Probleme mit der Agent-Registrierung beheben

Wenn Sie Komponenten in der Agent Registry registrieren, erkennen oder verbinden, können Sie häufige Probleme wie Kontingentlimits, Fehler bei der Validierung von Nutzlasten und Skills, Standortabweichungen, Synchronisierungsverzögerungen und Berechtigungsfehler diagnostizieren und beheben.

API-Ratenkontingent überschritten

Der folgende Fehler tritt auf, wenn Sie das Limit für die Anfragerate überschreiten, während Sie mit der Agent Registry API interagieren oder schnell durch die Agent Registry in derGoogle Cloud Console navigieren:

429 Too Many Requests

Implementieren Sie zur Behebung dieses Problems einen exponentiellen Backoff in Ihren API-Clients, um die Anforderungsraten zu verwalten. Für die Agent Registry API gelten standardmäßige Ratenkontingente für Anfragen pro Minute und Standort, die für Ihre Agent Registry-Ressourcen gelten.

Wenn beim Wechseln der Tabs in der Google Cloud Console eine Drosselung auftritt, warten Sie einen Moment und versuchen Sie es dann noch einmal. Wenn Ihr programmatischer Anwendungsfall höhere Limits erfordert, können Sie eine Kontingenterhöhung für den Messwert RequestsPerMinute anfordern.

Fehler bei der Nutzlastgröße während der manuellen Registrierung

Der folgende Fehler tritt auf, wenn Sie einen KI-Agenten oder MCP-Server manuell mit einer Spezifikationsdatei registrieren, die die Größenbeschränkung überschreitet:

Die API lehnt die Anfrage mit einem Fehler ab, der besagt, dass die Nutzlast zu groß ist.

Prüfen Sie, ob die Datei agent-card.json oder toolspec.json kleiner als 10 KB ist, um dieses Problem zu beheben. Die Inhaltsgrößen von AgentSpec und McpServerSpec sind auf 10 KB beschränkt. Minimieren Sie Ihre JSON-Dateien, entfernen Sie unnötige Leerzeichen oder kürzen Sie Toolbeschreibungen, um dieses Limit einzuhalten. Weitere Informationen finden Sie unter JSON-Schemas.

Fehlende KI-Agenten oder MCP-Server nach der Erstellung

Der folgende Fehler tritt auf, nachdem Sie einen Agenten oder MCP-Server in einem unterstützten Google Cloud -Produkt wie Google Workspace oder Gemini Enterprise erstellt haben:

Die Ressource wird nicht in der Ausgabe angezeigt, wenn Sie die APIs ListAgents oder ListMcpServers aufrufen.

Warten Sie, bis die Hintergrundsynchronisierung abgeschlossen ist, um dieses Problem zu beheben. Ihre Ressourcen werden in Echtzeit aktualisiert, aber andere Integrationen werden durch regelmäßige Offline-Batchjobs gefüllt. Wenn Ihre Ressource nach mehreren Stunden nicht angezeigt wird, prüfen Sie die Service Usage-Einstellungen Ihres Projekts und ob die entsprechende API aktiviert ist.

Vorgänge mit langer Ausführungszeit scheinen hängengeblieben zu sein

Der folgende Fehler tritt auf, wenn Sie Agents bereitstellen oder komplexe Bindungen konfigurieren:

Der Vorgang dauert sehr lange und scheint hängen geblieben zu sein.

Verwenden Sie das MCP-Tool get_operation oder den API-Endpunkt google.longrunning.Operations.GetOperation, um den Status des Vorgangs abzufragen und das Problem zu beheben. Für die Erstellung einiger Agenten und MCP-Backends ist eine umfangreiche Infrastrukturbereitstellung erforderlich. Dies kann zu Vorgängen mit langer Ausführungszeit (Long-Running Operations, LROs) führen, die bis zu 30 Minuten dauern können. Konfigurieren Sie die Zeitüberschreitungseinstellungen des Clients entsprechend und rufen Sie das boolesche Flag done ab, um den Abschluss zu prüfen.

