Google은 AI 기술을 사용하여 콘텐츠를 사용자의 기본 언어로 번역합니다. AI 번역에는 오류가 있을 수 있습니다.

Secure Web Proxy를 Agent Gateway로 배포

이 페이지에서는 Secure Web Proxy 인스턴스를 Agent Gateway로 구성하고 배포하는 방법을 설명합니다.

개요

Google Cloud 에 배포된 엔터프라이즈 AI 워크로드에는 데이터 개인 정보 보호 규정 준수를 유지하고, 민감한 정보 유출을 방지하고, 프롬프트 인젝션과 같은 새로운 AI 위협으로부터 보호하기 위해 구조화된 네트워크 경계가 필요합니다.

Agent Gateway는 AI 에이전트에서 대규모 언어 모델(LLM), 모델 컨텍스트 프로토콜(MCP) 도구, 외부 API, 원격 에이전트, 표준 웹 대상에 대한 아웃바운드 트래픽에 중앙 집중식 보안 거버넌스, ID 시행, 콘텐츠 가드레일을 제공합니다.

Google 관리 Agent Gateway 또는 Secure Web Proxy 인스턴스를 자체 관리 Agent Gateway로 배포할 수 있습니다. 두 배포 모델 모두 중앙 집중식 액세스 정책, 에이전트 레지스트리 통합, 콘텐츠 가드레일을 포함한 공통 Gemini Enterprise Agent Platform 거버넌스 솔루션을 제공합니다.

운영 환경설정에 따라 다음 배포 옵션 중에서 선택합니다.

Google 관리 Agent Gateway: 네트워크 프록시 인프라를 관리할 필요 없이 유지보수가 필요 없는 완전 관리형 환경을 원하는 경우 이 옵션을 사용합니다. 자세한 내용은 Google 관리 Agent Gateway를 참조하세요. 이 모델은 Gemini Enterprise 또는 Gemini Enterprise Agent Platform의 Agent Runtime에서 실행되는 에이전트에 최적화되어 있습니다.
자체 관리형 Agent Gateway로서의 Secure Web Proxy: Google Kubernetes Engine(GKE) 또는 Cloud Run에서 실행되는 에이전트를 지원하기 위해 VPC 네트워크 경계, 비공개 CA 인증서, 프록시 라우팅을 완전히 제어하려면 Secure Web Proxy 인스턴스를 Agent Gateway로 배포합니다.

이점

Secure Web Proxy를 Agent Gateway로 배포하면 다음과 같은 이점이 있습니다.

고객 제어 인프라: 자체 가상 프라이빗 클라우드(VPC) 네트워크에서 Secure Web Proxy 게이트웨이를 관리하여 네트워크 라우팅, IP 주소 지정, 비공개 CA 인증서, TLS 검사를 완전히 제어할 수 있습니다.
중앙 집중식 AI 정책 시행: agentGateway 리소스에 승인 정책을 정의할 수 있습니다. 이렇게 하면 Secure Web Proxy 게이트웨이에 이러한 정책을 직접 시행하여 MCP 도구 호출을 제한하고, AI 에이전트의 외부 목적지를 필터링하고, Model Armor와 같은 콘텐츠 정제 서비스를 호출할 수 있습니다.
런타임 지원: GKE 또는 Cloud Run과 같은 다양한 런타임에서 호스팅되는 AI 에이전트의 아웃바운드 트래픽을 단일 프록시 경계를 통해 라우팅할 수 있습니다.
에이전트 인식 모니터링 가능성: Cloud Logging의 트랜잭션 로그에는 MCP 메서드, 도구 이름, 에이전트 레지스트리 대상의 Uniform Resource Names(URN)을 포함한 AI 에이전트 실행 메타데이터(agentGatewayInfo)가 자동으로 포함됩니다.

아키텍처

다음 단계에서는 Secure Web Proxy가 Agent Gateway로서 아웃바운드 트래픽을 보호하는 방법을 보여줍니다.

