O padrão do Protocolo de Contexto de Modelo (MCP) padroniza como os modelos de linguagem grandes (LLMs) e os aplicativos ou agentes de IA se conectam a fontes de dados externas. Com os servidores MCP, você pode usar as ferramentas, os recursos e os comandos deles para realizar ações e receber dados atualizados do serviço de back-end.
Qual é a diferença entre servidores MCP locais e remotos?
- Servidores MCP locais
- Normalmente executados na máquina local e usam os fluxos de entrada e saída padrão (stdio) para comunicação entre serviços no mesmo dispositivo.
- Servidores MCP remotos
- Executar na infraestrutura do serviço e oferecer um endpoint HTTP para aplicativos de IA para comunicação entre o cliente MCP de IA e o servidor MCP. Para mais informações sobre a arquitetura do MCP, consulte Arquitetura do MCP.
Núcleo sem estado
Com a
versão 2026-07-28 do MCP,
o MCP muda de um protocolo bidirecional com estado para um protocolo sem estado.
Cada solicitação do MCP é autodescritiva e pode ser encaminhada usando cabeçalhos. Não é necessário o handshake initialize/initialized ou Mcp-Session-Id porque cada solicitação inclui todas as informações necessárias nos cabeçalhos HTTP ou no parâmetro _meta. Os servidores MCP podem solicitar mais informações necessárias para uma ferramenta usando solicitações de várias viagens de ida e volta (MRTR).
Para ajudar a encaminhar e processar solicitações sem analisar o corpo da solicitação, alguns cabeçalhos do MCP são necessários, incluindo os seguintes:
- Cabeçalhos exigidos pela especificação do MCP, como o cabeçalho da versão do protocolo e os cabeçalhos de solicitação padrão.
- Cabeçalhos personalizados
definidos pelo servidor MCP. Esses cabeçalhos são espelhados em cabeçalhos HTTP do esquema de entrada da ferramenta usando a propriedade
x-mcp-header. Por exemplo, um servidor MCP pode definir um cabeçalho personalizado para especificar a região ou o ID do projeto Google Cloud .
Para mais informações sobre a arquitetura do MCP, consulte a especificação e as principais mudanças da versão 2026-07-28 do MCP.
Servidores MCP remotos do Google e Google Cloud
Os servidores MCP remotos do Google e do Google Cloud têm os seguintes recursos e benefícios:- Descoberta simplificada e centralizada
- Endpoints HTTP globais ou regionais gerenciados
- Autorização detalhada
- Segurança opcional de comandos e respostas com a proteção do Model Armor
- Registro de auditoria centralizado
Para informações sobre outros servidores MCP e controles de segurança e governança disponíveis para servidores MCP do Google Cloud, consulte Visão geral dos servidores MCP do Google Cloud.
Antes de começar
Para garantir que seu agente possa acessar o servidor MCP do Policy Assist, ative a API Policy Assist no seu projeto no console Google Cloud :
- Faça login na sua conta do Google Cloud . Se você começou a usar o Google Cloud, crie uma conta para avaliar o desempenho de nossos produtos em situações reais. Clientes novos também recebem US$ 300 em créditos para executar, testar e implantar cargas de trabalho.
-
Instale a CLI do Google Cloud.
-
Ao usar um provedor de identidade (IdP) externo, primeiro faça login na CLI gcloud com sua identidade federada.
-
Para inicializar a CLI gcloud, execute o seguinte comando:
gcloud init -
Crie ou selecione um Google Cloud projeto.
Funções necessárias para selecionar ou criar um projeto
- Selecionar um projeto: não é necessário um papel específico do IAM para selecionar um projeto. Você pode escolher qualquer projeto em que tenha recebido um papel.
-
Criar um projeto: para criar um projeto, é necessário ter o papel de Criador de projetos
(
roles/resourcemanager.projectCreator), que contém a permissãoresourcemanager.projects.create. Saiba como conceder papéis.
-
Crie um projeto do Google Cloud :
gcloud projects create PROJECT_ID
Substitua
PROJECT_IDpor um nome para o projeto Google Cloud que você está criando. -
Selecione o projeto Google Cloud que você criou:
gcloud config set project PROJECT_ID
Substitua
PROJECT_IDpelo nome do projeto do Google Cloud .
-
Se este guia estiver usando um projeto atual, verifique se você tem as permissões necessárias para concluir o guia. Se você criou um projeto, já tem as permissões necessárias.
Ative a API Policy Assist:
Funções necessárias para ativar APIs
Para ativar APIs, você precisa da permissão
serviceusage.services.enable. Se você criou o projeto, provavelmente já tem essa permissão com o papel de Proprietário (roles/owner). Caso contrário, é possível receber essa permissão com o papel de Administrador do Service Usage (roles/serviceusage.serviceUsageAdmin). Saiba como conceder papéis.gcloud services enable policyassist.googleapis.com
-
Instale a CLI do Google Cloud.
