Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Utilizzare il server MCP remoto Policy Assist

Questo documento mostra come utilizzare il server Model Context Protocol (MCP) remoto dell'Assistente policy per connetterti alle applicazioni AI, tra cui Gemini CLI, ChatGPT, Claude e le applicazioni personalizzate che stai sviluppando. Il server MCP remoto dell'Assistente per le policy consente agli agenti AI esterni di accedere al selettore dei ruoli IAM per suggerire i ruoli per il tuo caso d'uso. Il server MCP remoto dell'Assistente per le policy viene abilitato quando abiliti l'API Policy Assist.

Il Model Context Protocol (MCP) standardizza il modo in cui i modelli linguistici di grandi dimensioni (LLM) e le applicazioni o gli agenti AI si connettono alle origini dati esterne. I server MCP ti consentono di utilizzare i loro strumenti, le loro risorse e i loro prompt per eseguire azioni e ottenere dati aggiornati dal loro servizio di backend.

Qual è la differenza tra i server MCP locali e remoti?

Server MCP locali: In genere vengono eseguiti sulla tua macchina locale e utilizzano gli stream di input e output standard (stdio) per la comunicazione tra i servizi sullo stesso dispositivo.
Server MCP remoti: Vengono eseguiti sull'infrastruttura del servizio e offrono un endpoint HTTP alle applicazioni di AI per la comunicazione tra il client MCP di AI e il server MCP. Per saperne di più sull'architettura MCP, consulta Architettura MCP.

Core stateless

Con la versione MCP 2026-07-28, MCP passa da un protocollo bidirezionale stateful a un protocollo stateless. Ogni richiesta MCP è autodescrittiva e può essere instradata utilizzando le intestazioni. Non è necessario l'handshake initialize/initialized o Mcp-Session-Id perché ogni richiesta include tutte le informazioni necessarie nelle intestazioni HTTP o nel parametro _meta. I server MCP possono richiedere informazioni aggiuntive necessarie per uno strumento tramite richieste di andata e ritorno multiple (MRTR).

Per facilitare l'instradamento e l'elaborazione delle richieste senza analizzare il corpo della richiesta, sono necessarie alcune intestazioni MCP, tra cui:

Intestazioni richieste dalla specifica MCP, come l'intestazione della versione del protocollo e le intestazioni della richiesta standard.
Intestazioni personalizzate definite dal server MCP. Queste intestazioni vengono rispecchiate nelle intestazioni HTTP dallo schema di input dello strumento utilizzando la proprietà x-mcp-header. Ad esempio, un server MCP potrebbe definire un'intestazione personalizzata per specificare la regione o l'ID progetto Google Cloud .

Per saperne di più sull'architettura MCP, consulta la specifica della versione 2026-07-28 di MCP e le modifiche principali.

Server MCP Google e Google Cloud remoti

I server MCP di Google e Google Cloud remoti offrono le seguenti funzionalità e i seguenti vantaggi:

Rilevamento semplificato e centralizzato
Endpoint HTTP globali o regionali gestiti
Autorizzazione granulare
Sicurezza facoltativa di prompt e risposte con la protezione di Model Armor
Audit logging centralizzato

Per informazioni su altri server MCP e sui controlli di sicurezza e governance disponibili per i server MCP di Google Cloud, consulta la panoramica dei server MCP di Google Cloud.

Prima di iniziare

Per assicurarti che l'agente possa accedere al server MCP di Policy Assist, devi abilitare l'API Policy Assist nel tuo progetto nella console Google Cloud :

Accedi al tuo account Google Cloud . Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti senza costi per l'esecuzione, il test e il deployment dei workload.

Installa Google Cloud CLI.

Se utilizzi un provider di identità (IdP) esterno, devi prima accedere a gcloud CLI con la tua identità federata.

Per inizializzare gcloud CLI, esegui questo comando:

gcloud init

Crea o seleziona un progetto Google Cloud .

