Menggunakan server MCP jarak jauh Policy Assist

Pratinjau

Fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum dari Persyaratan Khusus Layanan. Fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

Dokumen ini menunjukkan cara menggunakan server Model Context Protocol (MCP) jarak jauh Policy Assist untuk terhubung dengan aplikasi AI, termasuk Gemini CLI, ChatGPT, Claude, dan aplikasi kustom yang Anda kembangkan. Server MCP jarak jauh Policy Assist memungkinkan agen AI eksternal mengakses pemilih peran IAM untuk menyarankan peran bagi kasus penggunaan Anda. Server MCP jarak jauh Policy Assist diaktifkan saat Anda mengaktifkan Policy Assist API.

Model Context Protocol (MCP) menstandarkan cara model bahasa besar (LLM) dan aplikasi atau agen AI terhubung ke sumber data eksternal. Server MCP memungkinkan Anda menggunakan alat, resource, dan perintahnya untuk mengambil tindakan dan mendapatkan data terbaru dari layanan backend-nya.

Apa perbedaan antara server MCP lokal dan jarak jauh?

Server MCP lokal

Biasanya berjalan di komputer lokal Anda dan menggunakan aliran input dan output standar (stdio) untuk komunikasi antar-layanan di perangkat yang sama.

Server MCP jarak jauh

Berjalan di infrastruktur layanan dan menawarkan endpoint HTTP ke aplikasi AI untuk komunikasi antara klien MCP AI dan server MCP. Untuk mengetahui informasi selengkapnya tentang arsitektur MCP, lihat Arsitektur MCP.

Server MCP Google dan Google Cloud jarak jauh

Server MCP Google dan Google Cloud jarak jauh memiliki fitur dan manfaat berikut:

• Penemuan terpusat yang disederhanakan
• Endpoint HTTP global atau regional yang dikelola
• Otorisasi terperinci
• Keamanan perintah dan respons opsional dengan perlindungan Model Armor
• Logging audit terpusat

Untuk mengetahui informasi tentang server MCP lainnya dan informasi tentang keamanan dan kontrol tata kelola yang tersedia untuk server MCP Google Cloud, lihat Ringkasan server MCP Google Cloud.

Sebelum memulai

Untuk memastikan agen Anda dapat mengakses server MCP Policy Assist, Anda harus mengaktifkan Policy Assist API di project Anda di Google Cloud konsol:

Login ke akun Anda. Google Cloud Jika Anda baru menggunakan Google Cloud, buat akun untuk mengevaluasi performa produk kami dalam skenario dunia nyata. Pelanggan baru juga mendapatkan kredit gratis senilai $300 untuk menjalankan, menguji, dan men-deploy workload.

Instal Google Cloud CLI.

Jika Anda menggunakan penyedia identitas (IdP) eksternal, Anda harus login ke gcloud CLI dengan identitas gabungan Anda terlebih dahulu .

Untuk melakukan inisialisasi gcloud CLI, jalankan perintah berikut:

gcloud init

Buat atau pilih Google Cloud project.

Peran yang diperlukan untuk memilih atau membuat project

• Memilih project: Memilih project tidak memerlukan peran IAM tertentu Anda dapat memilih project mana pun yang telah diberi peran.
• Membuat project: Untuk membuat project, Anda memerlukan peran Project Creator (roles/resourcemanager.projectCreator), yang berisi izin resourcemanager.projects.create. Pelajari cara memberikan peran.

Catatan: Jika tidak berencana untuk menyimpan resource yang Anda buat dalam prosedur ini, buatlah project, bukan memilih project yang ada. Setelah menyelesaikan langkah ini, Anda dapat menghapus project, yang menghapus semua resource yang terkait dengan project ini.

• Buat Google Cloud project:

  gcloud projects create PROJECT_ID

  Ganti PROJECT_ID dengan nama untuk Google Cloud project yang Anda buat.

• Pilih Google Cloud project yang Anda buat:

  gcloud config set project PROJECT_ID

  Ganti PROJECT_ID dengan nama Google Cloud project Anda.

