Model Context Protocol (MCP) הוא תקן שמגדיר איך מודלים גדולים של שפה (LLM) ואפליקציות או סוכנים של AI מתחברים למקורות נתונים חיצוניים. שרתי MCP מאפשרים לכם להשתמש בכלים, במשאבים ובהנחיות שלהם כדי לבצע פעולות ולקבל נתונים מעודכנים משירות הקצה העורפי שלהם.
מה ההבדל בין שרתי MCP מקומיים לשרתי MCP מרוחקים?
- שרתי MCP מקומיים
- בדרך כלל פועלים במחשב המקומי ומשתמשים בזרמי הקלט והפלט הרגילים (stdio) כדי לתקשר בין שירותים באותו מכשיר.
- שרתי MCP מרוחקים
- פועלים בתשתית של השירות ומציעים נקודת קצה (endpoint) מסוג HTTP לאפליקציות AI, כדי לאפשר תקשורת בין לקוח ה-MCP של ה-AI לבין שרת ה-MCP. מידע נוסף על ארכיטקטורת MCP
ליבה ללא שמירת מצב
בגרסת MCP 2026-07-28, פרוטוקול MCP משתנה מפרוטוקול דו-כיווני עם שמירת מצב (stateful) לפרוטוקול ללא שמירת מצב (stateless).
כל בקשת MCP מתארת את עצמה ואפשר לנתב אותה באמצעות כותרות. אין צורך בלחיצת היד של initialize/initialized או ב-Mcp-Session-Id כי כל בקשה כוללת את כל המידע הנדרש בכותרות HTTP או בפרמטר _meta. שרתי MCP יכולים לבקש מידע נוסף שנדרש לכלי באמצעות בקשות הלוך ושוב (MRTR).
כדי לנתב ולעבד בקשות בלי לנתח את גוף הבקשה, נדרשות כמה כותרות MCP, כולל:
- כותרות שנדרשות לפי מפרט ה-MCP, כמו כותרת גרסת הפרוטוקול וכותרות בקשה רגילות.
- כותרות בהתאמה אישית שמוגדרות על ידי שרת ה-MCP. הכותרות האלה משתקפות בכותרות HTTP מסכימת הקלט של הכלי באמצעות המאפיין
x-mcp-header. לדוגמה, שרת MCP יכול להגדיר כותרת מותאמת אישית כדי לציין את האזור או את מזהה הפרויקט ב- Google Cloud .
למידע נוסף על הארכיטקטורה של MCP, קראו את המפרט של MCP בגרסה 2026-07-28 ואת השינויים העיקריים.
שרתי MCP של Google ושרתי MCP מרוחקים של Google Cloud
לשרתי MCP של Google ושל Google Cloud יש את התכונות והיתרונות הבאים:- חיפוש פשוט ומרוכז
- נקודות קצה (endpoints) מנוהלות של HTTP גלובלי או אזורי
- הרשאה פרטנית
- אבטחה אופציונלית של הנחיות ותשובות באמצעות הגנה מוגברת על המודל
- רישום מרכזי ביומן הביקורת
במאמר סקירה כללית על שרתי Google Cloud MCP מוסבר על שרתי MCP אחרים ועל אמצעי הבקרה לאבטחה ולמשילות שזמינים לשרתי Google Cloud MCP.
לפני שמתחילים
כדי לוודא שלסוכן יש גישה לשרת ה-MCP של Policy Assist, צריך להפעיל את Policy Assist API בפרויקט במסוף Google Cloud :
- נכנסים לחשבון Google Cloud . אנחנו ממליצים למשתמשים חדשים ב- Google Cloud ליצור חשבון כדי שיוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.
-
התקינו את ה-CLI של Google Cloud.
-
אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.
-
כדי לאתחל את ה-CLI של gcloud, הריצו את הפקודה הבאה:
gcloud init -
יוצרים או בוחרים פרויקט ב- Google Cloud .
התפקידים שנדרשים כדי לבחור או ליצור פרויקט
- בחירת פרויקט: כדי לבחור פרויקט לא נדרש תפקיד IAM ספציפי – אתם יכולים לבחור כל פרויקט שקיבלתם בו תפקיד.
-
יצירת פרויקט: כדי ליצור פרויקט, צריך את התפקיד "יצירת פרויקטים" (
roles/resourcemanager.projectCreator), שכולל את ההרשאהresourcemanager.projects.create. איך מקצים תפקידים?
-
יוצרים פרויקט ב- Google Cloud :
gcloud projects create PROJECT_ID
מחליפים את
PROJECT_IDבשם של הפרויקט ב- Google Cloud שאתם יוצרים. -
בוחרים את הפרויקט שיצרתם ב- Google Cloud :
gcloud config set project PROJECT_ID
מחליפים את
PROJECT_IDבשם הפרויקט ב- Google Cloud .
