使用三方模式 OAuth 和身份验证管理器进行身份验证

控制台

1. 在 Google Cloud 控制台中，前往 Agent Registry 页面。

   前往 Agent Registry

2. 点击要为其创建身份验证提供方的智能体的名称。
3. 点击身份 。
4. 在 Auth Providers 部分中，点击 add Add auth provider 。

5. 在 Add auth provider 窗格中，输入名称和说明。

   名称只能包含小写字母、数字或连字符，不能以连字符结尾，并且必须以小写字母开头。

6. 从 OAuth Type 列表中，选择 OAuth (3 legged) 。
7. 点击创建并继续 。
8. 如需向您的智能体身份授予使用身份验证提供方的权限，请点击授予访问权限 。

   这会自动将 Connector User (roles/iamconnectors.user) 角色分配给 身份验证提供方资源上的智能体身份。

9. 复制回调网址。
10. 在单独的标签页中，在第三方 OAuth 客户端应用中注册回调网址。
11. 在 Auth provider credentials 部分中，输入以下信息：
    • 客户端 ID
    • 客户端密钥
    • 令牌网址
    • 授权网址
12. 点击 Add provider config 。

新创建的身份验证提供方会显示在 Auth Providers 列表中。

gcloud CLI

1. 配置 OAuth 客户端 应用以注册客户端并获取客户端 ID 和 客户端密钥。使用该部分中的模板指定重定向 URI。

2. 使用客户端凭据创建身份验证提供方：

   gcloud alpha agent-identity connectors create AUTH_PROVIDER_NAME \
       --project="PROJECT_ID" \
       --location="LOCATION" \
       --three-legged-oauth-client-id="CLIENT_ID" \
       --three-legged-oauth-client-secret="CLIENT_SECRET" \
       --three-legged-oauth-authorization-url="AUTHORIZATION_URL" \
       --three-legged-oauth-token-url="TOKEN_URL"

3. 验证您的身份验证提供方是否显示在列表中，并且其状态为 ENABLED：

   gcloud alpha agent-identity connectors list \
      --project="PROJECT_ID" \
      --location="LOCATION"

4. 授予访问权限，以允许您的智能体和本地开发 环境从身份验证提供方检索凭据。如需允许 已部署的智能体和您的个人用户账号访问身份验证 提供方，请在身份验证提供方 资源上授予 Connector User (roles/iamconnectors.user) 角色：

   1. 向已部署的智能体的 SPIFFE ID（智能体身份）授予访问权限：

      gcloud alpha agent-identity connectors add-iam-policy-binding AUTH_PROVIDER_NAME \
          --project="PROJECT_ID" \
          --location="LOCATION" \
          --role="roles/iamconnectors.user" \
          --member="principal://agents.global.org-ORGANIZATION_ID.system.id.goog/resources/aiplatform/projects/PROJECT_NUMBER/locations/LOCATION/reasoningEngines/ENGINE_ID"

   2. 向您的个人用户账号授予访问权限，以进行本地开发和测试 (adk web):

      gcloud alpha agent-identity connectors add-iam-policy-binding AUTH_PROVIDER_NAME \
          --project="PROJECT_ID" \
          --location="LOCATION" \
          --role="roles/iamconnectors.user" \
          --member="user:USER_EMAIL"

替换以下内容：

• PROJECT_ID：您的 Google Cloud 项目 ID。
• LOCATION：身份验证提供方和智能体的部署位置（例如 us-west1）。
• AUTH_PROVIDER_NAME：身份验证提供方的名称（例如 bigquery-mcp-3lo-authprovider）。
• AUTHORIZATION_URL：授权服务器网址（例如 https://accounts.google.com/o/oauth2/v2/auth）。
• TOKEN_URL：令牌服务器网址（例如 https://oauth2.googleapis.com/token）。
• CLIENT_ID：您从第三方服务生成的 OAuth 客户端 ID。
• CLIENT_SECRET：您从第三方服务生成的 OAuth 客户端密钥。
• ORGANIZATION_ID：您的 Google Cloud 组织 ID。
• PROJECT_NUMBER：您的 Google Cloud 项目编号。
• ENGINE_ID：已部署的推理引擎智能体的 ID。
• USER_EMAIL：您的个人用户账号电子邮件地址。