Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Utiliser le serveur MCP distant Policy Assist

Ce document explique comment utiliser le serveur MCP (Model Context Protocol) distant Policy Assist pour vous connecter à des applications d'IA, y compris Gemini CLI, ChatGPT, Claude et les applications personnalisées que vous développez. Le serveur MCP distant Policy Assist permet aux agents d'IA externes d'accéder au sélecteur de rôles IAM pour suggérer des rôles pour votre cas d'utilisation. Le serveur MCP distant Policy Assist est activé lorsque vous activez l'API Policy Assist.

Le Model Context Protocol (MCP) standardise la façon dont les grands modèles de langage (LLM) et les applications ou agents d'IA se connectent à des sources de données externes. Les serveurs MCP vous permettent d'utiliser leurs outils, ressources et invites pour effectuer des actions et obtenir des données mises à jour à partir de leur service backend.

Quelle est la différence entre les serveurs MCP locaux et distants ?

Serveurs MCP locaux: S'exécutent généralement sur votre machine locale et utilisent les flux d'entrée et de sortie standards (stdio) pour la communication entre les services sur le même appareil.
Serveurs MCP distants: S'exécutent sur l'infrastructure du service et proposent un point de terminaison HTTP aux applications d'IA pour la communication entre le client MCP d'IA et le serveur MCP. Pour en savoir plus sur l'architecture MCP, consultez la section Architecture MCP.

Serveurs MCP Google et Google Cloud distants

Les serveurs MCP Google et Google Cloud distants présentent les fonctionnalités et avantages suivants :

Découverte simplifiée et centralisée
Points de terminaison HTTP mondiaux ou régionaux gérés
Autorisations précises
Sécurité facultative des invites et des réponses avec la protection Model Armor
Journalisation d'audit centralisée

Pour en savoir plus sur les autres serveurs MCP et sur les contrôles de sécurité et de gouvernance disponibles pour les serveurs MCP Google Cloud, consultez la présentation des serveurs MCP Google Cloud.

Avant de commencer

Pour vous assurer que votre agent peut accéder au serveur MCP Policy Assist, vous devez activer l'API Policy Assist sur votre projet dans la Google Cloud console :

Connectez-vous à votre Google Cloud compte. Si vous débutez sur Google Cloud, créez un compte pour évaluer les performances de nos produits en conditions réelles. Les nouveaux clients bénéficient également de 300 $ de crédits sans frais pour exécuter, tester et déployer des charges de travail.

Installez la Google Cloud CLI.

Si vous utilisez un fournisseur d'identité (IdP) externe, vous devez d'abord vous connecter à la gcloud CLI avec votre identité fédérée.

Pour initialiser la gcloud CLI, exécutez la commande suivante :

gcloud init

Créez ou sélectionnez un Google Cloud projet.

Rôles requis pour sélectionner ou créer un projet

Sélectionner un projet : la sélection d'un projet ne nécessite pas de rôle IAM spécifique Vous pouvez sélectionner n'importe quel projet pour lequel un rôle vous a été attribué.
Créer un projet : pour créer un projet, vous avez besoin du rôle Créateur de projet (roles/resourcemanager.projectCreator), qui contient l'autorisation resourcemanager.projects.create. Découvrez comment attribuer des rôles.

Créez un Google Cloud projet :
```
gcloud projects create PROJECT_ID
```
Remplacez PROJECT_ID par le nom du Google Cloud projet que vous créez.
Sélectionnez le Google Cloud projet que vous avez créé :
```
gcloud config set project PROJECT_ID
```
Remplacez PROJECT_ID par le nom de votre Google Cloud projet.

Si vous utilisez un projet existant pour ce guide, vérifiez que vous disposez des autorisations nécessaires pour suivre les instructions. Si vous avez créé un nouveau projet, vous disposez déjà des autorisations requises.

Activez l'API Policy Assist :

Rôles requis pour activer les API

Pour activer les API, vous avez besoin de l'autorisation serviceusage.services.enable. Si vous avez créé le projet, vous disposez probablement déjà de cette autorisation via le rôle Propriétaire (roles/owner). Sinon, vous pouvez obtenir cette autorisation via le rôle Administrateur d'utilisation du service (roles/serviceusage.serviceUsageAdmin). Découvrez comment attribuer des rôles.

gcloud services enable policyassist.googleapis.com

Installez la Google Cloud CLI.

Si vous utilisez un fournisseur d'identité (IdP) externe, vous devez d'abord vous connecter à la gcloud CLI avec votre identité fédérée.

Pour initialiser la gcloud CLI, exécutez la commande suivante :

gcloud init

Créez ou sélectionnez un Google Cloud projet.

