Utiliser le serveur MCP distant Resource Manager

Ce document explique comment utiliser le serveur MCP (Model Context Protocol) distant de Resource Manager pour vous connecter à des applications d'IA, y compris Gemini CLI, ChatGPT, Claude et les applications personnalisées que vous développez. Le serveur MCP distant de Resource Manager vous permet de rechercher et d'identifier tous les Google Cloud projets auxquels vous disposez des autorisations nécessaires pour accéder, ce qui vous permet de disposer des identifiants corrects avant de tenter des configurations de ressources plus spécifiques.

L'outil renvoie une liste structurée contenant l'ID du projet, son numéro et son état de cycle de vie. Le serveur MCP distant de Resource Manager est activé lorsque vous activez l'API Resource Manager.

Le protocole MCP (Model Context Protocol) standardise la façon dont les grands modèles de langage (LLM) et les applications ou agents d'IA se connectent à des sources de données externes. Les serveurs MCP vous permettent d'utiliser leurs outils, leurs ressources et leurs prompts pour effectuer des actions et obtenir des données mises à jour à partir de leur service backend.

Quelle est la différence entre les serveurs MCP locaux et distants ?

Serveurs MCP locaux
S'exécutent généralement sur votre machine locale et utilisent les flux d'entrée et de sortie standards (stdio) pour la communication entre les services sur le même appareil.
Serveurs MCP distants
S'exécutent sur l'infrastructure du service et proposent un point de terminaison HTTP aux applications d'IA pour la communication entre le client MCP d'IA et le serveur MCP. Pour en savoir plus sur l'architecture MCP, consultez Architecture MCP.

Serveurs MCP Google et Google Cloud distants

Les serveurs MCP Google et Google Cloud distants présentent les fonctionnalités et avantages suivants :

  • Découverte centralisée et simplifiée
  • Points de terminaison HTTP mondiaux ou régionaux gérés
  • Autorisations précises
  • Sécurité facultative des prompts et des réponses avec la protection Model Armor
  • Consignation d'audit centralisée

Pour en savoir plus sur les autres serveurs MCP et sur les contrôles de sécurité et de gouvernance disponibles pour les serveurs MCP Google Cloud, consultez Présentation des serveurs MCP Google Cloud.

Limites

Vous pouvez utiliser des règles de refus IAM pour bloquer le trafic vers le service Resource Manager et son serveur MCP. Toutefois, les attributs IAM spécifiques à MCP et les autorisations toolUser ne peuvent pas être utilisés pour limiter l'accès aux outils de ce serveur.

Avant de commencer

    Connectez-vous à votre Google Cloud compte. Si vous débutez sur Google Cloud, créez un compte pour évaluer les performances de nos produits en conditions réelles. Les nouveaux clients bénéficient également de 300 $ de crédits sans frais pour exécuter, tester et déployer des charges de travail.

    In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

    If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

    Verify that billing is enabled for your Google Cloud project.

    Enable the Cloud Resource Manager API.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

    Installez la Google Cloud CLI. Une fois que la Google Cloud CLI est installée, initialisezla en exécutant la commande suivante : 

    gcloud init

    Si vous utilisez un fournisseur d'identité (IdP) externe, vous devez d'abord vous connecter à la gcloud CLI avec votre identité fédérée.

    In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

    If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

    Verify that billing is enabled for your Google Cloud project.

    Enable the Cloud Resource Manager API.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

    Installez la Google Cloud CLI. Une fois que la Google Cloud CLI est installée, initialisezla en exécutant la commande suivante : 

    gcloud init

    Si vous utilisez un fournisseur d'identité (IdP) externe, vous devez d'abord vous connecter à la gcloud CLI avec votre identité fédérée.

Authentification et autorisation

Le serveur MCP distant de Resource Manager utilise le protocole OAuth 2.0 avec Identity and Access Management (IAM) pour l'authentification et l'autorisation. Toutes Google Cloud les identités sont compatibles avec l'authentification auprès des serveurs MCP.

Le serveur MCP de Resource Manager n'accepte pas les clés API pour l'authentification.

Nous vous recommandons de créer une identité distincte pour les agents qui utilisent des outils MCP afin de pouvoir contrôler et surveiller l'accès aux ressources. Pour en savoir plus sur l' authentification, consultez S'authentifier auprès des serveurs MCP.

Champs d'application OAuth du serveur MCP de Resource Manager

OAuth 2.0 utilise des champs d'application et des identifiants pour déterminer si un principal authentifié est autorisé à effectuer une action spécifique sur une ressource. Pour en savoir plus sur les champs d'application OAuth 2.0 chez Google, consultez Utiliser OAuth 2.0 pour accéder aux API Google.

Resource Manager propose les champs d'application OAuth suivants pour les outils MCP :

URI du champ d'application pour la gcloud CLI Description
https://www.googleapis.com/auth/cloudresourcemanager.read-only Permet uniquement d'accéder en lecture seule aux données.
https://www.googleapis.com/auth/cloudresourcemanager.read-write Permet d'accéder en lecture et en écriture aux données.

Des champs d'application supplémentaires peuvent être requis sur les ressources auxquelles vous accédez lors d'un appel d'outil. Pour afficher la liste des champs d'application requis pour Resource Manager, consultez API Resource Manager.