Leere Ergebnisse beim Abrufen verfügbarer Bindungen

Der folgende Fehler tritt auf, wenn Sie verfügbare Bindungen für einen Authentifizierungsanbieter ohne ausreichende Berechtigungen für die Zielressource AuthProvider abrufen:

Die API gibt ein leeres Array oder einen Zugriffsfehler zurück, auch wenn die Bindung vorhanden ist.

Prüfen Sie zur Behebung dieses Problems, ob Ihr Hauptkonto die richtigen IAM-Berechtigungen (Identity and Access Management) für die Zielressource AuthProvider hat. Die API wendet strenge IAM-Prüfungen an und entfernt Binding-Objekte, die auf Authentifizierungsanbieter verweisen, auf die der Aufrufer keinen Zugriff hat. Achten Sie darauf, dass Ihr Hauptkonto den erforderlichen Zugriff auf den Authentifizierungsanbieter und die Rolle roles/agentregistry.viewer für das Projekt hat.

Herunterladen der Skill-Version schlägt mit dem Fehler 302 fehl

Der folgende Fehler tritt auf, wenn Sie versuchen, eine Skill-Überarbeitungs-Nutzlast mit der GetSkillRevision API mit dem Suchparameter ?alt=media herunterzuladen und Ihr HTTP-Client keine Weiterleitungen zulässt:

{
  "error": {
    "code": 302,
    "message": "Unknown Error.",
    "status": "UNKNOWN"
  }
}

Prüfen Sie zur Behebung dieses Problems, ob Ihr HTTP-Client so konfiguriert ist, dass er Weiterleitungen automatisch folgt. Der Endpunkt ?alt=media erfordert eine 302-Weiterleitung, um das Archiv des Skills herunterzuladen. Wenn Sie beispielsweise curl verwenden, fügen Sie Ihrem Befehl das Flag -L oder --location hinzu.

Die Validierung der Skill-Version schlägt fehl oder zeigt den Status FAILED an.

Der folgende Fehler tritt auf, wenn Sie eine neue Skill-Überarbeitung mit einem ungültigen ZIP-Archiv erstellen:

Die Version wechselt in den Status FAILED und kann nicht von KI-Agenten geladen werden.

Prüfen Sie zur Behebung dieses Problems die Validierungslogs oder den Inhalt der ZIP-Nutzlast:

  • Das ZIP-Archiv muss im Stammverzeichnis eine SKILL.md-Datei enthalten.
  • Prüfen Sie, ob die Datei SKILL.md einen gültigen YAML-Frontmatter-Block enthält, in dem sowohl name als auch description definiert sind.
  • Prüfen Sie, ob die ZIP-Nutzlast die Größenbeschränkungen nicht überschreitet: Die komprimierte Größe muss kleiner als 1 MB, die unkomprimierte Gesamtgröße kleiner als 10 MB und die Größe der einzelnen Dateien kleiner als 1 MB sein.
  • Prüfen Sie, ob das Archiv symbolische Links, Verzeichnisdurchlauf-Elemente wie .. oder absolute Pfade enthält.

Eigenständige Skills werden nicht in Ressourcenlisten für Dienste oder Agenten angezeigt

Der folgende Fehler tritt auf, wenn Sie die Agenten- oder Dienstlisten nach eigenständigen Skills abfragen, z. B. durch Ausführen von gcloud agent-registry services list oder gcloud agent-registry agents list:

Der eigenständige Skill wird in der Ausgabe nicht angezeigt.

Fragen Sie stattdessen die Sammlung skills ab, um dieses Problem zu beheben:

  • Im Gegensatz zu manuell registrierten KI-Agenten, MCP-Servern und Endpunkten verwenden eigenständige Skills keine beschreibbaren Service-Ressourcen oder Agent-, McpServer- oder Endpoint-Erkennungsressourcen. Stattdessen stellt die Agent Registry eigenständige Skills direkt als Skill-Ressourcen der obersten Ebene und als versionierte SkillRevision-Ressourcen dar.
  • Wenn Sie eigenständige Skills auflisten, suchen oder prüfen möchten, verwenden Sie den Tab Skills in derGoogle Cloud Console, führen Sie gcloud agent-registry skills list oder gcloud agent-registry skills search aus oder rufen Sie die REST API-Methoden skills auf. Eine Anleitung finden Sie unter Skills verwalten und Nach eigenständigen Skills suchen.
  • Wenn Sie nach Inline-A2A-Skills suchen, die in der Agentenkarte eines KI-Agenten deklariert sind, prüfen Sie das Feld skills in der Agent-Erkennungsressource mit gcloud agent-registry agents describe oder gcloud agent-registry agents search.

