Secure Web Proxy 可帮助您保护来自组织内部网络的出站智能体流量和标准 Web 流量（HTTP 和 HTTPS）。当您将 AI 智能体和非智能体工作负载配置为使用 Secure Web Proxy 作为网关时，该代理会充当强制性安全检查点，用于检查任何尝试访问组织外部网站的应用或服务。
优势
Secure Web Proxy 具有以下主要优势：
AI 智能体的出站流量治理。与 Agent Gateway 集成后，Secure Web Proxy 会强制执行集中式安全政策，以控制智能体对工具、端点或模型的访问。您可以强制执行精细的安全边界、以加密方式验证智能体身份、检查 Model Context Protocol (MCP) 工具调用，以及对传出智能体流量应用 Model Armor 内容清理护栏。
身份感知型访问权限控制。访问权限基于加密工作负载和智能体身份，而非静态网络位置：
智能体身份：对于自主 AI 智能体，您可以通过 Service Extensions 扩展程序绑定与 Identity and Access Management (IAM) 和 Identity-Aware Proxy (IAP) 集成，从而验证智能体身份。
Workload Identity：对于非代理工作负载，您可以使用服务账号、安全标记或带有前端双向 TLS (mTLS) 的客户端证书来验证来源身份。
这种以身份为中心的模型支持精细的授权规则，有助于将出站 Web 流量限制为经过身份验证的工作负载和代理。
强大的默认安全性。安全 Web 代理具有默认的
deny-all设置，该设置会屏蔽所有出站流量，直到您明确允许。 Google Cloud 会自动管理所有软件和基础设施更新，从而最大限度地降低安全漏洞的持续风险。集中式检查。Secure Web Proxy 会将来自云工作负载和连接的办公室的出站 Web 请求整合到一个检查点，以便一致地执行政策。
全面的可观测性和跟踪。所有出站流量都会集中记录在 Cloud Logging 中，并与 Cloud Trace 和 OpenTelemetry 集成。此集成提供了完整的可审核性、突发事件调查和端到端延迟时间分析。
支持的功能
Secure Web Proxy 支持以下功能：
精细的出站访问权限政策：您可以根据流量类型强制执行有针对性的安全控制：
- 智能体 AI 流量：当部署为 Agent Gateway 时，Secure Web Proxy 会评估 MCP 方法规则、验证智能体身份，并调用 Service Extensions 中的扩展程序绑定，以使用 Model Armor 等服务对提示词和回答进行清理。
- 标准 Web 流量：对于标准 Web 流量，Secure Web Proxy 会评估网关安全政策或授权政策，以使用安全标记、服务账号或前端 mTLS 证书来识别来源工作负载。代理还会过滤目标主机名、网址、标头和方法。
借助政策的这一精细功能，您可以在多个 Secure Web Proxy 实例中创建和管理特定的可重用规则组件。
自动扩缩 Secure Web Proxy Envoy 代理：Secure Web Proxy 支持自动调整区域中的 Envoy 代理池大小和池容量，从而在需求高峰期以最低成本实现一致的性能。自动扩缩功能会自动管理区域中的容量调整。这意味着您无需手动监控和调整代理舰队的大小，从而确保以更少的运营时间实现更好的性能。
服务速率限制：Secure Web Proxy 会对出站 Web 流量强制执行流量限制，以防止资源密集型客户端耗尽服务容量或产生过多费用，例如与大语言模型 (LLM) 词元相关的费用。您可以将服务速率限制政策附加到配置了网关安全政策或授权政策的网关。您可以使用速率限制政策，根据请求数量和特定客户端身份（例如 mTLS 主账号或来源 IP 地址）来确定流量优先级或限制流量。
端到端加密：客户端-代理隧道可以通过 TLS 传输。Secure Web Proxy 还支持 HTTP 和 HTTPS
CONNECT，用于客户端发起的与目标服务器的端到端 TLS 连接。这项关键的安全措施由服务自动管理，因此无需手动配置或监控加密标准即可确保流量安全。Cloud Audit Logs 和 Google Cloud Observability 集成：通过使用 Google Cloud Observability，Cloud Audit Logs 会记录 Secure Web Proxy 的管理操作（政策更改）以及访问请求和指标（代理事务日志）。这种统一的内置视图有助于进行安全监控和合规性报告。
Secure Web Proxy 的工作原理
Secure Web Proxy 是从贵组织网络到互联网的所有 Web 流量的强制性安全检查点。内部工作负载必须遵守 Secure Web Proxy 安全规则，然后才能访问互联网。
集中式网关：您的工作负载（例如虚拟机 [VM] 和容器）配置为将所有出站 Web 请求发送到中央 Secure Web Proxy 实例。
政策执行：代理会检查请求并应用您的安全政策，以确定是允许还是拒绝连接。
安全出站流量：如果请求获得允许，则流量会使用 Google Cloud基础架构（通常为 Cloud NAT）安全地路由到互联网。代理还会使用 Cloud DNS 解析外部网址。
