通过 Agent Gateway 监控流量

本页介绍了如何查看日志，以及如何监控通过 Agent Gateway 部署路由的流量的请求和访问权限控制决策。

日志记录

Agent Gateway 日志是使用 networkservices.googleapis.com/Gateway 受监控的资源生成的。

您可以使用这些日志来监控网关的访问请求。这包括在试运行模式下部署 Agent Gateway 时创建的日志。

查看特定网关的日志

如需查看特定网关的日志，请完成以下步骤。

控制台查询

  1. 在 Google Cloud 控制台中，前往 Logs Explorer 页面。

    转到日志浏览器

  2. 点击显示查询切换开关。

  3. 将以下内容粘贴到查询字段中。

    resource.type="networkservices.googleapis.com/Gateway"
resource.labels.location="REGION"
resource.labels.gateway_name="AGENT_GATEWAY_NAME"

    替换以下内容：

    • REGION：网关所在的区域。
    • AGENT_GATEWAY_NAME：网关的名称。

  4. 点击运行查询。

Agent Platform 日志名称

如需在日志浏览器中查询特定类型的日志条目，您可以使用 logName 字段按日志名称过滤查询。下表介绍了 Agent Gateway 和代理端操作生成的主要日志名称：

日志名称 说明
projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests 网关允许和拒绝决策的日志。
projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access Cloud Audit Logs，用于记录 Identity-Aware Proxy (IAP) AuthorizeUser 决策。
projects/PROJECT_ID/logs/aiplatform.googleapis.com%2Freasoning_engine_stderr 代理端启动和执行错误（推理引擎 stderr）。
projects/PROJECT_ID/logs/aiplatform.googleapis.com%2Freasoning_engine_stdout 代理端标准输出（推理引擎 stdout）。

将 PROJECT_ID 替换为您的 Google Cloud 项目 ID。

如果您使用 Model Armor 进行内容清理，这些日志会单独发出。 如需了解如何查询 Model Armor 日志，请参阅在 Logs Explorer 中查看原始内容安全日志。

记录的内容

Agent Gateway 日志条目包含对监控和调试进出网关的流量有用的信息。

字段 字段格式 字段类型：必填或可选 说明
severity
insertID
timestamp
receiveTimestamp
trace
traceSampled
logName		 LogEntry 必需 日志条目中描述的常规字段。
httpRequest HttpRequest 必填 用于记录 HTTP 请求的通用协议。
resource MonitoredResource 必填

MonitoredResource 是与日志条目关联的资源类型。Agent Gateway 的资源类型为 networkservices.googleapis.com/Gateway。
jsonPayload object (Struct format) 必需

以 JSON 对象表示的日志条目载荷。JSON 对象包含以下 Agent Gateway 字段：

  • agentGatewayInfo：包含有关 Agent Gateway 请求的信息。

    • mcpInfo：包含有关请求的 MCP 方法（例如“tools/list”或“tools/call”）以及与该方法关联的主要参数（如果有）的信息。例如，对于“tools/call”方法，参数是工具名称。
    • agentRegistryResource：与请求匹配的 MCP 服务器、代理或端点的 Agent Registry 资源名称。

  • 您还可以检查 serviceExtensionsInfo 字段的详细信息，了解处理相应请求的授权扩展程序（IAP、Model Armor 或其他）。

监控

Agent Gateway 会将一些 Service Extensions 指标导出到 Cloud Monitoring。如果您将授权委托给 Service Extensions，可以使用这些指标来监控进出扩展程序的流量。如需了解详情，请参阅 Cloud Load Balancing 的日志记录和监控注释。

可观测性信息中心

Agent Gateway 提供了一个可观测性信息中心，可让您监控、审核和调试通过网关路由的流量：

  • 记分卡：跟踪尝试授权的总次数、授权失败次数和每秒请求数。
  • 图表：直观呈现一段时间内的授权失败率（百分比）和每秒请求数。
  • 出站流量日志：查看出站查询的详细日志，包括 403 拒绝、流向未注册端点的流量以及总体流量趋势。

如需在 Google Cloud 控制台中访问网关的可观测性信息中心，请按以下步骤操作：

  1. 在 Google Cloud 控制台中，前往 Agent Gateway 页面。

    前往 Agent Gateway

  2. 点击要监控的网关的名称。

  3. 点击可观测性标签页。

信息中心数据要求

Agent Gateway 可观测性信息中心使用 Observability Analytics 来显示数据。如果信息中心未加载数据，请确保您已升级 _Default 日志存储桶以使用 Observability Analytics。信息中心从 _Default 存储桶的 _AllLogs 视图中检索数据。

后续步骤

Codelab

了解如何在 Gemini Enterprise Agent Platform 上使用 Agent Gateway 来监管智能体工作负载。

问题排查

了解如何排查 Agent Gateway 连接问题。