Fehler „Ressourcenentität nicht gefunden“ beim Verwalten von IAP-Richtlinien

Der folgende Fehler tritt auf, wenn Sie gcloud iap web-Befehle verwenden, um IAP-Richtlinien (Identity-Aware Proxy) für ausgehenden Traffic für Agent Registry-Ressourcen zu verwalten:

NOT_FOUND: Requested entity was not found

Prüfen Sie Folgendes, um das Problem zu beheben:

  • Registrierungsstatus: Bestätigen Sie, dass die Zielkomponente in der Agent Registry am erwarteten Ort registriert ist.
  • Kennzeichnungsformat: Prüfen Sie, ob in Ihrem Befehl oder Ihrer Richtlinienbindung der standardmäßige Ressourcenname und nicht ein URN für die Registry-Kennzeichnung angegeben ist.
  • Ressourcen-Flag: Prüfen Sie, ob das Ressourcen-Flag, das Sie an gcloud iap web übergeben, mit dem zugrunde liegenden untergeordneten Ressourcentyp der Agent-Registry übereinstimmt:
    • Verwenden Sie für Endpunkte wie externe APIs oder ausgehende Google API-Punkte das Flag --endpoint.
    • Verwenden Sie für MCP-Server (Model Context Protocol) das Flag --mcp-server.
    • Verwenden Sie für registrierte Agenten das Flag --agent.

Prüfen Sie den von gcloud agent-registry endpoints list, gcloud agent-registry mcp-servers list oder gcloud agent-registry agents list zurückgegebenen Ressourcennamen, um festzustellen, ob der Ressourcenname /endpoints/, /mcpServers/ oder /agents/ enthält. Wenn Sie das falsche Ressourcen-Flag übergeben, z. B. --endpoint für eine MCP-Server-ID, wird ein NOT_FOUND-Fehler verursacht.

Berechtigung beim Anwenden von IAM-Richtlinien für IAP-Web verweigert

Der folgende Fehler tritt auf, wenn Sie IAP-Web-IAM-Richtlinien für Agent Registry-Ressourcen ohne die erforderlichen Administratorrollen anwenden oder ändern:

ERROR: (gcloud.iap.web.set-iam-policy) PERMISSION_DENIED

Prüfen Sie zur Behebung dieses Problems, ob Ihr aktives Nutzer- oder Dienstkonto die erforderlichen Berechtigungen für das Projekt hat, in dem die Registry und das Gateway gehostet werden:

  • Prüfen Sie, ob der Aufrufer die Rolle „IAP Policy Admin“ (roles/iap.admin) oder „Project IAM Admin“ (roles/resourcemanager.projectIamAdmin) für das zentrale Governance-Projekt hat.
  • Prüfen Sie, ob der Aufrufer die Berechtigungen iap.web.setIamPolicy und resourcemanager.projects.setIamPolicy hat.

Remote-MCP-Server nicht an einem regionalen Standort gefunden

Der folgende Fehler tritt auf, wenn Sie einen automatisch registrierten Remote-MCP-Server von Google oder Google Cloud abfragen oder eine IAP-Richtlinie für ausgehenden Traffic auf ihn anwenden, und zwar in einer regionalen Region wie us-central1:

Die Anfrage gibt einen NOT_FOUND-Fehler oder eine leere Liste zurück, auch wenn der Dienst regionale Endpunkte (REPs) bereitstellt oder der Traffic über ein regionales Agent Gateway weitergeleitet wird.