-
Ao usar um provedor de identidade (IdP) externo, primeiro faça login na CLI gcloud com sua identidade federada.
-
Para inicializar a CLI gcloud, execute o seguinte comando:
gcloud init -
Crie ou selecione um Google Cloud projeto.
Funções necessárias para selecionar ou criar um projeto
- Selecionar um projeto: não é necessário um papel específico do IAM para selecionar um projeto. Você pode escolher qualquer projeto em que tenha recebido um papel.
-
Criar um projeto: para criar um projeto, é necessário ter o papel de Criador de projetos
(
roles/resourcemanager.projectCreator), que contém a permissãoresourcemanager.projects.create. Saiba como conceder papéis.
-
Crie um projeto do Google Cloud :
gcloud projects create PROJECT_ID
Substitua
PROJECT_IDpor um nome para o projeto Google Cloud que você está criando. -
Selecione o projeto Google Cloud que você criou:
gcloud config set project PROJECT_ID
Substitua
PROJECT_IDpelo nome do projeto do Google Cloud .
-
Se este guia estiver usando um projeto atual, verifique se você tem as permissões necessárias para concluir o guia. Se você criou um projeto, já tem as permissões necessárias.
Ative a API Policy Assist:
Funções necessárias para ativar APIs
Para ativar APIs, você precisa da permissão
serviceusage.services.enable. Se você criou o projeto, provavelmente já tem essa permissão com o papel de Proprietário (roles/owner). Caso contrário, é possível receber essa permissão com o papel de Administrador do Service Usage (roles/serviceusage.serviceUsageAdmin). Saiba como conceder papéis.gcloud services enable policyassist.googleapis.com
Funções exigidas
Para receber as permissões necessárias para usar o servidor MCP do Policy Assist, peça ao administrador para conceder a você os seguintes papéis do IAM no projeto em que você quer usar o servidor MCP do Policy Assist:
-
Fazer chamadas de ferramentas do MCP:
Usuário da ferramenta MCP (
roles/mcp.toolUser) -
Receber sugestões de papéis personalizados:
Leitor do IAM (
roles/iam.viewer)
Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.
Esses papéis predefinidos contêm as permissões necessárias para usar o servidor MCP do Policy Assist. Para acessar as permissões exatas necessárias, expanda a seção Permissões necessárias:
Permissões necessárias
As seguintes permissões são necessárias para usar o servidor MCP do Policy Assist:
-
Fazer chamadas de ferramentas do MCP:
mcp.tools.call -
Receber sugestões de funções personalizadas:
iam.roles.list
Essas permissões também podem ser concedidas com funções personalizadas ou outros papéis predefinidos.
Autenticação e autorização
O servidor MCP remoto do Assistente de políticas usa o protocolo OAuth 2.0 com o Identity and Access Management (IAM) para autenticação e autorização. Todas as Google Cloud identidades são compatíveis com a autenticação em servidores MCP.O Policy Assist não aceita chaves de API para autenticação.
Recomendamos que você crie uma identidade separada para agentes que usam ferramentas do MCP para que o acesso aos recursos possa ser controlado e monitorado. Para mais informações sobre autenticação, consulte Autenticar em servidores do MCP.
Escopos do OAuth do MCP do Policy Assist
O OAuth 2.0 usa escopos e credenciais para determinar se um principal autenticado está autorizado a realizar uma ação específica em um recurso. Para mais informações sobre os escopos do OAuth 2.0 no Google, leia Como usar o OAuth 2.0 para acessar as APIs do Google.
O Policy Assist tem os seguintes escopos OAuth da ferramenta MCP:
| URI de escopo para a CLI gcloud | Descrição |
|---|---|
https://www.googleapis.com/auth/policyassist |
Concede acesso a sugestões de políticas pelo Policy Assist. |
Outros escopos podem ser necessários nos recursos acessados durante uma chamada de ferramenta.
Configurar um cliente MCP para usar o servidor MCP do Policy Assist
Aplicativos e agentes de IA, como Claude ou Antigravity, podem instanciar um cliente MCP que se conecta a um único servidor MCP. Um aplicativo de IA pode ter vários clientes que se conectam a diferentes servidores do MCP. Se o aplicativo não estiver listado nas orientações específicas do cliente, use as informações a seguir para se conectar na maioria dos aplicativos.
No seu aplicativo de IA, procure uma maneira de adicionar ou se conectar a um servidor MCP remoto. Para o servidor MCP do Policy Assist, insira as seguintes informações, conforme necessário:
- Nome do servidor: servidor MCP do Policy Assist
- URL do servidor ou Endpoint:
https://policyassist.googleapis.com/mcp - Transporte: HTTP
- Detalhes da autenticação: dependendo de como você quer autenticar, é possível inserir suas Google Cloud credenciais, o ID e a chave secreta do cliente OAuth ou uma identidade e credenciais do agente. Para mais informações sobre autenticação, consulte Autenticar em servidores do MCP.
