角色与权限

借助 Identity and Access Management (IAM) 角色和权限，您可以控制谁可以在 Agent Registry 中查看、注册和管理智能体、MCP 服务器、工具、独立技能、端点和绑定。

如需向治理项目中的用户或群组授予 Agent Registry IAM 角色，请使用 Google Cloud 控制台中的 IAM 页面或 Google Cloud CLI。如需查看详细说明，请参阅使用 IAM 进行访问权限控制和管理对项目、文件夹和组织的访问权限。

Agent Registry 角色

下表介绍了 Agent Registry IAM 角色及其典型职责：

注意： 请仅向管理注册表的受信任管理员授予 Agent Registry API Admin (roles/agentregistry.admin) 或 Agent Registry API Editor (roles/agentregistry.editor) 角色。避免直接向代理授予这些角色。这些角色包含创建、删除和更新服务的权限，包括修改关键代理元数据和工具注解（例如 readOnlyHint 或 destructiveHint）。如果编排器使用修改后的工具，对元数据和注解的恶意更改可能会导致意外和破坏性后果。此外，具有这些权限的代理可以明确地将恶意外部代理注册到注册表中。

角色	说明	用途
Agent Registry API Admin (roles/agentregistry.admin)	拥有对所有 Agent Registry 资源的完整访问权限，包括智能体、MCP 服务器、工具、端点、独立技能、技能修订版本、绑定和技能 IAM 政策。	注册和管理智能体、MCP 服务器、工具和端点。 创建、更新和删除独立技能和技能修订版本。 创建和管理绑定以及技能 IAM 政策。
Agent Registry API Editor (roles/agentregistry.editor)	拥有对 Agent Registry 资源的编辑权限，包括智能体、MCP 服务器、工具、端点、独立技能和技能修订版本。	注册和管理智能体及 MCP 服务器。 更新工具定义和端点。 创建、更新和删除独立技能和技能修订版本。
Agent Registry API Viewer (roles/agentregistry.viewer)	拥有只读权限，可查看和搜索智能体、MCP 服务器、工具、独立技能、技能修订版本、发布商、端点和绑定。	发现可用的智能体、MCP 服务器和工具。 查看 A2A 技能、独立技能、技能修订版本、发布商、端点和集成绑定。
Agent Registry User (roles/agentregistry.user)	拥有对 Agent Registry 资源的只读权限，以及创建、更新和删除独立技能和技能修订版本的权限。	创建、更新和删除独立技能和技能修订版本，而无需对智能体、MCP 服务器或端点拥有编辑权限。 对技能修订版本进行版本控制，并集中管理技能的活跃状态。

Agent Registry 权限

下表列出了每个 Agent Registry IAM 角色拥有的权限：

Agent Registry API Admin Agent Registry API Editor Agent Registry API Viewer Agent Registry User 全部清除

Agent Registry API Admin ^Beta 版 （roles/agentregistry.admin） 拥有对 Agent Registry API 资源的完整访问权限。	agentregistry.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.create agentregistry.bindings.delete agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.bindings.update agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.getIamPolicy agentregistry.skills.list agentregistry.skills.search agentregistry.skills.setIamPolicy agentregistry.skills.update
Agent Registry API Editor ^Beta 版 （roles/agentregistry.editor） 拥有对 Agent Registry API 资源的编辑权限。	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.* agentregistry.operations.cancel agentregistry.operations.delete agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.* agentregistry.services.create agentregistry.services.delete agentregistry.services.get agentregistry.services.list agentregistry.services.update agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update
Agent Registry API Viewer ^Beta 版 （roles/agentregistry.viewer） 拥有对 Agent Registry API 资源的只读权限。	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search
Agent Registry User ^Beta 版 （roles/agentregistry.user） 创建、更新和删除技能和技能修订版本。	agentregistry.agents.* agentregistry.agents.get agentregistry.agents.list agentregistry.agents.search agentregistry.bindings.fetchAvailable agentregistry.bindings.get agentregistry.bindings.list agentregistry.endpoints.* agentregistry.endpoints.get agentregistry.endpoints.list agentregistry.locations.* agentregistry.locations.get agentregistry.locations.list agentregistry.mcpServers.* agentregistry.mcpServers.get agentregistry.mcpServers.list agentregistry.mcpServers.search agentregistry.operations.get agentregistry.operations.list agentregistry.publishers.* agentregistry.publishers.get agentregistry.publishers.list agentregistry.services.get agentregistry.services.list agentregistry.skillRevisions.* agentregistry.skillRevisions.create agentregistry.skillRevisions.delete agentregistry.skillRevisions.get agentregistry.skillRevisions.list agentregistry.skills.create agentregistry.skills.delete agentregistry.skills.get agentregistry.skills.list agentregistry.skills.search agentregistry.skills.update

如需详细了解 IAM 权限，请参阅查找合适的预定义角色和 IAM 角色和权限索引。

已注册资源的访问权限控制

Agent Registry 角色用于控制谁可以管理和发现注册表本身中的资源。如需控制哪些智能体可以通过 Agent Gateway 与已注册的服务、端点和 MCP 服务器通信，您可以使用 Identity-Aware Proxy (IAP) 出站流量政策：

• 出站流量访问权限：如需授权智能体将流量路由到已注册的智能体、MCP 服务器或端点，请向目标资源上的智能体主体授予 IAP-secured Egressor (roles/iap.egressor) 角色。
• 政策管理权限：如需在已注册的资源上配置 IAP Web IAM 政策，您必须在托管注册表的治理项目中获得 IAP 政策管理员 (roles/iap.admin) 角色。

如需详细了解如何配置 IAP 出站政策，请参阅配置 IAM 代理政策。