For the complete documentation index, see llms.txt. Markdown versions of all docs pages are available by appending .md to any docs URL.

Solo Enterprise for agentregistry を Solo Enterprise for kagent ランタイムに接続します。

Solo Enterprise for kagent は Kubernetes ネイティブの AI ランタイムで、Solo Enterprise for agentregistry はこれを使用して、エージェントと MCP サーバーをクラスター内の Pod としてデプロイおよび管理します。kagent ランタイムを接続すると、レジストリサーバーは自身の OIDC サービス ID を使用して kagent コントローラーの管理 API を呼び出し、ユーザーに代わってワークロードを作成、更新、削除します。1 つのレジストリから複数の kagent クラスターに同時に接続できます。各コンポーネントの関係について詳しくは、ランタイムアーキテクチャ を参照してください。

始める前に

1. OIDC プロバイダーをセットアップします。このガイドでは、Keycloak をインストール済みであることを前提とします。Solo Enterprise for kagent タブに従って、必要なレルム設定、クライアント、シークレットとともに Keycloak をインストールしてください。

2. 続行する前に、次の環境変数が設定されていることを確認します。

   echo "KEYCLOAK_ISSUER: $KEYCLOAK_ISSUER"
   echo "AR_BACKEND_SECRET: $AR_BACKEND_SECRET"
   echo "KAGENT_BACKEND_SECRET: $KAGENT_BACKEND_SECRET"
   echo "AGENTREGISTRY_OUTBOUND_SECRET: $AGENTREGISTRY_OUTBOUND_SECRET"

3. Solo Enterprise for agentregistry をインストールする。

4. レジストリにログインします。対話型のデバイス認可フローと、静的なユーザー名とパスワードによる認証情報フローのどちらかを選択します。

   ターミナルからの対話型ログインには、このフローを使用します。CLI は ar-cli-interactive パブリッククライアントを使用して、デバイス認可付与フロー を開始します。このフローでは、ブラウザーで承認するための URL とワンタイムコードが出力されます。

   1. Keycloak の発行者と ar-cli-interactive クライアントを使用するように CLI を設定します。その後、Solo Enterprise for agentregistry にログインします。

      export OIDC_ISSUER=$KEYCLOAK_ISSUER
      export OIDC_CLIENT_ID=ar-cli-interactive
      arctl user login

      出力例:

      To complete the login process, please:
       1. Open: http://172.18.0.13:8080/realms/agentregistry/device
       2. Enter the code: SYSQ-SNSP
       - or go to: http://172.18.0.13:8080/realms/agentregistry/device?user_code=SYSQ-SNSP
      

   2. Web ブラウザーで URL を開き、admin-user ユーザー名と password パスワードで Keycloak にログインします。ブラウザーでコードを確認すると、Keycloak は CLI セッション用のアクセストークンを発行します。認可が完了すると、CLI はトークンをシステムのキーチェーンに保存するため、トークンが期限切れになるまで再度ログインする必要はありません。

   CI/CD パイプラインなど、特定のユーザー ID が必要なスクリプト化されたログインには、このフローを使用します。CLI は ar-cli-password パブリッククライアントを使用し、ユーザー名とパスワードを直接アクセストークンと交換します。

   1. admin-user/password の認証情報で Solo Enterprise for agentregistry にログインします。

      export OIDC_ISSUER=$KEYCLOAK_ISSUER
      arctl user login \
        --oidc-flow=password-credentials \
        --oidc-client-id=ar-cli-password \
        --oidc-username=admin-user \
        --oidc-password=password

   2. アクセストークンを ARCTL_API_TOKEN 環境変数に保存します。

      export ARCTL_API_TOKEN=$(arctl user info --show-tokens | jq -r .access_token)

ステップ 1: Solo Enterprise for kagent をインストールする

1. Solo Enterprise for kagent のライセンスキーを環境変数に保存します。キーを取得するには、担当者にお問い合わせください。ライセンスキーをシークレットで指定したい場合は、ライセンス を参照してください。

   export KAGENT_LICENSE_KEY="<key>"

