大家好！昨天我們談了 ADK 從單一模型呼叫跨越到 Agentic Workflow 的宏觀架構。今天，我們要進入「研發與工程創新 (AI for Engineering)」的核心實踐：環境基礎建設。

在籌備技術社群聚會或是大型開發者大會時，我們經常會需要讓 AI 系統去處理自動化流程，例如串接 KKTIX、Luma 等報名系統的 API 或自動追蹤專案進度。為了讓這些 AI 系統在真實場景中穩定運作、可維護且高度安全，我們不能只依賴本機端脆弱的測試環境，而必須採用「雲端先決 (Cloud First)」的策略。

今天我們將聚焦於如何將 Google ADK 專案完美對接 Google Cloud Platform (GCP)，並解析 Cloud Run 帶來的零維運 (Zero-Ops) 部署優勢。

第一步：GCP 前置作業與連線準備在開始讓 ADK 與 Google Cloud 或 Agent Platform 服務連線之前，我們必須先完成以下兩項前置作業：

• 準備一個 Google Cloud 專案，並且必須啟用 Agent Platform API (aiplatform.googleapis.com)。
• 在開發環境中安裝 gcloud CLI 工具。

第二步：掌握 ADK 的認證策略 (Authentication Options)針對不同的開發階段與部署環境，ADK 提供了多種與 Google Cloud 連線的認證選項，保護你的敏感憑證絕對是第一要務。切記，永遠不要將憑證檔案或金鑰直接 commit 到你的程式碼庫中，應盡可能使用安全的機密管理工具：

1. 快速原型開發 (Express Mode)

   • 如果你需要快速建立原型與測試，Express Mode 提供了一種基於 API 金鑰的簡化設定，讓你不需要完整的 gcloud 認證。
   • 你只需要在環境變數中設定 GOOGLE_GENAI_USE_ENTERPRISE=TRUE，並將取得的 API 金鑰設定為 GOOGLE_GENAI_API_KEY 即可。

2. 本機開發與測試 (User Credentials)

   • 這是在本機工作站進行開發測試的最佳作法。
   • 在執行 ADK 應用程式前，需透過終端機執行 gcloud auth application-default login 指令，藉此取得應用程式預設憑證 (ADC)。
   • 接著設定環境變數，啟用 Agent Platform 並指定專案細節：設定 GOOGLE_GENAI_USE_ENTERPRISE=TRUE、GOOGLE_CLOUD_PROJECT=your-project-id 以及 GOOGLE_CLOUD_LOCATION (例如 us-central1)。

   💡 補充說明： GOOGLE_GENAI_USE_ENTERPRISE 變數在先前的版本中稱為 GOOGLE_GENAI_USE_VERTEXAI。這兩個變數名稱是等效的，如果設定了前者卻無法連線，代表你可能使用的是舊版 ADK，請改用後者或升級 ADK 版本。

3. 正式生產部署與 CI/CD (Service Account)

   • 當要將 AI 服務部署到安全的代管環境時，必須使用服務帳戶 (Service Account) 或 Workload Identity 進行連線認證。
   • 你需要建立一個服務帳戶，並授予其「Agent Platform User」角色權限。

第三步：為什麼選擇 Cloud Run 作為最終歸宿？
當我們準備好將 Agent 投入生產環境時，Cloud Run 展現了極大的架構優勢。
在部署策略上，當我們將 ADK 部署到 Google Cloud 的代管環境（例如 Agent Runtime、Cloud Run 或 GKE）時，該環境會自動提供所需的憑證。這意味著在 Cloud Run 上，完全不需要進行金鑰檔案的設定與配置。這不僅大幅降低了金鑰外洩的風險，也真正實現了基礎設施的「零維運」。

(補充：如果你的 Agent 是運行在 GCP 以外的外部伺服器，則必須額外產生 .json 格式的服務帳戶金鑰檔案，並將其路徑設定給 GOOGLE_APPLICATION_CREDENTIALS 環境變數。)

小結
透過今天設定好的 GCP 環境，以及未來將應用 Cloud Run 結合自動憑證所帶來的免金鑰高安全性，我們已經為後續的「功能」或自動化任務打下了最堅實的雲端地基。