Jika Anda menggunakan project yang sudah ada untuk panduan ini, pastikan Anda memiliki izin yang diperlukan untuk menyelesaikan panduan ini. Jika berhasil membuat project baru, berarti Anda sudah memiliki izin yang diperlukan.

Aktifkan Policy Assist API:

Peran yang diperlukan untuk mengaktifkan API

Untuk mengaktifkan API, Anda memerlukan izin serviceusage.services.enable. Jika Anda membuat project, kemungkinan Anda sudah memiliki izin ini melalui peran Pemilik (roles/owner). Jika tidak, Anda bisa mendapatkan izin ini melalui peran Admin Penggunaan Layanan (roles/serviceusage.serviceUsageAdmin). Pelajari cara memberikan peran.

gcloud services enable policyassist.googleapis.com

Instal Google Cloud CLI.

Jika Anda menggunakan penyedia identitas (IdP) eksternal, Anda harus login ke gcloud CLI dengan identitas gabungan Anda terlebih dahulu .

Untuk melakukan inisialisasi gcloud CLI, jalankan perintah berikut:

gcloud init

Buat atau pilih Google Cloud project.

Peran yang diperlukan untuk memilih atau membuat project

• Memilih project: Memilih project tidak memerlukan peran IAM tertentu Anda dapat memilih project mana pun yang telah diberi peran.
• Membuat project: Untuk membuat project, Anda memerlukan peran Project Creator (roles/resourcemanager.projectCreator), yang berisi izin resourcemanager.projects.create. Pelajari cara memberikan peran.

Catatan: Jika tidak berencana untuk menyimpan resource yang Anda buat dalam prosedur ini, buatlah project, bukan memilih project yang ada. Setelah menyelesaikan langkah ini, Anda dapat menghapus project, yang menghapus semua resource yang terkait dengan project ini.

• Buat Google Cloud project:

  gcloud projects create PROJECT_ID

  Ganti PROJECT_ID dengan nama untuk Google Cloud project yang Anda buat.

• Pilih Google Cloud project yang Anda buat:

  gcloud config set project PROJECT_ID

  Ganti PROJECT_ID dengan nama Google Cloud project Anda.

Jika Anda menggunakan project yang sudah ada untuk panduan ini, pastikan Anda memiliki izin yang diperlukan untuk menyelesaikan panduan ini. Jika berhasil membuat project baru, berarti Anda sudah memiliki izin yang diperlukan.

Aktifkan Policy Assist API:

Peran yang diperlukan untuk mengaktifkan API

Untuk mengaktifkan API, Anda memerlukan izin serviceusage.services.enable. Jika Anda membuat project, kemungkinan Anda sudah memiliki izin ini melalui peran Pemilik (roles/owner). Jika tidak, Anda bisa mendapatkan izin ini melalui peran Admin Penggunaan Layanan (roles/serviceusage.serviceUsageAdmin). Pelajari cara memberikan peran.

gcloud services enable policyassist.googleapis.com

Peran yang diperlukan

Agar mendapatkan izin yang diperlukan untuk menggunakan server MCP Policy Assist, minta administrator untuk memberi Anda peran IAM berikut di project tempat Anda ingin menggunakan server MCP Policy Assist:

• Melakukan panggilan alat MCP: Pengguna Alat MCP (roles/mcp.toolUser)
• Mendapatkan saran peran kustom: IAM Viewer (roles/iam.viewer)

Untuk mengetahui informasi selengkapnya tentang pemberian peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran bawaan ini berisi izin yang diperlukan untuk menggunakan server MCP Policy Assist. Untuk melihat izin yang benar-benar diperlukan, perluas bagian Izin yang diperlukan:

Izin yang diperlukan

Izin berikut diperlukan untuk menggunakan server MCP Policy Assist:

• Melakukan panggilan alat MCP: mcp.tools.call
• Mendapatkan saran peran kustom: iam.roles.list

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Autentikasi dan otorisasi

Server MCP jarak jauh Policy Assist menggunakan protokol OAuth 2.0 dengan Identity and Access Management (IAM) untuk autentikasi dan otorisasi. Semua Google Cloud identitas didukung untuk autentikasi ke server MCP.

