自訂 TLS 信任錨點 (TrustConfig)，才需要啟用。
AI 安全性和內容篩選器：
- Model Armor API (modelarmor.googleapis.com)：只有在啟用 Model Armor 防護機制，檢查及篩選提示詞注入、有害內容和私密資料時，才需要啟用。
觀測能力和稽核：
- Cloud Logging API (logging.googleapis.com)：擷取閘道存取記錄、安全性稽核記錄，以及模擬測試政策評估事件。
- Cloud Monitoring API (monitoring.googleapis.com)：追蹤閘道健康狀態、延遲時間、處理量和錯誤率，並設定作業警告。
- Observability API (observability.googleapis.com)：提供代理和閘道活動的整合式觀測能力和作業資訊主頁。
- Telemetry API (telemetry.googleapis.com)：收集及串流各平台元件的執行階段遙測和成效指標。
- Cloud Trace API (cloudtrace.googleapis.com)：提供分散式追蹤功能，可檢查代理和後端之間的多躍點要求。
Agent Runtime 和語意管理：
- Vertex AI API (aiplatform.googleapis.com)：如果專案託管 Agent Runtime 代理，或使用語意管理政策，則必須啟用這項 API。
- Discovery Engine API (discoveryengine.googleapis.com)：託管 Gemini Enterprise 應用程式和代理的專案必須啟用。
- Agent Identity API (agentidentity.googleapis.com)：只有在使用 Agent Identity 驗證管理工具管理傳出憑證，或在 Google Cloud 控制台查看 Agent Identity 驗證提供者時，才需要啟用。

規劃 Agent Gateway 部署作業

請參閱本節內容，規劃 Agent Gateway 部署作業，並瞭解管理架構需求。註冊新目的地、新增存取控管政策或部署更多代理程式時，可以重新執行這些步驟。

選擇部署模式

Agent Gateway 支援兩種部署模式：

用戶端至代理 (輸入)：保護從用戶端到 Google Cloud上執行的代理的通訊。
代理至任何位置 (輸出)：保護代理與外部目標、公開 API 和 MCP 伺服器之間的通訊。

選取執行階段、專案和部署區域

Agent Gateway 會控管 Gemini Enterprise 和 Runtime 上執行的代理流量。

Agent Runtime：Agent Gateway 支援「代理至任何位置」(輸出) 和「用戶端至代理」(輸入) 模式。在「代理到任何位置」模式中，代理可以與閘道位於相同或不同的專案。在「用戶端對代理」模式中，代理必須與閘道位於相同專案。無論採用哪種模式，代理程式都必須與閘道位於相同區域。
Gemini Enterprise：Agent Gateway 僅支援 Agent-to-Anywhere (輸出) 模式。使用 Gemini Enterprise 時，每個閘道只會控管部署專案和區域範圍內的代理互動。

如要管理 Gemini Enterprise 和 Runtime 中的代理，可以使用單一 Agent Gateway 執行個體。或者，您也可以為 Gemini Enterprise 和 Runtime 部署獨立的 Agent Gateway 執行個體。

部署模式範例

以下提供幾個部署模式範例供您參考：

Runtime 代理的跨專案管理

在這個部署模式中，您會在專屬的管理專案中，部署代理到任何位置 (輸出) 的 Agent Gateway。執行階段代理會部署在與閘道相同區域的不同專案中，且可屬於組織內的任何資料夾。

如要設定跨專案輸出治理，請設定下列資源：

在中央管理專案中：

建立 Agent Gateway。確認閘道已與 Agent Registry 執行個體建立關聯。
使用附加至閘道的 Agent Registry，註冊跨專案代理，以及任何工具、伺服器或端點。
將跨專案 IAM 權限授予各專案的執行階段服務代理，讓這些專案中的代理可以繫結至管理專案中的閘道。如需範例，請參閱「透過 Agent Gateway 轉送執行階段流量」。
設定 IAP 政策、主體存取邊界，以及與 SPIFFE 相容的 Workload Identity，控管及保護傳送至授權端點的輸出流量。
建立要用於輸出的 Model Armor 範本。
如要輸出至虛擬私有雲網路，您可以在管理專案中建立 PSC 網路連結、私人 CA 的自訂 TLS 信任錨點 (tlsConfig)，以及 DNS 對接設定。

