Utiliser le serveur MCP distant Resource Manager

Ce document explique comment utiliser le serveur MCP (Model Context Protocol) distant de Resource Manager pour vous connecter à des applications d'IA, y compris Antigravity, ChatGPT, Claude et les applications personnalisées que vous développez. Le serveur MCP distant Resource Manager vous permet de rechercher et d'identifier tous les projets Google Cloud auxquels vous êtes autorisé à accéder, ce qui vous permet de disposer des identifiants appropriés avant de tenter des configurations de ressources plus spécifiques.

L'outil renvoie une liste structurée contenant l'ID du projet, le numéro du projet et l'état du cycle de vie du projet. Le serveur MCP distant Resource Manager est activé lorsque vous activez l'API Resource Manager.

Le Model Context Protocol (MCP) standardise la façon dont les grands modèles de langage (LLM) et les applications ou agents d'IA se connectent à des sources de données externes. Les serveurs MCP vous permettent d'utiliser leurs outils, leurs ressources et leurs prompts pour effectuer des actions et obtenir des données à jour à partir de leur service de backend.

Quelle est la différence entre les serveurs MCP locaux et distants ?

Serveurs MCP locaux
Ils s'exécutent généralement sur votre ordinateur local et utilisent les flux d'entrée et de sortie standards (stdio) pour la communication entre les services sur le même appareil.
Serveurs MCP distants
S'exécuter sur l'infrastructure du service et proposer un point de terminaison HTTP aux applications d'IA pour la communication entre le client MCP d'IA et le serveur MCP. Pour en savoir plus sur l'architecture MCP, consultez Architecture MCP.

Noyau sans état

Avec la version 2026-07-28 du MCP, le MCP passe d'un protocole bidirectionnel avec état à un protocole sans état. Chaque requête MCP est auto-descriptive et peut être acheminée à l'aide d'en-têtes. Le handshake initialize/initialized ou Mcp-Session-Id n'est pas nécessaire, car chaque requête inclut toutes les informations requises dans les en-têtes HTTP ou le paramètre _meta. Les serveurs MCP peuvent demander des informations supplémentaires requises par un outil via des requêtes multi-aller-retour (MRTR).

Pour faciliter le routage et le traitement des requêtes sans analyser le corps de la requête, certains en-têtes MCP sont requis, y compris les suivants :

  • En-têtes requis par la spécification MCP, tels que l'en-tête de version du protocole et les en-têtes de requête standards.
  • En-têtes personnalisés définis par le serveur MCP. Ces en-têtes sont mis en miroir dans les en-têtes HTTP à partir du schéma d'entrée de l'outil à l'aide de la propriété x-mcp-header. Par exemple, un serveur MCP peut définir un en-tête personnalisé pour spécifier la région ou l'ID du projet Google Cloud .

Pour en savoir plus sur l'architecture MCP, consultez la spécification et les principaux changements de la version 2026-07-28 de MCP.

Serveurs MCP distants Google et Google Cloud

Les serveurs MCP distants Google et Google Cloud présentent les fonctionnalités et avantages suivants :

  • Découverte simplifiée et centralisée
  • Points de terminaison HTTP gérés mondiaux ou régionaux
  • Autorisations précises
  • Sécurité facultative des prompts et des réponses avec la protection Model Armor
  • Journaux d'audit centralisés

Pour en savoir plus sur les autres serveurs MCP et sur les contrôles de sécurité et de gouvernance disponibles pour les serveurs MCP Google Cloud, consultez la présentation des serveurs MCP Google Cloud.

Limites

Vous pouvez utiliser des stratégies de refus IAM pour bloquer le trafic vers le service Resource Manager et son serveur MCP. Toutefois, les attributs IAM spécifiques à MCP et les autorisations toolUser ne peuvent pas être utilisés pour restreindre l'accès aux outils pour ce serveur.

Avant de commencer

    Connectez-vous à votre compte Google Cloud . Si vous débutez sur Google Cloud, créez un compte pour évaluer les performances de nos produits en conditions réelles. Les nouveaux clients bénéficient également de 300 $ de crédits sans frais pour exécuter, tester et déployer des charges de travail.