Policy Assist tidak menerima kunci API untuk autentikasi.

Sebaiknya buat identitas terpisah untuk agen yang menggunakan alat MCP agar akses ke resource dapat dikontrol dan dipantau. Untuk mengetahui informasi selengkapnya tentang autentikasi, lihat Mengautentikasi ke server MCP.

Cakupan OAuth MCP Policy Assist

OAuth 2.0 menggunakan cakupan dan kredensial untuk menentukan apakah entitas terautentikasi diizinkan untuk melakukan tindakan tertentu pada resource. Untuk mengetahui informasi selengkapnya tentang cakupan OAuth 2.0 di Google, baca Menggunakan OAuth 2.0 untuk mengakses Google API.

Policy Assist memiliki cakupan OAuth alat MCP berikut:

URI cakupan untuk gcloud CLI	Deskripsi
https://www.googleapis.com/auth/policyassist	Memberikan akses ke saran kebijakan melalui Policy Assist.

Cakupan tambahan mungkin diperlukan pada resource yang diakses selama panggilan alat.

Mengonfigurasi klien MCP untuk menggunakan server MCP Policy Assist

Aplikasi dan agen AI, seperti Claude atau Antigravity, dapat membuat instance klien MCP yang terhubung ke satu server MCP. Aplikasi AI dapat memiliki beberapa klien yang terhubung ke server MCP yang berbeda. Jika aplikasi Anda tidak tercantum dalam panduan khusus klien, Anda dapat menggunakan informasi berikut untuk terhubung dari sebagian besar aplikasi.

Di aplikasi AI Anda, cari cara untuk menambahkan atau terhubung ke server MCP jarak jauh. Untuk server MCP Policy Assist, masukkan informasi berikut sesuai kebutuhan:

• Nama server: Server MCP Policy Assist
• URL server atau Endpoint: https://policyassist.googleapis.com/mcp
• Transportasi: HTTP
• Detail autentikasi: Bergantung pada cara Anda ingin melakukan autentikasi, Anda dapat memasukkan Google Cloud kredensial, Client ID dan secret OAuth, atau identitas dan kredensial agen. Untuk mengetahui informasi selengkapnya tentang autentikasi, lihat Mengautentikasi ke server MCP.
• Cakupan OAuth: Untuk mengakses server MCP Policy Assist, gunakan https://www.googleapis.com/auth/policyassist cakupan OAuth 2.0.

URI Pengalihan

Untuk aplikasi berbasis web, dan beberapa aplikasi desktop, Anda harus memasukkan URI pengalihan ke daftar yang diizinkan saat membuat client ID dan secret untuk autentikasi. URI pengalihan digunakan oleh server otorisasi untuk mengirim token ke aplikasi Anda. Dokumentasi aplikasi Anda harus menentukan URI pengalihan yang harus Anda gunakan. URI pengalihan kustom tidak didukung.

Untuk panduan khusus aplikasi tentang cara menyiapkan dan terhubung ke server MCP, lihat Panduan khusus klien.

Untuk panduan yang lebih umum, lihat referensi berikut:

• Terhubung ke server MCP jarak jauh.
• Mengonfigurasi MCP di aplikasi AI.

Alat yang tersedia

Untuk melihat detail alat MCP yang tersedia dan deskripsinya untuk server MCP Policy Assist, lihat referensi MCP Policy Assist.

Mencantumkan alat

Gunakan pemeriksa MCP untuk mencantumkan alat, atau kirim tools/list permintaan HTTP langsung ke Policy Assist server MCP jarak jauh. Metode tools/list tidak memerlukan autentikasi.

POST /mcp HTTP/1.1
Host: policyassist.googleapis.com
Content-Type: application/json

{
  "jsonrpc": "2.0",
  "method": "tools/list",
}

Contoh kasus penggunaan

Server MCP jarak jauh Policy Assist memungkinkan agen AI eksternal mengakses pemilih peran IAM dan menggunakannya untuk menyarankan peran bagi kasus penggunaan Anda. Berikut adalah beberapa contoh kasus penggunaan untuk server MCP Policy Assist.

