O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Usar o servidor MCP remoto do Policy Assist

Este documento mostra como usar o servidor do Protocolo de Contexto de Modelo (MCP) remoto do Policy Assist para se conectar a aplicativos de IA, incluindo a CLI do Gemini, o ChatGPT, o Claude e aplicativos personalizados que você está desenvolvendo. O servidor do MCP remoto do Policy Assist permite que agentes de IA externos acessem o seletor de papéis do IAM para sugerir papéis para seu caso de uso. O servidor do MCP remoto do Policy Assist é ativado quando você ativa a API Policy Assist.

O Protocolo de Contexto de Modelo (MCP) padroniza como modelos de linguagem grandes (LLMs) e aplicativos ou agentes de IA se conectam a fontes de dados externas. Os servidores do MCP permitem usar as ferramentas, os recursos e os comandos deles para realizar ações e receber dados atualizados do serviço de back-end.

Qual é a diferença entre servidores do MCP locais e remotos?

Servidores do MCP locais: Normalmente são executados na máquina local e usam os fluxos de entrada e saída padrão (stdio) para comunicação entre serviços no mesmo dispositivo.
Servidores do MCP remotos: São executados na infraestrutura do serviço e oferecem um endpoint HTTP para aplicativos de IA para comunicação entre o cliente do MCP de IA e o servidor MCP. Para mais informações sobre a arquitetura do MCP, consulte Arquitetura do MCP.

Servidores do MCP do Google e Google Cloud remotos

Os servidores do MCP do Google e Google Cloud remotos têm os seguintes recursos e benefícios:

Descoberta simplificada e centralizada
Endpoints HTTP globais ou regionais gerenciados
Autorização detalhada
Segurança opcional de comandos e respostas com a proteção do Model Armor
Geração de registros de auditoria centralizada

Para informações sobre outros servidores do MCP e sobre os controles de segurança e governança disponíveis para servidores do MCP do Google Cloud, consulte Visão geral dos servidores do MCP do Google Cloud.

Antes de começar

Para garantir que o agente possa acessar o servidor MCP do Policy Assist, você deve ativar a API Policy Assist no seu projeto no Google Cloud console:

Faça login na sua Google Cloud conta do. Se você começou a usar o Google Cloud, crie uma conta para avaliar o desempenho dos nossos produtos em situações reais. Clientes novos também recebem US $300 em créditos para executar, testar e implantar cargas de trabalho.

Instale a Google Cloud CLI.

Ao usar um provedor de identidade (IdP) externo, primeiro faça login na CLI gcloud com sua identidade federada.

Para inicializar a CLI gcloud, execute o seguinte comando:

gcloud init

Crie ou selecione um Google Cloud projeto.

Papéis necessários para selecionar ou criar um projeto

Selecionar um projeto: a seleção de um projeto não exige um papel específico do IAM. Você pode selecionar qualquer projeto em que tenha recebido um papel.
Criar um projeto: para criar um projeto, você precisa do papel de criador de projetos (roles/resourcemanager.projectCreator), que contém a resourcemanager.projects.create permissão. Saiba como conceder papéis.

Crie um Google Cloud projeto:
```
gcloud projects create PROJECT_ID
```
Substitua PROJECT_ID por um nome para o Google Cloud projeto que você está criando.
Selecione o Google Cloud projeto que você criou:
```
gcloud config set project PROJECT_ID
```
Substitua PROJECT_ID pelo nome do Google Cloud projeto.

Se este guia estiver usando um projeto atual, verifique se você tem as permissões necessárias para concluir o guia. Se você criou um projeto, já tem as permissões necessárias.

Ative a API Policy Assist:

Funções necessárias para ativar APIs

Para ativar as APIs, é necessário ter a permissão serviceusage.services.enable. Se você criou o projeto, provavelmente já tem essa permissão pelo papel de proprietário (roles/owner). Caso contrário, você pode receber essa permissão pelo papel de administrador de uso do serviço (roles/serviceusage.serviceUsageAdmin). Saiba como conceder papéis.

gcloud services enable policyassist.googleapis.com

Instale a Google Cloud CLI.

Ao usar um provedor de identidade (IdP) externo, primeiro faça login na CLI gcloud com sua identidade federada.

Para inicializar a CLI gcloud, execute o seguinte comando:

gcloud init

Crie ou selecione um Google Cloud projeto.

