Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Utilizzare il server MCP remoto Policy Assist

Questo documento mostra come utilizzare il server Model Context Protocol (MCP) remoto di Policy Assist per connetterti alle applicazioni AI, tra cui Gemini CLI, ChatGPT, Claude e le applicazioni personalizzate che stai sviluppando. Il server MCP remoto di Policy Assist consente agli agenti AI esterni di accedere al selettore di ruoli IAM per suggerire ruoli per il tuo caso d'uso. Il server MCP remoto di Policy Assist viene abilitato quando abiliti l'API Policy Assist.

Il Model Context Protocol (MCP) standardizza il modo in cui i modelli linguistici di grandi dimensioni (LLM) e le applicazioni o gli agenti AI si connettono a origini dati esterne. I server MCP ti consentono di utilizzare i relativi strumenti, risorse e prompt per eseguire azioni e ottenere dati aggiornati dal servizio di backend.

Qual è la differenza tra i server MCP locali e remoti?

Server MCP locali: In genere vengono eseguiti sulla macchina locale e utilizzano i flussi di input e output standard (stdio) per la comunicazione tra i servizi sullo stesso dispositivo.
Server MCP remoti: Vengono eseguiti sull'infrastruttura del servizio e offrono un endpoint HTTP alle applicazioni AI per la comunicazione tra il client MCP AI e il server MCP. Per saperne di più sull'architettura MCP, consulta Architettura MCP.

Server MCP remoti e Google Google Cloud

I server MCP remoti e Google Cloud Google hanno le seguenti funzionalità e i seguenti vantaggi:

Rilevamento semplificato e centralizzato
Endpoint HTTP globali o regionali gestiti
Autorizzazione granulare
Sicurezza di prompt e risposte facoltativa con la protezione Model Armor
Logging di audit centralizzato

Per informazioni su altri server MCP e sui controlli di sicurezza e governance disponibili per i server MCP di Google Cloud, consulta la panoramica dei server MCP di Google Cloud.

Prima di iniziare

Per assicurarti che l'agente possa accedere al server MCP di Policy Assist, devi abilitare l'API Policy Assist nel tuo progetto nella Google Cloud console:

Accedi al tuo Google Cloud account. Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti senza costi per l'esecuzione, il test e il deployment dei carichi di lavoro.

Installa Google Cloud CLI.

Se utilizzi un provider di identità (IdP) esterno, devi prima accedere a gcloud CLI con la tua identità federata.

Per inizializzare gcloud CLI, esegui questo comando:

gcloud init

Crea o seleziona un Google Cloud progetto.

Ruoli necessari per selezionare o creare un progetto

Seleziona un progetto: la selezione di un progetto non richiede un ruolo IAM specifico: puoi selezionare qualsiasi progetto su cui ti è stato concesso un ruolo.
Crea un progetto: per creare un progetto, devi disporre del ruolo Autore progetto (roles/resourcemanager.projectCreator), che contiene l' resourcemanager.projects.create autorizzazione. Scopri come concedere i ruoli.

Crea un Google Cloud progetto:
```
gcloud projects create PROJECT_ID
```
Sostituisci PROJECT_ID con un nome per il Google Cloud progetto che stai creando.
Seleziona il Google Cloud progetto che hai creato:
```
gcloud config set project PROJECT_ID
```
Sostituisci PROJECT_ID con il nome del Google Cloud progetto.

Se utilizzi un progetto esistente per questa guida, verifica di disporre delle autorizzazioni necessarie per completare la guida. Se hai creato un nuovo progetto, disponi già delle autorizzazioni necessarie.

Abilita l'API Policy Assist:

Ruoli necessari per abilitare le API

Per abilitare le API, devi disporre dell'autorizzazione serviceusage.services.enable. Se hai creato il progetto, probabilmente hai già questa autorizzazione tramite il ruolo Proprietario (roles/owner). In caso contrario, puoi ottenere questa autorizzazione tramite il ruolo Amministratore utilizzo servizi (roles/serviceusage.serviceUsageAdmin). Scopri come concedere i ruoli.

gcloud services enable policyassist.googleapis.com

Installa Google Cloud CLI.

Se utilizzi un provider di identità (IdP) esterno, devi prima accedere a gcloud CLI con la tua identità federata.

Per inizializzare gcloud CLI, esegui questo comando:

gcloud init

Crea o seleziona un Google Cloud progetto.