Agent Runtime: GKE 또는 Cloud Run에서 실행되는 자율 에이전트가 외부 API, 모델 제공업체, MCP 도구 서버, 원격 에이전트 또는 표준 웹 대상에 대한 아웃바운드 연결을 시작합니다.
아웃바운드 트래픽 라우팅: 에이전트 트래픽은 VPC 내 프록시 라우팅 또는 교차 VPC Private Service Connect(PSC) 서비스 연결을 사용하여 Secure Web Proxy로 전달됩니다.
정책 평가 및 콘텐츠 정제: Secure Web Proxy는 TLS 연결을 종료하고, MCP 승인 정책을 시행하며, Model Armor 또는 IAP(Identity-Aware Proxy)와 같은 확장 프로그램 서비스를 호출하여 페이로드를 정제하고 클라이언트 ID를 확인합니다.

시작하기 전에

Secure Web Proxy 인스턴스를 Agent Gateway로 배포하기 전에 다음 기본 요건을 완료하세요.

다음과 같이 필요한 Google Cloud API를 사용 설정합니다.

gcloud services enable \
    networkservices.googleapis.com \
    networksecurity.googleapis.com \
    privateca.googleapis.com \
    certificatemanager.googleapis.com \
    serviceextensions.googleapis.com \
    agentregistry.googleapis.com \
    compute.googleapis.com

다음과 같은 필수 Identity and Access Management(IAM) 역할이 있는지 확인합니다.
- Compute 네트워크 관리자 역할(roles/compute.networkAdmin)
- 네트워크 보안 관리자 역할(roles/networksecurity.admin)
- CA Service 관리자 역할(roles/privateca.admin)

배포에 다음 환경 변수를 구성합니다.

export PROJECT_ID="my-project-id"
export PROJECT_NUMBER="my-project-number"
export REGION="us-central1"
export NETWORK_NAME="swp-vpc"
export PROXY_SUBNET_NAME="swp-proxy-subnet"
export PSC_NAT_SUBNET_NAME="swp-psc-nat-subnet"
export CA_POOL_NAME="swp-ca-pool"
export ROOT_CA_NAME="swp-root-ca"
export TLS_INSPECTION_POLICY_NAME="swp-tls-inspection-policy"
export SECURE_WEB_PROXY_NAME="swp-agent-gateway"
export SWP_IP_ADDRESS="10.129.0.10"
export SWP_CERTIFICATE_NAME="swp-cert"
export SERVER_TLS_POLICY_NAME="swp-server-tls-policy"
export GATEWAY_SECURITY_POLICY_NAME="swp-security-policy"
export SERVICE_ATTACHMENT_NAME="swp-service-attachment"
export AGENT_GATEWAY_NAME="my-agent-gateway"

선택사항: Agent Runtime이 별도의 VPC 네트워크 또는 관리형 환경(예: 교차 프로젝트 GKE 또는 Cloud Run 클러스터)에서 작동하는 경우 Private Service Connect 서비스 연결을 통해 Secure Web Proxy를 노출해야 합니다.
- --purpose=PRIVATE_SERVICE_CONNECT로 PSC NAT 서브넷을 만듭니다.
- Secure Web Proxy 게이트웨이를 타겟팅하는 서비스 연결을 만듭니다. 자세한 내용은 Secure Web Proxy를 Private Service Connect 서비스로 배포를 참조하세요.

TLS 검사 설정

Secure Web Proxy는 TLS 연결을 종료하여 HTTP 헤더를 검사하고, MCP 메서드를 평가하고, 페이로드를 정제합니다.

TLS 검사를 구성하려면 다음을 수행하여 비공개 인증 기관(CA) 풀, 루트 CA, tlsInspectionPolicy 리소스를 만듭니다.

비공개 CA 풀을 만듭니다.
```
gcloud privateca pools create CA_POOL_NAME \
    --location=REGION \
    --tier=devops \
    --project=PROJECT_ID
```
다음을 바꿉니다.
- CA_POOL_NAME: CA 풀의 이름
- REGION: CA 풀이 생성되는 리전
- PROJECT_ID: Google Cloud 프로젝트 ID
비공개 CA 풀에 루트 CA를 만듭니다.
```
gcloud privateca roots create ROOT_CA_NAME \
    --pool=CA_POOL_NAME \
    --location=REGION \
    --subject="CN=Agent Gateway SWP Root CA, O=MyOrganization" \
    --auto-enable \
    --project=PROJECT_ID
```
다음을 바꿉니다.
- ROOT_CA_NAME: 루트 CA 이름
- CA_POOL_NAME: CA 풀의 이름
- REGION: 루트 CA가 생성되는 리전
- PROJECT_ID: Google Cloud 프로젝트 ID
참고: Cloud Run 또는 GKE와 같은 클라이언트 워크로드가 TLS 검사 중에 이 CA 풀에서 발급한 인증서를 신뢰하도록 하려면 루트 CA 인증서를 내보낸 후 워크로드의 트러스트 저장소에 추가합니다. 예를 들어 AGENT_GATEWAY_ROOT_CERTIFICATES 환경 변수를 설정할 수 있습니다.