Wenn die Agent Registry automatisch einen Google- oderGoogle Cloud -Remote-MCP-Server für eine aktivierte API registriert, wird die McpServer-Ressource nur am Standort global erstellt, nicht in einzelnen Regionen wie us-central1. Wenn der Dienst regionale Endpunkte wie https://SERVICE.REGION.rep.googleapis.com/mcp bereitstellt, listet Agent Registry diese regionalen URLs im Feld interfaces dieser einzelnen global-McpServer-Ressource auf.

Führen Sie einen der folgenden Schritte aus, um das Problem zu lösen:

  • global für automatisch registrierte Server verwenden: Geben Sie den Standort global an, wenn Sie den Server in der Agent Registry mit --location=global abfragen oder IAP-Richtlinien für ausgehenden Traffic mit --region=global darauf anwenden, auch wenn der aufrufende Agent Traffic über ein regionales Gateway weiterleitet.
  • In einer Region für den Datenstandort registrieren: Wenn Sie Registry-Metadaten in einer bestimmten Region speichern müssen, stellen Sie benutzerdefinierte MCP-Server in regionalen Cloud Run- oder Google Kubernetes Engine (GKE)-Laufzeiten bereit oder registrieren Sie den MCP-Server und seine regionale Endpunkt-URL manuell in dieser Region. Wenden Sie dann Ihre IAP-Richtlinie in derselben Region an. Wenn Agent Gateway eine Ziel-URL auflöst, haben regionale Registry-Einträge Vorrang vor global-Einträgen.

Fehler aufgrund von nicht übereinstimmenden Regionen beim Konfigurieren von Model Armor im Agent Gateway

Der folgende Fehler tritt auf, wenn Sie Model Armor-Richtlinienfilter im Agent Gateway in nicht übereinstimmenden Regionen konfigurieren:

Das Erstellen der Autorisierungsrichtlinie schlägt mit einem Fehler aufgrund einer nicht übereinstimmenden Region fehl oder der über das Gateway an einen MCP-Server weitergeleitete Traffic besteht die Richtlinienprüfung nicht.

Prüfen Sie zur Behebung dieses Problems die regionale Ausrichtung Ihrer Gateway-Ressourcen und Zielrichtlinienbindungen:

  • Gateway- und Model Armor-Regionen aufeinander abstimmen: Achten Sie darauf, dass sich das Agent Gateway, die Model Armor-Vorlagen sowie die Autorisierungserweiterung und ‑richtlinie in derselben Region befinden, z. B. us-central1.
  • An global- oder regionale MCP-Server weiterleiten: Sie müssen global-MCP-Server nicht nur für die Verwendung von Model Armor in einer Region neu registrieren. Da Model Armor Anfrage- und Antwortnutzlasten am regionalen Gateway prüft, kann ein regionales Gateway Traffic prüfen und steuern, der an MCP-Server weitergeleitet wird, die am Standort global registriert sind, sowie an regionale Ziele.
  • IAP-Ausgangsbindungen mit dem Registrierungsstandort des Ziels abgleichen: Wenden Sie die IAP-Ausgangsautorisierungsbindung an dem Standort an, an dem die Zielressource McpServer registriert ist. Verwenden Sie global für automatisch registrierte Remote-MCP-Server oder die spezifische Region für regional registrierte MCP-Server.

Fehler beim Zugriff auf die Agent Registry mit der Mitarbeiteridentitätsföderation

Die folgenden Fehler treten auf, wenn Sie in derGoogle Cloud -Konsole auf die Agent-Registry zugreifen oder die Google Cloud CLI verwenden, während Sie mit der Workforce Identity-Föderation authentifiziert sind:

In derGoogle Cloud -Konsole werden allgemeine Ladefehler angezeigt, z. B.:

  • „Beim Laden ist ein Fehler aufgetreten…“
  • „Der Server konnte Ihre Anfrage nicht verarbeiten.“
  • „Fehler beim Laden“

Außerdem können gcloud-Befehle einen internen Fehler wie error 13: an internal error has occurred zurückgeben.

