אימות באמצעות OAuth דו-רגלי עם מנהל הרשאות

המסוף

1. נכנסים לדף Agent Registry במסוף Google Cloud .

   כניסה ל-Agent Registry

2. לוחצים על השם של הסוכן שרוצים ליצור עבורו ספק אימות.
3. לוחצים על זהות.
4. בקטע Auth Providers (ספקי אימות), לוחצים על add Add auth provider (הוספת ספק אימות).

5. בחלונית הוספת ספק אימות, מזינים שם ותיאור.

   השם יכול להכיל רק אותיות קטנות, מספרים או מקפים, הוא לא יכול להסתיים במקף והוא חייב להתחיל באות קטנה.

6. מהרשימה OAuth Type (סוג OAuth) בוחרים באפשרות OAuth (2 legged) .
7. לוחצים על Create and continue.
8. כדי לתת לסוכן הרשאה להשתמש בספק האימות, לוחצים על Grant access (מתן גישה).

   כך מוקצה אוטומטית התפקיד Connector User (roles/iamconnectors.user) לזהות הסוכן במשאב של ספק האימות.

9. בקטע Auth provider credentials (פרטי כניסה של ספק אימות), מזינים את הפרטים הבאים:
   • Client ID
   • סוד לקוח
   • כתובת URL לטוקן
10. לוחצים על Add provider config (הוספת הגדרת ספק).

ספק האימות החדש שנוצר מופיע ברשימה ספקי אימות.

‫CLI של gcloud

1. יוצרים את ספק האימות:

   gcloud alpha agent-identity connectors create AUTH_PROVIDER_NAME \
       --location="LOCATION" \
       --two-legged-oauth-client-id="CLIENT_ID" \
       --two-legged-oauth-client-secret="CLIENT_SECRET" \
       --two-legged-oauth-token-endpoint="TOKEN_ENDPOINT"

2. מוודאים שספק האימות מופיע ברשימה והסטטוס שלו הוא ENABLED:

   gcloud alpha agent-identity connectors list \
      --project="PROJECT_ID" \
      --location="LOCATION"

3. נותנים הרשאות גישה כדי לאפשר לסוכן ולסביבת הפיתוח המקומית לאחזר פרטי כניסה מספק האימות. כדי לאפשר לסוכן הפרוס ולחשבון המשתמש האישי שלכם לגשת לספק האימות, צריך להקצות את התפקיד Connector User (roles/iamconnectors.user) במשאב של ספק האימות:

   1. הענקת גישה למזהה SPIFFE של הסוכן שפרסתם (זהות הסוכן):

      gcloud alpha agent-identity connectors add-iam-policy-binding AUTH_PROVIDER_NAME \
          --project="PROJECT_ID" \
          --location="LOCATION" \
          --role="roles/iamconnectors.user" \
          --member="principal://agents.global.org-ORGANIZATION_ID.system.id.goog/resources/aiplatform/projects/PROJECT_NUMBER/locations/LOCATION/reasoningEngines/ENGINE_ID"

   2. מתן גישה לחשבון המשתמש האישי שלכם לצורך פיתוח ובדיקה מקומיים (adk web):

      gcloud alpha agent-identity connectors add-iam-policy-binding AUTH_PROVIDER_NAME \
          --project="PROJECT_ID" \
          --location="LOCATION" \
          --role="roles/iamconnectors.user" \
          --member="user:USER_EMAIL"

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
• ‫LOCATION: המיקום שבו ספק האימות והסוכן שלכם נפרסים (לדוגמה, us-west1).
• ‫AUTH_PROVIDER_NAME: השם של ספק האימות (לדוגמה, jira-mcp-2lo-authprovider).
• ‫CLIENT_ID: מזהה הלקוח של OAuth שנוצר משירות הצד השלישי.
• ‫CLIENT_SECRET: סוד לקוח OAuth שנוצר משירות הצד השלישי.
• ‫TOKEN_ENDPOINT: כתובת ה-URL של נקודת הקצה של הטוקן (לדוגמה, https://oauth2.googleapis.com/token).
• ‫ORGANIZATION_ID: מזהה הארגון ב- Google Cloud .
• ‫PROJECT_NUMBER: מספר הפרויקט ב- Google Cloud .
• ‫ENGINE_ID: המזהה של סוכן מנוע ההסקה שנפרס.
• ‫USER_EMAIL: כתובת האימייל בחשבון המשתמש האישי שלכם.

ADK

אפשר להפנות לספק האימות בקוד של הסוכן באמצעות ערכת הכלים של MCP ב-ADK.

from google.adk.agents.llm_agent import LlmAgent
from google.adk.auth.credential_manager import CredentialManager
from google.adk.integrations.agent_identity import GcpAuthProvider, GcpAuthProviderScheme
from google.adk.tools.mcp_tool.mcp_session_manager import StreamableHTTPConnectionParams
from google.adk.tools.mcp_tool.mcp_toolset import McpToolset
from