Remote-MCP-Server von Resource Manager verwenden

In diesem Dokument wird beschrieben, wie Sie den Remote-MCP-Server (Model Context Protocol) von Resource Manager verwenden, um eine Verbindung zu KI-Anwendungen wie der Gemini CLI, ChatGPT, Claude und benutzerdefinierten Anwendungen herzustellen, die Sie entwickeln. Mit dem Remote-MCP-Server von Resource Manager können Sie nach allen Google Cloud Projekten suchen und diese identifizieren, auf die Sie die erforderlichen Berechtigungen haben. So haben Sie die richtigen Kennungen, bevor Sie versuchen, spezifischere Ressourcenkonfigurationen vorzunehmen.

Das Tool gibt eine strukturierte Liste mit der Projekt-ID, der Projektnummer und dem Lebenszyklusstatus des Projekts zurück. Der Remote-MCP-Server für Resource Manager wird aktiviert, wenn Sie die Resource Manager API aktivieren.

Das Model Context Protocol (MCP) standardisiert die Verbindung von Large Language Models (LLMs) und KI-Anwendungen oder ‑Agenten mit externen Datenquellen. Mit MCP-Servern können Sie die Tools, Ressourcen und Prompts verwenden, um Aktionen auszuführen und aktualisierte Daten vom Backend-Dienst abzurufen.

Was ist der Unterschied zwischen lokalen und Remote-MCP-Servern?

Lokale MCP-Server
Werden in der Regel auf Ihrem lokalen Computer ausgeführt und verwenden die Standard-Ein- und Ausgabestreams (stdio) für die Kommunikation zwischen Diensten auf demselben Gerät.
Remote-MCP-Server
Werden in der Infrastruktur des Dienstes ausgeführt und bieten KI-Anwendungen einen HTTP-Endpunkt für die Kommunikation zwischen dem KI-MCP-Client und dem MCP-Server. Weitere Informationen zur MCP-Architektur finden Sie unter MCP-Architektur.

Zustandsloser Kern

Mit der MCP-Version 2026-07-28 wird MCP von einem bidirektionalen, zustandsorientierten Protokoll zu einem zustandslosen Protokoll geändert. Jede MCP-Anfrage ist selbstbeschreibend und kann über Header weitergeleitet werden. Der initialize/initialized-Handshake oder Mcp-Session-Id ist nicht erforderlich, da jede Anfrage alle erforderlichen Informationen in HTTP-Headern oder im Parameter _meta enthält. MCP-Server können zusätzliche Informationen, die von einem Tool benötigt werden, über Multi-Round-Trip-Anfragen (MRTR) anfordern.

Damit Anfragen weitergeleitet und verarbeitet werden können, ohne dass der Anfragetext geparst werden muss, sind einige MCP-Header erforderlich, darunter die folgenden:

  • Header, die von der MCP-Spezifikation benötigt werden, z. B. der Header für die Protokollversion und Standardanfrageheader.
  • Benutzerdefinierte Header, die vom MCP-Server definiert werden. Diese Header werden mithilfe des Attributs x-mcp-header aus dem Eingabeschema des Tools in HTTP-Header gespiegelt. Ein MCP-Server kann beispielsweise einen benutzerdefinierten Header definieren, um die Google Cloud Region oder Projekt-ID anzugeben.

Weitere Informationen zur MCP-Architektur finden Sie in der Spezifikation und den wichtigsten Änderungen der MCP-Version 2026-07-28.

Google- und Google Cloud Remote-MCP-Server

Google- und Google Cloud Remote-MCP-Server bieten folgende Funktionen und Vorteile:

  • Vereinfachte, zentrale Erkennung
  • Verwaltete globale oder regionale HTTP-Endpunkte
  • Detaillierte Autorisierung
  • Optionale Sicherheit für Prompts und Antworten mit Model Armor-Schutz
  • Zentralisiertes Audit-Logging

Informationen zu anderen MCP-Servern sowie zu den Sicherheits- und Governance-Kontrollen, die für Google Cloud-MCP-Server verfügbar sind, finden Sie unter Google Cloud-MCP-Server – Übersicht.

Beschränkungen

Mit IAM-Ablehnungsrichtlinien können Sie den Traffic zum Resource Manager-Dienst und seinem MCP-Server blockieren. MCP-spezifische IAM-Attribute und toolUser-Berechtigungen können jedoch nicht verwendet werden, um den Toolzugriff für diesen Server einzuschränken.

Hinweis

    Melden Sie sich in Ihrem Google Cloud -Konto an. Wenn Sie mit Google Cloudnoch nicht vertraut sind, erstellen Sie einfach ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

    In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

    If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

    Verify that billing is enabled for your Google Cloud project.

