從 Agent Registry 匯入 A2A 代理

Gemini Enterprise 管理員可以將 A2A 代理從 Agent Registry 新增至 Gemini Enterprise 應用程式。

您可以透過 Agent Gateway，對流量套用存取控管政策。您可以使用這些政策強制執行輸出管理，控管傳送至代理的流量。

關於 A2A 代理和 Agent Registry

Agent2Agent (A2A) 通訊協定是開放式通訊協定，也是代理的通用語言。這項通訊協定可讓不同建構工具和平台的代理相互探索、協作，並安全委派工作。

Agent Registry 是可查詢的集中式目錄，可做為探索、追蹤及管理 A2A 代理、端點和 MCP 伺服器的單一事實來源。

登錄檔中的 A2A 代理可以是您和同事建構的自訂代理，並部署在各種執行階段，例如 Gemini Enterprise Agent Platform 的 Agent Runtime、Cloud Run 或 Google Kubernetes Engine (GKE)。這些代理也可以是 Google 產品 (例如 Google Workspace) 內建的代理。

您可以將 Agent Registry 中的代理與 Gemini Enterprise 應用程式建立關聯，讓應用程式的使用者能使用這些代理。

關於 Agent Gateway

Agent Gateway 是 Agent Platform 的代管區域網路元件，可做為 A2A 代理、MCP 伺服器和端點的流量控制器和執行階段政策強制執行點。這項服務可保護及控管用戶端與 A2A 代理、A2A 代理與後端工具，或 A2A 代理與其他代理之間的連線。

您必須先設定 Agent Gateway，才能將 A2A 代理與 Gemini Enterprise 應用程式建立關聯，以便轉送代理流量。請參閱下方的「事前準備」一節。

登錄檔、閘道和應用程式的區域限制

為確保符合資料落地規定，Agent Registry 和 Agent Gateway 資源都限定於特定專案和區域。

設定 Agent Gateway 時，必須與 Agent Registry 建立關聯，且該 Registry 所在區域必須與 Gemini Enterprise 應用程式的作業區域相容。這可避免違反資料落地慣例。舉例來說，在美國區域建立的 Gemini Enterprise 應用程式，必須使用設定為美國區域代理註冊資料庫的 Agent Gateway，而非全域註冊資料庫。

對於 Gemini Enterprise 應用程式，系統會透過特定繫結程序嚴格執行區域一致性：

  • Gemini Enterprise 應用程式只能繫結至位於該應用程式允許區域內的 Agent Gateway。

  • 所選 Agent Gateway 必須與 Agent Registry 建立關聯。這個 Agent Registry 也必須與 Agent Gateway 和應用程式位於相同的特定區域。

  • 也就是說，這三個元件 (應用程式、閘道和登錄檔) 必須位於相同區域。下表提供特定區域對應：

Gemini Enterprise 應用程式位置 Agent Gateway 位置 Agent Registry 位置
global us-central1 us-central1
us us-central1 us-central1
eu europe-west1 europe-west1

限制

從代理登錄檔匯入代理時，須遵守下列限制：

  • 只有在 Agent Registry 與 Gemini Enterprise 應用程式設定的 Agent Gateway 相關聯時，才能從 Agent Registry 探索及匯入代理。

  • 您只能將管理政策套用至與 Agent Gateway 相關聯的單一登錄檔中的代理。

  • Gemini Enterprise 代理之間，或 Gemini Enterprise 代理與 Gemini Enterprise 資料連接器 (包括自訂 MCP 伺服器等 MCP 連接器) 之間的直接通訊，不會觸發 Agent Gateway 政策強制執行。

事前準備

開始之前，請確認您已完成下列必要條件：

將代理從 Agent Registry 匯入 Gemini Enterprise 應用程式

將 A2A 代理從代理登錄檔匯入 Gemini Enterprise 應用程式，即可讓應用程式的使用者使用該代理。

控制台

如要將代理從 Agent Registry 匯入 Gemini Enterprise 應用程式，請按照下列步驟操作：

  1. 前往 Google Cloud 控制台的「Gemini Enterprise」頁面。

    Gemini Enterprise

  2. 按一下要與 A2A 代理程式建立關聯的應用程式名稱。

  3. 按一下「代理」。

  4. 點選「+ 新增代理」，然後點選「透過 Agent Runtime 建立的自訂代理」的「新增」。

  5. 找到要新增的代理，然後按一下「新增代理」。

  6. 查看代理程式詳細資料，然後點選「下一步」。

  7. 執行下列其中一個步驟：

    • 如果代理程式已公開，或已有執行階段權限，請按一下「Skip & Finish」(略過並完成)。

    • 否則，請查看或輸入「Provider credentials」(供應商憑證) 和「Additional details」(其他詳細資料)，然後按一下「Finish」(完成)。

      欄位 說明
      用戶端 ID 您向識別資訊提供者註冊的 OAuth 應用程式專屬 ID，代表 Gemini Enterprise。
      用戶端密鑰 與 OAuth 應用程式相關聯的機密金鑰，您已向識別資訊提供者註冊該應用程式，代表 Gemini Enterprise。
      授權網址 使用者用來授權 Gemini Enterprise 存取代理的網址。例如：https://accounts.google.com/o/oauth2/v2/auth?client_id=123...abc.apps.googleusercontent&redirect_uri=https%3A%2F%2Fvertexaisearch.cloud.google.com%2Foauth-redirect&oauth-redirect&include_granted_scopes=true&response_type=code&access_type=offline&prompt=consent。
      權杖網址 用來交換存取權杖授權碼的端點。舉例來說，如果代理是由 Google 代管，權杖網址為 https://oauth2.googleapis.com/token。
      範圍 定義 Gemini Enterprise 可代表使用者執行的動作，或可存取的資料。Gemini Enterprise 會在使用者授權期間要求這些範圍。例如：https://www.googleapis.com/auth/cloud-platform。

      指定範圍時，請考量下列事項：
      • 請提供以空格分隔的範圍清單。例如：read write。
      • 請確認範圍足以讓使用者登入及使用代理。
      已啟用 PKCE 驗證機制 如果代理程式需要 Proof Key for Code Exchange，請選取這個選項。

  8. 如要讓應用程式的使用者能使用代理，請按照下列步驟操作：

    1. 依序前往「應用程式」 >「APP_NAME」>「代理」 >「AGENT_NAME」>「使用者授權」，找到代理的使用者授權分頁。

    2. 按一下「person_add」「新增使用者」。

    3. 在「Add user permissions roles to agent」(為代理新增使用者授權角色) 對話方塊中，將「Agent User」(代理使用者) 角色指派給使用者、群組或所有使用者。

設定及套用輸出治理政策

您可以使用 Agent Gateway 評估及套用語意和 IAM 控管政策，控管傳出的代理流量。您可以建立精細的輸出政策，管理 A2A 代理之間的存取權。

您可以定義允許和拒絕規則，限制代理存取代理登錄檔中的特定項目。

如要建立輸出管理規則並套用至代理，請執行下列任一操作：

後續步驟