Papéis necessários para selecionar ou criar um projeto

Selecionar um projeto: a seleção de um projeto não exige um papel específico do IAM. Você pode selecionar qualquer projeto em que tenha recebido um papel.
Criar um projeto: para criar um projeto, você precisa do papel de criador de projetos (roles/resourcemanager.projectCreator), que contém a resourcemanager.projects.create permissão. Saiba como conceder papéis.

Crie um Google Cloud projeto:
```
gcloud projects create PROJECT_ID
```
Substitua PROJECT_ID por um nome para o Google Cloud projeto que você está criando.
Selecione o Google Cloud projeto que você criou:
```
gcloud config set project PROJECT_ID
```
Substitua PROJECT_ID pelo nome do Google Cloud projeto.

Se este guia estiver usando um projeto atual, verifique se você tem as permissões necessárias para concluir o guia. Se você criou um projeto, já tem as permissões necessárias.

Ative a API Policy Assist:

Funções necessárias para ativar APIs

gcloud services enable policyassist.googleapis.com

Funções exigidas

Para receber as permissões necessárias para usar o servidor do MCP do Policy Assist, peça ao administrador para conceder a você os seguintes papéis do IAM no projeto em que você quer usar o servidor do MCP do Policy Assist:

Fazer chamadas de ferramentas do MCP: usuário da ferramenta MCP (roles/mcp.toolUser)
Receber sugestões de papéis personalizados: leitor do IAM (roles/iam.viewer)

Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Esses papéis predefinidos contêm as permissões necessárias para usar o servidor MCP do Policy Assist. Para acessar as permissões exatas que são necessárias, expanda a seção Permissões necessárias:

Permissões necessárias

As seguintes permissões são necessárias para usar o servidor MCP do Policy Assist:

Fazer chamadas de ferramentas do MCP: mcp.tools.call
Receber sugestões de papéis personalizados: iam.roles.list

Essas permissões também podem ser concedidas com papéis personalizados ou outros papéis predefinidos.

Autenticação e autorização

O servidor do MCP remoto do Policy Assist usa o protocolo OAuth 2.0 com o Identity and Access Management (IAM) para autenticação e autorização. Todas as Google Cloud identidades são aceitas para autenticação em servidores do MCP.

O Policy Assist não aceita chaves de API para autenticação.

Recomendamos que você crie uma identidade separada para agentes que usam ferramentas do MCP para que o acesso aos recursos possa ser controlado e monitorado. Para mais informações sobre autenticação, consulte Autenticar em servidores do MCP.

Escopos do OAuth do MCP do Policy Assist

O OAuth 2.0 usa escopos e credenciais para determinar se um principal autenticado está autorizado a realizar uma ação específica em um recurso. Para mais informações sobre os escopos do OAuth 2.0 no Google, leia Como usar o OAuth 2.0 para acessar as APIs do Google.

O Policy Assist tem os seguintes escopos do OAuth da ferramenta MCP:

URI do escopo para a CLI gcloud	Descrição
`https://www.googleapis.com/auth/policyassist`	Concede acesso a sugestões de políticas pelo Policy Assist.

Outros escopos podem ser necessários nos recursos acessados durante uma chamada de ferramenta.

Configurar um cliente do MCP para usar o servidor MCP do Policy Assist

Aplicativos e agentes de IA, como o Claude ou o Antigravity, podem instanciar um cliente do MCP que se conecta a um único servidor MCP. Um aplicativo de IA pode ter vários clientes que se conectam a diferentes servidores do MCP. Se o aplicativo não estiver listado nas orientações específicas do cliente, use as informações a seguir para se conectar na maioria dos aplicativos.

No aplicativo de IA, procure uma maneira de adicionar ou se conectar a um servidor do MCP remoto. Para o servidor MCP do Policy Assist, insira as seguintes informações conforme necessário:

Nome do servidor: servidor MCP do Policy Assist
URL do servidor ou endpoint: https://policyassist.googleapis.com/mcp
Transporte: HTTP
Detalhes de autenticação: dependendo de como você quer autenticar, é possível inserir suas Google Cloud credenciais, o ID e a chave secreta do cliente OAuth ou uma identidade e credenciais do agente. Para mais informações sobre autenticação, consulte Autenticar em servidores do MCP.
Escopo do OAuth: para acessar o servidor MCP do Policy Assist, use o https://www.googleapis.com/auth/policyassist escopo do OAuth 2.0.

URIs de redirecionamento

Para aplicativos da Web e alguns aplicativos para computador, é necessário permitir um URI de redirecionamento ao criar um ID e uma chave secreta do cliente para autenticação. Os URIs de redirecionamento são usados pelo servidor de autorização para enviar tokens ao aplicativo. A documentação do aplicativo precisa especificar o URI de redirecionamento que você precisa usar. URIs de redirecionamento personalizados não são compatíveis.

