Agents über die Google Cloud Console freigeben

Auf dieser Seite wird beschrieben, wie Sie KI-Agenten für Nutzer in Ihrer Organisation freigeben und wie Administratoren die Eigentümerschaft von freigegebenen KI-Agenten übertragen können. Als Administrator können Sie die verfügbaren KI-Agenten (von Google, von Mitarbeitern und benutzerdefinierte) für einzelne Nutzer, Gruppen, Workforce Identity-Poolgruppen oder alle Nutzer in Ihrer Organisation freigeben und die Inhaberschaft von freigegebenen, von Mitarbeitern erstellten KI-Agenten auf sich selbst oder einen anderen Nutzer übertragen. Weitere Informationen zu den verschiedenen Agententypen, die in Gemini Enterprise verfügbar sind, finden Sie unter Agenten – Übersicht.

Hinweis

Bevor Sie einen Agenten freigeben können, müssen die folgenden Voraussetzungen erfüllt sein:

  1. Sie benötigen eine vorhandene Gemini Enterprise-Webanwendung. Informationen zum Erstellen einer neuen Anwendung finden Sie unter Anwendung erstellen.

  2. Wenn Sie benutzerdefinierte KI-Agenten freigeben möchten, müssen Sie sie mit einer der folgenden Optionen in Gemini Enterprise registriert oder hinzugefügt haben:

KI-Agenten freigeben

So geben Sie einen KI-Agenten frei:

Console

  1. Rufen Sie in der Google Cloud Console die Seite Gemini Enterprise auf.

Zu Gemini Enterprise

  1. Wählen Sie Ihr Projekt aus.

  2. Klicken Sie in der Spalte Name auf Ihre Anwendung. Das Navigationsmenü wird aktualisiert.

  3. Klicken Sie im Navigationsmenü auf Agenten.

  4. Klicken Sie auf den Anzeigenamen des KI-Agenten, den Sie freigeben möchten.

  5. Klicken Sie auf den Tab Nutzerberechtigungen. Die Seite Nutzer mit Berechtigungen wird angezeigt.

  6. Klicken Sie auf Nutzer hinzufügen. Das Dialogfeld Nutzerberechtigungsrollen zum Agenten hinzufügen wird angezeigt.

  7. Konfigurieren Sie die Berechtigungsdetails:

    1. Wählen Sie im Abschnitt Mitgliedstyp eine der folgenden Optionen aus:

      • Nutzer: Ein einzelner Endnutzer. Damit diese Art der Mitgliedschaft funktioniert, müssen Sie die richtige IAM-Rolle angeben. Weitere Informationen finden Sie unter IAM-Rollen und -Berechtigungen.

      • Gruppe: Eine Sammlung von Endnutzern. Damit diese Art der Mitgliedschaft funktioniert, müssen Sie die richtige IAM-Rolle angeben. Weitere Informationen finden Sie unter IAM-Rollen und -Berechtigungen.

      • Hauptkonto: Eine einzelne Identität in einem Workforce Identity-Pool (principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID).

      • Workforce Identity-Pool: Eine Workforce-Poolgruppe, ein benutzerdefiniertes Attribut oder alle Nutzer in einem Workforce Identity-Pool (principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/...).

      • Alle Nutzer: Alle Nutzer in der Organisation.

      Welche Mitgliedstypen angezeigt werden, hängt vom Identitätsanbieter ab, den Ihre Anwendung verwendet. Bei Apps, die Google-Identitäten verwenden, werden die Mitgliedstypen Nutzer und Gruppe angezeigt. Bei Anwendungen, die die Mitarbeiteridentitätsföderation verwenden, werden stattdessen die Mitgliedstypen Hauptkonto und Workforce Identity-Pool angezeigt.