政策和规则
如需保护出站流量，请在 Secure Web Proxy 实例上选择授权政策或网关安全政策作为主要安全机制。您只能在单个网关上配置一个主要政策模型。此外，您还可以选择在任一主要政策选择的基础上配置服务速率限制政策。
授权政策：通过这些政策，您可以在通过安全 Web 代理实例处理出站请求时，建立基于身份和基于目标的访问权限控制检查。我们建议在以下场景中使用此政策类型：
- 将 Secure Web Proxy 部署为 Agent Gateway 以治理智能体流量时。
- 当您为需要前端 mTLS 来验证来源身份或自定义授权扩展的非代理流量部署 Secure Web Proxy 时。
网关安全政策和规则：这些政策和规则定义了标准、非智能体出站 Web 流量的访问权限控制。网关安全政策用作各个安全规则的容器，这些规则根据来源身份（服务账号或安全标记）、目标主机名和端口允许或拒绝流量。
服务速率限制政策：这些政策可让您对出站 Web 流量强制执行特定于客户端和整个服务的请求速率限制，以保护外部目标免受流量过载的影响并控制成本。您可以将服务速率限制政策附加到使用授权政策或网关安全政策的网关。
Agent Gateway 与 Secure Web Proxy 集成
跨 Google Cloud部署的企业 AI 工作负载（包括 Gemini Enterprise 等软件即服务 [SaaS] 解决方案、Vertex AI Agent Engine 等平台即服务 [PaaS] 环境，以及 Google Kubernetes Engine [GKE] 和 Cloud Run 上的容器化或自托管运行时）需要强大的集中式网络边界来强制执行数据隐私权、合规性政策和威胁防范。
Agent Gateway 为 AI 智能体提供集中式政策管理、加密身份验证和安全防护措施。对于在 GKE 或 Cloud Run 上运行的智能体，您可以将 Secure Web Proxy 实例部署为 Agent Gateway。通过此设置，您可以针对流向 LLM、MCP 工具、外部 API、远程智能体或标准 Web 目的地的出站流量强制执行集中式安全政策。
将 Secure Web Proxy 实例与 agentGateway 资源搭配使用具有以下优势：
集中式政策治理：将
agentGateway资源上定义的授权政策应用于 Secure Web Proxy 实例。借助此功能，您可以在多个代理环境中创建统一的安全状况。代理身份和 mTLS：使用客户端证书验证和授权政策，根据代理的身份以加密方式验证和限制出站通信。
MCP 工具限制：对智能体与外部 MCP 工具服务器的交互强制执行精细的 HTTP 规则，限制特定工具方法（例如
tools/list或tools/call）和方法参数。载荷验证和清理：通过在 Service Extensions 中使用扩展程序绑定，直接与 Model Armor 集成，以检查提示词和智能体回答是否存在敏感数据泄露或提示词注入攻击。
部署模式
您可以通过以下任一模式部署 Secure Web Proxy 实例：
显式代理路由模式：在此模式下，您必须明确配置工作负载环境和客户端，使其直接指向代理服务器。然后，Secure Web Proxy 会将您的客户端与互联网隔离。这样，Secure Web Proxy 就会充当中介，为客户端建立新的 TCP 连接，并确保每个连接都符合所管理的安全政策的要求。
Private Service Connect 服务连接模式：在此模式下，您可以在复杂的多虚拟私有云 (VPC) 架构中集中部署 Web 代理。
下一个跃点模式：在此模式下，您可以将 Secure Web Proxy 实例配置为网络中路由的下一个跃点。换句话说，您可以配置网络路由，以自动将出站流量发送到 Secure Web Proxy 实例。此部署方法可减少组织的管理开销，因为您无需手动配置每个源工作负载或客户端即可使用代理。
限制
IP 版本：Secure Web Proxy 仅支持 IPv4；不支持 IPv6。
HTTP 版本：Secure Web Proxy 支持 HTTP/0.9、1.0、1.1 和 2.0 版本。不支持 HTTP/3。
部署范围：您只能在宿主项目中部署 Secure Web Proxy 实例，而不能在服务项目中部署。
可考虑使用的其他 Google Cloud 工具
您可以将 Secure Web Proxy 与以下 Google Cloud 工具集成，以提升工作负载和应用的整体安全状况：
使用前端 mTLS，让 Secure Web Proxy 能够在授权政策中配置经过验证的客户端身份，并对出站流量强制执行精细的访问权限控制。
使用 Certificate Manager 管理在与 Secure Web Proxy 的前端 mTLS 连接中验证客户端证书所需的信任锚（根证书）和中间 CA。
实施 VPC Service Controls，以防止 Google Cloud 服务（例如 Cloud Storage 和 BigQuery）发生数据渗漏。
使用 Trace 获取出站请求的分布式跟踪数据，并分析端到端网络延迟。