-
אם משתמשים בפרויקט קיים, מוודאים שיש את ההרשאות הנדרשות כדי להשלים את ההדרכה. אם משתמשים בפרויקט חדש, לא צריך לוודא כי כבר יש את ההרשאות הנדרשות.
מפעילים את Policy Assist API, אם הוא עדיין לא מופעל:
התפקידים שנדרשים כדי להפעיל ממשקי API
כדי להפעיל ממשקי API, צריך את ההרשאה
serviceusage.services.enable. אם אתם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד "בעלים" (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד "אדמין בממשק 'שימוש בשירות'" (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידיםgcloud services enable policyassist.googleapis.com
-
התקינו את ה-CLI של Google Cloud.
-
אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.
-
כדי לאתחל את ה-CLI של gcloud, הריצו את הפקודה הבאה:
gcloud init -
יוצרים או בוחרים פרויקט ב- Google Cloud .
התפקידים שנדרשים כדי לבחור או ליצור פרויקט
- בחירת פרויקט: כדי לבחור פרויקט לא נדרש תפקיד IAM ספציפי – אתם יכולים לבחור כל פרויקט שקיבלתם בו תפקיד.
-
יצירת פרויקט: כדי ליצור פרויקט, צריך את התפקיד "יצירת פרויקטים" (
roles/resourcemanager.projectCreator), שכולל את ההרשאהresourcemanager.projects.create. איך מקצים תפקידים?
-
יוצרים פרויקט ב- Google Cloud :
gcloud projects create PROJECT_ID
מחליפים את
PROJECT_IDבשם של הפרויקט ב- Google Cloud שאתם יוצרים. -
בוחרים את הפרויקט שיצרתם ב- Google Cloud :
gcloud config set project PROJECT_ID
מחליפים את
PROJECT_IDבשם הפרויקט ב- Google Cloud .
-
אם משתמשים בפרויקט קיים, מוודאים שיש את ההרשאות הנדרשות כדי להשלים את ההדרכה. אם משתמשים בפרויקט חדש, לא צריך לוודא כי כבר יש את ההרשאות הנדרשות.
מפעילים את Policy Assist API, אם הוא עדיין לא מופעל:
התפקידים שנדרשים כדי להפעיל ממשקי API
כדי להפעיל ממשקי API, צריך את ההרשאה
serviceusage.services.enable. אם אתם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד "בעלים" (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד "אדמין בממשק 'שימוש בשירות'" (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידיםgcloud services enable policyassist.googleapis.com
התפקידים הנדרשים
כדי לקבל את ההרשאות שדרושות לשימוש בשרת MCP של Policy Assist, בקשו מהאדמין להקצות לכם את התפקידים הבאים ב-IAM בפרויקט שבו אתם רוצים להשתמש בשרת MCP של Policy Assist:
-
לבצע קריאות לכלי MCP:
משתמש בכלי MCP (
roles/mcp.toolUser) -
קבלת הצעות לתפקידים בהתאמה אישית:
צפייה ב-IAM (
roles/iam.viewer)
להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.
התפקידים המוגדרים מראש האלה כוללים את ההרשאות שנדרשות כדי להשתמש בשרת ה-MCP של Policy Assist. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:
ההרשאות הנדרשות
כדי להשתמש בשרת ה-MCP של Policy Assist, נדרשות ההרשאות הבאות:
-
להפעיל כלי MCP:
mcp.tools.call -
קבלת הצעות לתפקידים בהתאמה אישית:
iam.roles.list
יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.
אימות והרשאה
שרת ה-MCP המרוחק של Policy Assist משתמש בפרוטוקול OAuth 2.0 עם ניהול זהויות והרשאות גישה (IAM) לאימות ולהרשאה. כל Google Cloud הזהויות נתמכות לאימות בשרתי MCP.Policy Assist לא מקבל מפתחות API לצורך אימות.
אנחנו ממליצים ליצור זהות נפרדת לסוכנים שמשתמשים בכלים של MCP, כדי שתוכלו לשלוט בגישה למשאבים ולעקוב אחריה. מידע נוסף על אימות זמין במאמר אימות בשרתי MCP.
היקפי ההרשאות של OAuth ב-Policy Assist MCP
ב-OAuth 2.0 משתמשים בהיקפי הרשאות ובפרטי כניסה כדי לקבוע אם לחשבון משתמש מאומת מסוים מותר לבצע פעולה מסוימת במשאב. למידע נוסף על היקפי ההרשאות של OAuth 2.0 ב-Google, קראו את המאמר שימוש ב-OAuth 2.0 כדי לגשת אל Google APIs.