Ruoli necessari per selezionare o creare un progetto

Seleziona un progetto: la selezione di un progetto non richiede un ruolo IAM specifico: puoi selezionare qualsiasi progetto su cui ti è stato concesso un ruolo.
Crea un progetto: per creare un progetto, devi disporre del ruolo Autore progetto (roles/resourcemanager.projectCreator), che contiene l' resourcemanager.projects.create autorizzazione. Scopri come concedere i ruoli.

Crea un Google Cloud progetto:
```
gcloud projects create PROJECT_ID
```
Sostituisci PROJECT_ID con un nome per il Google Cloud progetto che stai creando.
Seleziona il Google Cloud progetto che hai creato:
```
gcloud config set project PROJECT_ID
```
Sostituisci PROJECT_ID con il nome del Google Cloud progetto.

Abilita l'API Policy Assist:

Ruoli necessari per abilitare le API

gcloud services enable policyassist.googleapis.com

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per utilizzare il server MCP di Policy Assist, chiedi all'amministratore di concederti i seguenti ruoli IAM sul progetto in cui vuoi utilizzare il server MCP di Policy Assist:

Esegui chiamate allo strumento MCP: Utente strumento MCP (roles/mcp.toolUser)
Ricevi suggerimenti per i ruoli personalizzati: Visualizzatore IAM (roles/iam.viewer)

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per utilizzare il server MCP di Policy Assist. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per utilizzare il server MCP di Policy Assist sono necessarie le seguenti autorizzazioni:

Esegui chiamate allo strumento MCP: mcp.tools.call
Ricevi suggerimenti per i ruoli personalizzati: iam.roles.list

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Autenticazione e autorizzazione

Il server MCP remoto di Policy Assist utilizza il protocollo OAuth 2.0 con Identity and Access Management (IAM) per l'autenticazione e l'autorizzazione. Tutte le Google Cloud identità sono supportate per l'autenticazione ai server MCP.

Policy Assist non accetta chiavi API per l'autenticazione.

Ti consigliamo di creare un'identità separata per gli agenti che utilizzano gli strumenti MCP in modo che l'accesso alle risorse possa essere controllato e monitorato. Per saperne di più sull' autenticazione, consulta Autenticarsi ai server MCP.

Ambiti OAuth MCP di Policy Assist

OAuth 2.0 utilizza ambiti e credenziali per determinare se un'entità autenticata è autorizzata a eseguire un'azione specifica su una risorsa. Per saperne di più sugli ambiti OAuth 2.0 in Google, consulta Utilizzare OAuth 2.0 per accedere alle API di Google.

Policy Assist ha i seguenti ambiti OAuth dello strumento MCP:

URI dell'ambito per gcloud CLI	Descrizione
`https://www.googleapis.com/auth/policyassist`	Concede l'accesso ai suggerimenti per le policy tramite Policy Assist.

Potrebbero essere necessari ambiti aggiuntivi per le risorse a cui si accede durante una chiamata allo strumento.

Configurare un client MCP per utilizzare il server MCP di Policy Assist

Le applicazioni e gli agenti AI, come Claude o Antigravity, possono creare un'istanza di un client MCP che si connette a un singolo server MCP. Un'applicazione AI può avere più client che si connettono a server MCP diversi. Se la tua applicazione non è elencata nelle indicazioni specifiche per il client, puoi utilizzare le seguenti informazioni per connetterti dalla maggior parte delle applicazioni.

Nell'applicazione AI, cerca un modo per aggiungere o connetterti a un server MCP remoto. Per il server MCP di Policy Assist, inserisci le seguenti informazioni, se necessario:

Nome server: server MCP di Policy Assist
URL server o endpoint: https://policyassist.googleapis.com/mcp
Trasporto: HTTP
Dettagli di autenticazione: a seconda della modalità di autenticazione, puoi inserire le tue Google Cloud credenziali, l'ID client OAuth e il client secret oppure un'identità e le credenziali dell'agente. Per saperne di più sull' autenticazione, consulta Autenticarsi ai server MCP.
Ambito OAuth: per accedere al server MCP di Policy Assist, utilizza https://www.googleapis.com/auth/policyassist l'ambito OAuth 2.0.

URI di reindirizzamento

Per le applicazioni basate sul web e per alcune applicazioni desktop, devi inserire nella lista consentita un URI di reindirizzamento quando crei un ID client e un client secret per l'autenticazione. I server di autorizzazione utilizzano gli URI di reindirizzamento per inviare token alla tua applicazione. La documentazione dell'applicazione deve specificare l'URI di reindirizzamento che devi utilizzare. Gli URI di reindirizzamento personalizzati non sono supportati.

Per indicazioni specifiche per l'applicazione sulla configurazione e la connessione al server MCP, consulta Indicazioni specifiche per il client.

