Google Cloud で実現する「AI エージェントの統制」― ①Agent Identity 実践ガイド

pip install --upgrade google-cloud-aiplatform[agent_engines,adk]>=1.112 google-adk
gsutil mb -l us-central1 gs://YOUR_PROJECT_ID-agent-staging

2：コンソールで確認する

デプロイ済みエージェント & Agent Identity の確認

1. コンソールで [Agent Platform] を開く
2. 左メニュー スケール > [デプロイ] をクリック
3. エージェント一覧の [ID]列 に SPIFFE ID が表示されていればOK

Agent Registry での確認

1. 左メニュー 管理 > [Agent Registry] をクリック
2. [Agents] タブにデプロイしたエージェントが表示される

3：Agent Identity に IAM 権限を付与する

デプロイしたエージェントに何にアクセスできるかを IAM で制御します。

# 例: BigQuery データ閲覧者ロールを付与
gcloud projects add-iam-policy-binding YOUR_PROJECT_ID \
  --member="principal://agents.global.org-{ORG_ID}.system.id.goog/resources/aiplatform/projects/{PROJECT_NUMBER}/locations/us-central1/reasoningEngines/{AGENT_ID}" \
  --role="roles/bigquery.dataViewer" \
  --condition=None

IAM の確認方法

コンソールで [IAM と管理] > [IAM] を開き、フィルタに agents.global と入力すると、Agent Identity に付与されたロールが確認できます。

4：エージェントをテストする

cat > test_agent.py << 'SCRIPT'
import asyncio
import vertexai

client = vertexai.Client(
    project="YOUR_PROJECT_ID",
    location="us-central1",
    http_options=dict(api_version="v1beta1")
)

remote_app = client.agent_engines.get(
    name="projects/{PROJECT_NUMBER}/locations/us-central1/reasoningEngines/{AGENT_ID}"
)

async def test():
    async for event in remote_app.async_stream_query(
        user_id="test-user-001",
        message="Google Cloud の Agent Identity とは何ですか？簡潔に教えてください。",
    ):
        print(event)

asyncio.run(test())
SCRIPT

python3 test_agent.py

■Cloud Shellの結果

5：監査ログを確認する

1. コンソールで [ログ エクスプローラ] を開く
2. 以下のクエリを実行：

protoPayload.serviceName="aiplatform.googleapis.com" AND protoPayload.resourceName:"reasoningEngines/{AGENT_ID}"

エージェントに対する操作（デプロイ、クエリ実行等）が時系列で表示されます。

まとめ