ל-Policy Assist יש את היקפי ההרשאות הבאים של OAuth לכלי MCP:
| URI של היקף ההרשאות ל-CLI של gcloud | תיאור |
|---|---|
https://www.googleapis.com/auth/policyassist |
התפקיד הזה מעניק גישה להצעות מדיניות דרך Policy Assist. |
יכול להיות שיידרשו היקפי הרשאות נוספים במשאבים שאליהם ניגשים במהלך קריאה לפונקציה.
הגדרת לקוח MCP לשימוש בשרת MCP של Policy Assist
אפליקציות וסוכני AI, כמו Claude או Antigravity, יכולים ליצור מופע של לקוח MCP שמתחבר לשרת MCP יחיד. לאפליקציית AI יכולים להיות כמה לקוחות שמתחברים לשרתי MCP שונים. אם האפליקציה שלכם לא מופיעה בהנחיות הספציפיות ללקוח, תוכלו להשתמש במידע הבא כדי להתחבר מרוב האפליקציות.
באפליקציית ה-AI, מחפשים דרך להוסיף שרת MCP מרוחק או להתחבר אליו. בשרת ה-MCP של Policy Assist, מזינים את הפרטים הבאים לפי הצורך:
- שם השרת: שרת MCP של Policy Assist
- כתובת ה-URL של השרת או נקודת הקצה (endpoint):
https://policyassist.googleapis.com/mcp - תעבורה: HTTP שניתן להעביר בסטרימינג
- פרטי אימות: בהתאם לשיטת האימות שאתם רוצים להשתמש בה, אתם יכולים להזין את פרטי הכניסה, את מזהה הלקוח והסוד של OAuth או את פרטי הכניסה והזהות של הנציג. Google Cloud מידע נוסף על אימות זמין במאמר אימות בשרתי MCP.
- היקף הרשאות OAuth: כדי לגשת לשרת ה-MCP של Policy Assist, צריך להשתמש ב
https://www.googleapis.com/auth/policyassistהיקף הרשאות OAuth 2.0.
URI של הפניה לכתובת אחרת
באפליקציות מבוססות-אינטרנט ובחלק מהאפליקציות למחשב, צריך להוסיף לרשימת ההיתרים URI להפניה אוטומטית כשיוצרים מזהה לקוח וסוד לאימות. שרת ההרשאות משתמש בכתובות URI להפניה אוטומטית כדי לשלוח אסימונים לאפליקציה. במסמכי התיעוד של האפליקציה צריך לציין את כתובת ה-URI להפניה אוטומטית שבה צריך להשתמש. אי אפשר להשתמש בכתובות URI מותאמות אישית להפניה אוטומטית.
בקטע הנחיות ספציפיות ללקוח מוסבר איך להגדיר את שרת ה-MCP ולהתחבר אליו באפליקציות ספציפיות.
למידע כללי נוסף, אפשר לעיין במקורות המידע הבאים:
באילו כלים אפשר להשתמש
במאמר העזרה של Policy Assist MCP מפורטים כלי ה-MCP שזמינים בשרת Policy Assist MCP והתיאורים שלהם.
כלים לרשימות
משתמשים ב-MCP inspector כדי להציג את רשימת הכלים, או שולחים בקשת HTTP מסוג tools/list ישירות לשרת ה-MCP המרוחק של Policy Assist. השיטה tools/list לא דורשת אימות.
curl -X POST https://policyassist.googleapis.com/TOOLSET_ENDPOINT \
-H 'Content-Type: application/json' \
-H 'Accept: application/json' \
-H 'MCP-Protocol-Version: MCP_PROTOCOL_VERSION' \
-H 'Mcp-Method: tools/list' \
-d '{
"jsonrpc": "2.0",
"id": 1,
"method": "tools/list",
"params": {
"_meta": {
"io.modelcontextprotocol/protocolVersion": "MCP_PROTOCOL_VERSION",
"io.modelcontextprotocol/clientCapabilities": {
"extensions": {
"io.modelcontextprotocol/ui": {
"mimeTypes": ["text/html;profile=mcp-app"]
}
}
}
}
}
}'
מחליפים את מה שכתוב בשדות הבאים:
-
TOOLSET_ENDPOINT: החלק שנותר בנקודת הקצה של ה-MCP אחרי שם השירות. ב-Policy Assist, זהmcp. -
MCP_PROTOCOL_VERSION: גרסת פרוטוקול MCP. לדוגמה:2026-07-28.