Per indicazioni più generali, consulta le seguenti risorse:

Strumenti disponibili

Per visualizzare i dettagli degli strumenti MCP disponibili e le relative descrizioni per il server MCP di Policy Assist, consulta il riferimento MCP di Policy Assist.

Elenca strumenti

Utilizza l'ispettore MCP per elencare gli strumenti o invia una tools/list richiesta HTTP direttamente al server MCP remoto di Policy Assist. Il metodo tools/list non richiede l'autenticazione.

POST /mcp HTTP/1.1
Host: policyassist.googleapis.com
Content-Type: application/json

{
  "jsonrpc": "2.0",
  "method": "tools/list",
}

Esempi di casi d'uso

Il server MCP remoto di Policy Assist consente agli agenti AI esterni di accedere al selettore di ruoli IAM e di utilizzarlo per suggerire ruoli per il tuo caso d'uso. Di seguito sono riportati alcuni esempi di casi d'uso per il server MCP di Policy Assist.

Per impostazione predefinita, i suggerimenti per i ruoli sono progettati per coprire i percorsi utente comuni all'interno di un servizio. Ad esempio, vengono spesso suggeriti i ruoli Amministratore, Editor o Visualizzatore di un servizio.

Se vuoi ricevere suggerimenti per i ruoli più granulari e con privilegi minimi, devi specificare questa preferenza nel prompt utilizzando parole chiave specifiche, come "minimo" o "con privilegi minimi". Per un elenco delle parole chiave che puoi utilizzare, consulta Parole chiave per i ruoli con privilegi minimi.

Caso d'uso	Esempi di prompt
Identificare i ruoli per la gestione generale dei servizi	"Quali autorizzazioni mi servono per gestire la configurazione di AlloyDB per PostgreSQL?"
Identificare i ruoli necessari per eseguire attività specifiche	"Quale ruolo è necessario per creare, avviare e arrestare le VM?" o "Qual è il ruolo minimo necessario per creare, avviare e arrestare le VM?"
Identificare i ruoli necessari per eseguire i comandi di Google Cloud CLI	"Quale ruolo IAM è necessario per eseguire: `gcloud compute instances create instance-1`?" o "Qual è il ruolo più piccolo di cui ha bisogno un account di servizio per eseguire: `gcloud datastore instances describe`?"
Identificare i ruoli per un'attività che include dipendenze transitive	"Devo configurare un'istanza di Compute Engine per la scalabilità automatica in base all'utilizzo della CPU. Quali ruoli IAM devo concedere al account di servizio?" o "Devo configurare un'istanza di Compute Engine per la scalabilità automatica in base all'utilizzo della CPU. Quali sono le autorizzazioni minime che devo concedere a un account di servizio utilizzato da uno strumento di scalabilità automatica di un'istanza di Compute Engine?"
Identificare i ruoli per un'attività che potrebbe richiedere una combinazione di più ruoli granulari	"Concedi agli utenti l'accesso solo a un set di dati specifico in BigQuery. Non devono essere in grado di creare o eliminare set di dati." o "Qual è il ruolo più sicuro da assegnare agli utenti per consentire l'accesso in sola lettura a un singolo set di dati in BigQuery, senza consentire azioni di creazione o eliminazione su alcun set di dati?"

Configurazioni di sicurezza e protezione facoltative

MCP introduce nuovi rischi e considerazioni sulla sicurezza a causa della vasta gamma di azioni che puoi eseguire con gli strumenti MCP. Per ridurre al minimo e gestire questi rischi, Google Cloud offre impostazioni predefinite e policy personalizzabili per controllare l'utilizzo degli strumenti MCP nella tua Google Cloud organizzazione o nel tuo progetto.

Per saperne di più sulla sicurezza e la governance di MCP, consulta Sicurezza e protezione dell'AI.

Controllare l'utilizzo di MCP con le policy di negazione di Identity and Access Management

Le policy di negazione edi autorizzazione di Identity and Access Management (IAM) ti aiutano a proteggere Google Cloud i server MCP di Google.

Puoi combinare più criteri per creare policy di sicurezza e governance personalizzate consentendo o negando l'accesso in base a quanto segue:

L'entità.
Proprietà dello strumento, come l'attributo di sola lettura.
Il nome del servizio o dello strumento.
L'ID client OAuth dell'applicazione.

Per saperne di più, consulta Controllare l'utilizzo di MCP con Identity and Access Management.

Passaggi successivi

Leggi la documentazione di riferimento MCP di Policy Assist.
Scopri di più sui server MCP di Google Cloud.