Condividere gli agenti dalla console Google Cloud

Questa pagina spiega come condividere gli agenti con gli utenti della tua organizzazione e come gli amministratori possono trasferire la proprietà degli agenti condivisi. In qualità di amministratore, puoi condividere gli agenti disponibili (creati da Google, dai dipendenti e personalizzati) con singoli utenti, gruppi, gruppi di pool di identità della forza lavoro o tutti gli utenti della tua organizzazione e trasferire la proprietà degli agenti condivisi creati dai dipendenti a te o a un altro utente. Per saperne di più sui diversi tipi di agenti disponibili in Gemini Enterprise, consulta la panoramica degli agenti.

Nota: per condividere gli agenti creati dai dipendenti, devi aver creato uno o più agenti utilizzando Workflow Builder nell'app web Gemini Enterprise. Per informazioni sulla creazione di agenti utilizzando Workflow Builder, consulta Crea un agente utilizzando Workflow Builder.

Prima di iniziare

Prima di poter condividere un agente, devi soddisfare i seguenti requisiti:

1. Devi avere un'app web Gemini Enterprise esistente. Per creare una nuova app, consulta Crea un'app.

2. Per condividere gli agenti personalizzati, devi averli registrati o aggiunti a Gemini Enterprise utilizzando una delle seguenti opzioni:

   • Registra e gestisci gli agenti A2A
   • Registra e gestisci gli agenti ADK ospitati su Agent Runtime su Gemini Enterprise Agent Platform
   • Aggiungi e gestisci gli agenti A2A da Google Cloud Marketplace
   • Registra e gestisci gli agenti Dialogflow

Condividi un agente

Per condividere un agente, segui questi passaggi:

Console

1. Nella console Google Cloud , vai alla pagina Gemini Enterprise.

Vai a Gemini Enterprise

1. Seleziona il progetto.

2. Fai clic sulla tua app nella colonna Nome. Il menu di navigazione si aggiorna.

3. Fai clic su Agenti nel menu di navigazione.

4. Fai clic sul Nome visualizzato dell'agente che vuoi condividere.

5. Fai clic sulla scheda Autorizzazioni utente per visualizzare la pagina Utenti autorizzati.

6. Fai clic su Aggiungi utente. Viene visualizzata la finestra di dialogo Aggiungi ruoli di autorizzazioni dell'utente all'agente.

7. Configura i dettagli dell'autorizzazione:

   1. Seleziona una delle seguenti opzioni nella sezione Tipo di membro:

      • Utente: un singolo utente finale. Affinché questo tipo di iscrizione funzioni, devi includere il ruolo IAM corretto. Per saperne di più, consulta Ruoli e autorizzazioni IAM.

      • Gruppo: una raccolta di utenti finali. Affinché questo tipo di iscrizione funzioni, devi includere il ruolo IAM corretto. Per saperne di più, consulta Ruoli e autorizzazioni IAM.

      • Entità: una singola identità in un pool di identità della forza lavoro (principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID).

      • Pool di identità della forza lavoro: un gruppo di pool della forza lavoro, un attributo personalizzato o tutti gli utenti di un pool di identità della forza lavoro (principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/...).

      • Tutti gli utenti: tutti gli utenti dell'organizzazione.

      I tipi di membri visualizzati dipendono dal provider di identità utilizzato dalla tua app. Per le app che utilizzano le identità Google, vengono visualizzati i tipi di membri Utente e Gruppo. Per le app che utilizzano la federazione delle identità per la forza lavoro, vengono visualizzati i tipi di membri Principal e Pool di identità per la forza lavoro.

      Suggerimento: se utilizzi la federazione delle identità per la forza lavoro con un provider di identità di terze parti come Microsoft Entra ID o Okta, configura il provisioning SCIM (System for Cross-domain Identity Management) per il pool di identità per la forza lavoro. Con SCIM configurato, le finestre di dialogo Aggiungi utente e Trasferisci proprietà completano automaticamente gli utenti e i gruppi e inseriscono i valori esatti e sensibili alle maiuscole di SUBJECT_ID e GROUP_ID. Il completamento automatico basato su SCIM richiede un pool di identità della forza lavoro dedicato per ogni progetto Google Cloud e la mappatura degli attributi SCIM deve produrre lo stesso soggetto della mappaturagoogle.subjectdel pool. Gli utenti e i gruppi vengono visualizzati nel completamento automatico solo dopo che il provider di identità ne ha eseguito il provisioning tramite SCIM. Per ulteriori informazioni, consulta Configura la federazione delle identità per la forza lavoro e Mappature di esempio per la coerenza dei soggetti.

