認証マネージャーで 3-legged OAuth を使用して認証する

特定のエンドユーザーに代わって、エージェントが外部ツールやサービス（Jira タスクや GitHub リポジトリなど）にアクセスできるようにするには、Agent Identity 認証マネージャーで 3-legged OAuth 認証プロバイダを構成します。

3-legged OAuth 認証プロバイダは、ユーザーのリダイレクトとトークンを管理します。これにより、複雑な OAuth 2.0 フローを処理するカスタムコードを作成する必要がなくなります。

3-legged OAuth ワークフロー

3-legged OAuth 認証プロバイダでは、エージェントがユーザーに代わってリソースにアクセスするため、ユーザーの同意が必要です。

1. プロンプトとリダイレクト: チャット インターフェースでユーザーにログインを求め、 サードパーティ アプリケーションの同意ページにリダイレクトします。
2. 同意と保存: ユーザーが権限を付与すると、Agent Identity 認証マネージャーは、結果の OAuth トークンを Google 管理の認証情報ボールトに保存します。
3. 挿入: Agent Development Kit（ADK）を使用すると、エージェントは 認証プロバイダからトークンを自動的に取得し、 ツール呼び出しヘッダーに挿入します。

始める前に

1. 正しい認証方法を選択していることを確認します。

2. Agent Identity Connector API を有効にします。

   API を有効にするために必要なロール

   API を有効にするには、serviceusage.services.enable 権限が必要です。プロジェクトを作成した場合は、オーナーロール（roles/owner）を通じてこの権限が付与されている可能性があります。それ以外の場合は、Service Usage 管理者ロール（roles/serviceusage.serviceUsageAdmin）を通じてこの権限を取得できます。ロールを付与する方法をご覧ください。

   API の有効化

3. エージェント を作成してデプロイする。
4. ユーザーのログイン プロンプトを処理し、サードパーティの同意ページにリダイレクトするフロントエンド アプリケーションがあることを確認します。
5. このタスクを完了するために必要なロールが付与されていることを確認します。

必要なロール

3-legged 認証プロバイダを作成して使用するために必要な権限を取得するには、プロジェクトに対する次の IAM ロールを付与するよう管理者に依頼してください。

• 認証プロバイダを作成するには:
  • IAM Connector 管理者 （roles/iamconnectors.admin）
  • IAM Connector 編集者 （roles/iamconnectors.editor）
• 認証プロバイダを使用するには:
  • IAM Connector ユーザー （roles/iamconnectors.user）
  • Vertex AI ユーザー （roles/aiplatform.user）
  • Service Usage コンシューマー （roles/serviceusage.serviceUsageConsumer）

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

これらの事前定義ロールには 3-legged 認証プロバイダの作成と使用に必要な権限が含まれています。必要とされる正確な権限については、必要な権限セクションを開いてご確認ください。

必要な権限

3-legged 認証プロバイダを作成して使用するには、次の権限が必要です。

• 認証プロバイダを作成するには: iamconnectors.connectors.create
• 認証プロバイダを使用するには:
  • iamconnectors.connectors.retrieveCredentials
  • aiplatform.endpoints.predict
  • aiplatform.sessions.create

カスタムロールや他の事前定義ロールを使用して、これらの権限を取得することもできます。

3-legged 認証プロバイダを作成する

認証プロバイダを作成して、サードパーティ アプリケーションの構成と認証情報を定義します。

3-legged 認証プロバイダを作成するには、 Google Cloud コンソールまたは Google Cloud CLI を使用します。