    Enable the Cloud Resource Manager API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

    Install the Google Cloud CLI. After installation, initialize the Google Cloud CLI by running the following command: 

    gcloud init

    If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

    In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

    If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

    Verify that billing is enabled for your Google Cloud project.

    Enable the Cloud Resource Manager API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

    Install the Google Cloud CLI. After installation, initialize the Google Cloud CLI by running the following command: 

    gcloud init

    If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

Authentifizierung und Autorisierung

Der Remote-MCP-Server von Resource Manager verwendet das OAuth 2.0-Protokoll mit Identity and Access Management (IAM) für die Authentifizierung und Autorisierung. Alle Google Cloud Identitäten werden für die Authentifizierung bei MCP-Servern unterstützt.

Der Resource Manager MCP-Server akzeptiert keine API-Schlüssel für die Authentifizierung.

Wir empfehlen, für Agenten, die MCP-Tools verwenden, eine separate Identität zu erstellen, damit der Zugriff auf Ressourcen gesteuert und überwacht werden kann. Weitere Informationen zur Authentifizierung finden Sie unter Authentifizierung bei MCP-Servern.

OAuth-Bereiche für Resource Manager MCP

OAuth 2.0 verwendet Bereiche und Anmeldedaten, um zu bestimmen, ob ein authentifiziertes Hauptkonto berechtigt ist, eine bestimmte Aktion für eine Ressource auszuführen. Weitere Informationen zu OAuth 2.0-Bereichen bei Google finden Sie unter Mit OAuth 2.0 auf Google APIs zugreifen.

Resource Manager hat die folgenden OAuth-Bereiche für MCP-Tools:

Umfang-URI für die gcloud CLI Beschreibung
https://www.googleapis.com/auth/cloudresourcemanager.read-only Ermöglicht nur den Zugriff zum Lesen von Daten.
https://www.googleapis.com/auth/cloudresourcemanager.read-write Ermöglicht den Zugriff zum Lesen und Ändern von Daten.

Für die Ressourcen, auf die während eines Tool-Aufrufs zugegriffen wird, sind möglicherweise zusätzliche Bereiche erforderlich. Eine Liste der für Resource Manager erforderlichen Bereiche finden Sie unter Resource Manager API.

MCP-Client für die Verwendung des Resource Manager-MCP-Servers konfigurieren

KI-Anwendungen und ‑Agents wie Claude oder Antigravity können einen MCP-Client instanziieren, der eine Verbindung zu einem einzelnen MCP-Server herstellt. Eine KI-Anwendung kann mehrere Clients haben, die eine Verbindung zu verschiedenen MCP-Servern herstellen. Wenn Ihre Anwendung nicht in der clientspezifischen Anleitung aufgeführt ist, können Sie die folgenden Informationen verwenden, um eine Verbindung von den meisten Anwendungen aus herzustellen.

Suchen Sie in Ihrer KI-Anwendung nach einer Möglichkeit, einen Remote-MCP-Server hinzuzufügen oder eine Verbindung zu einem solchen Server herzustellen. Geben Sie für den Resource Manager MCP-Server die folgenden Informationen nach Bedarf ein:

  • Servername: Resource Manager-MCP-Server
  • Server-URL oder Endpunkt: https://cloudresourcemanager.googleapis.com/mcp
  • Transport: Streamable HTTP
  • Authentifizierungsdetails: Je nachdem, wie Sie sich authentifizieren möchten, können Sie Ihre Google Cloud -Anmeldedaten, Ihre OAuth-Client-ID und Ihr OAuth-Secret oder eine Agentenidentität und Anmeldedaten eingeben. Weitere Informationen zur Authentifizierung finden Sie unter Bei MCP-Servern authentifizieren.
  • OAuth-Bereich: Der OAuth 2.0-Bereich, den Sie für die Verbindung mit dem Resource Manager-MCP-Server verwenden möchten.

Weiterleitungs-URIs

Bei webbasierten Anwendungen und einigen Desktopanwendungen müssen Sie beim Erstellen einer Client-ID und eines Clientschlüssels für die Authentifizierung einen Redirect-URI auf die Zulassungsliste setzen. Weiterleitungs-URIs werden vom Autorisierungsserver verwendet, um Tokens an Ihre Anwendung zu senden. In der Dokumentation Ihrer Anwendung sollte der Weiterleitungs-URI angegeben sein, den Sie verwenden müssen. Benutzerdefinierte Weiterleitungs-URIs werden nicht unterstützt.

Anwendungsspezifische Anleitungen zum Einrichten und Herstellen einer Verbindung zum MCP-Server finden Sie unter Clientspezifische Anleitung.

Allgemeine Informationen finden Sie in den folgenden Ressourcen:

Verfügbare Tools

Details zu den verfügbaren MCP-Tools und ihren Beschreibungen für den Resource Manager-MCP-Server finden Sie in der Resource Manager-MCP-Referenz.