在 Agent Runtime 專案中：

部署代理，並將其繫結至管理專案中的中央閘道。

請注意，只有具備 Agent-to-Anywhere (輸出) 閘道的執行階段，才支援跨專案管理，Gemini Enterprise 則不支援。

Gemini Enterprise 和 Runtime 代理的共用管理機制

在這個部署模式中，來自 Gemini Enterprise 應用程式和 Runtime 代理的所有流量，都會透過單一 Agent Gateway 轉送。

以下是部署作業範例：

Gemini Enterprise 應用程式會以 global 部署項目形式部署。
執行階段代理會部署在與 Gemini Enterprise 部署項目對應的單一區域 (us-central1)。
Agent Gateway 部署在相同區域 (us-central1)。
us-central1 Agent Registry 執行個體與 Agent Gateway 相關聯。您必須在這個 Agent Registry 執行個體中註冊代理和目的地。

獨立管理 Gemini Enterprise 和執行階段代理

在這個部署模式中，每個區域都有專屬的 Agent Gateway，用於監控及控管代理流量，確保區域隔離：

Gemini Enterprise 應用程式部署於 global、us 或 eu。
執行階段代理會部署在每個需要的區域。
Agent Gateway 執行個體會部署在代理和應用程式所在的各個區域。
您必須在與各閘道相關聯的區域 Agent Registry 執行個體中，註冊代理和目的地。

設定代理身分

每個由 Agent Gateway 管理的代理，都必須有專屬的代理身分 (SPIFFE ID)。由於 IAM 存取權政策取決於這項 Workload Identity，因此系統預設會封鎖來自不明代理的流量。

在執行階段部署代理時，您可以佈建代理身分，或將其指派給現有的代理工作負載。如需詳細操作說明，請參閱「搭配使用代理程式身分與執行階段」。

註冊代理和目的地資源

如要啟用安全通訊，您必須識別 Agent Registry 執行個體，並註冊閘道控管的資源。

找出要使用的區域 Agent Registry 執行個體。每個 Agent Gateway 都會與單一區域註冊資料庫 (//agentregistry.googleapis.com/projects/PROJECT_ID/locations/REGION) 建立關聯，該資料庫位於部署閘道的相同專案和區域：
- Agent Runtime：參照部署 Agent Gateway 的專案和區域中的區域註冊資料庫。在託管閘道的中央管理專案區域登錄檔中，註冊跨專案代理。
- Gemini Enterprise：參照與 Agent Gateway 位於相同專案和區域的區域註冊資料庫 (us-central1 適用於 global 和 us 應用程式，europe-west1 適用於 eu 應用程式)。詳情請參閱「規劃位置和代理程式註冊資料庫對應」。
請務必將代理、端點和 MCP 伺服器註冊至與 Agent Gateway 建立關聯的區域註冊資料庫執行個體。
在 Agent Registry 註冊代理。如果您尚未建立代理，則必須稍後完成這個步驟。如需操作說明，請參閱「註冊代理」。
建議做法：找出並註冊代理會呼叫的所有工具、MCP 伺服器和 API 端點 (包括基本平台 API)。代理一律需要 IAM 存取權政策，將 iap.resources.egressViaIAP 權限授予代理身分，才能存取目的地。建議您在代理程式登錄檔中註冊資源，以便強制執行精細的個別資源政策和工具層級控制項。如果目的地未註冊，您必須為未註冊的端點設定政策，將這項權限授予代理。

如果目的地與閘道位於不同專案，則必須在閘道專案的 Agent Registry 中註冊。這類目的地僅適用於 Agent-to-Anywhere 模式的執行階段代理。