Secara default, saran peran dirancang untuk mencakup perjalanan pengguna umum dalam layanan. Misalnya, peran Admin, Editor, atau Viewer layanan sering disarankan.

Jika Anda menginginkan saran untuk peran yang paling terperinci dan memiliki hak istimewa paling rendah, Anda harus menentukan preferensi ini dalam perintah menggunakan kata kunci tertentu, seperti "minimal" atau "hak istimewa paling rendah". Untuk mengetahui daftar kata kunci yang dapat Anda gunakan, lihat Kata kunci untuk peran dengan hak istimewa paling rendah.

Kasus penggunaan	Contoh perintah
Mengidentifikasi peran untuk pengelolaan layanan umum	"Izin apa yang saya perlukan untuk mengelola penyiapan AlloyDB untuk PostgreSQL?"
Mengidentifikasi peran yang diperlukan untuk melakukan tugas tertentu	"Peran apa yang diperlukan untuk membuat, memulai, dan menghentikan VM?" atau "Apa peran minimal yang diperlukan untuk membuat, memulai, dan menghentikan VM?"
Mengidentifikasi peran yang diperlukan untuk menjalankan perintah Google Cloud CLI	"Peran IAM apa yang diperlukan untuk menjalankan: gcloud compute instances create instance-1?" atau "Apa peran terkecil yang diperlukan akun layanan untuk menjalankan: gcloud datastore instances describe?"
Mengidentifikasi peran untuk tugas yang mencakup dependensi transitif	"Saya perlu mengonfigurasi instance Compute Engine agar otomatis melakukan penskalaan berdasarkan penggunaan CPU. Peran IAM mana yang harus saya berikan ke akun layanan?" atau "Saya perlu mengonfigurasi instance Compute Engine agar otomatis melakukan penskalaan berdasarkan penggunaan CPU. Apa izin minimum yang perlu saya berikan ke akun layanan yang digunakan oleh autoscaler instance Compute Engine?"
Mengidentifikasi peran untuk tugas yang mungkin memerlukan kombinasi beberapa peran terperinci	"Berikan akses pengguna hanya ke set data tertentu di BigQuery. Mereka tidak boleh membuat atau menghapus set data." atau "Apa peran paling aman untuk memberikan akses hanya baca kepada pengguna ke satu set data di BigQuery, tanpa mengizinkan tindakan pembuatan atau penghapusan pada set data apa pun?"

Konfigurasi keamanan dan keselamatan opsional

MCP memperkenalkan risiko dan pertimbangan keamanan baru karena berbagai tindakan yang dapat Anda lakukan dengan alat MCP. Untuk meminimalkan dan mengelola risiko ini, Google Cloud menawarkan setelan default dan kebijakan yang dapat disesuaikan untuk mengontrol penggunaan alat MCP di Google Cloud organisasi atau project Anda.

Untuk mengetahui informasi selengkapnya tentang keamanan dan tata kelola MCP, lihat Keamanan dan keselamatan AI.

Mengontrol penggunaan MCP dengan kebijakan tolak Identity and Access Management

Kebijakan tolak Identity and Access Management (IAM) dan kebijakan izin membantu Anda mengamankan Google Cloud server MCP Google dan.

Anda dapat menggabungkan beberapa kriteria untuk membuat kebijakan keamanan dan tata kelola yang disesuaikan dengan mengizinkan atau menolak akses berdasarkan hal berikut:

• Entitas.
• Properti alat seperti atribut hanya baca.
• Nama layanan atau nama alat.
• Client ID klien OAuth aplikasi.

Untuk mengetahui informasi selengkapnya, lihat Mengontrol penggunaan MCP dengan Identity and Access Management.

Langkah berikutnya

• Baca dokumentasi referensi MCP Policy Assist.
• Pelajari lebih lanjut server MCP Google Cloud.