    In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

    If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

    Verify that billing is enabled for your Google Cloud project.

    Enable the Cloud Resource Manager API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

    Install the Google Cloud CLI. After installation, initialize the Google Cloud CLI by running the following command: 

    gcloud init

    If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

    In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

    If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

    Verify that billing is enabled for your Google Cloud project.

    Enable the Cloud Resource Manager API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

    Install the Google Cloud CLI. After installation, initialize the Google Cloud CLI by running the following command: 

    gcloud init

    If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

Authentification et autorisation

Le serveur MCP distant Resource Manager utilise le protocole OAuth 2.0 avec Identity and Access Management (IAM) pour l'authentification et l'autorisation. Toutes les identitésGoogle Cloud sont compatibles avec l'authentification auprès des serveurs MCP.

Le serveur MCP Resource Manager n'accepte pas les clés API pour l'authentification.

Nous vous recommandons de créer une identité distincte pour les agents qui utilisent des outils MCP afin de pouvoir contrôler et surveiller l'accès aux ressources. Pour en savoir plus sur l'authentification, consultez S'authentifier auprès des serveurs MCP.

Champs d'application OAuth du MCP Resource Manager

OAuth 2.0 utilise des champs d'application et des identifiants pour déterminer si un compte principal authentifié est autorisé à effectuer une action spécifique sur une ressource. Pour en savoir plus sur les champs d'application OAuth 2.0 chez Google, consultez Utiliser OAuth 2.0 pour accéder aux API Google.

Resource Manager dispose des champs d'application OAuth de l'outil MCP suivants :

URI de champ d'application pour gcloud CLI Description
https://www.googleapis.com/auth/cloudresourcemanager.read-only Autorise uniquement l'accès aux données en lecture.
https://www.googleapis.com/auth/cloudresourcemanager.read-write Permet d'accéder aux données pour les lire et les modifier.

Des champs d'application supplémentaires peuvent être requis sur les ressources auxquelles vous accédez lors d'un appel d'outil. Pour afficher la liste des champs d'application requis pour Resource Manager, consultez API Resource Manager.

Configurer un client MCP pour utiliser le serveur MCP Resource Manager

Les applications et agents d'IA, tels que Claude ou Antigravity, peuvent instancier un client MCP qui se connecte à un seul serveur MCP. Une application d'IA peut avoir plusieurs clients qui se connectent à différents serveurs MCP. Si votre application ne figure pas dans les instructions spécifiques au client, vous pouvez utiliser les informations suivantes pour vous connecter à partir de la plupart des applications.

Dans votre application d'IA, recherchez un moyen d'ajouter un serveur MCP distant ou de vous y connecter. Pour le serveur MCP Resource Manager, saisissez les informations suivantes :

  • Nom du serveur : serveur MCP Resource Manager
  • URL du serveur ou Point de terminaison : https://cloudresourcemanager.googleapis.com/mcp
  • Transport : HTTP diffusable en streaming
  • Détails de l'authentification : selon la façon dont vous souhaitez vous authentifier, vous pouvez saisir vos identifiants Google Cloud , votre ID client et votre code secret OAuth, ou l'identité et les identifiants d'un agent. Pour en savoir plus sur l'authentification, consultez S'authentifier auprès des serveurs MCP.
  • Champ d'application OAuth : champ d'application OAuth 2.0 que vous souhaitez utiliser lors de la connexion au serveur MCP Resource Manager.

URI de redirection

Pour les applications Web et certaines applications de bureau, vous devez ajouter un URI de redirection à la liste d'autorisation lorsque vous créez un ID client et un code secret pour l'authentification. Les URI de redirection sont utilisés par le serveur d'autorisation pour envoyer des jetons à votre application. La documentation de votre application doit spécifier l'URI de redirection que vous devez utiliser. Les URI de redirection personnalisés ne sont pas acceptés.

Pour obtenir des conseils spécifiques à l'application sur la configuration et la connexion au serveur MCP, consultez Conseils spécifiques au client.

Pour obtenir des conseils plus généraux, consultez les ressources suivantes :

Outils disponibles

Pour afficher les détails des outils MCP disponibles et leurs descriptions pour le serveur MCP Resource Manager, consultez la documentation de référence sur le serveur MCP Resource Manager.