如需操作說明，請參閱下列指南：
- 註冊 MCP 伺服器
- 註冊端點

設定存取控管政策

每個 Agent Gateway 都必須有相關聯的授權政策。

IAM (僅限代理至任意目的地模式)

設定 IAM 政策，將 iap.resources.egressViaIAP 權限指派給代理身分主體，用於您在 Agent Registry 中註冊的每個目的地資源。

根據預設，Agent Gateway 會封鎖所有流量，除非 IAM 存取政策明確授權代理存取目的地資源，方法是將 iap.resources.egressViaIAP 權限授予代理身分。

建議您在 Agent Registry 中註冊目的地，這樣就能將政策範圍限定在特定資源，並套用精細的工具控制項。如果目的地未在 Agent Registry 中註冊，您必須為未註冊的端點設定政策，將 iap.resources.egressViaIAP 權限授予代理。

請確保所有註冊資料庫層級的繫結，都與為 Agent Gateway 設定的區域 Agent Registry 執行個體相符。

如需操作說明，請參閱「建立 IAM 代理政策」。

如要驗證設定，同時不封鎖流量，建議您一開始先以模擬測試模式部署 IAP。

Model Armor

(選用) 如果部署作業需要防範提示詞注入式攻擊、越獄、有害內容或敏感資料外洩，請規劃 Model Armor 護欄整合，並使用所需的安全篩選器建立範本。

如需詳細資訊，請參閱下列文件：

語意管理政策

(選用) 您可以選擇在代理中新增以自然語言為基礎的情境感知控制項，防範工具組合產生有害內容。

建議您先以模擬測試模式部署 semantic governance policy，以便在不封鎖流量的情況下驗證設定。詳情請參閱「設定 semantic governance policy」。

自訂授權引擎

(選用) 如果想使用 Service Extensions 將授權委派給自訂授權引擎或第三方系統，請務必在部署閘道時，確保自訂授權引擎可用。

您可以在初始設定 Agent Gateway 時，啟用 Model Armor、semantic governance policy 和任何其他自訂授權引擎，也可以在部署後附加，做為增量安全性政策更新。

在代理至任意目的地 (輸出) 模式設定 Agent Gateway

在 Agent-to-Anywhere (輸出) 模式設定 Agent Gateway 時，您可以設定受控管流量如何到達目的地端點和工具。請根據網路和安全性需求，選擇下列其中一種部署選項：

網際網路輸出：閘道會透過網際網路，將代理流量安全地轉送至可公開存取的端點和 API。如要設定具備網際網路輸出功能的 Agent Gateway，請按照本頁的操作說明操作。
虛擬私有雲網路輸出：閘道會使用 Private Service Connect 網路連結，將代理流量私下轉送至虛擬私有雲網路。您可以選擇透過虛擬私有雲網路轉送所有流量 (ALL_TRAFFIC)，或只轉送目的地為私人 IP 位址範圍的流量 (PRIVATE_RANGES_ONLY)。

如要設定具備虛擬私有雲輸出的 Agent Gateway，請務必按照「設定 Agent Gateway 的虛擬私有雲連線能力」一文的操作說明操作。

注意： 如要為 Agent Gateway 部署作業啟用 VPC Service Controls 範圍強制執行功能，必須設定虛擬私有雲輸出。VPC Service Controls 僅支援 2026 年 9 月 8 日後建立，且使用代理連線範本設定虛擬私有雲連線的 Agent Gateway 部署作業。