    2. Geben Sie die eindeutige Mitglieds-ID ein und wählen Sie eine Rolle aus:

      Mitgliedertyp Beschreibung
      Nutzer Geben Sie die E‑Mail-Adressen in das Feld Mitglied ein.
      Wählen Sie im Feld Rolle zuweisen eine Rolle aus.
      Gruppe Geben Sie die E‑Mail-Adressen in das Feld Mitglied ein.
      Wählen Sie im Feld Rolle zuweisen eine Rolle aus.
      Hauptkonto Geben Sie die Hauptkonto-ID für ein einzelnes Subjekt (//iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID oder principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID) in das Feld Mitglied ein.
      Wählen Sie im Feld Rolle zuweisen eine Rolle aus.
      Workforce Identity-Pool Geben Sie im Feld Mitglied die Kennung der Hauptkontogruppe (//iam.googleapis.com/locations/global/workforcePools/POOL_ID/... oder principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/...) ein.
      Wählen Sie im Feld Rolle zuweisen eine Rolle aus.

      Beispiele für Hauptkontosätze finden Sie unter Hauptkontosätze.
      Alle Nutzer Wählen Sie im Feld Rolle zuweisen eine Rolle aus.

  8. Klicken Sie auf Speichern.

Hauptkontogruppen

Im Folgenden finden Sie Beispiele für Hauptkonto-Kennungen und Hauptkontogruppen, die Sie beim Freigeben für Nutzer und Gruppen der Workforce Identity-Föderation angeben können:

Hauptkonto oder Hauptkontogruppe Beschreibung
//iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID Eine einzelne Identität in einem Workforce Identity-Pool (wählen Sie den Mitgliedstyp Hauptkonto aus).
//iam.googleapis.com/locations/global/workforcePools/POOL_ID/group/GROUP_ID Alle Workforce-Identitäten in einer Gruppe (wählen Sie den Mitgliedstyp Workforce Identity-Pool aus).
//iam.googleapis.com/locations/global/workforcePools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE Alle Workforce-Identitäten mit einem bestimmten Attributwert (wählen Sie den Mitgliedstyp Workforce Identity-Pool aus).
//iam.googleapis.com/locations/global/workforcePools/POOL_ID/* Alle Identitäten in einem Workforce Identity-Pool (wählen Sie den Mitgliedstyp Workforce Identity-Pool aus).

Ersetzen Sie die folgenden Platzhalter im Codebeispiel durch Werte:

  • GROUP_ID: Eine bestimmte Gruppen-ID von einem externen Identitätsanbieter (IdP), mit der Sie allen Mitgliedern dieser Gruppe Zugriff gewähren können.
  • POOL_ID: die eindeutige ID für den Workforce Identity-Pool, den Sie in Google Clouderstellen.
  • SUBJECT_ID: die eindeutige Subjekt-ID (google.subject) für eine einzelne Identität in einem Workforce Identity-Pool. Bei SUBJECT_ID wird zwischen Groß- und Kleinschreibung unterschieden. Die Groß- und Kleinschreibung muss genau mit der von Ihrem Identitätsanbieter angegebenen Groß- und Kleinschreibung übereinstimmen (z. B. in der SAML-Assertion oder im OIDC-Token).
  • ATTRIBUTE_NAME: Ein benutzerdefinierter Name eines benutzerdefinierten Attributs, das Sie von einem externen Identitätsanbieter (IdP) zugeordnet haben.
  • ATTRIBUTE_VALUE: Der spezifische Wert von ATTRIBUTE_NAME, der zum Einschränken des Zugriffs verwendet wird.

Agenten-Inhaberschaft übertragen

Als Administrator können Sie die Inhaberschaft eines freigegebenen KI-Agenten auf einen anderen Nutzer in Ihrer Organisation oder auf sich selbst übertragen. Diese Funktion ist in folgenden Szenarien nützlich:

  • Ausscheidende Mitarbeiter: Übertragen von Agenten, die von Mitarbeitern erstellt wurden, die das Unternehmen verlassen, auf aktive Teammitglieder, um eine unterbrechungsfreie Wartung zu gewährleisten.
  • Übergabe von Auftragnehmern: Übergabe von Agenten, die von Zeitarbeitskräften oder Auftragnehmern erstellt wurden, an Vollzeitmitarbeiter.
  • Teamumstrukturierung: Agentenverantwortlichkeiten werden neu zugewiesen, wenn sich Rollen oder Projekte ändern.

