O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Usar o servidor MCP remoto do Policy Assist

Neste documento, mostramos como usar o servidor remoto do Protocolo de Contexto de Modelo (MCP) do Policy Assist para se conectar a aplicativos de IA, incluindo a CLI do Gemini, o ChatGPT, o Claude e aplicativos personalizados que você está desenvolvendo. O servidor MCP remoto do Assistente de Políticas permite que agentes de IA externos acessem o seletor de papéis do IAM para sugerir papéis para seu caso de uso. O servidor MCP remoto do Policy Assist é ativado quando você ativa a API Policy Assist.

O Protocolo de Contexto de Modelo (MCP) padroniza como os modelos de linguagem grandes (LLMs) e os aplicativos ou agentes de IA se conectam a fontes de dados externas. Os servidores MCP permitem que você use as ferramentas, os recursos e os comandos deles para realizar ações e receber dados atualizados do serviço de back-end.

Qual é a diferença entre servidores MCP locais e remotos?

Servidores MCP locais: Normalmente, são executados na máquina local e usam os fluxos de entrada e saída padrão (stdio) para comunicação entre serviços no mesmo dispositivo.
Servidores MCP remotos: São executados na infraestrutura do serviço e oferecem um endpoint HTTP para que os aplicativos de IA se comuniquem entre o cliente MCP de IA e o servidor MCP. Para mais informações sobre a arquitetura do MCP, consulte Arquitetura do MCP.

Núcleo sem estado

Com a versão 2026-07-28 do MCP, o MCP muda de um protocolo bidirecional com estado para um protocolo sem estado. Cada solicitação do MCP é autodescritiva e pode ser roteada usando cabeçalhos. Não é necessário o handshake initialize/initialized ou Mcp-Session-Id porque cada solicitação inclui todas as informações necessárias nos cabeçalhos HTTP ou no parâmetro _meta. Os servidores MCP podem solicitar mais informações necessárias para uma ferramenta usando solicitações de ida e volta (MRTR, na sigla em inglês).

Para ajudar a rotear e processar solicitações sem analisar o corpo da solicitação, alguns cabeçalhos do MCP são necessários, incluindo os seguintes:

Cabeçalhos exigidos pela especificação do MCP, como o cabeçalho da versão do protocolo e os cabeçalhos da solicitação padrão.
Cabeçalhos personalizados definidos pelo servidor MCP. Esses cabeçalhos são espelhados em cabeçalhos HTTP do esquema de entrada da ferramenta usando a propriedade x-mcp-header. Por exemplo, um servidor MCP pode definir um cabeçalho personalizado para especificar a região do Google Cloud ou o ID do projeto.

Para mais informações sobre a arquitetura do MCP, consulte a especificação e as principais mudanças da versão 2026-07-28 do MCP.

Servidores MCP remotos do Google e do Google Cloud

Os servidores MCP remotos do Google e do Google Cloud têm os seguintes recursos e benefícios:

Descoberta simplificada e centralizada
Endpoints HTTP globais ou regionais gerenciados
Autorização detalhada
Segurança opcional de comandos e respostas com a proteção do Model Armor
Geração de registros de auditoria centralizada

Para informações sobre outros servidores MCP e sobre os controles de segurança e governança disponíveis para servidores MCP do Google Cloud, consulte Visão geral dos servidores MCP do Google Cloud.

Antes de começar

Para garantir que o agente possa acessar o servidor MCP do Assistente de Políticas, ative a API Policy Assist no seu projeto no console do Google Cloud :

Faça login na sua conta do Google Cloud . Se você começou a usar o Google Cloudagora, crie uma conta para avaliar o desempenho dos nossos produtos em situações reais. Clientes novos também recebem US $300 em créditos para executar, testar e implantar cargas de trabalho sem custos financeiros.

Instale a CLI do Google Cloud.

Ao usar um provedor de identidade (IdP) externo, primeiro faça login na CLI gcloud com sua identidade federada.

