このページでは、組織内のユーザーとエージェントを共有する方法と、管理者が共有エージェントのオーナー権限を移行する方法について説明します。管理者は、利用可能なエージェント（Google 製、従業員製、カスタム製）を個々のユーザー、グループ、Workforce Identity プール グループ、または組織内のすべてのユーザーと共有できます。また、共有された従業員製エージェントのオーナー権限を自分または別のユーザーに譲渡できます。Gemini Enterprise で利用できるさまざまなタイプのエージェントの詳細については、エージェントの概要をご覧ください。
始める前に
エージェントを共有するには、次の要件を満たす必要があります。
既存の Gemini Enterprise ウェブアプリが必要です。新しいアプリを作成するには、アプリを作成するをご覧ください。
カスタム エージェントを共有するには、次のいずれかの方法で、カスタム エージェントを Gemini Enterprise に登録または追加している必要があります。
エージェントを共有する
エージェントを共有する手順は次のとおりです。
コンソール
- Google Cloud コンソールで、[Gemini Enterprise] ページに移動します。
プロジェクトを選択します。
[名前] 列でアプリをクリックします。ナビゲーション メニューが更新されます。
ナビゲーション メニューで [エージェント] をクリックします。
共有するエージェントの表示名をクリックします。
[ユーザー権限] タブをクリックすると、[権限のあるユーザー] ページが表示されます。
[ユーザーを追加] をクリックします。[Add user permissions roles to agent] ダイアログが表示されます。
権限の詳細を構成します。
[メンバーの種類] セクションで、次のいずれかのオプションを選択します。
ユーザー: 個々のエンドユーザー。このメンバーの種類を機能させるには、正しい IAM ロールを含める必要があります。詳細については、IAM のロールと権限をご覧ください。
グループ: エンドユーザーのコレクション。このメンバーの種類を機能させるには、正しい IAM ロールを含める必要があります。詳細については、IAM のロールと権限をご覧ください。
プリンシパル: Workforce Identity プール内の単一の ID（
principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID）。Workforce Identity プール: Workforce プールグループ、カスタム属性、または Workforce Identity プール（
principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/...）内のすべてのユーザー。すべてのユーザー: 組織内のすべてのユーザー。
表示されるメンバータイプは、アプリで使用する ID プロバイダによって異なります。Google Identity を使用するアプリの場合、ユーザーとグループのメンバータイプが表示されます。Workforce Identity 連携を使用するアプリの場合、代わりにプリンシパルと Workforce Identity プールのメンバータイプが表示されます。
メンバーの固有 ID を入力し、ロールを選択します。
メンバーの種類 説明 ユーザー [メンバー] フィールドにメールアドレスを入力します。
[ロールを割り当て] フィールドでロールを選択します。グループ [メンバー] フィールドにメールアドレスを入力します。
[ロールを割り当て] フィールドでロールを選択します。プリンシパル [メンバー] フィールドに、単一サブジェクトのプリンシパル ID（ //iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_IDまたはprincipal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID）を入力します。
[ロールを割り当て] フィールドでロールを選択します。Workforce Identity プール [メンバー] フィールドにプリンシパル セット ID（ //iam.googleapis.com/locations/global/workforcePools/POOL_ID/...またはprincipalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/...）を入力します。
[ロールを割り当て] フィールドでロールを選択します。
プリンシパル セットの例については、プリンシパル セットをご覧ください。すべてのユーザー [ロールを割り当て] フィールドでロールを選択します。
[保存] をクリックします。
プリンシパル セット
Workforce Identity 連携のユーザーやグループと共有するときに指定できるプリンシパル ID とプリンシパル セットの例を次に示します。Workforce Identity プールに SCIM プロビジョニングが構成されている場合、[ユーザーを追加] ダイアログで、入力時にユーザーとグループが候補として表示され、これらの識別子が自動的に入力されます。それ以外の場合は、SUBJECT_ID の大文字と小文字を含め、表示されているとおりに入力します。
| プリンシパルまたはプリンシパル セット | 説明 |
|---|---|
//iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID |
Workforce Identity プール内の単一の ID（プリンシパル メンバータイプを選択）。 |
//iam.googleapis.com/locations/global/workforcePools/POOL_ID/group/GROUP_ID |
グループ内のすべての Workforce ID（[Workforce Identity プール] メンバータイプを選択）。 |
//iam.googleapis.com/locations/global/workforcePools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE |
