Partager des agents depuis la console Google Cloud

Cette page explique comment partager des agents avec les utilisateurs de votre organisation et comment les administrateurs peuvent transférer la propriété des agents partagés. En tant qu'administrateur, vous pouvez partager les agents disponibles (créés par Google, par des employés et personnalisés) avec des utilisateurs individuels, des groupes, des groupes de pools d'identités de personnel ou tous les utilisateurs de votre organisation, et transférer la propriété des agents partagés créés par des employés à vous-même ou à un autre utilisateur. Pour en savoir plus sur les différents types d'agents disponibles dans Gemini Enterprise, consultez Présentation des agents.

Avant de commencer

Avant de pouvoir partager un agent, vous devez remplir les conditions suivantes :

  1. Vous devez disposer d'une application Web Gemini Enterprise. Pour en créer une, consultez Créer une application.

  2. Pour partager des agents personnalisés, vous devez les avoir enregistrés ou ajoutés à Gemini Enterprise à l'aide de l'une des options suivantes :

Partager un agent

Pour partager un agent, procédez comme suit :

Console

  1. Dans la console Google Cloud , accédez à la page Gemini Enterprise.

Accéder à Gemini Enterprise

  1. Sélectionnez votre projet.

  2. Cliquez sur votre application dans la colonne Nom. Le menu de navigation est mis à jour.

  3. Dans le menu de navigation, cliquez sur Agents.

  4. Cliquez sur le nom à afficher de l'agent que vous souhaitez partager.

  5. Cliquez sur l'onglet Autorisations des utilisateurs. La page Utilisateurs autorisés s'affiche.

  6. Cliquez sur Ajouter un utilisateur. La boîte de dialogue Ajouter des rôles avec des autorisations utilisateur à l'agent s'affiche.

  7. Configurez les détails de l'autorisation :

    1. Sélectionnez l'une des options suivantes dans la section Type de membre :

      • Utilisateur : un utilisateur final individuel. Pour que ce type d'abonnement fonctionne, vous devez inclure le rôle IAM approprié. Pour en savoir plus, consultez Rôles et autorisations IAM.

      • Groupe : ensemble d'utilisateurs finaux. Pour que ce type d'abonnement fonctionne, vous devez inclure le rôle IAM approprié. Pour en savoir plus, consultez Rôles et autorisations IAM.

      • Principal : identité unique d'un pool d'identités de personnel (principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID).

      • Pool d'identités de personnel : un groupe de pool de personnel, un attribut personnalisé ou tous les utilisateurs d'un pool d'identités de personnel (principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/...).

      • Tous les utilisateurs : tous les utilisateurs de l'organisation.

      Les types de membres affichés dépendent du fournisseur d'identité utilisé par votre application. Pour les applications qui utilisent des identités Google, les types de membres Utilisateur et Groupe sont affichés. Pour les applications qui utilisent la fédération d'identité de personnel, les types de membres Principal et Pool d'identité de personnel s'affichent à la place.

    2. Saisissez l'identifiant unique du membre, puis sélectionnez un rôle :

      Type de membre Description
      Utilisateur Saisissez les adresses e-mail dans le champ Membre.
      Sélectionnez un rôle dans le champ Attribuer un rôle.
      Groupe Saisissez les adresses e-mail dans le champ Membre.
      Sélectionnez un rôle dans le champ Attribuer un rôle.
      Principal Saisissez l'identifiant du compte principal à sujet unique (//iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID ou principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID) dans le champ Membre.
      Sélectionnez un rôle dans le champ Attribuer un rôle.
      Pool d'identités de personnel Saisissez l'identifiant de l'ensemble de comptes principaux (//iam.googleapis.com/locations/global/workforcePools/POOL_ID/... ou principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/...) dans le champ Membre.
      Sélectionnez un rôle dans le champ Attribuer un rôle.

      Pour obtenir des exemples d'ensembles de comptes principaux, consultez Ensembles de comptes principaux.
      Tous les utilisateurs Sélectionnez un rôle dans le champ Attribuer un rôle.

  8. Cliquez sur Enregistrer.

Ensembles de principaux

Voici des exemples d'identifiants principaux et d'ensembles de comptes principaux que vous pouvez spécifier lors du partage avec des utilisateurs et des groupes de la fédération des identités des employés. Si le provisionnement SCIM est configuré pour votre pool d'identités de personnel, la boîte de dialogue Ajouter un utilisateur suggère des utilisateurs et des groupes à mesure que vous saisissez du texte, et renseigne ces identifiants pour vous. Sinon, saisissez-les exactement comme indiqué, y compris la casse de SUBJECT_ID :

Compte principal ou ensemble de comptes principaux Description
//iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID Une identité unique dans un pool d'identités d'employés (sélectionnez le type de membre Principal).
//iam.googleapis.com/locations/global/workforcePools/POOL_ID/group/GROUP_ID Toutes les identités de personnel d'un groupe (sélectionnez le type de membre Pool d'identités de personnel).
//iam.googleapis.com/locations/global/workforcePools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE Toutes les identités d'employés porteuses d'une valeur d'attribut spécifique (sélectionnez le type de membre Pool d'identités d'employés).
//iam.googleapis.com/locations/global/workforcePools/POOL_ID/* Toutes les identités d'un pool d'identités de personnel (sélectionnez le type de membre Pool d'identités de personnel).