네트워크 보안 서비스 계정에 인증서를 요청할 수 있는 권한을 부여합니다.

gcloud privateca pools add-iam-policy-binding CA_POOL_NAME \
    --location=REGION \
    --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-networksecurity." \
    --role="roles/privateca.certificateRequester" \
    --project=PROJECT_ID

tls-inspection-policy.yaml 파일에 tlsInspectionPolicy 리소스를 만듭니다.
```
name: projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_POLICY_NAME
caPool: projects/PROJECT_ID/locations/REGION/caPools/CA_POOL_NAME
```
다음을 바꿉니다.
- PROJECT_ID: Google Cloud 프로젝트 ID
- REGION: TlsInspectionPolicy이 생성되는 리전
- TLS_INSPECTION_POLICY_NAME: TlsInspectionPolicy 리소스 이름
- CA_POOL_NAME: CA 풀의 이름

정책을 가져오려면 gcloud network-security tls-inspection-policies import 명령어를 실행합니다.

gcloud network-security tls-inspection-policies import TLS_INSPECTION_POLICY_NAME \
    --source=tls-inspection-policy.yaml \
    --location=REGION \
    --project=PROJECT_ID

Secure Web Proxy 배포

상호 TLS(mTLS)가 구성된 Secure Web Proxy 게이트웨이를 만듭니다.

VPC 네트워크에 게이트웨이를 배포하려는 리전에 프록시 전용 서브넷이 있는지 확인합니다.
```
gcloud compute networks subnets create PROXY_SUBNET_NAME \
    --purpose=REGIONAL_MANAGED_PROXY \
    --role=ACTIVE \
    --region=REGION \
    --network=NETWORK_NAME \
    --range=10.129.0.0/23
```
다음을 바꿉니다.
- PROXY_SUBNET_NAME: 프록시 전용 서브넷의 이름
- NETWORK_NAME: VPC 네트워크의 이름
- REGION: 서브넷이 생성되는 리전
선택사항: 프록시 전용 서브넷 범위에서 사용 가능한 IP 주소(예: 10.129.0.0/23 내의 10.129.0.10)를 선택하여 SWP_IP_ADDRESS에 할당합니다.

참고: swp.yaml 파일에 addresses 필드를 추가하지 않으면 Secure Web Proxy가 프록시 전용 서브넷에서 IP 주소를 자동으로 할당합니다.
Secure Web Proxy 게이트웨이가 수신 클라이언트 에이전트 연결을 안전하게 수락할 수 있도록 하려면 인증서 관리자에서 리전 SSL/TLS 서버 인증서를 만듭니다.
1. 자체 관리형 인증서와 비공개 키를 생성합니다.
```
openssl req -x509 -newkey rsa:2048 -nodes \
    -keyout "swp.key" \
    -out "swp.crt" \
    -days 365 \
    -subj "/CN=SWP_IP_ADDRESS"
```
  SWP_IP_ADDRESS를 Secure Web Proxy 게이트웨이의 IP 주소로 바꿉니다.
2. 인증서를 인증서 관리자에 업로드하려면 gcloud certificate-manager certificates create 명령어를 실행합니다.
```
gcloud certificate-manager certificates create SWP_CERTIFICATE_NAME \
    --location=REGION \
    --certificate-file="swp.crt" \
    --private-key-file="swp.key" \
    --project=PROJECT_ID
```
  다음을 바꿉니다.
  - SWP_CERTIFICATE_NAME: 인증서 리소스의 이름
  - REGION: 인증서가 생성된 리전
  - PROJECT_ID: Google Cloud프로젝트 ID
프런트엔드 mTLS를 사용 설정하려면 ServerTlsPolicy 리소스를 만듭니다. Cloud Run과 같은 워크로드가 ID 인증서를 IAP와 같은 서비스에 전달할 수 있도록 하려면 clientValidationMode: ALLOW_INVALID_OR_MISSING_CLIENT_CERT로 정책을 구성합니다.

