角色与权限

借助 Identity and Access Management (IAM) 角色和权限，您可以控制谁可以在 Agent Registry 中查看、注册和管理智能体、MCP 服务器、工具、独立技能、端点和绑定。

如需向治理项目或管理项目中的用户或群组授予 Agent Registry IAM 角色，请使用 Google Cloud 控制台中的 IAM 页面或 Google Cloud CLI。如需了解详情，请参阅使用 IAM 进行访问权限控制和管理对项目、文件夹和组织的访问权限。

Agent Registry 角色

下表介绍了 Agent Registry IAM 角色及其典型职责：

注意： 请仅向管理注册表的受信任管理员授予 Agent Registry API Admin (roles/agentregistry.admin) 或 Agent Registry API Editor (roles/agentregistry.editor) 角色。避免直接向代理授予这些角色。这些角色包含创建、删除和更新服务的权限，包括修改关键代理元数据和工具注解（例如 readOnlyHint 或 destructiveHint）。如果编排器使用修改后的工具，对元数据和注解的恶意更改可能会导致意外和破坏性后果。此外，具有这些权限的代理可以明确地将恶意外部代理注册到注册表中。

角色	说明	用途
Agent Registry API Admin (roles/agentregistry.admin)	拥有对所有 Agent Registry 资源的完整访问权限，包括智能体、MCP 服务器、工具、端点、独立技能、技能修订版本、绑定和技能 IAM 政策。	注册和管理智能体、MCP 服务器、工具和端点。 创建、更新和删除独立技能和技能修订版本。 创建和管理绑定以及技能 IAM 政策。
Agent Registry API Editor (roles/agentregistry.editor)	拥有对 Agent Registry 资源的编辑权限，包括智能体、MCP 服务器、工具、端点、独立技能和技能修订版本。	注册和管理智能体及 MCP 服务器。 更新工具定义和端点。 创建、更新和删除独立技能和技能修订版本。
Agent Registry API Viewer (roles/agentregistry.viewer)	拥有只读权限，可查看和搜索智能体、MCP 服务器、工具、独立技能、技能修订版本、发布商、端点和绑定。	发现可用的智能体、MCP 服务器和工具。 查看 A2A 技能、独立技能、技能修订版本、发布商、端点和集成绑定。
Agent Registry User (roles/agentregistry.user)	拥有对 Agent Registry 资源的只读权限，以及创建、更新和删除独立技能和技能修订版本的权限。	创建、更新和删除独立技能和技能修订版本，而无需对智能体、MCP 服务器或端点拥有编辑权限。 对技能修订版本进行版本控制，并集中管理技能的活跃状态。

Agent Registry 权限

下表列出了每个 Agent Registry IAM 角色拥有的权限：

Agent Registry API Admin Agent Registry API Editor Agent Registry API Viewer Agent Registry User 全部清除

Agent Registry API Admin ^Beta 版 （roles/agentregistry.admin） 拥有对 Agent Registry API 资源的完整访问权限。	agentregistry.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.create agentregistry.bindings.delete agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.bindings.update agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.getIamPolicy agentregistry.skills.list agentregistry.skills.search agentregistry.skills.setIamPolicy agentregistry.skills.update
Agent Registry API Editor ^Beta 版 （roles/agentregistry.editor） 拥有对 Agent Registry API 资源的编辑权限。	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.* agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.* agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update
Agent Registry API Viewer ^Beta 版 （roles/agentregistry.viewer） 拥有对 Agent Registry API 资源的只读权限。	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search
Agent Registry User ^Beta 版 （roles/agentregistry.user） 创建、更新和删除技能和技能修订版本。	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update

如需详细了解 IAM 权限，请参阅查找合适的预定义角色和 IAM 角色和权限索引。

跨项目管理边界的角色

在 Agent Registry 中为智能体组件配置管理边界时，您必须在以下级别向用户或服务授予 IAM 角色：

• 管理项目：向在边界内发现和管理代理的用户或服务授予管理项目的 Agent Registry 角色。对管理项目拥有查看者访问权限的用户可以发现和搜索来自所有成员项目的智能体和 MCP 服务器，这些成员项目跨越附加到该管理项目的每个边界，而无需在每个单独的成员项目中明确授予查看者权限。如果某个团队不得查看其他边界中的资产，请将该边界分配给单独的 CapabilityConfig 资源和管理项目。
• 成员项目：向在特定成员项目中构建、注册或维护代理和工具的开发者授予这些特定项目的 Agent Registry 角色。
• 边界配置：创建和管理边界配置资源需要对封闭文件夹或组织拥有管理角色。如需了解详情，请参阅 Resource Manager 文档中配置管理边界中的所需角色。

限制成员项目中的本地注册

由于在成员项目中创建的手动注册 Service 和 Binding 资源不会汇总到管理项目，因此安全管理员可以通过以下任一方式在管理项目中强制执行集中注册：

• 在成员项目中屏蔽 agentregistry.googleapis.com：如果开发者不需要在成员项目中直接查询 Agent Registry，请在父级文件夹或组织上应用 constraints/gcp.restrictServiceUsage 组织政策限制条件以拒绝 agentregistry.googleapis.com，并在管理项目中替换该政策。在成员项目上屏蔽 agentregistry.googleapis.com 不会影响从成员项目到管理项目的运行时工作负载的自动发现。

• 允许在成员项目中进行只读发现，并拒绝本地写入：如需在成员项目中保持启用 agentregistry.googleapis.com 以进行本地只读发现，同时要求在管理项目中注册所有 Service 和 Binding 资源，请向开发者授予成员项目的 Agent Registry API Viewer (roles/agentregistry.viewer) 角色，并附加一个 IAM 拒绝政策，以拒绝成员项目中的以下写入权限：

  • agentregistry.googleapis.com/services.create
  • agentregistry.googleapis.com/services.update
  • agentregistry.googleapis.com/services.delete
  • agentregistry.googleapis.com/bindings.create
  • agentregistry.googleapis.com/bindings.update
  • agentregistry.googleapis.com/bindings.delete

已注册资源的访问权限控制

Agent Registry 角色用于控制谁可以管理和发现注册表本身中的资源。如需控制哪些智能体可以通过 Agent Gateway 与已注册的服务、端点和 MCP 服务器通信，您可以使用 Identity-Aware Proxy (IAP) 出站流量政策：

• 出站流量访问权限：如需授权智能体将流量路由到已注册的智能体、MCP 服务器或端点，请向目标资源上的智能体主体授予 IAP-secured Egressor (roles/iap.egressor) 角色。
• 政策管理权限：如需在已注册的资源上配置 IAP Web IAM 政策，您必须在托管注册表的治理项目中获得 IAP 政策管理员 (roles/iap.admin) 角色。

如需详细了解如何配置 IAP 出站政策，请参阅配置 IAM 代理政策。