Authentifizieren Sie sich mit einem standardmäßigen Google-Konto, das über Cloud Identity oder Google Workspace verwaltet wird, um dieses Problem zu beheben. Prüfen Sie, ob das Konto die erforderlichen Berechtigungen hat, z. B. roles/agentregistry.admin oder roles/agentregistry.viewer.

Die Governance-Dienste der Gemini Enterprise Agent Platform bieten nur eingeschränkte Unterstützung für föderierte Identitäten. Das Problem lässt sich nicht beheben, indem Sie einem föderierten Hauptkonto umfassendere IAM-Rollen zuweisen.

Download der Skill-Überarbeitung aufgrund von Sicherheitsergebnissen blockiert

Der folgende Fehler tritt auf, wenn Sie versuchen, eine Skill-Überarbeitungs-Nutzlast herunterzuladen, wenn die Scanrichtlinie des Skills auf ENABLED_BLOCKING festgelegt ist und die Überarbeitung Sicherheitsergebnisse enthält:

FAILED_PRECONDITION: cannot download skill revision with scan findings when scanning policy is ENABLED_BLOCKING

Führen Sie einen der folgenden Schritte aus, um das Problem zu lösen:

  1. Prüfen Sie die in der Version erkannten Sicherheitsergebnisse mit dem Befehl gcloud agent-registry findings list. Für diesen Befehl ist die Rolle roles/agentregistry.admin erforderlich.
  2. Beheben Sie das Ergebnis in Ihren lokalen Quelldateien, z. B. durch Entfernen von nicht autorisiertem Code für ausgehenden Traffic, Entfernen von offengelegten Anmeldedaten oder Eliminieren von Prompt-Injection-Mustern.
  3. Laden Sie eine neue Skill-Version hoch und registrieren Sie sie.
  4. Wenn Sie in einer autorisierten Test- oder Staging-Umgebung arbeiten, können Sie alternativ die Scanrichtlinie des Skills mit --scanning-policy=enabled-nonblocking auf ENABLED_NONBLOCKING aktualisieren. Weitere Informationen finden Sie unter Skills auf Sicherheitsprobleme prüfen.

Festlegen der Standardversion oder Aktivieren der Blockierungsrichtlinie schlägt fehl

Der folgende Fehler tritt auf, wenn Sie den Standard-Versionszeiger (--default-revision) eines Skills aktualisieren oder die Scanrichtlinie eines Skills in ENABLED_BLOCKING ändern, wenn die Version Ergebnisse oder ausstehende Scanergebnisse hat:

Die API gibt einen FAILED_PRECONDITION-Fehler mit einer der folgenden Meldungen zurück:

  • cannot set default revision to a revision with scan findings when scanning policy is ENABLED_BLOCKING
  • cannot set default revision to a revision with pending scan results when scanning policy is ENABLED_BLOCKING
  • cannot set scanning policy to ENABLED_BLOCKING when default revision has scan findings
  • cannot set scanning policy to ENABLED_BLOCKING when default revision has pending scan results

So beheben Sie das Problem:

  • Wenn der Scan noch aussteht (RUNNING), warten Sie, bis der Hintergrundscan abgeschlossen ist, und prüfen Sie, ob scanResult.scanState ohne findings in SUCCEEDED aufgelöst wird, bevor Sie die Überarbeitung als Standard festlegen oder ENABLED_BLOCKING aktivieren.
  • Wenn die Zielversion oder die aktuelle Standardversion Sicherheitsergebnisse aufweist, veröffentlichen Sie eine neue Version, in der die Sicherheitsprobleme behoben sind. Prüfen Sie, ob die scanResult.scanState-Version zu SUCCEEDED aufgelöst wird, ohne dass findings aufgeführt ist, und legen Sie diese fehlerfreie Version als defaultRevision des Skills fest.

Skill-Überarbeitung aufgrund von Größenbeschränkungen für unkomprimierte Dateien abgelehnt

Der folgende Fehler tritt auf, wenn Sie eine Skill-Version hochladen, die die maximalen unkomprimierten Scangrößenlimits überschreitet:

Der Vorgang mit langer Ausführungszeit schlägt mit dem Fehler INVALID_ARGUMENT fehl oder der scanResult.scanState der Überarbeitung wechselt zu UNSUPPORTED_FORMAT.