Lister les outils

Utilisez l'inspecteur MCP pour lister les outils ou envoyez une requête HTTP tools/list directement au serveur MCP distant de Resource Manager. La méthode tools/list ne nécessite pas d'authentification.

curl -X POST https://cloudresourcemanager.googleapis.com/TOOLSET_ENDPOINT \
    -H 'Content-Type: application/json' \
    -H 'Accept: application/json' \
    -H 'MCP-Protocol-Version: MCP_PROTOCOL_VERSION' \
    -H 'Mcp-Method: tools/list' \
    -d '{
      "jsonrpc": "2.0",
      "id": 1,
      "method": "tools/list",
      "params": {
        "_meta": {
          "io.modelcontextprotocol/protocolVersion": "MCP_PROTOCOL_VERSION",
          "io.modelcontextprotocol/clientCapabilities": {
            "extensions": {
              "io.modelcontextprotocol/ui": {
                "mimeTypes": ["text/html;profile=mcp-app"]
              }
            }
          }
        }
      }
    }'

Remplacez les éléments suivants :

  • TOOLSET_ENDPOINT : le reste du point de terminaison MCP après le nom du service. Par exemple, pour Resource Manager, il peut s'agir de mcp/toolset-name.
  • MCP_PROTOCOL_VERSION : version du protocole MCP. Exemple : 2026-07-28.

Exemples de cas d'utilisation

L'outil search_projects du serveur MCP distant Resource Manager permet aux agents IA de découvrir et d'identifier de manière dynamique tous les projets Google Cloud auxquels vous êtes autorisé à accéder, afin qu'ils puissent exécuter des commandes dans d'autres outils.

L'outil renvoie une liste structurée contenant l'ID du projet, le numéro du projet et l'état du cycle de vie du projet. Voici des exemples de cas d'utilisation du serveur MCP Resource Manager :

  • Inventaire des ressources et audits d'accessibilité : listez et résumez les projets cloud actifs auxquels vous avez accès.

    Requête de l'utilisateur : "Liste tous mes projets Google Cloud actifs."

    Action de l'agent : l'agent envoie une requête de recherche au serveur MCP pour récupérer et afficher une liste récapitulative de tous les projets actifs associés à vos identifiants.

  • Recherches ciblées basées sur le parent : récupérez les projets situés dans un dossier ou une organisation spécifique pour affiner le champ d'application d'une requête.

    Requête de l'utilisateur : "Trouve tous les projets du dossier 223."

    Action de l'agent : l'agent exécute un appel d'outil avec la requête parent:folders/223 pour renvoyer une liste de projets dans cette limite administrative.

  • Résolution implicite du contexte : lorsque vous demandez des informations sur une ressource sans fournir d'ID de projet spécifique, l'agent peut résoudre le contexte automatiquement.

    Requête de l'utilisateur : "Vérifie l'état de mon service 'payment-processor'."

    Action de l'agent : l'agent reconnaît qu'un project_id est manquant pour l'outil Cloud Run. Il utilise l'outil search_projects pour rechercher les projets dont le nom contient payment, identifie les projets probables (comme payment-prod-123) et vous demande confirmation avant de continuer.

  • Découverte spécifique à l'environnement : vous pouvez trouver des projets filtrés par environnement ou structure organisationnelle spécifique sans quitter l'interface de chat.

    Requête utilisateur : "À quels projets ai-je accès dans l'environnement de préproduction ?"

    Action de l'agent : l'agent effectue une opération de recherche pour tous les projets étiquetés ou nommés staging que vous êtes autorisé à afficher, et renvoie les ID de projet spécifiques.

Personnaliser le comportement du LLM

L'outil search_projects est polyvalent, mais les LLM ne savent pas toujours quand interroger votre hiérarchie Google Cloud . Pour appeler l'outil dans des scénarios spécifiques, fournissez un contexte personnalisé dans un fichier Markdown, par exemple ~/.gemini/GEMINI.md ou un fichier AGENTS.md au niveau du projet.

Étapes suivantes