請按照下列步驟，建立 Agent-to-Anywhere 通訊的 Agent Gateway 資源。

Google Cloud 控制台

前往 Google Cloud 控制台的「Agent Gateway」頁面。
前往「Gateways」(閘道)
按一下「Add gateway」(新增閘道)。
輸入名稱。
從「Region」(區域) 清單中選取區域。
在「Deployment mode」(部署模式) 部分，確認已選取「Google-managed」(Google 代管)。
在「Agent registries」(代理登錄檔)，選取與 Agent Gateway 區域相符的區域登錄檔。如需指引，請參閱「規劃 Agent Gateway 部署作業」。
從「Governed Access Path」(受管理的存取路徑) 清單中，選取「Agent-to-Anywhere (Agent Egress)」(代理至任何位置 (代理輸出))。
在「Access Authorization」(存取權授權) 部分，選擇 IAP 處理流量的方式：
- 如要以模擬測試模式部署閘道，讓閘道允許所有流量通過，並僅產生稽核記錄，請選取「Audit-only」(僅限稽核)。在模擬測試模式下，IAP 不會強制執行 IAM 政策。確認無誤後，即可停用模擬測試模式，強制執行 IAM 政策。
- 如要封鎖沒有明確 Allow IAM 政策的要求，請選取「Enforce policies」(強制執行政策)。建議在正式環境中使用這個選項。
- 在「政策模型」部分，選取「統一存取政策」。
注意： 強烈建議使用統一存取政策，享有進階、功能豐富且精細的存取控管機制。如要取代現有閘道的舊版允許政策，請前往「政策」UI，並在「UAP」分頁手動重新定義規則。詳情請參閱「建立 IAM 代理政策」。
選用：在「AI Security」(AI 安全性) 部分，設定其他安全性選項：
1. 如要使用 Model Armor 保護 AI 模型互動，請開啟「啟用 Model Armor」。
2. 從清單中選取適用於傳入閘道要求的範本。
3. 如要為回覆使用其他範本，請清除「Use same template for requests and responses」(要求和回覆使用相同的範本)，然後從清單中選取範本。
  
  重要事項： 使用 Model Armor 時，必須授予 Agent Gateway 服務帳戶必要權限，才能使用 Model Armor 範本。詳情請參閱「將授權委派給 Model Armor」。
點選「新增閘道」。

gcloud

您可以使用 YAML 以宣告方式定義 Agent Gateway。

定義資源，並將設定儲存至 YAML 檔案。在本範例中，我們使用 my-agent-gateway-egress.yaml。
```
name: AGENT_GATEWAY_NAME
protocols:
  - MCP
googleManaged:
  governedAccessPath: AGENT_TO_ANYWHERE
registries:
  - AGENT_REGISTRY_PATH
```
更改下列內容：
- AGENT_GATEWAY_NAME：Agent Gateway 資源的名稱。
- AGENT_REGISTRY_PATH：區域 Agent Registry 執行個體的路徑，格式為 //agentregistry.googleapis.com/projects/PROJECT_ID/locations/LOCATION。該執行個體與閘道位於相同專案和區域。如需指引，請參閱「規劃 Agent Gateway 部署作業」。
執行下列指令，根據 YAML 規格建立 Agent Gateway 資源：
```
gcloud network-services agent-gateways import AGENT_GATEWAY_NAME \
 --source="my-agent-gateway-egress.yaml" \
 --location=LOCATION
```
將 LOCATION 替換為要建立 Agent Gateway 資源的位置。例如：us-central1。

請注意，如果是 Gemini Enterprise，您必須在與應用程式位置對應的區域部署 Agent Gateway。如需必要的位置對應，請參閱「透過 Agent Gateway 轉送 Gemini Enterprise 流量」。
建立授權政策，對通過 Agent Gateway 的流量強制執行集中式存取控管和管理政策。下列步驟說明如何設定使用 IAP 的授權政策。
1. 設定指向 IAP 的授權擴充功能。在 YAML 檔案中定義擴充功能，例如 iap-request-authz-extension.yaml。請使用下列範例值：
```
cat >iap-request-authz-extension.yaml <<EOF
name: AUTHORIZATION_EXTENSION_NAME
service: iap.googleapis.com
failOpen: false
timeout: 1s
metadata:
  iapPolicyVersion: "V2"
EOF
```
  如要以模擬測試「僅限稽核」模式部署擴充功能，在不強制執行授權政策的情況下測試政策，可以在 metadata 區塊中指定 iamEnforcementMode 欄位。這可讓您驗證政策，並盡可能降低因設定錯誤而中斷流量的風險：
```
cat >iap-request-authz-extension.yaml <<EOF
name: AUTHORIZATION_EXTENSION_NAME
service: iap.googleapis.com
failOpen: false
timeout: 1s
metadata:
  iapPolicyVersion: "V2"
  iamEnforcementMode: "DRY_RUN"
EOF
```
  準備好開始強制執行政策時，請從 metadata 區塊中移除 iamEnforcementMode: "DRY_RUN" 欄位。
  