2. 使用する LLM の API キーを環境変数に保存します。この例では Gemini を使用します。サポートされている LLM の一覧については、Solo Enterprise for kagent のドキュメントの サポートされている LLM を参照してください。

   export GOOGLE_API_KEY="<key>"

3. Solo Enterprise for kagent のパッチバージョンを設定します。この例では最新バージョンを使用します。他のバージョンはリファレンスドキュメントで確認できます。

   export KAGENT_ENT_VERSION=0.5.10

4. Solo Enterprise for kagent 用の kagent-mgmt チャートをインストールします。

   helm upgrade -i kagent-mgmt \
    oci://us-docker.pkg.dev/solo-public/solo-enterprise-helm/charts/management \
    -n kagent --create-namespace \
    --version "$KAGENT_ENT_VERSION" \
    --set cluster=mgmt-cluster \
    --set products.kagent.enabled=true \
    --set products.agentregistry.enabled=true \
    --set-string licensing.licenseKey="$KAGENT_LICENSE_KEY" \
    --set-string oidc.issuer="$KEYCLOAK_ISSUER" \
    --set-string ui.backend.oidc.clientId=kagent-backend \
    --set-string ui.backend.oidc.secret="$KAGENT_BACKEND_SECRET" \
    --set-string ui.frontend.oidc.clientId=kagent-ui

5. 管理コンポーネントの Pod のステータスが Running であることを確認します。

   kubectl get po -n kagent
   • clickhouse ポッドは、ローカルデータストレージ用の ClickHouse エクスポーターを実行します。
   • ui Pod は、エージェントの監視と管理に使用できる UI を実行します。
   • telemetry-collector Pod は、クラスターからテレメトリーデータを収集する OTel コレクターを実行します。

   NAME                                    READY   STATUS              RESTARTS   AGE
   kagent-mgmt-clickhouse-shard0-0         1/1     Running             0          4s
   solo-enterprise-telemetry-collector-0   1/1     Running             0          4s
   solo-enterprise-ui-76c85c7d6b-xftcj     5/5     Running             0          4s
   

6. kagent-enterprise CRD チャートをインストールします。

   helm upgrade --install kagent-crds \
    oci://us-docker.pkg.dev/solo-public/kagent-enterprise-helm/charts/kagent-enterprise-crds \
    -n kagent \
    --version "$KAGENT_ENT_VERSION"

7. Solo Enterprise for kagent コントローラー用の OBO トークンを作成し、Kubernetes シークレットに保存します。コントローラーは自身のネームスペースで jwt という名前のシークレットを監視し、このトークンを使用して認証を行うことで、エージェントがユーザーに代わってアクションを実行できるようにします。このシークレットがないと、OBO トークンハンドラーは not ready 状態のままになり、エージェントへの A2A チャットリクエストは upstream auth failed: obo token handler not ready エラーで失敗します。

   openssl genrsa -out /tmp/key.pem 2048
   kubectl create secret generic jwt \
   -n kagent --from-file=jwt=/tmp/key.pem \
   --dry-run=client -o yaml | kubectl apply -f -    

8. Solo Enterprise for kagent の RBAC 構成用の values ファイルを作成します。

   roleMappings は、Keycloak のグループ名を Solo Enterprise for kagent のロールにマッピングするルックアップテーブルです。このガイドでは、Groups クレームに agentregistry を含むトークンには、Solo Enterprise for kagent の global.Writer ロールが付与されます。Groups クレームの値が異なるトークンや、Groups クレームを持たないトークンは、401 Unauthorized レスポンスで拒否されます。

   cat > /tmp/kagent-rbac.yaml << 'EOF'
   rbac:
    roleMapping:
      roleMapper: 'has(claims.Groups) ? claims.Groups.transformList(i, v, v in rolesMap, rolesMap[v]) : []'
      roleMappings:
        agentregistry: global.Writer
   EOF

