Три агента залезли в клиентский бакет, а в логах остался один подозреваемый. Так работа...

Три агента залезли в клиентский бакет, а в логах остался один подозреваемый. Так работает общий сервисный аккаунт. В свежем уроке Advent of Agents Google Cloud показывает более вменяемую схему: у каждого агента свой SPIFFE ID, ему выдают конкретные IAM-права, а в Cloud Logging видно, кто именно сходил за данными. Сертификат для этой identity платформа меняет каждые 24 часа — ключ в файле никто не таскает. Смысл не в красивой аббревиатуре. Если агент подхватил вредную инструкцию или просто сделал глупость, ему не нужно иметь пропуск во всё облако только потому, что так было быстрее настроить. Отдельная identity позволяет дать ему одну дверь и потом не гадать, кто её открыл. Это пятый короткий практический урок октябрьской серии Google Cloud: до него там уже разобрали guardrails, защищённые мультиагентные схемы и оценку зрелости управления. Стек у них свой — Gemini, ADK и Cloud Run, но принцип «один агент — одна личность — минимум прав» вообще-то не должен зависеть от логотипа облака.