Para inicializar a CLI gcloud, execute o seguinte comando:

gcloud init

Crie ou selecione um projeto do Google Cloud .

Papéis necessários para selecionar ou criar um projeto

Selecionar um projeto: não é necessário ter um papel específico do IAM para selecionar um projeto. É possível selecionar qualquer projeto em que você tenha um papel.
Criar um projeto: para criar um projeto, é preciso ter o papel de Criador de projetos (roles/resourcemanager.projectCreator), que contém a permissão resourcemanager.projects.create. Saiba como conceder papéis.

Crie um projeto do Google Cloud :
```
gcloud projects create PROJECT_ID
```
Substitua PROJECT_ID por um nome para o projeto do Google Cloud que você está criando.
Selecione o projeto do Google Cloud que você criou:
```
gcloud config set project PROJECT_ID
```
Substitua PROJECT_ID pelo nome do projeto do Google Cloud .

Se este guia estiver usando um projeto atual, verifique se você tem as permissões necessárias para concluir o guia. Se você criou um projeto, já tem as permissões necessárias.

Ative a API Policy Assist, se ainda não estiver ativada:

Funções necessárias para ativar APIs

Para ativar APIs, você precisa da permissão serviceusage.services.enable. Se você criou o projeto, provavelmente já tem essa permissão pelo papel de proprietário (roles/owner). Caso contrário, é possível conseguir essa permissão pelo papel de administrador do Service Usage (roles/serviceusage.serviceUsageAdmin). Saiba como conceder papéis.

gcloud services enable policyassist.googleapis.com

Instale a CLI do Google Cloud.

Ao usar um provedor de identidade (IdP) externo, primeiro faça login na CLI gcloud com sua identidade federada.

Para inicializar a CLI gcloud, execute o seguinte comando:

gcloud init

Crie ou selecione um projeto do Google Cloud .

Papéis necessários para selecionar ou criar um projeto

Selecionar um projeto: não é necessário ter um papel específico do IAM para selecionar um projeto. É possível selecionar qualquer projeto em que você tenha um papel.
Criar um projeto: para criar um projeto, é preciso ter o papel de Criador de projetos (roles/resourcemanager.projectCreator), que contém a permissão resourcemanager.projects.create. Saiba como conceder papéis.

Crie um projeto do Google Cloud :
```
gcloud projects create PROJECT_ID
```
Substitua PROJECT_ID por um nome para o projeto do Google Cloud que você está criando.
Selecione o projeto do Google Cloud que você criou:
```
gcloud config set project PROJECT_ID
```
Substitua PROJECT_ID pelo nome do projeto do Google Cloud .

Se este guia estiver usando um projeto atual, verifique se você tem as permissões necessárias para concluir o guia. Se você criou um projeto, já tem as permissões necessárias.

Ative a API Policy Assist, se ainda não estiver ativada:

Funções necessárias para ativar APIs

gcloud services enable policyassist.googleapis.com

Funções exigidas

Para receber as permissões necessárias para usar o servidor MCP do Assistente de Políticas, peça ao administrador para conceder a você os seguintes papéis do IAM no projeto em que você quer usar o servidor MCP do Assistente de Políticas:

Fazer chamadas de ferramenta do MCP: Usuário da ferramenta MCP (roles/mcp.toolUser)
Receber sugestões de papéis personalizados: Leitor do IAM (roles/iam.viewer)

Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Esses papéis predefinidos contêm as permissões necessárias para usar o servidor MCP do Assistente de Políticas. Para acessar as permissões exatas necessárias, expanda a seção Permissões necessárias:

Permissões necessárias

As seguintes permissões são necessárias para usar o servidor MCP do Assistente de Políticas:

Fazer chamadas de ferramentas do MCP: mcp.tools.call
Receber sugestões de papéis personalizados: iam.roles.list

Essas permissões também podem ser concedidas com funções personalizadas ou outros papéis predefinidos.

Autenticação e autorização

O servidor MCP remoto do Assistente de Políticas usa o protocolo OAuth 2.0 com o Identity and Access Management (IAM) para autenticação e autorização. Todas as identidades doGoogle Cloud são compatíveis com a autenticação em servidores MCP.