  注意： 強烈建議使用 UAP (iapPolicyVersion: "V2")，進行進階、精細且明確的存取控管。如要取代現有閘道的舊版允許政策 (iapPolicyVersion: "V1")，請前往「政策」UI，並在「UAP」分頁手動重新定義規則。詳情請參閱「建立 IAM 代理政策」。
2. 將 YAML 設定檔匯入授權擴充功能。
```
gcloud beta service-extensions authz-extensions import AUTHORIZATION_EXTENSION_NAME \
  --source=iap-request-authz-extension.yaml \
  --location=LOCATION
```
  將 AUTHORIZATION_EXTENSION_NAME 替換成授權擴充功能的名稱，例如 my-iap-request-authz-ext。
3. 在 YAML 檔案 (例如 iap-request-authz-policy.yaml) 中定義授權政策，將擴充功能與閘道建立關聯：
```
cat >iap-request-authz-policy.yaml <<EOF
name: AUTHORIZATION_POLICY_NAME
target:
  resources:
    - "projects/PROJECT_ID/locations/LOCATION/agentGateways/AGENT_GATEWAY_NAME"
policyProfile: REQUEST_AUTHZ
action: CUSTOM
customProvider:
  authzExtension:
    resources:
      - "projects/PROJECT_ID/locations/LOCATION/authzExtensions/AUTHORIZATION_EXTENSION_NAME"
EOF
```
  更改下列內容：
  - AUTHORIZATION_POLICY_NAME：授權政策的名稱，例如 my-iap-request-authz-policy
  - PROJECT_ID：專案 ID
4. 將 YAML 設定檔匯入授權政策。
```
gcloud network-security authz-policies import AUTHORIZATION_POLICY_NAME \
  --source=iap-request-authz-policy.yaml \
  --location=LOCATION
```
選用：如要設定 Model Armor 防護機制，保護部署作業免受提示詞注入攻擊和機密資料外洩，請參閱「將授權委派給 Model Armor」。

Terraform

如要使用 google 供應商，在集中管理專案中，以宣告方式佈建 Agent-to-Anywhere (輸出) Agent Gateway，以及相關聯的 IAP 授權擴充功能和政策，請按照下列步驟操作：

建立 google_network_services_agent_gateway 資源，並連結區域性 Agent Registry 執行個體：

resource "google_network_services_agent_gateway" "egress_gateway" {
  project   = "PROJECT_ID"
  location  = "LOCATION"
  name      = "AGENT_GATEWAY_NAME"
  protocols = ["MCP"]

  google_managed {
    governed_access_path = "AGENT_TO_ANYWHERE"
  }

  registries = [
    "//agentregistry.googleapis.com/projects/PROJECT_ID/locations/LOCATION",
  ]
}

