Atelier
Course

Un agent ADK privé sur Cloud Run, au moindre privilège

Déployer un assistant interne ADK sur Cloud Run en service privé, avec un compte de service qui n'a que roles/aiplatform.user, l'appeler avec un jeton d'identité, lire ses journaux, puis tout supprimer.

Advanced 5 lessons 2h30

By Youcef

Use cases🤝 Déployer un assistant IA pour ses équipes
Platforms🛠️ Google ADK (Agent Development Kit)🧪 Vertex AI (Gemini Enterprise Agent Platform)
Start the course
Progress 0% · 0/5

This content is not translated yet. Showing the original version.

Un agent ADK privé sur Cloud Run, au moindre privilège

Un assistant interne répond aux employés sur les règles RH et IT (congés, télétravail, VPN…) et ouvre des tickets. Il ne doit jamais être joignable par Internet sans authentification, et s'il est compromis, il ne doit rien pouvoir faire d'autre qu'appeler Gemini. Ce lab vous fait construire exactement cela, de bout en bout, sur un vrai projet Google Cloud, puis tout supprimer.

Pour qui ?

Vous savez déjà écrire un agent ADK simple (un Agent, un ou deux outils) et vous avez un projet Google Cloud avec la facturation activée. Vous voulez passer de « ça marche sur mon poste » à « c'est en ligne, privé et propre ».

Ce que vous construisez

flowchart LR
  E["Employé (gcloud ou appli interne)"] -->|"HTTPS + jeton d'identité"| CR["Cloud Run : lab-agent-cloud-run-iam (privé)"]
  X["Internet sans jeton"] -.->|"403 Forbidden"| CR
  CR -->|"identité : compte de service dédié"| V["Vertex AI : gemini-2.5-flash"]
  CR -->|"stdout JSON"| L["Cloud Logging (journaux structurés)"]
  SA["Compte de service lab-agent-cloud-run-iam : roles/aiplatform.user seulement"] -.-> CR

Prérequis

  • Python 3.10+ et gcloud installé, connecté (gcloud auth login et gcloud auth application-default login).
  • Un projet avec les API run, aiplatform, cloudbuild, artifactregistry activées et le rôle Propriétaire (ou Éditeur + Administrateur IAM) pour créer les ressources.
  • Le code du lab : files/ (agent, client, tests, scripts de déploiement et de nettoyage).

Programme

ModuleLeçonCe que vous faites
1. Cas d'usage et architectureUn assistant interne qui reste privémenaces, choix d'architecture, rôle de chaque brique
2. Construire pas à pasL'agent et ses journaux structurésoutils, journal JSON, tests sans clé
Compte de service au moindre privilègeun compte, un rôle, pourquoi pas le compte par défaut
3. Déployer et exploiterDéployer et appeler avec un jetonadk deploy cloud_run, test 403 / 200, client Python
Journaux, coûts et nettoyagegcloud logging read, tout supprimer et le prouver

En local ou sur GCP ?

En localSur GCP (ce lab)
ModèleVertex AI via vos identifiants ADCVertex AI via le compte de service du service
Accèsvotre machine seulementURL HTTPS privée, IAM obligatoire
Journauxvotre terminalCloud Logging, filtrables
Coûtappels Geminiappels Gemini + Cloud Build + quelques secondes de Cloud Run (ordre de grandeur : quelques centimes pour le lab)

Resources

Download all (.zip)

References