Rôles requis pour sélectionner ou créer un projet

Sélectionner un projet : la sélection d'un projet ne nécessite pas de rôle IAM spécifique Vous pouvez sélectionner n'importe quel projet pour lequel un rôle vous a été attribué.
Créer un projet : pour créer un projet, vous avez besoin du rôle Créateur de projet (roles/resourcemanager.projectCreator), qui contient l'autorisation resourcemanager.projects.create. Découvrez comment attribuer des rôles.

Créez un Google Cloud projet :
```
gcloud projects create PROJECT_ID
```
Remplacez PROJECT_ID par le nom du Google Cloud projet que vous créez.
Sélectionnez le Google Cloud projet que vous avez créé :
```
gcloud config set project PROJECT_ID
```
Remplacez PROJECT_ID par le nom de votre Google Cloud projet.

Activez l'API Policy Assist :

Rôles requis pour activer les API

gcloud services enable policyassist.googleapis.com

Rôles requis

Pour obtenir les autorisations nécessaires pour utiliser le serveur MCP Policy Assist, demandez à votre administrateur de vous accorder les rôles IAM suivants sur le projet dans lequel vous souhaitez utiliser le serveur MCP Policy Assist :

Effectuer des appels d'outils MCP: Utilisateur de l'outil MCP (roles/mcp.toolUser)
Obtenir des suggestions de rôles personnalisés : Lecteur IAM (roles/iam.viewer)

Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

Ces rôles prédéfinis contiennent les autorisations requises pour utiliser le serveur MCP Policy Assist. Pour connaître les autorisations exactes requises, développez la section Autorisations requises :

Autorisations requises

Les autorisations suivantes sont requises pour utiliser le serveur MCP Policy Assist :

Effectuer des appels d'outils MCP : mcp.tools.call
Obtenir des suggestions de rôles personnalisés : iam.roles.list

Vous pouvez également obtenir ces autorisations avec des rôles personnalisés ou d'autres rôles prédéfinis.

Authentification et autorisation

Le serveur MCP distant Policy Assist utilise le protocole OAuth 2.0 avec Identity and Access Management (IAM) pour l'authentification et l'autorisation. Toutes Google Cloud les identités sont compatibles avec l'authentification auprès des serveurs MCP.

Policy Assist n'accepte pas les clés API pour l'authentification.

Nous vous recommandons de créer une identité distincte pour les agents qui utilisent des outils MCP afin de pouvoir contrôler et surveiller l'accès aux ressources. Pour en savoir plus sur l'authentification, consultez la section S'authentifier auprès des serveurs MCP.

Champs d'application OAuth MCP Policy Assist

OAuth 2.0 utilise des champs d'application et des identifiants pour déterminer si un principal authentifié est autorisé à effectuer une action spécifique sur une ressource. Pour en savoir plus sur les champs d'application OAuth 2.0 chez Google, consultez la page Utiliser OAuth 2.0 pour accéder aux API Google.

Policy Assist dispose des champs d'application OAuth suivants pour les outils MCP :

URI du champ d'application pour gcloud CLI	Description
`https://www.googleapis.com/auth/policyassist`	Accorde l'accès aux suggestions de règles via Policy Assist.

Des champs d'application supplémentaires peuvent être requis sur les ressources auxquelles vous accédez lors d'un appel d'outil.

Configurer un client MCP pour utiliser le serveur MCP Policy Assist

Les applications et agents d'IA, tels que Claude ou Antigravity, peuvent instancier un client MCP qui se connecte à un seul serveur MCP. Une application d'IA peut avoir plusieurs clients qui se connectent à différents serveurs MCP. Si votre application ne figure pas dans les conseils spécifiques au client, vous pouvez utiliser les informations suivantes pour vous connecter à la plupart des applications.

Dans votre application d'IA, recherchez un moyen d'ajouter ou de vous connecter à un serveur MCP distant. Pour le serveur MCP Policy Assist, saisissez les informations suivantes, si nécessaire :

Nom du serveur : serveur MCP Policy Assist
URL du serveur ou Point de terminaison : https://policyassist.googleapis.com/mcp
Transport: HTTP
Informations d'authentification : selon la méthode d'authentification souhaitée, vous pouvez saisir vos Google Cloud identifiants, votre ID client OAuth et votre code secret, ou une identité et des identifiants d'agent. Pour en savoir plus sur l'authentification, consultez la section S'authentifier auprès des serveurs MCP.
Champ d'application OAuth : pour accéder au serveur MCP Policy Assist, utilisez https://www.googleapis.com/auth/policyassist le champ d'application OAuth 2.0.

URI de redirection

Pour les applications Web et certaines applications de bureau, vous devez autoriser une URI de redirection lorsque vous créez un ID client et un code secret pour l'authentification. Les URI de redirection sont utilisées par le serveur d'autorisation pour envoyer des jetons à votre application. La documentation de votre application doit spécifier l'URI de redirection que vous devez utiliser. Les URI de redirection personnalisées ne sont pas acceptées.