9. kagent-enterprise チャートをインストールして、Solo Enterprise for kagent コントローラーと UI をデプロイします。

   helm upgrade -i kagent \
    oci://us-docker.pkg.dev/solo-public/kagent-enterprise-helm/charts/kagent-enterprise \
    -n kagent \
    --version "$KAGENT_ENT_VERSION" \
    --set-string licensing.licenseKey="$KAGENT_LICENSE_KEY" \
    --set agents.k8s-agent.enabled=true \
    --set kagent-tools.enabled=true \
    --set kmcp.licensing.createSecret=false \
    --set-string oidc.issuer="$KEYCLOAK_ISSUER" \
    --set oidc.clientId=kagent-backend \
    --set-string oidc.secret="$KAGENT_BACKEND_SECRET" \
    --set providers.openAI.apiKey=$GOOGLE_API_KEY \
    -f /tmp/kagent-rbac.yaml

10. コントローラーと UI のデプロイが準備完了であることを確認します。

    kubectl get po -n kagent

    出力例:

    kagent-controller-dfc4c966c-zzds5                    1/1     Running                      0          3m
    kagent-mgmt-clickhouse-shard0-0                      1/1     Running                      0          5m48s
    kagent-postgresql-57c4f5597f-x4mjg                   1/1     Running                      0          3m
    kagent-tools-69bdb559df-cb9bw                        1/1     Running                      0          3m
    kmcp-enterprise-controller-manager-dbd59bcbf-j5hjt   1/1     Running                      0          3m
    solo-enterprise-telemetry-collector-0                1/1     Running                      0          5m48s
    solo-enterprise-ui-66cbb6687c-6czzk                  4/4     Running                      0          5m48s
    

ステップ 2: Solo Enterprise for kagent に接続する

ステップ 1 でデプロイした Solo Enterprise for kagent コントローラーを Solo Enterprise for agentregistry から参照する Runtime リソースを作成します。次のセットアップ方法のいずれかを選択します。

• General setup: 標準の Kubernetes クラスターで Solo Enterprise for kagent を実行する場合は、このタブを選択します。
• Inject AWS credentials at agent runtime: AWS EKS クラスターに Solo Enterprise for kagent をインストールしていて、デプロイ済みのエージェントが S3 バケットなど他の AWS サービスにアクセスするためにランタイムで AWS 認証情報の注入を必要とする場合は、このタブを選択します。

ステップ 3: 任意: Solo Enterprise for Istio をインストールする

AccessPolicy によるランタイム認可には、Solo Enterprise for Istio (アンビエントメッシュ) と Solo Enterprise for agentgateway が必要です。この 2 つが、リクエストがターゲットに到達する前にネットワークレベルで AccessPolicy を適用する ztunnel とウェイポイントプロキシの基盤を提供します。

アンビエントメッシュをインストールする

1. Solo Enterprise for Istio のライセンスキーを環境変数に保存します。ライセンスキーは Solo Enterprise for kagent のライセンスに含まれています。キーを入手するには、担当者にお問い合わせください。

   export SOLO_ISTIO_LICENSE_KEY=<key>

2. Solo ディストリビューションの Istio バージョンとイメージリポジトリの詳細を保存します。

   export ISTIO_VERSION=1.29.7-patch0
   export ISTIO_IMAGE=${ISTIO_VERSION}-solo
   export REPO=us-docker.pkg.dev/soloio-img/istio
   export HELM_REPO=us-docker.pkg.dev/soloio-img/istio-helm

3. ウェイポイントプロキシなどのコンポーネントに必要な Kubernetes Gateway API の CRD を適用します。

   kubectl apply -f https://github.com/kubernetes-sigs/gateway-api/releases/download/v1.4.0/standard-install.yaml

4. Istio のセットアップに必要な CRD とクラスターロールを含む istio-base チャートをインストールします。

   helm upgrade --install istio-base oci://${HELM_REPO}/base \
     --namespace istio-system \
     --create-namespace \
     --version ${ISTIO_IMAGE} \
     -f - <<EOF
   defaultRevision: ""
   profile: ambient
   EOF