   2. Inserisci l'identificazione univoca del membro e seleziona un ruolo:

      Tipo di membro	Descrizione
      Utente	Inserisci gli indirizzi email nel campo Membro. Seleziona un ruolo nel campo Assegna ruolo.
      Gruppo	Inserisci gli indirizzi email nel campo Membro. Seleziona un ruolo nel campo Assegna ruolo.
      Principal	Inserisci l'identificatore dell'entità per un singolo soggetto (//iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID o principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID) nel campo Membro. Seleziona un ruolo nel campo Assegna ruolo.
      Pool di identità della forza lavoro	Inserisci l'identificatore del set di entità (//iam.googleapis.com/locations/global/workforcePools/POOL_ID/... o principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/...) nel campo Membro. Seleziona un ruolo nel campo Assegna ruolo. Per esempi di set di entità, consulta Set di entità.
      Tutti gli utenti	Seleziona un ruolo nel campo Assegna ruolo.

8. Fai clic su Salva.

Set di entità

Di seguito sono riportati esempi di identificatori di entità e set di entità che puoi specificare quando condividi con utenti e gruppi della federazione delle identità per la forza lavoro. Se il provisioning SCIM è configurato per il tuo pool di identità per la forza lavoro, la finestra di dialogo Aggiungi utente suggerisce utenti e gruppi durante la digitazione e compila questi identificatori per te; in caso contrario, inseriscili esattamente come mostrato, inclusa la distinzione tra maiuscole e minuscole di SUBJECT_ID:

Entità o set di entità	Descrizione
//iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID	Una singola identità in un pool di identità della forza lavoro (seleziona il tipo di membro Entità).
//iam.googleapis.com/locations/global/workforcePools/POOL_ID/group/GROUP_ID	Tutte le identità della forza lavoro in un gruppo (seleziona il tipo di membro Pool di identità della forza lavoro).
//iam.googleapis.com/locations/global/workforcePools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE	Tutte le identità della forza lavoro con un valore di attributo specifico (seleziona il tipo di membro Pool di identità della forza lavoro).
//iam.googleapis.com/locations/global/workforcePools/POOL_ID/*	Tutte le identità in un pool di identità della forza lavoro (seleziona il tipo di membro Pool di identità della forza lavoro).

Sostituisci i seguenti segnaposto con i valori nell'esempio di codice:

• GROUP_ID: un identificatore di gruppo specifico di un provider di identità (IdP) esterno, che ti consente di concedere l'accesso a tutti i membri di quel gruppo.
• POOL_ID: l'ID univoco del pool di identità della forza lavoro che crei in Google Cloud.
• SUBJECT_ID: l'identificatore univoco del soggetto (google.subject) per una singola identità all'interno di un pool di identità della forza lavoro. SUBJECT_ID è sensibile alle maiuscole e deve corrispondere esattamente alle lettere maiuscole dichiarate dal tuo provider di identità (ad esempio nell'asserzione SAML o nel token OIDC).
• ATTRIBUTE_NAME: un nome definito dall'utente di un attributo personalizzato che hai mappato da un provider di identità (IdP) esterno.
• ATTRIBUTE_VALUE: il valore specifico di ATTRIBUTE_NAME utilizzato per limitare l'accesso.

Nota: per concedere l'accesso a un singolo utente della federazione delle identità per la forza lavoro anziché a un gruppo o a un pool, seleziona Entità come tipo di iscrizione e utilizza il formato per un singolo soggetto principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID (oppure ometti il prefisso principal: nella console Google Cloud ). Assicurati che SUBJECT_ID (google.subject) corrisponda esattamente alle lettere maiuscole e minuscole dichiarate dal tuo provider di identità.

Trasferisci la proprietà dell'agente

In qualità di amministratore, puoi trasferire la proprietà di un agente condiviso a un altro utente della tua organizzazione o a te. Questa funzionalità è utile in scenari come:

• Dipendenti che lasciano l'azienda: trasferimento degli agenti creati dai dipendenti che lasciano l'organizzazione ai membri del team attivi per garantire una manutenzione ininterrotta.
• Passaggi di consegne dei contractor: trasferimento degli agenti creati da lavoratori temporanei o a contratto al personale a tempo pieno.
• Ristrutturazione del team: riassegnazione delle responsabilità degli agenti in base all'evoluzione dei ruoli o dei progetti.

