Google Cloud 推出 IAM Helper 自動化代理身份與存取管理

背景

隨著組織採用自主代理（autonomous agents）來建置應用，開發者依賴代理以機器速度配置雲端資源、撰寫 Terraform 及部署微服務，導致 CI/CD 管線因安全摩擦而更快受阻。身份與存取管理（IAM）的複雜性在代理時代成為挑戰，傳統的人工故障排除或捷徑可能導致代理權限過大，違反最小權限原則。 Google Cloud Blog (AI)

發生什麼事

Google Cloud 推出 IAM Helper，這是一組面向代理的構建模組，旨在自動化複雜的端到端 IAM 工作流程。作為 Google Cloud IAM 的代理原生編排與介面層，IAM Helper 增強了包括 Policy Intelligence 和 Privileged Access Manager (PAM) 在內的核心 IAM 引擎，使 IAM 技能可直接由自主代碼助理、部署管線和自訂代理呼叫。 Google Cloud Blog (AI)

重點內容

IAM Helper Agent Skills 使用開放的 Agent Skills 標準，將端到端工作流程、輔助腳本和防護欄打包，可跨 Gemini CLI、Gemini Cloud Assist、ADK、Claude Code 和 Cursor 等常見代理運作。這些技能將政策評估的負擔從人類管理員和大語言模型（LLM）轉移至 Google Cloud 後端，以最大化 token 效率並防止營運瓶頸。每個技能都將唯讀發現與政策變更分開：診斷和模擬自動執行，而任何存取政策的變更則會暫停，等待基於可自訂風險等級的人類確認（HITL）。 Google Cloud Blog (AI)

具體功能包括：iam-helper-for-troubleshooting 可在數秒內識別 403 PERMISSION_DENIED 錯誤中缺失的權限或阻擋規則；iam-helper-for-policy-simulator 透過測試過去 90 天的歷史存取日誌，模擬政策變更的爆炸半徑，確認現有流量不會中斷；iam-helper-for-privileged-access-management 透過 PAM 管理按需憑證的生命週期，支援請求者、管理員和核准者工作流程，確保提升的存取權限經過審計、有時間限制並在任務完成後自動撤銷。此外，iam-helper-for-policy-management 可生成並驗證 IAM v1 允許綁定和 IAM v2 拒絕規則，自動攔截如 public access (allUsers) 或寬泛基本角色（roles/owner, roles/editor）等高風險配置。 原文

IAM Helper Agent Skills 基於一組基礎的 MCP Tools（Model Context Protocol 工具，讓 AI 模型能標準化連接外部資料源或工具的協定）。Google Cloud IAM Helper MCP tools 透過 Google 管理的 MCP 伺服器，在核心 IAM 端點（Policy Troubleshooter, Policy Analyzer, Policy Simulator, 以及 IAM v1/v2 APIs）暴露原子化的唯讀函式。這讓代理能動態發現並呼叫這些工具執行檢查權限或列出角色等基本操作，無需解析冗長的政策文件，從而最大化 token 效率。 原文

對使用者的意義

開發者與 DevOps 工程師可利用 IAM Helper 減少維護最小權限安全和代理治理的行政負擔。例如，當開發者的編碼代理在部署時遇到 403 錯誤，代理可使用 iam-helper-for-troubleshooting 識別缺失的 Pub/Sub 權限，並使用 iam-helper-for-privileged-access-management 請求一小時的即時（JIT）授權，消除數小時的除錯摩擦。團隊也可直接使用這些原子 MCP tools 撰寫自訂 Agent Skills，將 Google Cloud 的 IAM 功能與內部工單系統、自訂合規檢查及現有部署管線結合。 Google Cloud Blog (AI)

限制與未定事項

IAM Helper 可透過 Google Cloud Agent Skills Catalog 探索。 Google Cloud Blog (AI) 官方原文・github.com