5. istiod コントロールプレーンを作成します。

   helm upgrade --install istiod oci://${HELM_REPO}/istiod \
     --namespace istio-system \
     --version ${ISTIO_IMAGE} \
     -f - <<EOF
   global:
     hub: ${REPO}
     proxy:
       clusterDomain: cluster.local
     tag: ${ISTIO_IMAGE}
   meshConfig:
     accessLogFile: /dev/stdout
     defaultConfig:
       proxyMetadata:
         ISTIO_META_DNS_AUTO_ALLOCATE: "true"
         ISTIO_META_DNS_CAPTURE: "true"
   env:
     PILOT_ENABLE_IP_AUTOALLOCATE: "true"
     PILOT_SKIP_VALIDATE_TRUST_DOMAIN: "true"
   pilot:
     cni:
       namespace: istio-system
       enabled: true
   profile: ambient
   license:
     value: ${SOLO_ISTIO_LICENSE_KEY}
   EOF

6. Istio CNI ノードエージェントの daemonset をインストールします。

   helm upgrade --install istio-cni oci://${HELM_REPO}/cni \
     --namespace istio-system \
     --version ${ISTIO_IMAGE} \
     -f - <<EOF
   ambient:
     dnsCapture: true
   excludeNamespaces:
     - istio-system
     - kube-system
   global:
     hub: ${REPO}
     tag: ${ISTIO_IMAGE}
   profile: ambient
   EOF

7. ztunnel の daemonset をインストールします。

   helm upgrade --install ztunnel oci://${HELM_REPO}/ztunnel \
     --namespace istio-system \
     --version ${ISTIO_IMAGE} \
     -f - <<EOF
   configValidation: true
   enabled: true
   env:
     L7_ENABLED: "true"
   hub: ${REPO}
   istioNamespace: istio-system
   namespace: istio-system
   profile: ambient
   proxy:
     clusterDomain: cluster.local
   tag: ${ISTIO_IMAGE}
   terminationGracePeriodSeconds: 29
   variant: distroless
   EOF

8. アンビエントメッシュのコンポーネントが動作していることを確認します。

   kubectl get pods -n istio-system

   出力例:

   NAME                      READY   STATUS    RESTARTS   AGE
   istio-cni-node-ps9vs      1/1     Running   0          80s
   istiod-58f745c977-q94jj   1/1     Running   0          94s
   ztunnel-7df9l             1/1     Running   0          62s
   

9. kagent ネームスペースをアンビエントメッシュに登録します。このラベルによって、ztunnel がネームスペース内のすべての Pod のトラフィックを傍受し、AccessPolicy が適用されるウェイポイントプロキシをトラフィックが通過するようになります。このラベルがないと、エージェントから MCP へのトラフィックはウェイポイントを迂回し、ポリシーがまったく適用されません。

   kubectl label namespace kagent istio.io/dataplane-mode=ambient

   ラベルが適用されたことを確認します。

   kubectl get namespace kagent --show-labels

   出力例:

   NAME     STATUS   AGE   LABELS
   kagent   Active   10m   istio.io/dataplane-mode=ambient,kubernetes.io/metadata.name=kagent
   

Solo Enterprise for agentgateway をインストールする

Solo Enterprise for agentgateway は、AccessPolicy を適用するウェイポイントプロキシをデプロイします。アンビエントメッシュのインストール後にインストールする必要があります。

1. Solo Enterprise for agentgateway のライセンスキーを環境変数に保存します。ライセンスキーは Solo Enterprise for kagent のライセンスに含まれています。

   export AGENTGATEWAY_LICENSE_KEY=<key>

2. Solo Enterprise for agentgateway の CRD とコントロールプレーンをデプロイします。

   helm upgrade -i enterprise-agentgateway-crds \
     oci://us-docker.pkg.dev/solo-public/enterprise-agentgateway/charts/enterprise-agentgateway-crds \
     --create-namespace \
     --namespace agentgateway-system \
     --version v2026.7.0
   
   helm upgrade -i enterprise-agentgateway \
     oci://us-docker.pkg.dev/solo-public/enterprise-agentgateway/charts/enterprise-agentgateway \
     --namespace agentgateway-system \
     --version v2026.7.0 \
     --set licensing.licenseKey=${AGENTGATEWAY_LICENSE_KEY}

3. agentgateway が動作していることを確認します。

   kubectl get pods -n agentgateway-system

   出力例:

   NAME                                       READY   STATUS    RESTARTS   AGE
   enterprise-agentgateway-5495d98459-46dpk   1/1     Running   0          19s
   

次のステップ