Ruoli richiesti per selezionare o creare un progetto

Seleziona un progetto: la selezione di un progetto non richiede un ruolo IAM specifico. Puoi selezionare qualsiasi progetto per cui ti è stato concesso un ruolo.
Crea un progetto: per creare un progetto, devi disporre del ruolo Autore progetto (roles/resourcemanager.projectCreator), che contiene l'autorizzazione resourcemanager.projects.create. Scopri come concedere i ruoli.

Crea un progetto Google Cloud :
```
gcloud projects create PROJECT_ID
```
Sostituisci PROJECT_ID con un nome per il progetto Google Cloud che stai creando.
Seleziona il progetto Google Cloud che hai creato:
```
gcloud config set project PROJECT_ID
```
Sostituisci PROJECT_ID con il nome del progetto Google Cloud .

Se utilizzi un progetto esistente per questa guida, verifica di disporre delle autorizzazioni necessarie per completare la guida. Se hai creato un nuovo progetto, disponi già delle autorizzazioni necessarie.

Se non è già abilitata, abilita l'API Policy Assist:

Ruoli richiesti per abilitare le API

Per abilitare le API, devi disporre dell'autorizzazione serviceusage.services.enable. Se hai creato il progetto, probabilmente disponi già di questa autorizzazione tramite il ruolo Proprietario (roles/owner). In caso contrario, puoi ottenere questa autorizzazione tramite il ruolo Amministratore Service Usage (roles/serviceusage.serviceUsageAdmin). Scopri come concedere i ruoli.

gcloud services enable policyassist.googleapis.com

Installa Google Cloud CLI.

Se utilizzi un provider di identità (IdP) esterno, devi prima accedere a gcloud CLI con la tua identità federata.

Per inizializzare gcloud CLI, esegui questo comando:

gcloud init

Crea o seleziona un progetto Google Cloud .

Ruoli richiesti per selezionare o creare un progetto

Seleziona un progetto: la selezione di un progetto non richiede un ruolo IAM specifico. Puoi selezionare qualsiasi progetto per cui ti è stato concesso un ruolo.
Crea un progetto: per creare un progetto, devi disporre del ruolo Autore progetto (roles/resourcemanager.projectCreator), che contiene l'autorizzazione resourcemanager.projects.create. Scopri come concedere i ruoli.

Crea un progetto Google Cloud :
```
gcloud projects create PROJECT_ID
```
Sostituisci PROJECT_ID con un nome per il progetto Google Cloud che stai creando.
Seleziona il progetto Google Cloud che hai creato:
```
gcloud config set project PROJECT_ID
```
Sostituisci PROJECT_ID con il nome del progetto Google Cloud .

Se non è già abilitata, abilita l'API Policy Assist:

Ruoli richiesti per abilitare le API

gcloud services enable policyassist.googleapis.com

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per utilizzare il server MCP dell'Assistente per le policy, chiedi all'amministratore di concederti i seguenti ruoli IAM nel progetto in cui vuoi utilizzare il server MCP dell'Assistente per le policy:

Effettuare chiamate allo strumento MCP: MCP Tool User (roles/mcp.toolUser)
Ricevere suggerimenti per i ruoli personalizzati: Visualizzatore IAM (roles/iam.viewer)

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per utilizzare il server MCP dell'Assistente per le policy. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per utilizzare il server MCP dell'assistente per le policy sono necessarie le seguenti autorizzazioni:

Effettua chiamate allo strumento MCP: mcp.tools.call
Ricevi suggerimenti per i ruoli personalizzati: iam.roles.list

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Autenticazione e autorizzazione

Il server MCP remoto dell'Assistente policy utilizza il protocollo OAuth 2.0 con Identity and Access Management (IAM) per l'autenticazione e l'autorizzazione. Tutte le identitàGoogle Cloud sono supportate per l'autenticazione ai server MCP.

Policy Assist non accetta chiavi API per l'autenticazione.

Ti consigliamo di creare un'identità separata per gli agenti che utilizzano gli strumenti MCP, in modo da poter controllare e monitorare l'accesso alle risorse. Per saperne di più sull'autenticazione, consulta Autenticati ai server MCP.