תרחישים לדוגמה
שרת ה-MCP המרוחק של Policy Assist מאפשר לסוכני AI חיצוניים לגשת לכלי לבחירת תפקידי IAM ולהשתמש בו כדי להציע תפקידים לתרחיש לדוגמה שלכם. הנה כמה דוגמאות לתרחישים לדוגמה של שרת ה-MCP של Policy Assist.
כברירת מחדל, ההצעות לתפקידים נועדו לכסות את התהליכים שעוברים המשתמשים בשירות. לדוגמה, לעיתים קרובות מוצעים התפקידים "אדמין", "עריכה" או "צפייה" של שירות.
אם אתם רוצים לקבל הצעות לתפקידים הכי מפורטים עם הרשאות מינימליות, אתם צריכים לציין את ההעדפה הזו בהנחיה באמצעות מילות מפתח ספציפיות, כמו "מינימלי" או "הרשאות מינימליות". לרשימה של מילות מפתח שבהן אפשר להשתמש, ראו מילות מפתח לתפקידים עם הרשאות מינימליות.
| תרחיש לדוגמה | דוגמאות לפרומפטים |
|---|---|
| זיהוי תפקידים לניהול כללי של שירותים | "אילו הרשאות נדרשות כדי לנהל את ההגדרה של AlloyDB ל-PostgreSQL?" |
| זיהוי התפקידים שנדרשים לביצוע משימות ספציפיות |
"איזה תפקיד נדרש כדי ליצור, להפעיל ולעצור מכונות וירטואליות?" או "מהו התפקיד המינימלי שנדרש כדי ליצור, להפעיל ולעצור מכונות וירטואליות?" |
| זיהוי התפקידים שנדרשים כדי להריץ פקודות ב-Google Cloud CLI |
"איזה תפקיד ב-IAM נדרש כדי להריץ את: או "מהו התפקיד הקטן ביותר שחשבון שירות צריך כדי לבצע את: |
| זיהוי תפקידים למשימה שכוללת יחסי תלות טרנזיטיביים |
"אני צריך להגדיר מכונה של Compute Engine כך שתתאים את עצמה לעומס (scale) באופן אוטומטי על סמך ניצול ה-CPU. אילו תפקידים ב-IAM צריך להקצות לחשבון השירות?" או "אני צריך להגדיר מכונה של Compute Engine כך שתתאים את עצמה לעומס (scale) באופן אוטומטי על סמך ניצול ה-CPU. מהן ההרשאות המינימליות שצריך לתת לחשבון שירות שמשמש את המידרוג האוטומטי של Compute Engine? |
| זיהוי תפקידים למשימה שעשויה לדרוש שילוב של כמה תפקידים פרטניים |
"לתת למשתמשים גישה רק למערך נתונים מסוים ב-BigQuery. הם לא אמורים להיות מסוגלים ליצור או למחוק מערכי נתונים". או "מהו התפקיד המאובטח ביותר שמאפשר לתת למשתמשים גישה לקריאה בלבד לקבוצת נתונים אחת ב-BigQuery, בלי לאפשר פעולות יצירה או מחיקה של קבוצת נתונים כלשהי?" |
הגדרות אופציונליות של אבטחה ובטיחות
בגלל המגוון הרחב של הפעולות שאפשר לבצע באמצעות כלי MCP, יש סיכוני אבטחה ושיקולים חדשים שצריך להביא בחשבון. כדי לצמצם ולנהל את הסיכונים האלה,Google Cloud מציע הגדרות ברירת מחדל וכללי מדיניות שניתנים להתאמה אישית כדי לשלוט בשימוש בכלים של MCP בארגון או בפרויקט ב- Google Cloud.
מידע נוסף על אבטחה ופיקוח ב-MCP זמין במאמר אבטחה ובטיחות ב-AI.
איך שולטים בשימוש ב-MCP באמצעות כללי מדיניות הדחייה של IAM
כללי מדיניות הדחייה וכללי מדיניות ההרשאה של ניהול זהויות והרשאות גישה (IAM) עוזרים לכם לאבטח את Google Cloud ואת שרתי Google MCP.
אפשר לשלב כמה קריטריונים כדי ליצור מדיניות אבטחה ופיקוח בהתאמה אישית, על ידי מתן גישה או דחיית גישה על סמך:
- חשבון המשתמש.
- מאפייני הכלי, כמו המאפיין "לקריאה בלבד".
- שם השירות או שם הכלי.
- מזהה הלקוח ב-OAuth של האפליקציה.
מידע נוסף זמין במאמר שליטה בשימוש ב-MCP באמצעות ניהול זהויות והרשאות גישה.