01 / UNDERSTAND
仕組みと使いどころ
Agent Workload Identityは、Agent Compute EngineでmicroVMが起動すると発行される、短命かつ暗号学的に証明されたアイデンティティです。サンドボックスから出る通信にのみ使用され、どのサンドボックスが送信元かを識別します。このアイデンティティ自体ではバックエンドAPIを直接呼び出せず、マシン外へ持ち出されても直接の認証情報としては利用できません。外向き通信はプロキシを経由し、オフノードのAgent Gatewayがホスト、ユーザー、サンドボックス、セッション、関連ポリシーを検証したうえで必要な別のアイデンティティへ変換します。そのため、信頼できないサンドボックス内に長期資格情報を置かず、リクエストの発生元を監査可能にできます。
02 / IN PRACTICE
Agent Workload Identityの活用例
たとえば、こんな場面で
企業向けエージェントがサンドボックス内から文書サービスへ接続する場合、Agent Workload Identityで送信元のmicroVMを識別し、Agent Gateway側で委任関係やポリシーを確認してから必要な資格情報へ変換する構成が考えられます。
03 / GOOD TO KNOW
使うときのポイント
バックエンドAPI用の資格情報ではなく、サンドボックスの送信元を示す識別子である点を確認します。実際のアクセス可否は、Gatewayでの委任、各種アイデンティティ、ポリシーの検証に依存します。
参考資料
Agent Compute Engine deep dive | Google Cloud Blog （新しいタブで開きます）用語の説明や活用例に関連する参考資料です。
READ & LEARN
記事一覧を見る 用語を知ったら、活用を知る。
AI LABで、AIの動向や業務に取り入れるヒントを読む。