Ambiti OAuth MCP di Policy Assist

OAuth 2.0 utilizza ambiti e credenziali per determinare se un'entità autenticata è autorizzata a eseguire un'azione specifica su una risorsa. Per saperne di più sugli ambiti OAuth 2.0 di Google, consulta Utilizzare OAuth 2.0 per accedere alle API di Google.

Policy Assist ha i seguenti ambiti OAuth dello strumento MCP:

URI dell'ambito per gcloud CLI	Descrizione
`https://www.googleapis.com/auth/policyassist`	Concede l'accesso ai suggerimenti sulle policy tramite Policy Assist.

Potrebbero essere necessari ambiti aggiuntivi per le risorse a cui si accede durante una chiamata allo strumento.

Configura un client MCP per utilizzare il server MCP Policy Assist

Le applicazioni e gli agenti AI, come Claude o Antigravity, possono creare un'istanza di un client MCP che si connette a un singolo server MCP. Un'applicazione di AI può avere più client che si connettono a server MCP diversi. Se la tua applicazione non è elencata nelle indicazioni specifiche per il client, puoi utilizzare le seguenti informazioni per connetterti dalla maggior parte delle applicazioni.

Nella tua applicazione di AI, cerca un modo per aggiungere o connetterti a un server MCP remoto. Per il server MCP Assistente policy, inserisci le seguenti informazioni, se richieste:

Nome server: server MCP Policy Assist
URL server o Endpoint: https://policyassist.googleapis.com/mcp
Trasporto: HTTP trasmissibile in streaming
Dettagli di autenticazione: a seconda di come vuoi eseguire l'autenticazione, puoi inserire le tue credenziali Google Cloud , l'ID client e il secret OAuth o un'identità e le credenziali dell'agente. Per saperne di più sull'autenticazione, consulta Autenticati ai server MCP.
Ambito OAuth: per accedere al server MCP dell'assistente per le policy, utilizza l'ambito OAuth 2.0 https://www.googleapis.com/auth/policyassist.

URI di reindirizzamento

Per le applicazioni basate sul web e alcune applicazioni desktop, devi inserire nella lista consentita un URI di reindirizzamento quando crei un ID client e un secret per l'autenticazione. Gli URI di reindirizzamento vengono utilizzati dal server di autorizzazione per inviare token alla tua applicazione. La documentazione dell'applicazione deve specificare l'URI di reindirizzamento da utilizzare. Gli URI di reindirizzamento personalizzati non sono supportati.

Per indicazioni specifiche sull'applicazione per la configurazione e la connessione al server MCP, consulta Indicazioni specifiche per il client.

Per indicazioni più generali, consulta le seguenti risorse:

Strumenti disponibili

Per visualizzare i dettagli degli strumenti MCP disponibili e le relative descrizioni per il server MCP dell'assistente per le policy, consulta il riferimento MCP dell'assistente per le policy.

Strumenti per gli elenchi

Utilizza lo strumento di controllo MCP per elencare gli strumenti o invia una richiesta HTTP tools/list direttamente al server MCP remoto di Policy Assist. Il metodo tools/list non richiede l'autenticazione.

curl -X POST https://policyassist.googleapis.com/TOOLSET_ENDPOINT \
    -H 'Content-Type: application/json' \
    -H 'Accept: application/json' \
    -H 'MCP-Protocol-Version: MCP_PROTOCOL_VERSION' \
    -H 'Mcp-Method: tools/list' \
    -d '{
      "jsonrpc": "2.0",
      "id": 1,
      "method": "tools/list",
      "params": {
        "_meta": {
          "io.modelcontextprotocol/protocolVersion": "MCP_PROTOCOL_VERSION",
          "io.modelcontextprotocol/clientCapabilities": {
            "extensions": {
              "io.modelcontextprotocol/ui": {
                "mimeTypes": ["text/html;profile=mcp-app"]
              }
            }
          }
        }
      }
    }'

Sostituisci quanto segue:

TOOLSET_ENDPOINT: il resto dell'endpoint MCP dopo il nome del servizio. Per l'assistente per le policy, si tratta di mcp.
MCP_PROTOCOL_VERSION: la versione del protocollo MCP, ad esempio 2026-07-28.