참고: IAP를 사용하는 경우 clientValidationTrustConfig 필드는 지원되지 않으므로 값을 설정하지 마세요.
1. server-tls-policy.yaml이라는 파일을 만든 후 다음 콘텐츠를 추가합니다.
```
name: projects/PROJECT_ID/locations/REGION/serverTlsPolicies/SERVER_TLS_POLICY_NAME
mtlsPolicy:
  clientValidationMode: ALLOW_INVALID_OR_MISSING_CLIENT_CERT
```
  다음을 바꿉니다.
  - PROJECT_ID: Google Cloud 프로젝트 ID
  - REGION: ServerTlsPolicy이 생성되는 리전
  - SERVER_TLS_POLICY_NAME: ServerTlsPolicy 리소스 이름
2. 정책을 가져오려면 gcloud network-security server-tls-policies import 명령어를 실행합니다.
```
gcloud network-security server-tls-policies import SERVER_TLS_POLICY_NAME \
    --source=server-tls-policy.yaml \
    --location=REGION \
    --project=PROJECT_ID
```
tlsInspectionPolicy을 연결할 게이트웨이 보안 정책을 만듭니다.
1. gateway-security-policy.yaml이라는 파일을 만든 후 다음 콘텐츠를 추가합니다.
```
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/GATEWAY_SECURITY_POLICY_NAME
tlsInspectionPolicy: projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_POLICY_NAME
```
  다음을 바꿉니다.
  - PROJECT_ID: Google Cloud 프로젝트 ID
  - REGION: GatewaySecurityPolicy이 생성되는 리전
  - GATEWAY_SECURITY_POLICY_NAME: GatewaySecurityPolicy 리소스 이름
  - TLS_INSPECTION_POLICY_NAME: TlsInspectionPolicy 리소스 이름
2. 정책을 가져오려면 gcloud network-security gateway-security-policies import 명령어를 실행합니다.
```
gcloud network-security gateway-security-policies import GATEWAY_SECURITY_POLICY_NAME \
    --source=gateway-security-policy.yaml \
    --location=REGION \
    --project=PROJECT_ID
```

swp.yaml라는 Secure Web Proxy 사양 파일을 만듭니다.

name: projects/PROJECT_ID/locations/REGION/gateways/SECURE_WEB_PROXY_NAME
type: SECURE_WEB_GATEWAY
addresses:
  - "SWP_IP_ADDRESS"
ports:
  - 443
routingMode: EXPLICIT_ROUTING_MODE
certificateUrls:
  - projects/PROJECT_ID/locations/REGION/certificates/SWP_CERTIFICATE_NAME
serverTlsPolicy: projects/PROJECT_ID/locations/REGION/serverTlsPolicies/SERVER_TLS_POLICY_NAME
network: projects/PROJECT_ID/global/networks/NETWORK_NAME
subnetwork: projects/PROJECT_ID/regions/REGION/subnetworks/PROXY_SUBNET_NAME
gatewaySecurityPolicy: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/GATEWAY_SECURITY_POLICY_NAME

다음을 바꿉니다.

PROJECT_ID: Google Cloud 프로젝트 ID
REGION: Secure Web Proxy 게이트웨이가 생성되는 리전
SECURE_WEB_PROXY_NAME: Secure Web Proxy 게이트웨이의 이름
SWP_IP_ADDRESS: Secure Web Proxy 게이트웨이의 IP 주소
SWP_CERTIFICATE_NAME: Secure Web Proxy 게이트웨이와 연결된 인증서의 이름
SERVER_TLS_POLICY_NAME: ServerTlsPolicy 리소스 이름
NETWORK_NAME: VPC 네트워크의 이름
PROXY_SUBNET_NAME: 프록시 전용 서브넷의 이름
GATEWAY_SECURITY_POLICY_NAME: GatewaySecurityPolicy 리소스 이름

Secure Web Proxy 게이트웨이를 가져오려면 gcloud network-services gateways import 명령어를 실행합니다.

gcloud network-services gateways import SECURE_WEB_PROXY_NAME \
    --source=swp.yaml \
    --location=REGION \
    --project=PROJECT_ID

워크로드 다운타임을 유발하지 않고 기존 Secure Web Proxy 게이트웨이에서 이러한 필드를 변경하려면 다음을 수행합니다.