- Escopo do OAuth: para acessar o servidor MCP do Policy Assist, use o escopo do OAuth 2.0
https://www.googleapis.com/auth/policyassist.
URIs de redirecionamento
Para aplicativos baseados na Web e alguns aplicativos para computador, é necessário adicionar à lista de permissões um URI de redirecionamento ao criar um ID e uma chave secreta do cliente para autenticação. Os URIs de redirecionamento são usados pelo servidor de autorização para enviar tokens ao seu aplicativo. A documentação do aplicativo deve especificar o URI de redirecionamento que você precisa usar. URIs de redirecionamento personalizados não são aceitos.
Para orientações específicas sobre como configurar e se conectar ao servidor MCP, consulte Orientações específicas do cliente.
Para orientações mais gerais, consulte os seguintes recursos:
Ferramentas disponíveis
Para conferir detalhes das ferramentas do MCP disponíveis e as descrições delas no servidor MCP do Assistente de política, consulte a Referência do MCP do Assistente de política.
Ferramentas de lista
Use o inspetor do MCP para listar ferramentas ou envie uma
solicitação HTTP tools/list diretamente ao servidor MCP
remoto do Assistente de política. O método tools/list não requer autenticação.
POST /mcp HTTP/1.1
Host: policyassist.googleapis.com
Content-Type: application/json
{
"jsonrpc": "2.0",
"method": "tools/list",
}
Exemplos de casos de uso
O servidor MCP remoto do Policy Assist permite que agentes de IA externos acessem o seletor de papéis do IAM e o usem para sugerir papéis para seu caso de uso. Confira alguns exemplos de casos de uso do servidor MCP do Policy Assist.
Por padrão, as sugestões de função são projetadas para abranger jornadas comuns do usuário em um serviço. Por exemplo, os papéis de administrador, editor ou leitor de um serviço são sugeridos com frequência.
Se você quiser sugestões para as funções mais granulares e com menos privilégios, especifique essa preferência no comando usando palavras-chave específicas, como "mínimo" ou "com menos privilégios". Para conferir uma lista de palavras-chave que podem ser usadas, consulte Palavras-chave para funções com privilégios mínimos.
| Caso de uso | Exemplos de prompt |
|---|---|
| Identificar papéis para o gerenciamento geral de serviços | "Quais permissões preciso ter para gerenciar nossa configuração do AlloyDB para PostgreSQL?" |
| Identificar as funções necessárias para realizar tarefas específicas |
"Qual função é necessária para criar, iniciar e parar VMs?" ou "Qual é a função mínima necessária para criar, iniciar e parar VMs?" |
| Identificar os papéis necessários para executar comandos da Google Cloud CLI |
"Qual papel do IAM é necessário para executar: ou "Qual é a menor função que uma conta de serviço precisa para executar: |
| Identificar papéis para uma tarefa que inclui dependências transitivas |
"Preciso configurar uma instância do Compute Engine para escalonar automaticamente com base na utilização da CPU. Quais papéis do IAM devo conceder à conta de serviço?" ou "Preciso configurar uma instância do Compute Engine para escalonar automaticamente com base na utilização da CPU. Quais são as permissões mínimas que preciso conceder a uma conta de serviço usada por um escalonador automático de instâncias do Compute Engine?" |
| Identificar papéis para uma tarefa que pode exigir uma combinação de vários papéis granulares |
"Conceda aos usuários acesso apenas a um conjunto de dados específico no BigQuery. Não é possível criar ou excluir conjuntos de dados." ou "Qual é a função mais segura para dar aos usuários acesso somente leitura a um único conjunto de dados no BigQuery, sem permitir ações de criação ou exclusão em nenhum conjunto de dados?" |
Configurações opcionais de segurança
O MCP apresenta novos riscos e considerações de segurança devido à grande variedade de ações que podem ser feitas com as ferramentas do MCP. Para minimizar e gerenciar esses riscos, o Google Cloud oferece configurações padrão e políticas personalizáveis para controlar o uso das ferramentas do MCP na sua organização ou projeto do Google Cloud.
Para mais informações sobre segurança e governança do MCP, consulte Segurança e proteção de IA.
Controlar o uso do MCP com políticas de negação do Identity and Access Management
As políticas de negação e permissão do Identity and Access Management (IAM) ajudam a proteger os servidores Google Cloud e do Google MCP.
É possível combinar vários critérios para criar políticas personalizadas de segurança e governança, permitindo ou negando o acesso com base no seguinte:
- O principal.
- Propriedades da ferramenta, como o atributo somente leitura.
- O nome do serviço ou da ferramenta.
- O ID do cliente OAuth do aplicativo.
Para mais informações, consulte Controlar o uso do MCP com o Identity and Access Management.
A seguir
- Leia a documentação de referência do MCP do Policy Assist.
- Saiba mais sobre os servidores MCP do Google Cloud.