Führen Sie einen der folgenden Schritte aus, um das Problem zu lösen:

  • Prüfen Sie die unkomprimierten Dateien in Ihrem ZIP-Paket. Entfernen Sie große Datasets, Modellbinärdateien oder unnötige Assets, damit jede Datei unter 1 MB und das gesamte extrahierte Paket unter 10 MB bleibt.
  • Wenn Ihr Entwicklungsworkflow das Hochladen großer Dateien für das schnelle Prototyping in einem Projekt erfordert, aktualisieren Sie die Scanrichtlinie des Skills mit --scanning-policy=disabled auf DISABLED, sofern dies durch Ihre Organisationsrichtlinie zulässig ist.

Das Scannen von Fähigkeiten kann aufgrund einer Organisationsrichtlinie nicht deaktiviert werden

Der folgende Fehler tritt auf, wenn Sie einen Skill erstellen oder aktualisieren, dessen Scanrichtlinie auf DISABLED festgelegt ist, oder wenn Sie ein Feld eines vorhandenen Skills aktualisieren, dessen scanningConfig.policy zuvor auf DISABLED festgelegt war:

Die Anfrage schlägt mit einem Fehler aufgrund eines Verstoßes gegen eine benutzerdefinierte Einschränkung der Organisationsrichtlinie fehl.

So beheben Sie das Problem:

  • Ihre Organisation hat eine benutzerdefinierte Einschränkung für Organisationsrichtlinien wie custom.skillsScanningEnforcement auf agentregistry.googleapis.com/Skill angewendet, die resource.scanningConfig.policy == "DISABLED" ablehnt.
  • Wenn Sie eine vorhandene Fähigkeit aktualisieren, deren scanningConfig.policy vor dem Erzwingen der Organisationsrichtlinie auf DISABLED gesetzt war, fügen Sie in Ihre UpdateSkill-Anfrage eine Aktualisierung von scanningConfig.policy ein und setzen Sie sie auf ENABLED_BLOCKING oder einen zulässigen Wert.
  • Wenn Sie das Scannen in Test- oder Sandbox-Umgebungen deaktivieren möchten, bitten Sie Ihren Administrator für Organisationsrichtlinien, Ihrem Projekt ein bedingtes Ausnahmetag wie exempt-scanning-enforcement: true hinzuzufügen.

Weitere Informationen finden Sie unter Scans mit dem Organisationsrichtliniendienst erzwingen.

Skill-Überarbeitung wurde nach dem Aktivieren des Scannens nicht gescannt

Der folgende Fehler tritt auf, wenn Sie das Scannen für einen vorhandenen Skill aktivieren, für den bereits Versionen hochgeladen wurden:

Der Scanstatus (scanResult.scanState) für eine vorhandene Version bleibt DISABLED, die Version wird nicht gescannt und es werden keine Sicherheitsergebnisse generiert.

Wenn Sie das Scannen für einen Skill aktivieren, gilt dies nur für Skill-Versionen, die nach dem Aktivieren des Scannens erstellt wurden. Die Agent Registry scannt nicht rückwirkend Versionen, die vor der Aktivierung des Scannens erstellt wurden.

Laden Sie eine neue Skill-Version für den Skill hoch und registrieren Sie sie, um dieses Problem zu beheben. Wenn Sie die neue Version hochladen, scannt die Agent Registry die Nutzlast gemäß der aktualisierten Scankonfiguration des Skills. Weitere Informationen finden Sie unter Skill-Version erstellen und Skills auf Sicherheitsprobleme prüfen.