特定の属性値を持つすべての Workforce ID（Workforce Identity プールのメンバータイプを選択）。 |
//iam.googleapis.com/locations/global/workforcePools/POOL_ID/* |
Workforce Identity プール内のすべての ID（[Workforce Identity プール] メンバータイプを選択）。 |
次のプレースホルダをコードサンプルの値に置き換えます。
GROUP_ID: 外部 ID プロバイダ（IdP）の特定のグループ識別子。このグループのすべてのメンバーにアクセス権を付与できます。POOL_ID: Google Cloudで作成する Workforce Identity プールの一意の ID。SUBJECT_ID: Workforce Identity プール内の単一の ID の一意のサブジェクト識別子（google.subject）。SUBJECT_IDは大文字と小文字が区別され、ID プロバイダによってアサートされた大文字と小文字（SAML アサーションや OIDC トークンなど）と完全に一致する必要があります。ATTRIBUTE_NAME: 外部 ID プロバイダ（IdP）からマッピングしたカスタム属性のユーザー定義名。ATTRIBUTE_VALUE: アクセスの制限に使用されるATTRIBUTE_NAMEの特定の値。
エージェントのオーナー権限を譲渡する
管理者は、共有エージェントのオーナー権限を組織内の別のユーザーまたは自分自身に譲渡できます。この機能は、次のようなシナリオで役立ちます。
- 退職する従業員: 組織を退職する従業員が作成したエージェントをアクティブなチームメンバーに転送して、メンテナンスが中断されないようにします。
- 契約社員の引き継ぎ: 臨時社員または契約社員が作成したエージェントをフルタイムのスタッフに引き継ぎます。
- チームの再編: 役割やプロジェクトの進化に伴い、エージェントの責任を再割り当てします。
考慮事項と制限事項
エージェントのオーナー権限を移行する前に、次の考慮事項と制限事項に注意してください。
- 管理者権限: エージェントのオーナー権限を移行できるのは、Gemini Enterprise 管理者ロール（
roles/discoveryengine.agentspaceAdmin）またはディスカバリー エンジン管理者ロール（roles/discoveryengine.admin）を持つ管理者のみです。現在のエージェント オーナーは、管理者でない限りオーナー権限を譲渡できません。 - 共有エージェントのみ: すでに共有されているエージェントのオーナー権限のみを譲渡できます。 Google Cloud コンソールの [エージェント] ページで、エージェントの [共有] 列に [有効] と表示されている必要があります。非公開（共有されていない）エージェントは転送できません。
- 単一のオーナー: 各エージェントのオーナーは 1 人だけです。オーナー権限が譲渡されると、選択した受信者がエージェントの唯一のオーナーになります。
- 以前のオーナーのアクセス権: オーナー権限が譲渡されると、以前のオーナーは
agentUserロールを持つエージェントのユーザーに降格されます。エージェントのクエリと実行の権限は保持されますが、エージェントの構成や設定を編集することはできなくなります。 - サポートされているエージェント タイプ: オーナー権限の移行は、従業員が作成したエージェント（ウェブアプリで作成されたローコード エージェントとワークフロー エージェント）でサポートされています。
- スケジュールまたはトリガーが設定されたエージェント: 転送されたエージェントにスケジュール トリガーまたはイベント トリガーが設定されている場合、転送オペレーションでは、それらのスケジュールまたはイベントが無効としてマークされます。新しいオーナーは、エージェントを使用する前に、スケジュールまたはイベント トリガーを有効にする必要があります。
エージェントのオーナー権限を譲渡する
エージェントのオーナー権限を譲渡する手順は次のとおりです。
コンソール
Google Cloud コンソールで、[Gemini Enterprise] ページに移動します。
プロジェクトを選択します。
[名前] 列でアプリをクリックします。ナビゲーション メニューが更新されます。
ナビゲーション メニューで [エージェント] をクリックします。
共有エージェントの表示名をクリックします。
[ユーザー権限] タブをクリックします。[権限のあるユーザー] リストが表示されます。
[オーナー権限を譲渡] をクリックします。[オーナー権限の譲渡] ダイアログが開きます。
[オーナー権限の移行先] で、次のいずれかのオプションを選択します。
- 自分: エージェントのオーナー権限を現在の管理者アカウントに譲渡します。すでにエージェントを所有している場合、このオプションは無効になります。
- 別のユーザー: 組織内の別のユーザーにオーナー権限を譲渡します。
[別のユーザー] を選択した場合は、新しいオーナーを指定します。
- Google Identity と Cloud Identity: [新しいオーナーのメールアドレス] 欄にユーザーのメールアドレスを入力します（例:
user@example.com）。 - Workforce Identity 連携（WIF）アカウント: [新しいオーナー プリンシパル] フィールドに、単一 ID のプリンシパル ID を入力します。
//iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID
または、
principal:接頭辞を含めることもできます。principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID
次のように置き換えます。
- POOL_ID: Workforce Identity プールの一意の ID。
- SUBJECT_ID: Workforce Identity プール内のユーザーのサブジェクト ID。
- Google Identity と Cloud Identity: [新しいオーナーのメールアドレス] 欄にユーザーのメールアドレスを入力します（例:
[オーナー権限を譲渡] をクリックします。
エージェントのオーナーが更新されます。以前のオーナーは、
agentUserロールを持つ権限付きユーザーとして保持されます。