設定 IAP google_network_services_authz_extension，並使用 google_network_security_authz_policy 將其附加至閘道：

resource "google_network_services_authz_extension" "iap_request_authz_ext" {
  project   = "PROJECT_ID"
  location  = "LOCATION"
  name      = "my-iap-request-authz-ext"
  service   = "iap.googleapis.com"
  timeout   = "1s"
  fail_open = false

  metadata = {
    iapPolicyVersion = "V2"
    # Uncomment the following line to deploy in dry-run (audit-only) mode:
    # iamEnforcementMode = "DRY_RUN"
  }
}

resource "google_network_security_authz_policy" "iap_request_authz_policy" {
  project        = "PROJECT_ID"
  location       = "LOCATION"
  name           = "my-iap-request-authz-policy"
  policy_profile = "REQUEST_AUTHZ"
  action         = "CUSTOM"

  target {
    resources = [
      google_network_services_agent_gateway.egress_gateway.id
    ]
  }

  custom_provider {
    authz_extension {
      resources = [
        google_network_services_authz_extension.iap_request_authz_ext.id
      ]
    }
  }
}

建立 Agent Gateway 後，該閘道會做為主要連線點，在專案和所選區域內轉送代理流量。您現在可以使用這個端點，在代理與目的地 (工具、其他代理或其他端點) 之間，建立安全、加密且經過驗證的通訊管道。

請再次查看本頁面的「規劃 Agent Gateway 部署作業」一節，確認代理已註冊至 Agent Registry，且代理已取得所有嘗試連線目的地的 iap.resources.egressViaIAP 權限。如果遇到連線問題，請參閱「排解 Agent Gateway 連線問題」。

接下來，請瞭解如何部署代理，並透過 Agent Gateway 轉送流量。

在「用戶端至代理 (輸入)」模式設定 Agent Gateway

本節說明如何設定 Agent Gateway，用於用戶端對代理通訊。

請按照下列步驟建立 Agent Gateway 資源。

Google Cloud 控制台

前往 Google Cloud 控制台的「Agent Gateway」頁面。
前往「Gateways」(閘道)
按一下「Add gateway」(新增閘道)。
輸入名稱。
從「Region」(區域) 清單中選取區域。
在「Deployment mode」(部署模式) 部分，確認已選取「Google-managed」(Google 代管)。
將「Agent registry」(代理程式登錄檔) 設定保持原樣。登錄檔不會用於輸入。
從「Governed Access Path」(受管理的存取路徑) 清單中，選取「Client-to-Agent (ingress)」(用戶端至代理 (輸入))。
(選用) 在「AI Security」(AI 安全性) 部分，設定其他安全性功能：
1. 如要使用 Model Armor 保護 AI 模型互動，請開啟「啟用 Model Armor」。
  
  注意： 如果 Model Armor 範本與閘道位於不同專案，您必須手動將特定權限授予 Agent Gateway 服務帳戶。詳情請參閱「將授權委派給 Model Armor」。
2. 從清單中選取適用於傳入閘道要求的範本。
3. 如要為回覆使用其他範本，請清除「Use same template for requests and responses」(要求和回覆使用相同的範本)，然後從清單中選取範本。
點選「新增閘道」。

gcloud

您可以使用 YAML 以宣告方式定義 Agent Gateway。

定義資源，並將設定儲存至 YAML 檔案。在本範例中，我們使用 my-agent-gateway-ingress.yaml。
```
name: AGENT_GATEWAY_NAME
protocols:
  - MCP
googleManaged:
  governedAccessPath: CLIENT_TO_AGENT
```
將 AGENT_GATEWAY_NAME 替換為 Agent Gateway 資源名稱。
執行下列指令，根據 YAML 規格建立 Agent Gateway 資源：
```
gcloud network-services agent-gateways import AGENT_GATEWAY_NAME \
 --source="my-agent-gateway-ingress.yaml" \
 --location=LOCATION
```
將 LOCATION 替換為要建立 Agent Gateway 資源的位置。例如：us-central1。