새 이름과 필수 구성으로 다른 Secure Web Proxy 게이트웨이를 만듭니다.
새 Secure Web Proxy 게이트웨이를 참조하도록 agentGateway 리소스(selfManaged.resourceUris)를 업데이트합니다.
새 Secure Web Proxy 게이트웨이를 가리키도록 EgressRouting 리소스를 업데이트합니다.
새 게이트웨이가 트래픽 경로를 성공적으로 관리하는지 확인한 후 agentGateway 리소스에서 이전 Secure Web Proxy 게이트웨이를 삭제한 다음 이전 게이트웨이 리소스를 삭제합니다.

Secure Web Proxy 인스턴스를 Agent Gateway와 연결

Secure Web Proxy 인스턴스를 agentGateway 리소스와 연결하려면 다음을 수행합니다.

agent-gateway.yaml이라는 구성 파일을 만듭니다.
```
name: projects/PROJECT_ID/locations/REGION/agentGateways/AGENT_GATEWAY_NAME
selfManaged:
  resourceUris:
    - //networkservices.googleapis.com/projects/PROJECT_ID/locations/REGION/gateways/SECURE_WEB_PROXY_NAME
registries:
  - //agentregistry.googleapis.com/projects/PROJECT_ID/locations/REGION
```
다음을 바꿉니다.
- PROJECT_ID: Google Cloud 프로젝트 ID
- REGION: Agent Gateway가 생성된 리전
- AGENT_GATEWAY_NAME: Agent Gateway의 이름
- SECURE_WEB_PROXY_NAME: Secure Web Proxy 인스턴스의 이름
선택사항: registries 필드는 Agent Gateway를 Agent Registry와 연결합니다. 대상 또는 도구 확인에 Agent Registry를 사용하지 않으려면 registries 필드를 지정하지 마세요.

agentGateway 리소스를 가져오려면 gcloud beta network-services agent-gateways import 명령어를 실행합니다.

gcloud beta network-services agent-gateways import AGENT_GATEWAY_NAME \
    --source=agent-gateway.yaml \
    --location=REGION \
    --project=PROJECT_ID

확장 프로그램 바인딩 및 승인 정책 구성

아웃바운드 AI 에이전트 트래픽을 제어하려면 agentGateway 리소스에서 확장 프로그램 바인딩 및 승인 정책을 구성합니다. 프록시는 기본 Secure Web Proxy Gateway 리소스에 직접 연결된 모든 정책을 무시합니다.

Agent Gateway는 다음 두 가지 거버넌스 레이어를 지원합니다.

확장 프로그램 바인딩: IAP 및 Model Armor와 같은 외부 보안 및 거버넌스 서비스를 Service Extensions를 사용하여 Agent Gateway에 직접 연결합니다.
승인 정책: L7 MCP 메서드 제한 및 L4 네트워크 규칙을 적용합니다.

Agent Gateway에 확장 프로그램 바인딩 연결

서비스 확장 프로그램의 확장 프로그램 바인딩을 사용하여 관리형 서비스를 Agent Gateway에 바인딩하여 에이전트 상호작용을 검사, 인증, 제어합니다.

1단계: Agent Gateway에 IAP(Identity-Aware Proxy) 바인딩

트래픽이 대상 도구에 도달하기 전에 에이전트 호출자 ID를 확인하고 액세스 정책을 시행하려면 다음을 수행하여 IAP를 Agent Gateway에 바인딩합니다.

ext-binding-iap.yaml이라는 구성 파일을 만듭니다.

name: ext-binding-iap
target:
  resources:
  - "//networkservices.googleapis.com/projects/PROJECT_ID/locations/REGION/agentGateways/AGENT_GATEWAY_NAME"
failOpen: false
producerExtension: iap.googleapis.com
matchConditions:
- to:
    destination:
      resources:
      - prefix: "urn:mcp"
    notDestinations:
      hosts:
      - suffix: ".googleapis.com"

다음을 바꿉니다.

