从 Agent Registry 导入 A2A 代理

作为 Gemini Enterprise 的管理员，您可以将 Agent Registry 中的 A2A 智能体添加到 Gemini Enterprise 应用。

您可以通过 Agent Gateway 对流量应用访问权限控制政策。借助这些政策，您可以强制执行出站流量治理，以控制流向代理的流量。

A2A 智能体和 Agent Registry 简介

Agent2Agent (A2A) 协议是一种开放通信协议，也是智能体的通用语言。该协议使来自不同构建方和平台的代理能够相互发现、协作并安全地委托任务。

Agent Registry 是一个集中式、可查询的目录，可作为发现、跟踪和管理 A2A 智能体、端点和 MCP 服务器的单一事实来源。

注册表中的 A2A 智能体可以是您和您的同事构建的自定义智能体，并部署在各种运行时上，例如 Gemini Enterprise Agent Platform 上的 Agent Runtime、Cloud Run 或 Google Kubernetes Engine (GKE)。这些代理也可以是内置于 Google 产品（例如 Google Workspace）中的代理。

您可以将 Agent Registry 中的代理与 Gemini Enterprise 应用相关联，以便应用最终用户使用这些代理。

Agent Gateway 简介

Agent Gateway 是 Agent Platform 的托管式区域网络组件，充当 A2A 智能体、MCP 服务器和端点的流量控制器和运行时政策执行点。它负责保障和管控以下连接：客户端与 A2A 智能体之间的连接；A2A 智能体与后端工具之间的连接；以及 A2A 智能体与其他智能体之间的连接。

您需要先设置一个 Agent Gateway，以便通过它路由智能体流量，然后才能将 A2A 智能体与 Gemini Enterprise 应用相关联。请参阅下文中的准备工作。

注册表、网关和应用的区域限制

为确保符合数据驻留要求，Agent Registry 和 Agent Gateway 资源均特定于项目和区域。

必须将 Agent Gateway 配置为与 Agent Registry 关联，且该 Agent Registry 所在的区域必须与 Gemini Enterprise 应用的运营区域兼容。这样可以防止违反数据驻留惯例。例如，在美国区域创建的 Gemini Enterprise 应用必须使用配置了美国区域 Agent Registry 的 Agent Gateway，而不是全球 Agent Registry。

对于 Gemini Enterprise 应用，系统会通过特定的绑定流程严格执行区域一致性：

  • Gemini Enterprise 应用只能绑定到位于该应用允许的区域之一内的 Agent Gateway。

  • 所选 Agent Gateway 必须与 Agent Registry 相关联。 此 Agent Registry 还必须与 Agent Gateway 和应用位于同一特定区域。

  • 这意味着这三个组件（应用、网关和注册表）必须在区域上保持一致。下表提供了具体的区域映射：

Gemini Enterprise 应用位置 Agent Gateway 位置 Agent Registry 位置
global us-central1 us-central1
us us-central1 us-central1
eu europe-west1 europe-west1

限制

从智能体注册表导入智能体时，存在以下限制：

  • 只有当 Agent Registry 与为 Gemini Enterprise 应用设置的 Agent Gateway 相关联时，您才能从 Agent Registry 中发现和导入智能体。

  • 您只能将治理政策应用于位于与 Agent Gateway 关联的单个注册表中的代理。

  • Gemini Enterprise 代理之间或 Gemini Enterprise 代理与 Gemini Enterprise 数据连接器（包括基于 MCP 的连接器，例如自定义 MCP 服务器）之间的直接通信不会触发 Agent Gateway 政策执行。

准备工作

在开始之前，请确保您已满足以下前提条件：

将智能体从智能体注册表导入 Gemini Enterprise 应用

将 A2A 智能体从智能体注册表导入 Gemini Enterprise 应用后，该智能体便可供应用最终用户使用。

控制台

如需将代理从 Agent Registry 导入 Gemini Enterprise 应用，请执行以下操作：

  1. 在 Google Cloud 控制台中，前往 Gemini Enterprise 页面。

    Gemini Enterprise

  2. 点击要与 A2A 智能体关联的应用的名称。

  3. 点击代理。

  4. 点击 + 添加智能体，然后点击通过 Agent Runtime 构建的自定义智能体对应的添加。

  5. 找到要添加的代理，然后点击添加代理。

  6. 查看代理详情，然后点击下一步。

  7. 执行下列其中一项操作：

    • 如果代理已公开提供，或者运行时权限已存在，请点击跳过并完成。

    • 否则，请查看或输入提供商凭证和其他详细信息，然后点击完成。

      字段 说明
      客户端 ID (Client ID) 您向身份提供方注册的 OAuth 应用的唯一标识符，用于代表 Gemini Enterprise。
      客户端密钥 与您在身份提供方注册的代表 Gemini Enterprise 的 OAuth 应用关联的机密密钥。
      授权网址 用户用于授权 Gemini Enterprise 访问智能体的网址。例如 https://accounts.google.com/o/oauth2/v2/auth?client_id=123...abc.apps.googleusercontent&redirect_uri=https%3A%2F%2Fvertexaisearch.cloud.google.com%2Foauth-redirect&oauth-redirect&include_granted_scopes=true&response_type=code&access_type=offline&prompt=consent。
      令牌网址 用于将授权代码交换为访问令牌的端点。例如，如果代理由 Google 托管，则令牌网址为 https://oauth2.googleapis.com/token。
      镜 这些权限定义了 Gemini Enterprise 可以代表用户执行哪些操作，或可以访问哪些数据。 Gemini Enterprise 会在用户授权期间请求这些范围。例如 https://www.googleapis.com/auth/cloud-platform。

      指定范围时，请考虑以下事项：
      • 提供以空格分隔的范围列表。例如：read write。
      • 确保范围足以让用户登录并使用智能体。
      已启用 PKCE 验证 如果代理需要用于代码交换的证明密钥，请选择此选项。

  8. 如需向应用的最终用户提供代理，请执行以下操作：

    1. 前往代理的用户权限标签页：应用 > APP_NAME > 代理 > AGENT_NAME > 用户权限。

    2. 点击 添加用户。

    3. 在向代理添加用户权限角色对话框中，将代理用户角色分配给用户、群组或所有用户。

设置并应用出站流量治理政策

使用 Agent Gateway，您可以评估语义和 IAM 控制政策，并将其应用于出站智能体流量。您可以创建精细的出站流量政策，以管理 A2A 智能体的智能体到智能体访问权限。

您可以定义允许和拒绝规则，以限制智能体对智能体注册表中特定条目的访问权限。

如需创建出站流量治理规则并将其应用于代理，请执行以下任一操作：

后续步骤