O Policy Assist não aceita chaves de API para autenticação.

Recomendamos que você crie uma identidade separada para os agentes que usam ferramentas do MCP, para que o acesso aos recursos possa ser controlado e monitorado. Para mais informações sobre autenticação, consulte Autenticar em servidores MCP.

Escopos do OAuth do MCP do Policy Assist

O OAuth 2.0 usa escopos e credenciais para determinar se um principal autenticado tem autorização para realizar uma ação específica em um recurso. Para mais informações sobre os escopos do OAuth 2.0 no Google, leia Como usar o OAuth 2.0 para acessar as APIs do Google.

O Assistente de Políticas tem os seguintes escopos de OAuth da ferramenta MCP:

URI de escopo para a CLI gcloud	Descrição
`https://www.googleapis.com/auth/policyassist`	Concede acesso a sugestões de políticas pelo Policy Assist.

Escopos adicionais podem ser necessários nos recursos acessados durante uma chamada de ferramenta.

Configurar um cliente MCP para usar o servidor MCP do Policy Assist

Os aplicativos e agentes de IA, como o Claude ou o Antigravity, podem instanciar um cliente MCP que se conecta a um único servidor MCP. Um aplicativo de IA pode ter vários clientes que se conectam a diferentes servidores MCP. Se o aplicativo não estiver listado nas orientações específicas do cliente, use as informações a seguir para se conectar na maioria dos aplicativos.

No seu aplicativo de IA, procure uma maneira de adicionar ou se conectar a um servidor MCP remoto. Para o servidor MCP do Policy Assist, insira as seguintes informações conforme necessário:

Nome do servidor: servidor MCP do Assistente de Políticas
URL do servidor ou Endpoint: https://policyassist.googleapis.com/mcp
Transporte: HTTP com streaming
Detalhes de autenticação: dependendo de como você quer fazer a autenticação, insira suas Google Cloud credenciais, o ID do cliente OAuth e a chave secreta ou uma identidade e credenciais de agente. Para mais informações sobre autenticação, consulte Autenticar em servidores MCP.
Escopo do OAuth: para acessar o servidor MCP do Policy Assist, use o escopo do OAuth 2.0 https://www.googleapis.com/auth/policyassist.

URIs de redirecionamento

Para aplicativos baseados na Web e alguns aplicativos para computador, é necessário incluir um URI de redirecionamento na lista de permissões ao criar um ID do cliente e uma chave secreta para autenticação. Os URIs de redirecionamento são usados pelo servidor de autorização para enviar tokens ao aplicativo. A documentação do aplicativo deve especificar o URI de redirecionamento que você precisa usar. URIs de redirecionamento personalizados não são compatíveis.

Para orientações específicas sobre como configurar e se conectar ao servidor MCP, consulte Orientações específicas para clientes.

Para orientações mais gerais, consulte os seguintes recursos:

Ferramentas disponíveis

Para conferir detalhes das ferramentas MCP disponíveis e as descrições delas para o servidor MCP do Policy Assist, consulte a referência do MCP do Policy Assist.

Listar ferramentas

Use o MCP Inspector para listar ferramentas ou envie uma solicitação HTTP tools/list diretamente ao servidor MCP remoto do Assistente de Políticas. O método tools/list não requer autenticação.

curl -X POST https://policyassist.googleapis.com/TOOLSET_ENDPOINT \
    -H 'Content-Type: application/json' \
    -H 'Accept: application/json' \
    -H 'MCP-Protocol-Version: MCP_PROTOCOL_VERSION' \
    -H 'Mcp-Method: tools/list' \
    -d '{
      "jsonrpc": "2.0",
      "id": 1,
      "method": "tools/list",
      "params": {
        "_meta": {
          "io.modelcontextprotocol/protocolVersion": "MCP_PROTOCOL_VERSION",
          "io.modelcontextprotocol/clientCapabilities": {
            "extensions": {
              "io.modelcontextprotocol/ui": {
                "mimeTypes": ["text/html;profile=mcp-app"]
              }
            }
          }
        }
      }
    }'

Substitua:

TOOLSET_ENDPOINT: o restante do endpoint do MCP após o nome do serviço. Para o Assistente de Políticas, é mcp.
MCP_PROTOCOL_VERSION: a versão do protocolo MCP. Por exemplo, 2026-07-28.