PROJECT_ID: Google Cloud 프로젝트 ID
REGION: 확장 프로그램 바인딩이 생성되는 리전
AGENT_GATEWAY_NAME: Agent Gateway의 이름

확장 프로그램 바인딩을 가져오려면 gcloud beta service-extensions extension-bindings import 명령어를 실행합니다.

gcloud beta service-extensions extension-bindings import ext-binding-iap \
    --source=extension-binding-iap.yaml \
    --location=REGION

자세한 내용은 IAP에 승인 위임을 참조하세요.

2단계: 프롬프트 및 응답 정리를 위해 Model Armor 바인딩

프롬프트 인젝션, 유해한 콘텐츠, 민감한 데이터 유출을 방지하려면 다음을 수행하여 Model Armor를 Agent Gateway에 바인딩합니다.

ext-binding-model-armor.yaml이라는 구성 파일을 만듭니다.

name: ext-binding-model-armor
target:
  resources:
  - "//networkservices.googleapis.com/projects/PROJECT_ID/locations/REGION/agentGateways/AGENT_GATEWAY_NAME"
failOpen: false
producerExtension: modelarmor.googleapis.com
producerMetadata:
  model_armor_settings: '[
    {
      "request_template_id": "projects/PROJECT_ID/locations/REGION/templates/REQUEST_TEMPLATE_ID",
      "response_template_id": "projects/PROJECT_ID/locations/REGION/templates/RESPONSE_TEMPLATE_ID"
    }
  ]'
matchConditions:
- to:
    destination:
      resources:
      - prefix: "urn:mcp"

다음을 바꿉니다.

PROJECT_ID: Google Cloud 프로젝트 ID
REGION: 확장 프로그램 바인딩이 생성되는 리전
AGENT_GATEWAY_NAME: Agent Gateway의 이름
REQUEST_TEMPLATE_ID: Model Armor 요청 템플릿의 ID
RESPONSE_TEMPLATE_ID: Model Armor 응답 템플릿의 ID입니다.

확장 프로그램 바인딩을 가져오려면 gcloud beta service-extensions extension-bindings import 명령어를 실행합니다.

gcloud beta service-extensions extension-bindings import ext-binding-model-armor \
    --source=extension-binding-model-armor.yaml \
    --location=REGION

자세한 내용은 Model Armor에 승인 위임 및 Secure Web Proxy의 승인 정책 설정의 예시 3: 확장 프로그램 바인딩을 사용하여 Model Armor로 심층 페이로드 검사 사용 설정을 참조하세요.

승인 정책을 사용하여 MCP 도구 제한

에이전트 도구 검색 및 실행을 승인된 도구로 제한하려면 다음을 수행하여 승인 정책을 만들고 가져옵니다.

authz-policy-restrict-mcp-tools.yaml이라는 구성 파일을 만듭니다.

name: authz-policy-restrict-mcp-tools
target:
  resources:
  - "projects/PROJECT_ID/locations/REGION/agentGateways/AGENT_GATEWAY_NAME"
policyProfile: REQUEST_AUTHZ
httpRules:
- to:
    operations:
    - mcp:
        baseProtocolMethodsOption: MATCH_BASE_PROTOCOL_METHODS
        methods:
        - name: "tools/list"
        - name: "tools/call"
          params:
          - exact: "get_weather"
          - exact: "get_location"
action: ALLOW

다음을 바꿉니다.

PROJECT_ID: Google Cloud 프로젝트 ID
REGION: 승인 정책이 생성되는 리전
AGENT_GATEWAY_NAME: Agent Gateway의 이름

승인 정책을 가져오려면 gcloud network-security authz-policies import 명령어를 실행합니다.

gcloud network-security authz-policies import authz-policy-restrict-mcp-tools \
    --source=authz-policy-restrict-mcp-tools.yaml \
    --location=REGION \
    --project=PROJECT_ID

Agent Gateway를 통해 에이전트 라우팅

Agent Gateway를 구성하고 승인 정책을 연결한 후에는 아웃바운드 트래픽을 Secure Web Proxy 인스턴스로 전달하도록 Agent Runtime 환경을 구성해야 합니다. 아웃바운드 트래픽 라우팅은 네트워킹 계층에서 투명하게 작동하여 에이전트 애플리케이션 코드를 수정하지 않고도 요청을 게이트웨이로 리디렉션합니다.

AI 워크로드가 실행되는 위치에 따라 다음 문서 애셋을 참조하여 아웃바운드 라우팅을 구성하세요.