Terraform

如要使用 google 供應商，以宣告方式佈建用戶端至代理 (輸入) Agent Gateway 資源，請按照下列步驟操作：

resource "google_network_services_agent_gateway" "ingress_gateway" {
  project   = "PROJECT_ID"
  location  = "LOCATION"
  name      = "AGENT_GATEWAY_NAME"
  protocols = ["MCP"]

  google_managed {
    governed_access_path = "CLIENT_TO_AGENT"
  }
}

建立 Agent Gateway 後，該閘道會做為主要連線點，將流量轉送至專案和所選區域中的代理。

接下來，請瞭解如何部署代理，並透過 Agent Gateway 轉送流量。

部署代理並透過 Agent Gateway 轉送流量

如要部署 Agent Runtime 代理，並透過 Agent Gateway 轉送流量，請參閱「透過 Agent Gateway 轉送流量」。

如要部署 Gemini Enterprise 代理，並透過 Agent Gateway 轉送流量，請參閱「透過 Agent Gateway 轉送 Gemini Enterprise 流量」。

Codelabs

如需設定及使用 Agent Gateway 的端對端示範，請參閱下列程式碼實驗室：

使用 Agent Platform 管理代理工作負載：瞭解如何在 Agent Runtime 部署受管理的 ADK 代理。
從 Agent Runtime 到 Google Cloud MCP 伺服器的 Agent Gateway 輸出：瞭解如何以 Agent-to-Anywhere 模式設定 Agent Gateway，控管 ADK 代理對 Google Cloud MCP 伺服器的呼叫。
從 Agent Runtime 到外部 MCP 伺服器的 Agent Gateway 輸出：瞭解如何以 Agent-to-Anywhere 模式設定 Agent Gateway，控管 ADK 代理對外部 MCP 伺服器的呼叫。
從 Agent Runtime 到虛擬私有雲網路的 Agent Gateway 輸出：瞭解如何以 Agent-to-Anywhere 模式設定 Agent Gateway，控管 ADK 代理對虛擬私有雲網路中目的地的呼叫。
跨專案 Agent Runtime 代理的 Agent Gateway 控管：瞭解如何以 Agent-to-Anywhere 模式設定 Agent Gateway，控管跨專案 Agent Runtime 代理。
從 Gemini Enterprise 傳出私人 Agent Gateway：瞭解如何為 Gemini Enterprise 設定私人 Agent Gateway 輸出治理。

後續步驟

指南

設定代理閘道

所需權限

所需權限

必要 API

依功能劃分的選用 API

規劃 Agent Gateway 部署作業

選擇部署模式

選取執行階段、專案和部署區域

部署模式範例

設定代理身分

註冊代理和目的地資源

設定存取控管政策

在代理至任意目的地 (輸出) 模式設定 Agent Gateway

Google Cloud 控制台

gcloud

Terraform

在「用戶端至代理 (輸入)」模式設定 Agent Gateway

Google Cloud 控制台

gcloud

Terraform

部署代理並透過 Agent Gateway 轉送流量

Codelabs

後續步驟

透過 Agent Gateway 轉送 Agent Runtime 流量

委派 Agent Gateway 授權

監控 Agent Gateway

疑難排解 Agent Gateway

透過 Agent Gateway 轉送 Gemini Enterprise 流量

設定代理閘道 透過集合功能整理內容 你可以依據偏好儲存及分類內容。

所需權限

所需權限

必要 API

依功能劃分的選用 API

規劃 Agent Gateway 部署作業

選擇部署模式

選取執行階段、專案和部署區域

部署模式範例

設定代理身分

註冊代理和目的地資源

設定存取控管政策

在代理至任意目的地 (輸出) 模式設定 Agent Gateway

Google Cloud 控制台

gcloud

Terraform

在「用戶端至代理 (輸入)」模式設定 Agent Gateway

Google Cloud 控制台

gcloud

Terraform

部署代理並透過 Agent Gateway 轉送流量

Codelabs

後續步驟

透過 Agent Gateway 轉送 Agent Runtime 流量

委派 Agent Gateway 授權

監控 Agent Gateway

疑難排解 Agent Gateway

透過 Agent Gateway 轉送 Gemini Enterprise 流量

設定代理閘道