Exemplos de casos de uso

O servidor MCP remoto do Assistente de Políticas permite que agentes de IA externos acessem o seletor de papéis do IAM e o usem para sugerir papéis para seu caso de uso. Confira a seguir alguns exemplos de casos de uso do servidor MCP do Policy Assist.

Por padrão, as sugestões de função são projetadas para abranger jornadas comuns do usuário em um serviço. Por exemplo, os papéis de administrador, editor ou leitor de um serviço costumam ser sugeridos.

Se você quiser sugestões para os papéis mais granulares e com privilégio mínimo, especifique essa preferência no comando usando palavras-chave específicas, como "mínimo" ou "privilégio mínimo". Para ver uma lista de palavras-chave que podem ser usadas, consulte Palavras-chave para papéis com privilégio mínimo.

Caso de uso	Exemplos de prompt
Identificar papéis para o gerenciamento geral de serviços	"De quais permissões preciso para gerenciar nossa configuração do AlloyDB para PostgreSQL?"
Identificar os papéis necessários para realizar tarefas específicas	"Qual papel é necessário para criar, iniciar e interromper VMs?" ou "Qual é o papel mínimo necessário para criar, iniciar e interromper VMs?"
Identificar os papéis necessários para executar comandos da Google Cloud CLI	"Qual papel do IAM é necessário para executar: `gcloud compute instances create instance-1`?" ou "Qual é o menor papel que uma conta de serviço precisa para executar: `gcloud datastore instances describe`?"
Identificar papéis para uma tarefa que inclui dependências transitivas	"Preciso configurar uma instância do Compute Engine para escalonar automaticamente com base na utilização da CPU. Quais papéis do IAM devo conceder à conta de serviço?" ou "Preciso configurar uma instância do Compute Engine para escalonar automaticamente com base na utilização da CPU. Quais são as permissões mínimas que preciso conceder a uma conta de serviço usada por um escalonador automático de instâncias do Compute Engine?"
Identificar papéis para uma tarefa que pode exigir uma combinação de vários papéis granulares	"Fornecer aos usuários acesso apenas a um conjunto de dados específico no BigQuery. Eles não podem criar nem excluir conjuntos de dados." ou "Qual é o papel mais seguro para dar aos usuários acesso somente leitura a um único conjunto de dados no BigQuery, sem permitir ações de criação ou exclusão em nenhum conjunto de dados?"

Configurações opcionais de segurança

O MCP apresenta novos riscos e considerações de segurança devido à grande variedade de ações que podem ser realizadas com as ferramentas do MCP. Para minimizar e gerenciar esses riscos, oGoogle Cloud oferece configurações padrão e políticas personalizáveis para controlar o uso de ferramentas do MCP na sua organização ou projeto do Google Cloud.

Para mais informações sobre a segurança e a governança do MCP, consulte Segurança e proteção da IA.

Controlar o uso do MCP com políticas de negação do Identity and Access Management

As políticas de negação e as políticas de permissão do Identity and Access Management (IAM) ajudam a proteger o Google Cloud e os servidores MCP do Google.

É possível combinar vários critérios para criar políticas personalizadas de segurança e governança, permitindo ou negando o acesso com base no seguinte:

O principal.
Propriedades da ferramenta, como o atributo somente leitura.
O nome do serviço ou da ferramenta.
O ID do cliente OAuth do aplicativo.

Para mais informações, consulte Controlar o uso do MCP com o Identity and Access Management.

A seguir

Leia a documentação de referência do MCP do Policy Assist.
Saiba mais sobre os servidores MCP do Google Cloud.