GKE: Cloud Service Mesh 앰비언트 네트워킹을 사용하여 노드 수준에서 아웃바운드 에이전트 트래픽을 가로챈 다음 HTTP CONNECT 터널을 통해 Secure Web Proxy 인스턴스로 전달합니다. 클러스터에서 라우팅 정책을 구성하려면 Secure Web Proxy를 통해 주변 이그레스 트래픽 라우팅 및 GKE용 Agent Gateway를 참조하세요.
Cloud Run: 아웃바운드 에이전트 트래픽을 VPC 네트워크로 전송하도록 VPC 직접 연결 이그레스를 구성합니다. 여기서 Cloud Run 앰비언트 네트워킹은 에이전트의 ID를 전달하는 HTTP CONNECT 터널을 통해 요청을 Secure Web Proxy 인스턴스로 리디렉션합니다. 아웃바운드 트래픽의 라우팅을 설정하려면 VPC 네트워크를 사용한 VPC 직접 연결 및 Cloud Run용 Agent Gateway를 참조하세요.

원격 분석, 로깅, 모니터링

보안 웹 프록시 게이트웨이가 Agent Gateway 리소스와 연결되면 트랜잭션 로그가 표준 보안 웹 프록시 networkservices.googleapis.com/Gateway 모니터링 리소스 아래에 내보내집니다. 로깅은 기본적으로 샘플링 레이트 1.0으로 사용 설정됩니다.

로깅

Cloud Logging의 로그 항목은 LoadBalancerLogEntry 형식을 사용하며 다음 AI 에이전트 및 보안 페이로드 필드를 포함합니다.

agentGatewayInfo: 에이전트 트랜잭션에 대한 메타데이터를 포함합니다.
- agentRegistryResource: 일치하는 에이전트 레지스트리 대상의 전체 리소스 이름(예: MCP 서버 또는 스킬)
- destinationUrn: 대상 URN에 대한 정보
- mcpInfo: tools/call 또는 resources/read와 같은 메서드, 도구 이름 또는 리소스 URI를 포함한 MCP JSON-RPC 호출 세부정보
authzPolicyInfo: 승인 평가 결과(ALLOWED 또는 DENIED) 및 일치하는 정책 이름
tls: TLS 협상 세부정보 및 암호화 클라이언트 인증서(mTLS) 확인 속성(예: clientCertPresent 및 clientCertSha256Fingerprint)

측정항목 모니터링

Agent Gateway는 다음 측정항목을 Cloud Monitoring으로 내보냅니다.

MCP 기간:
- gcp.mcp.server.operation.duration: MCP 도구 서버가 수행하는 작업의 지연 시간
- gcp.mcp.client.operation.duration: MCP 클라이언트 호출의 엔드 투 엔드 왕복 시간
HTTP 지연 시간:
- http.server.request.duration: 게이트웨이가 처리하는 수신 에이전트 요청의 실행 지연 시간
- http.client.request.duration: 프록시에서 외부 대상으로의 아웃바운드 요청 지연 시간
트래픽 처리량:
- gcp.server.request.total_size 및 gcp.server.response.total_size: 게이트웨이가 수신하고 전송하는 요청 및 응답의 크기(바이트)
- gcp.client.request.total_size 및 gcp.client.response.total_size: 게이트웨이가 외부 대상으로 전송하는 요청 및 응답의 크기(바이트)

Secure Web Proxy를 Agent Gateway로 배포 컬렉션을 사용해 정리하기 내 환경설정을 기준으로 콘텐츠를 저장하고 분류하세요.

개요

이점

아키텍처

시작하기 전에

TLS 검사 설정

Secure Web Proxy 배포

Secure Web Proxy 인스턴스를 Agent Gateway와 연결

확장 프로그램 바인딩 및 승인 정책 구성

Agent Gateway에 확장 프로그램 바인딩 연결

1단계: Agent Gateway에 IAP(Identity-Aware Proxy) 바인딩

2단계: 프롬프트 및 응답 정리를 위해 Model Armor 바인딩

승인 정책을 사용하여 MCP 도구 제한

Agent Gateway를 통해 에이전트 라우팅

원격 분석, 로깅, 모니터링

로깅

측정항목 모니터링

다음 단계

Secure Web Proxy를 Agent Gateway로 배포