Überlegungen und Einschränkungen

Beachten Sie vor der Übertragung der Agent-Inhaberschaft die folgenden Hinweise und Einschränkungen:

  • Administratorberechtigung: Nur Administratoren mit der Rolle Gemini Enterprise Admin (roles/discoveryengine.agentspaceAdmin) oder der Rolle Discovery Engine Admin (roles/discoveryengine.admin) können die Eigentümerschaft eines Agenten übertragen. Der aktuelle Agent-Inhaber kann die Inhaberschaft nur übertragen, wenn er auch Administrator ist.
  • Nur freigegebene Agenten: Sie können nur die Inhaberschaft von Agenten übertragen, die bereits freigegeben sind. Auf der Seite Agenten in der Google Cloud Console muss in der Spalte Freigabe des Agenten Aktiviert angezeigt werden. Private (nicht freigegebene) Agenten können nicht übertragen werden.
  • Einzelner Inhaber: Jeder KI-Agent hat genau einen Inhaber. Wenn die Inhaberschaft übertragen wird, wird der ausgewählte Empfänger der alleinige Inhaber des KI-Agenten.
  • Zugriff des vorherigen Inhabers: Wenn die Inhaberschaft übertragen wird, wird der vorherige Inhaber zu einem Nutzer des Agenten mit der Rolle agentUser herabgestuft. Sie behalten die Berechtigung, den KI-Agenten abzufragen und auszuführen, können aber die Konfiguration oder Einstellungen des KI-Agenten nicht mehr bearbeiten.
  • Unterstützte Agententypen: Die Übertragung der Eigentumsrechte wird für von Mitarbeitern erstellte Agenten (Low-Code- und Workflow-Agenten, die in der Web-App erstellt wurden) unterstützt.
  • Agenten mit Zeitplänen oder Triggern: Wenn der übertragene Agent einen Zeitplan- oder Ereignis-Trigger hat, werden diese durch den Übertragungsvorgang als deaktivierte Zeitpläne oder Ereignisse markiert. Der neue Eigentümer muss den Zeitplan- oder Ereignis-Trigger aktivieren, bevor er den KI-Agenten verwenden kann.

Eigentümerschaft eines KI-Agenten übertragen

So übertragen Sie die Inhaberschaft eines Agenten:

Console

  1. Rufen Sie in der Google Cloud Console die Seite Gemini Enterprise auf.

    Zu Gemini Enterprise

  2. Wählen Sie Ihr Projekt aus.

  3. Klicken Sie in der Spalte Name auf Ihre Anwendung. Das Navigationsmenü wird aktualisiert.

  4. Klicken Sie im Navigationsmenü auf Agenten.

  5. Klicken Sie auf den Anzeigenamen des freigegebenen KI-Agenten.

  6. Klicken Sie auf den Tab Nutzerberechtigungen. Die Liste Nutzer mit Berechtigungen wird angezeigt.

  7. Klicken Sie auf Eigentümer ändern. Das Dialogfeld Eigentümerschaft übertragen wird geöffnet.

  8. Wählen Sie unter Eigentümerschaft übertragen an eine der folgenden Optionen aus:

    • Ich selbst: Übertragen Sie die Inhaberschaft des Agenten auf Ihr aktuelles Administratorkonto. Diese Option ist deaktiviert, wenn Sie bereits Inhaber des KI-Agenten sind.
    • Anderer Nutzer: Übertragen Sie die Eigentümerschaft auf einen anderen Nutzer in Ihrer Organisation.

  9. Wenn Sie Anderer Nutzer ausgewählt haben, geben Sie den neuen Inhaber an:

    • Google Identity und Cloud Identity: Geben Sie die E-Mail-Adresse des Nutzers in das Feld E-Mail-Adresse des neuen Eigentümers ein (z. B. user@example.com).
    • Workforce Identity Federation-Konten (WIF): Geben Sie die Hauptkonto-ID der einzelnen Identität in das Feld Neues Inhaber-Hauptkonto ein:
    //iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID

    Alternativ können Sie das Präfix principal: angeben:

    principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID

    Ersetzen Sie Folgendes:

    • POOL_ID: Die eindeutige ID Ihres Workforce Identity-Pools.
    • SUBJECT_ID: Die Subjekt-ID des Nutzers im Workforce Identity-Pool.

  10. Klicken Sie auf Eigentümer ändern.

    Der Inhaber des KI-Agenten wird aktualisiert. Der vorherige Inhaber wird als berechtigter Nutzer mit der Rolle agentUser beibehalten.