Tools auflisten

Verwenden Sie den MCP-Inspector, um Tools aufzulisten, oder senden Sie eine tools/list-HTTP-Anfrage direkt an den Remote-MCP-Server des Resource Manager. Für die Methode tools/list ist keine Authentifizierung erforderlich.

curl -X POST https://cloudresourcemanager.googleapis.com/TOOLSET_ENDPOINT \
    -H 'Content-Type: application/json' \
    -H 'Accept: application/json' \
    -H 'MCP-Protocol-Version: MCP_PROTOCOL_VERSION' \
    -H 'Mcp-Method: tools/list' \
    -d '{
      "jsonrpc": "2.0",
      "id": 1,
      "method": "tools/list",
      "params": {
        "_meta": {
          "io.modelcontextprotocol/protocolVersion": "MCP_PROTOCOL_VERSION",
          "io.modelcontextprotocol/clientCapabilities": {
            "extensions": {
              "io.modelcontextprotocol/ui": {
                "mimeTypes": ["text/html;profile=mcp-app"]
              }
            }
          }
        }
      }
    }'

Ersetzen Sie Folgendes:

  • TOOLSET_ENDPOINT: der Rest des MCP-Endpunkts nach dem Dienstnamen. Für Resource Manager könnte das beispielsweise mcp/toolset-name sein.
  • MCP_PROTOCOL_VERSION: die MCP-Protokollversion. Beispiel: 2026-07-28.

Beispiele für Anwendungsfälle

Mit dem Tool search_projects auf dem Remote-MCP-Server von Resource Manager können KI-Agenten dynamisch alle Google Cloud -Projekte ermitteln und identifizieren, für die Sie die erforderlichen Zugriffsberechtigungen haben, damit sie Befehle in anderen Tools ausführen können.

Das Tool gibt eine strukturierte Liste mit der Projekt-ID, der Projektnummer und dem Lebenszyklusstatus des Projekts zurück. Im Folgenden finden Sie einige Beispielanwendungsfälle für den Resource Manager-MCP-Server:

  • Ressourceninventar und Barrierefreiheitsprüfungen: Hier werden die aktiven Cloud-Projekte, auf die Sie Zugriff haben, aufgelistet und zusammengefasst.

    Nutzer-Prompt: „Liste alle meine aktiven Google Cloud -Projekte auf.“

    Agent-Aktion: Der Agent sendet eine Suchanfrage an den MCP-Server, um eine zusammengefasste Liste aller aktiven Projekte unter Ihren Anmeldedaten abzurufen und anzuzeigen.

  • Zielgerichtete übergeordnete Suchen: Rufen Sie Projekte ab, die sich in einem bestimmten Ordner oder einer bestimmten Organisation befinden, um den Umfang einer Anfrage einzugrenzen.

    Nutzer-Prompt: „Finde alle Projekte im Ordner 223.“

    Agent-Aktion: Der Agent führt einen Tool-Aufruf mit der Anfrage parent:folders/223 aus, um eine Liste der Projekte innerhalb dieser Verwaltungseinheit zurückzugeben.

  • Implizite Kontextauflösung: Wenn Sie Informationen zu einer Ressource anfordern, ohne eine bestimmte Projekt-ID anzugeben, kann der Agent den Kontext automatisch auflösen.

    Nutzer-Prompt: „Check the status of my 'payment-processor' service.“ (Prüfe den Status meines „payment-processor“-Dienstes.)

    Agent-Aktion: Der Agent erkennt, dass für das Cloud Run-Tool ein project_id fehlt. Es verwendet das Tool search_projects, um Projekte mit payment im Namen zu finden, identifiziert wahrscheinliche Projekte (z. B. payment-prod-123) und bittet Sie um Bestätigung, bevor es fortfährt.

  • Umgebungsspezifische Suche: Sie können Projekte finden, die nach bestimmten Umgebungen oder Organisationsstrukturen gefiltert sind, ohne die Chatoberfläche zu verlassen.

    Nutzer-Prompt: „Auf welche Projekte habe ich in der Staging-Umgebung Zugriff?“

    Agent-Aktion: Der Agent führt eine Suchanfrage für alle Projekte mit dem Label oder Namen staging aus, für die Sie die Berechtigung zum Aufrufen haben, und gibt die entsprechenden Projekt-IDs zurück.

LLM-Verhalten anpassen

Das Tool search_projects ist vielseitig, aber LLMs wissen möglicherweise nicht immer, wann sie Ihre Google Cloud Hierarchie abfragen müssen. Wenn Sie das Tool in bestimmten Szenarien aufrufen möchten, stellen Sie benutzerdefinierten Kontext in einer Markdown-Datei bereit, z. B. ~/.gemini/GEMINI.md oder eine AGENTS.md auf Projektebene.

Nächste Schritte