Remplacez les espaces réservés suivants par des valeurs dans l'exemple de code :

  • GROUP_ID : identifiant de groupe spécifique d'un fournisseur d'identité (IdP) externe, vous permettant d'accorder l'accès à tous les membres de ce groupe.
  • POOL_ID : identifiant unique du pool d'identités des employés que vous créez dans Google Cloud.
  • SUBJECT_ID : identifiant d'objet unique (google.subject) pour une identité unique dans un pool d'identités de personnel. SUBJECT_ID est sensible à la casse et doit correspondre exactement à la casse déclarée par votre fournisseur d'identité (par exemple, dans l'assertion SAML ou le jeton OIDC).
  • ATTRIBUTE_NAME : nom défini par l'utilisateur d'un attribut personnalisé que vous avez mappé à partir d'un fournisseur d'identité externe.
  • ATTRIBUTE_VALUE : valeur spécifique de ATTRIBUTE_NAME utilisée pour restreindre l'accès.

Transférer la propriété de l'agent

En tant qu'administrateur, vous pouvez transférer la propriété d'un agent partagé à un autre utilisateur de votre organisation ou à vous-même. Cette fonctionnalité est utile dans les scénarios suivants :

  • Employés sur le départ : transfert des agents créés par les employés qui quittent l'organisation vers des membres actifs de l'équipe pour assurer une maintenance ininterrompue.
  • Transferts de prestataires : transfert des agents créés par des travailleurs temporaires ou contractuels à des employés à temps plein.
  • Restructuration de l'équipe : réaffectation des responsabilités des agents en fonction de l'évolution des rôles ou des projets.

Remarques et limites

Avant de transférer la propriété d'un agent, tenez compte des points suivants :

  • Autorisation d'administrateur : seuls les administrateurs disposant du rôle Administrateur Gemini Enterprise (roles/discoveryengine.agentspaceAdmin) ou du rôle Administrateur Discovery Engine (roles/discoveryengine.admin) peuvent transférer la propriété d'un agent. Le propriétaire actuel de l'agent ne peut pas transférer la propriété, sauf s'il est également administrateur.
  • Agents partagés uniquement : vous ne pouvez transférer la propriété que d'agents déjà partagés. Sur la page Agents de la console Google Cloud , la colonne Partage de l'agent doit afficher Activé. Les agents privés (non partagés) ne peuvent pas être transférés.
  • Propriétaire unique : chaque agent n'a qu'un seul propriétaire. Lorsque la propriété est transférée, le destinataire sélectionné devient le seul propriétaire de l'agent.
  • Accès de l'ancien propriétaire : lorsque la propriété est transférée, l'ancien propriétaire est rétrogradé au rôle d'utilisateur sur l'agent avec le rôle agentUser. Ils conservent l'autorisation d'interroger et d'exécuter l'agent, mais ne peuvent plus modifier sa configuration ni ses paramètres.
  • Types d'agents compatibles : le transfert de propriété est compatible avec les agents créés par les employés (agents low-code et de workflow créés dans l'application Web).
  • Agents avec des programmations ou des déclencheurs : si l'agent transféré dispose d'un déclencheur de programmation ou d'événement, l'opération de transfert les marque comme des programmations ou des événements désactivés. Le nouveau propriétaire doit activer le déclencheur de planification ou d'événement avant de pouvoir utiliser l'agent.

Transférer la propriété d'un agent

Pour transférer la propriété d'un agent, procédez comme suit :

Console

  1. Dans la console Google Cloud , accédez à la page Gemini Enterprise.

    Accéder à Gemini Enterprise

  2. Sélectionnez votre projet.

  3. Cliquez sur votre application dans la colonne Nom. Le menu de navigation est mis à jour.

  4. Dans le menu de navigation, cliquez sur Agents.

  5. Cliquez sur le nom à afficher de l'agent partagé.

  6. Cliquez sur l'onglet Autorisations des utilisateurs. La liste Utilisateurs autorisés s'affiche.

  7. Cliquez sur Transférer la propriété. La boîte de dialogue Transférer la propriété s'ouvre.

  8. Sous Transférer la propriété à, choisissez l'une des options suivantes :

    • Moi-même : transférez la propriété de l'agent à votre compte administrateur actuel. Cette option est désactivée si vous êtes déjà propriétaire de l'agent.
    • Un autre utilisateur : transférez la propriété à un autre utilisateur de votre organisation.

  9. Si vous avez sélectionné Un autre utilisateur, spécifiez le nouveau propriétaire :

    • Google Identity et Cloud Identity : saisissez l'adresse e-mail de l'utilisateur dans le champ Adresse e-mail du nouveau propriétaire (par exemple, user@example.com).
    • Comptes de fédération des identités des employés (WIF) : saisissez l'identifiant du compte principal d'identité unique dans le champ Nouveau compte principal propriétaire :
    //iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID

    Vous pouvez également inclure le préfixe principal: :

    principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID

    Remplacez les éléments suivants :

    • POOL_ID : Identifiant unique de votre pool d'identités de personnel.
    • SUBJECT_ID : identifiant de l'utilisateur dans le pool d'identités de personnel.

  10. Cliquez sur Transférer la propriété.

    Le propriétaire de l'agent est mis à jour. L'ancien propriétaire est conservé en tant qu'utilisateur autorisé avec le rôle agentUser.