CMEK kann nicht konfiguriert werden, da bereits Skills vorhanden sind

Der folgende Fehler tritt auf, wenn Sie versuchen, die SkillEncryptionSpec für einen Standort festzulegen oder zu aktualisieren, an dem bereits Skills vorhanden sind:

FAILED_PRECONDITION: crypto_key_name can only be set or updated when no Skills exist in this location

Sie können einen kundenverwalteten Verschlüsselungsschlüssel (CMEK) in einem Projekt und an einem Standort nur konfigurieren oder aktualisieren, wenn an diesem Standort keine Skills vorhanden sind.

Konfigurieren Sie den SkillEncryptionSpec in der Zielregion, bevor Sie dort Ihre erste Fähigkeit registrieren, oder löschen Sie alle vorhandenen Fähigkeiten an diesem Ort, bevor Sie den Cloud Key Management Service-Schlüssel festlegen oder aktualisieren. Weitere Informationen finden Sie unter CMEK für Skills konfigurieren.

Ungültiger Cloud KMS-Schlüsselspeicherort für Skills

Der folgende Fehler tritt auf, wenn Sie einen SkillEncryptionSpec mit einem Cloud KMS-Schlüssel konfigurieren, der sich nicht am erforderlichen Cloud KMS-Standort oder an einem nicht unterstützten Skill-Standort befindet:

Die Anfrage schlägt mit einem INVALID_ARGUMENT-Fehler fehl, der eine der folgenden Ursachen hat:

  • crypto_key_name "..." is in location "...", but Skills in location "..." can only be encrypted with a Cloud KMS key in location "..."
  • customer-managed encryption keys aren't supported for Skills in location "..."

Prüfen Sie, ob Sie CMEK an einem unterstützten Skill-Standort (us oder eu) konfigurieren und ob sich Ihr Cloud KMS-Schlüssel am erforderlichen multiregionalen Cloud KMS-Standort befindet:

Ort der Kompetenz Erforderlicher Cloud KMS-Schlüsselspeicherort
us us
eu europe

Cloud KMS verwendet europe als Standortkennzeichnung für die Multiregion „Europäische Union“. CMEK wird für andere Standorte, einschließlich global, nicht unterstützt. Weitere Informationen finden Sie unter CMEK für Skills konfigurieren.

Skill-Erstellung durch CMEK-Organisationsrichtlinie blockiert

Der folgende Fehler tritt auf, wenn Sie einen Skill oder eine Skill-Version in einem Projekt erstellen, das CMEK-Organisationsrichtlinien unterliegt:

Die Anfrage schlägt mit einem FAILED_PRECONDITION-Fehler fehl, der eine der folgenden Ursachen hat:

  • constraint "constraints/gcp.restrictNonCmekServices" violated for value "agentregistry.googleapis.com". See https://cloud.google.com/kms/docs/cmek-org-policy#require-cmek for more information.
  • constraint "constraints/gcp.restrictCmekCryptoKeyProjects" violated for value "projects/KMS_PROJECT_ID". See https://cloud.google.com/kms/docs/cmek-org-policy#restrict-cmek-projects for more information.

So beheben Sie das Problem:

  • Wenn constraints/gcp.restrictNonCmekServices verletzt wird, erfordert Ihre Organisation CMEK-Schutz für die Agent Registry. Erstellen Sie Skills an einem von CMEK unterstützten Standort (us oder eu) und konfigurieren Sie einen SkillEncryptionSpec für diesen Standort, bevor Sie dort Skills erstellen.
  • Wenn ein Verstoß gegen constraints/gcp.restrictCmekCryptoKeyProjects vorliegt, gehört der in der SkillEncryptionSpec des Standorts konfigurierte Cloud KMS-Schlüssel zu einem Projekt, das gemäß der constraints/gcp.restrictCmekCryptoKeyProjects-Richtlinie Ihrer Organisation nicht zulässig ist. Aktualisieren Sie die SkillEncryptionSpec, wenn an diesem Standort keine Skills vorhanden sind, um auf einen Cloud KMS-Schlüssel aus einem zulässigen Projekt zu verweisen, oder wenden Sie sich an den Administrator für Organisationsrichtlinien, um das Schlüsselprojekt zuzulassen.

Weitere Informationen finden Sie unter CMEK mit dem Organisationsrichtliniendienst erzwingen.