Pour obtenir des conseils spécifiques à l'application sur la configuration et la connexion au serveur MCP, consultez la section Conseils spécifiques au client.

Pour obtenir des conseils plus généraux, consultez les ressources suivantes :

Outils disponibles

Pour afficher les détails des outils MCP disponibles et leurs descriptions pour le serveur MCP Policy Assist, consultez la documentation de référence sur le MCP Policy Assist.

Lister les outils

Utilisez l'inspecteur MCP pour lister les outils ou envoyez une tools/list requête HTTP directement au serveur MCP distant Policy Assist. La méthode tools/list ne nécessite pas d'authentification.

POST /mcp HTTP/1.1
Host: policyassist.googleapis.com
Content-Type: application/json

{
  "jsonrpc": "2.0",
  "method": "tools/list",
}

Exemples de cas d'utilisation

Le serveur MCP distant Policy Assist permet aux agents d'IA externes d'accéder au sélecteur de rôles IAM et de l'utiliser pour suggérer des rôles pour votre cas d'utilisation. Voici quelques exemples de cas d'utilisation du serveur MCP Policy Assist.

Par défaut, les suggestions de rôles sont conçues pour couvrir les parcours utilisateur courants au sein d'un service. Par exemple, les rôles Administrateur, Éditeur ou Lecteur d'un service sont souvent suggérés.

Si vous souhaitez obtenir des suggestions pour les rôles les plus précis et les moins privilégiés, vous devez spécifier cette préférence dans votre invite à l'aide de mots clés spécifiques, tels que "minimal" ou "moins privilégié". Pour obtenir la liste des mots clés que vous pouvez utiliser, consultez la section Mots clés pour les rôles les moins privilégiés.

Cas d'utilisation	Exemples d'invites
Identifier les rôles pour la gestion générale des services	"De quelles autorisations ai-je besoin pour gérer notre configuration AlloyDB pour PostgreSQL ?"
Identifier les rôles nécessaires pour effectuer des tâches spécifiques	"Quel rôle est requis pour créer, démarrer et arrêter des VM ?" ou "Quel est le rôle minimal requis pour créer, démarrer et arrêter des VM ?"
Identifier les rôles nécessaires pour exécuter des commandes Google Cloud CLI	"Quel rôle IAM est requis pour exécuter : `gcloud compute instances create instance-1` ?" ou "Quel est le plus petit rôle dont un compte de service a besoin pour exécuter : `gcloud datastore instances describe` ?"
Identifier les rôles pour une tâche qui inclut des dépendances transitives	"Je dois configurer une instance Compute Engine pour qu'elle s'adapte automatiquement en fonction de l'utilisation du processeur. Quels rôles IAM dois-je accorder au compte de service ?" ou "Je dois configurer une instance Compute Engine pour qu'elle s'adapte automatiquement en fonction de l'utilisation du processeur. Quelles sont les autorisations minimales que je dois accorder à un compte de service utilisé par un autoscaler d'instance Compute Engine ?"
Identifier les rôles pour une tâche qui peut nécessiter une combinaison de plusieurs rôles précis	"N'autorisez les utilisateurs à accéder qu'à un ensemble de données spécifique dans BigQuery. Ils ne doivent pas pouvoir créer ni supprimer d'ensembles de données." ou "Quel est le rôle le plus sécurisé pour accorder aux utilisateurs un accès en lecture seule à un seul ensemble de données dans BigQuery, sans autoriser les actions de création ou de suppression sur aucun ensemble de données ?"

Configurations de sécurité et de sûreté facultatives

Le MCP introduit de nouveaux risques et considérations de sécurité en raison de la grande variété d'actions que vous pouvez effectuer avec les outils MCP. Pour minimiser et gérer ces risques, Google Cloud propose des paramètres par défaut et des règles personnalisables afin de contrôler l'utilisation des outils MCP dans votre Google Cloud organisation ou votre projet.

Pour en savoir plus sur la sécurité et la gouvernance du MCP, consultez la section Sécurité et sûreté de l'IA.

Contrôler l'utilisation du MCP avec les stratégies de refus Identity and Access Management

Les stratégies de refus et d'autorisation Identity and Access Management (IAM) vous aident à Google Cloud sécuriser les serveurs MCP et Google.

Vous pouvez combiner plusieurs critères pour créer des stratégies de sécurité et de gouvernance personnalisées en autorisant ou en refusant l'accès en fonction des éléments suivants :

Le principal.
Les propriétés de l'outil, telles que l'attribut en lecture seule.
Le nom du service ou de l'outil.
L'ID client OAuth de l'application.

Pour en savoir plus, consultez la section Contrôler l'utilisation du MCP avec Identity and Access Management.

Étape suivante

Consultez la documentation de référence sur le MCP Policy Assist.
En savoir plus sur les serveurs MCP Google Cloud.