Esempi di casi d'uso

Il server MCP remoto dell'Assistente policy consente agli agenti AI esterni di accedere al selettore di ruoli IAM e di utilizzarlo per suggerire i ruoli per il tuo caso d'uso. Di seguito sono riportati alcuni esempi di casi d'uso per il server MCP dell'assistente per le policy.

Per impostazione predefinita, i suggerimenti sui ruoli sono progettati per coprire i percorsi dell'utente comuni all'interno di un servizio. Ad esempio, vengono spesso suggeriti i ruoli Amministratore, Editor o Visualizzatore di un servizio.

Se vuoi suggerimenti per i ruoli più granulari e con privilegi minimi, devi specificare questa preferenza nel prompt utilizzando parole chiave specifiche, come "minimo" o "privilegio minimo". Per un elenco di parole chiave che puoi utilizzare, consulta Parole chiave per i ruoli con privilegi minimi.

Caso d'uso	Esempi di prompt
Identificazione dei ruoli per la gestione generale dei servizi	"Quali autorizzazioni mi servono per gestire la nostra configurazione di AlloyDB per PostgreSQL?"
Identificare i ruoli necessari per eseguire attività specifiche	"Quale ruolo è necessario per creare, avviare e arrestare le VM?" o "Qual è il ruolo minimo richiesto per creare, avviare e arrestare le VM?"
Identificazione dei ruoli necessari per eseguire i comandi di Google Cloud CLI	"Quale ruolo IAM è necessario per eseguire: `gcloud compute instances create instance-1`?" o "Qual è il ruolo più piccolo di cui un account di servizio ha bisogno per eseguire: `gcloud datastore instances describe`?"
Identificazione dei ruoli per un'attività che include dipendenze transitive	"Devo configurare un'istanza Compute Engine per la scalabilità automatica in base all'utilizzo della CPU. Quali ruoli IAM devo concedere al account di servizio?" o "Devo configurare un'istanza Compute Engine per la scalabilità automatica in base all'utilizzo della CPU. Quali sono le autorizzazioni minime che devo concedere a un account di servizio utilizzato dal gestore della scalabilità automatica di un'istanza Compute Engine?"
Identificare i ruoli per un'attività che potrebbe richiedere una combinazione di più ruoli granulari	"Fornisci agli utenti l'accesso solo a un determinato set di dati in BigQuery. Non dovrebbero essere in grado di creare o eliminare set di dati." o "Qual è il ruolo più sicuro per concedere agli utenti l'accesso di sola lettura a un singolo set di dati in BigQuery, senza consentire azioni di creazione o eliminazione su alcun set di dati?"

Configurazioni di sicurezza e protezione facoltative

MCP introduce nuovi rischi e considerazioni sulla sicurezza a causa dell'ampia varietà di azioni che puoi eseguire con gli strumenti MCP. Per ridurre al minimo e gestire questi rischi, Google Cloud offre impostazioni predefinite e policy personalizzabili per controllare l'utilizzo degli strumenti MCP nella tua organizzazione o nel tuo progetto Google Cloud.

Per saperne di più sulla sicurezza e sulla governance di MCP, consulta Sicurezza e protezione dell'AI.

Controlla l'utilizzo di MCP con le policy di negazione di Identity and Access Management

Le policy di negazione e le policy di autorizzazione di Identity and Access Management (IAM) ti aiutano a proteggere Google Cloud e i server MCP di Google.

Puoi combinare più criteri per creare policy di sicurezza e governance personalizzate consentendo o negando l'accesso in base a quanto segue:

L'entità.
Proprietà dello strumento, come l'attributo di sola lettura.
Il nome del servizio o dello strumento.
L'ID client OAuth dell'applicazione.

Per saperne di più, consulta Controlla l'utilizzo di MCP con Identity and Access Management.

Passaggi successivi

Leggi la documentazione di riferimento di Policy Assist MCP.
Scopri di più sui server MCP di Google Cloud.