Considerazioni e limitazioni

Prima di trasferire la proprietà dell'agente, tieni presente le seguenti considerazioni e limitazioni:

• Autorizzazione di amministratore: solo gli amministratori con il ruolo Gemini Enterprise Admin (roles/discoveryengine.agentspaceAdmin) o il ruolo Discovery Engine Admin (roles/discoveryengine.admin) possono trasferire la proprietà dell'agente. L'attuale proprietario dell'agente non può trasferire la proprietà, a meno che non sia anche un amministratore.
• Solo agenti condivisi: puoi trasferire la proprietà solo degli agenti che sono già condivisi. Nella pagina Agenti della console Google Cloud , la colonna Condivisione dell'agente deve mostrare Attivata. Gli agenti privati (non condivisi) non possono essere trasferiti.
• Proprietario singolo: ogni agente ha esattamente un proprietario. Quando la proprietà viene trasferita, il destinatario selezionato diventa l'unico proprietario dell'agente.
• Accesso del proprietario precedente: quando la proprietà viene trasferita, il proprietario precedente viene retrocesso a utente dell'agente con il ruolo agentUser. Mantengono l'autorizzazione per eseguire query ed eseguire l'agente, ma non possono più modificare la configurazione o le impostazioni dell'agente.
• Tipi di agenti supportati: il trasferimento di proprietà è supportato per gli agenti creati dai dipendenti (agenti low-code e workflow creati nell'app web).
• Agenti con pianificazioni o trigger: se l'agente trasferito ha un trigger di pianificazione o un trigger di evento, l'operazione di trasferimento li contrassegna come pianificazioni o eventi disattivati. Il nuovo proprietario deve attivare la pianificazione o l'attivatore di eventi prima di poter utilizzare l'agente.

Trasferisci la proprietà di un agente

Per trasferire la proprietà di un agente, segui questi passaggi:

Console

1. Nella console Google Cloud , vai alla pagina Gemini Enterprise.

   Vai a Gemini Enterprise

2. Seleziona il progetto.

3. Fai clic sulla tua app nella colonna Nome. Il menu di navigazione si aggiorna.

4. Fai clic su Agenti nel menu di navigazione.

5. Fai clic sul Nome visualizzato dell'agente condiviso.

6. Fai clic sulla scheda Autorizzazioni utente. Viene visualizzato l'elenco Utenti autorizzati.

7. Fai clic su Trasferisci proprietà. Si apre la finestra di dialogo Trasferisci proprietà.

8. In Trasferisci proprietà a, scegli una delle seguenti opzioni:

   • Io: trasferisci la proprietà dell'agente al tuo account amministratore attuale. Questa opzione è disattivata se sei già proprietario dell'agente.
   • Un altro utente: trasferisci la proprietà a un altro utente della tua organizzazione.

9. Se hai selezionato Un altro utente, specifica il nuovo proprietario:

   • Google Identity e Cloud Identity: inserisci l'indirizzo email dell'utente nel campo Email del nuovo proprietario (ad esempio, [e-mail]).
   • Account della federazione delle identità per la forza lavoro (WIF): inserisci l'identificatore dell'entità con identità singola nel campo Nuova entità proprietaria:

   //iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID
   

   In alternativa, puoi includere il prefisso principal::

   principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID
   

   Sostituisci quanto segue:

   • POOL_ID: l'ID univoco del pool di identità della forza lavoro.
   • SUBJECT_ID: l'identificatore dell'oggetto dell'utente nel pool di identità della forza lavoro.
   Nota: gli identificatori di entità della federazione delle identità per la forza lavoro sono sensibili alle maiuscole. Assicurati che l'identificatore corrisponda esattamente alle maiuscole e minuscole configurate nella mappatura google.subject del tuo provider di identità. Se il provisioning SCIM è configurato per il tuo pool di identità per la forza lavoro, il campo Nuova entità proprietaria suggerisce gli utenti durante la digitazione e compila l'identificatore per te. Per ulteriori informazioni, consulta Configura la federazione delle identità per la forza lavoro.

10. Fai clic su Trasferisci proprietà.

    Il proprietario dell'agente è stato aggiornato. Il proprietario precedente viene mantenuto come utente autorizzato con il ruolo agentUser.

    Nota: se l'agente trasferito ha un trigger di pianificazione o un trigger di evento, l'operazione di trasferimento li contrassegna come pianificazioni o eventi disattivati. Il nuovo proprietario deve attivare il trigger prima di poter utilizzare l'agente.