Configurer un client MCP pour utiliser le serveur MCP de Resource Manager

Les applications et agents d'IA, tels que Claude ou Antigravity, peuvent instancier un client MCP qui se connecte à un seul serveur MCP. Une application d'IA peut avoir plusieurs clients qui se connectent à différents serveurs MCP. Si votre application ne figure pas dans les consignes spécifiques au client, vous pouvez utiliser les informations suivantes pour vous connecter à la plupart des applications.

Dans votre application d'IA, recherchez un moyen d'ajouter ou de vous connecter à un serveur MCP distant. Pour le serveur MCP de Resource Manager, saisissez les informations suivantes, si nécessaire :

  • Nom du serveur : serveur MCP de Resource Manager
  • URL du serveur ou Point de terminaison : https://cloudresourcemanager.googleapis.com/mcp
  • Transport: HTTP
  • Informations d'authentification : selon la méthode d'authentification souhaitée, vous pouvez saisir vos Google Cloud identifiants, votre ID client OAuth et votre code secret, ou une identité et des identifiants d'agent. Pour en savoir plus sur l' authentification, consultez S'authentifier auprès des serveurs MCP.
  • Champ d'application OAuth : champ d'application OAuth 2.0 que vous souhaitez utiliser lorsque vous vous connectez au serveur MCP de Resource Manager.

URI de redirection

Pour les applications Web et certaines applications de bureau, vous devez autoriser une URI de redirection lorsque vous créez un ID client et un code secret pour l'authentification. Les URI de redirection sont utilisées par le serveur d'autorisation pour envoyer des jetons à votre application. La documentation de votre application doit spécifier l'URI de redirection que vous devez utiliser. Les URI de redirection personnalisées ne sont pas acceptées.

Pour obtenir des conseils spécifiques à l'application sur la configuration et la connexion au serveur MCP, consultez Conseils spécifiques au client.

Pour obtenir des conseils plus généraux, consultez les ressources suivantes :

Outils disponibles

Pour afficher les détails des outils MCP disponibles et leurs descriptions pour le serveur MCP de Resource Manager, consultez la documentation de référence sur le serveur MCP de Resource Manager.

Répertorier les outils

Utilisez l'inspecteur MCP pour répertorier les outils ou envoyez une tools/list requête HTTP directement au serveur MCP distant de Resource Manager. La méthode tools/list ne nécessite pas d'authentification.

POST /mcp HTTP/1.1
Host: cloudresourcemanager.googleapis.com
Content-Type: application/json

{
  "jsonrpc": "2.0",
  "method": "tools/list",
}

Exemples de cas d'utilisation

L'outil search_projects du serveur MCP distant de Resource Manager permet aux agents d'IA de découvrir et d'identifier de manière dynamique tous les Google Cloud projets auxquels vous disposez des autorisations nécessaires pour accéder, afin qu'ils puissent exécuter des commandes dans d'autres outils.

L'outil renvoie une liste structurée contenant l'ID du projet, son numéro et son état de cycle de vie. Voici des exemples de cas d'utilisation du serveur MCP de Resource Manager :

  • Inventaire des ressources et audits d'accessibilité : répertoriez et résumez les projets cloud actifs auxquels vous avez accès.

    Prompt de l'utilisateur : "List all my active Google Cloud projects." (Répertorie tous mes projets actifs.)

    Action de l'agent : l'agent envoie une requête de recherche au serveur MCP pour récupérer et afficher une liste récapitulative de tous les projets actifs sous vos identifiants.

  • Recherches ciblées basées sur le parent : récupérez les projets situés dans un dossier ou une organisation spécifique pour limiter la portée d'une requête.

    Prompt de l'utilisateur : "Find all projects under Folder 223." (Recherche tous les projets sous le dossier 223.)

    Action de l'agent : l'agent exécute un appel d'outil avec la requête parent:folders/223 pour renvoyer une liste de projets dans cette limite administrative.

  • Résolution implicite du contexte : lorsque vous demandez des informations sur une ressource sans fournir d'ID de projet spécifique, l'agent peut résoudre le contexte automatiquement.

    Prompt de l'utilisateur : "Check the status of my 'payment-processor' service." (Vérifie l'état de mon service "payment-processor".)

    Action de l'agent : l'agent reconnaît qu'un project_id est manquant pour l'outil Cloud Run. Il utilise l'outil search_projects pour rechercher les projets dont le nom contient payment, identifie les projets probables (tels que payment-prod-123) et vous demande une confirmation avant de continuer.

  • Découverte spécifique à l'environnement : vous pouvez trouver des projets filtrés par des environnements ou des structures organisationnelles spécifiques sans quitter l'interface de chat.

    Prompt de l'utilisateur : "Which projects do I have access to in the staging environment?" (À quels projets ai-je accès dans l'environnement de préproduction ?)

    Action de l'agent : l'agent effectue une opération de recherche pour tous les projets libellés ou nommés staging que vous êtes autorisé à afficher, et renvoie les ID de projet spécifiques.

Personnaliser le comportement du LLM

L'outil search_projects est polyvalent, mais les LLM ne savent pas toujours quand interroger votre Google Cloud hiérarchie. Pour appeler l'outil dans des scénarios spécifiques, fournissez un contexte personnalisé dans un fichier Markdown, par exemple ~/.gemini/GEMINI.md ou un fichier AGENTS.md au niveau du projet.

Étape suivante