Para orientações específicas do aplicativo sobre como configurar e se conectar ao servidor MCP, consulte Orientações específicas do cliente.

Para orientações mais gerais, consulte os seguintes recursos:

Ferramentas disponíveis

Para conferir detalhes das ferramentas do MCP disponíveis e as descrições delas para o servidor MCP do Policy Assist, consulte a referência do MCP do Policy Assist.

Listar ferramentas

Use o inspetor do MCP para listar ferramentas ou envie uma tools/list solicitação HTTP diretamente para o Policy Assist servidor do MCP remoto. O método tools/list não exige autenticação.

POST /mcp HTTP/1.1
Host: policyassist.googleapis.com
Content-Type: application/json

{
  "jsonrpc": "2.0",
  "method": "tools/list",
}

Exemplos de casos de uso

O servidor do MCP remoto do Policy Assist permite que agentes de IA externos acessem o seletor de papéis do IAM e o usem para sugerir papéis para seu caso de uso. A seguir, alguns exemplos de casos de uso do servidor MCP do Policy Assist.

Por padrão, as sugestões de papéis são projetadas para abranger jornadas comuns do usuário em um serviço. Por exemplo, os papéis de administrador, editor ou leitor de um serviço são sugeridos com frequência.

Se você quiser sugestões para os papéis mais granulares e com menos privilégios, especifique essa preferência no comando usando palavras-chave específicas, como "mínimo" ou "com menos privilégios". Para conferir uma lista de palavras-chave que podem ser usadas, consulte Palavras-chave para papéis com menos privilégios.

Caso de uso	Exemplos de prompt
Identificar papéis para gerenciamento geral de serviços	"Quais permissões preciso para gerenciar nossa configuração do AlloyDB para PostgreSQL?"
Identificar os papéis necessários para realizar tarefas específicas	"Qual papel é necessário para criar, iniciar e interromper VMs?" ou "Qual é o papel mínimo necessário para criar, iniciar e interromper VMs?"
Identificar os papéis necessários para executar comandos da Google Cloud CLI	"Qual papel do IAM é necessário para executar: `gcloud compute instances create instance-1`?" ou "Qual é o menor papel que uma conta de serviço precisa para executar: `gcloud datastore instances describe`?"
Identificar papéis para uma tarefa que inclui dependências transitivas	"Preciso configurar uma instância do Compute Engine para escalonar automaticamente com base no uso da CPU. Quais papéis do IAM devo conceder à conta de serviço?" ou "Preciso configurar uma instância do Compute Engine para escalonar automaticamente com base no uso da CPU. Quais são as permissões mínimas que preciso conceder a uma conta de serviço usada por um escalonador automático de instâncias do Compute Engine?"
Identificar papéis para uma tarefa que pode exigir uma combinação de vários papéis granulares	"Conceda aos usuários acesso apenas a um conjunto de dados específico no BigQuery. Eles não podem criar nem excluir conjuntos de dados." ou "Qual é o papel mais seguro para conceder aos usuários acesso somente leitura a um único conjunto de dados no BigQuery, sem permitir ações de criação ou exclusão em nenhum conjunto de dados?"

Configurações opcionais de segurança e proteção

O MCP introduz novos riscos e considerações de segurança devido à grande variedade de ações que podem ser realizadas com as ferramentas do MCP. Para minimizar e gerenciar esses riscos, Google Cloud o oferece configurações padrão e políticas personalizáveis para controlar o uso de ferramentas do MCP na sua Google Cloud organização ou projeto.

Para mais informações sobre segurança e governança do MCP, consulte Segurança e proteção de IA.

Controlar o uso do MCP com políticas de negação do Identity and Access Management

As políticas de negação e permissão do Identity and Access Management (IAM) ajudam você a proteger Google Cloud os servidores do MCP do Google.

É possível combinar vários critérios para criar políticas de segurança e governança personalizadas, permitindo ou negando o acesso com base no seguinte:

O principal.
Propriedades da ferramenta, como o atributo somente leitura.
O nome do serviço ou da ferramenta.
O ID do cliente OAuth do aplicativo.

Para mais informações, consulte Controlar o uso do MCP com o Identity and Access Management.

A seguir

Leia a documentação de referência do MCP do Policy Assist.
Saiba mais sobre os servidores do MCP do Google Cloud.