O padrão Protocolo de Contexto de Modelo (MCP) padroniza a maneira como os modelos de linguagem grandes (LLMs) e os aplicativos ou agentes de IA se conectam a fontes de dados externas. Com os servidores do MCP, você pode usar as ferramentas, os recursos e os comandos deles para realizar ações e receber dados atualizados do serviço de back-end.
Os servidores MCP locais geralmente são executados na sua máquina local e usam os fluxos de entrada e saída padrão (stdio) para comunicação entre serviços no mesmo dispositivo. Embora os servidores MCP locais geralmente se comuniquem com serviços locais, eles também podem ser usados para chamar serviços ou fontes de dados que não estão sendo executados na máquina local. Por exemplo, um servidor MCP local em execução na máquina ou na máquina virtual de um agente pode chamar as APIs Cloud Storage.
Você pode usar o servidor MCP local do Cloud Storage pelos seguintes motivos:
- Você precisa criar uma ferramenta personalizada.
- Você não tem permissão para ativar ou usar o servidor do MCP no seu projeto.
Para mais informações sobre como usar nosso servidor MCP local, acesse este repositório do GitHub.
Os servidores MCP remotos são executados na infraestrutura do serviço e oferecem um endpoint HTTP para aplicativos de IA para comunicação entre o cliente MCP de IA e o servidor MCP. O servidor MCP do Cloud Storage é um servidor MCP remoto com um endpoint HTTP. Para mais informações sobre a arquitetura do MCP, consulte Arquitetura do MCP.
Neste documento, descrevemos como usar o servidor MCP do Cloud Storage para se conectar ao Cloud Storage em aplicativos de IA, como a CLI do Gemini, o modo agente do Gemini Code Assist, o Claude Code ou em aplicativos de IA que você está desenvolvendo.
Com o servidor MCP do Cloud Storage, é possível usar aplicativos e agentes de IA para realizar as seguintes tarefas:
- Crie buckets.
- Recupera metadados de objetos.
- Ler e gravar dados de objetos.
- Listar blocos e objetos.
Servidores MCP remotos e do Google Google Cloud
O Google e os servidores MCP remotos Google Cloud têm os seguintes recursos e benefícios:- Descoberta simplificada e centralizada
- Endpoints HTTP globais ou regionais gerenciados
- Autorização detalhada
- Segurança opcional de comandos e respostas com a proteção do Model Armor
- Registro de auditoria centralizado
Para informações sobre outros servidores MCP e controles de segurança e governança disponíveis para servidores MCP do Google Cloud, consulte Visão geral dos servidores MCP do Google Cloud.
Limitações
O servidor MCP do Cloud Storage tem as seguintes limitações:
Tipos de arquivo: as operações de leitura para análise de conteúdo são restritas a arquivos de texto, PDF e imagem. As operações de gravação são restritas a arquivos de texto.
Tamanho do arquivo: no máximo 8 MiB para operações de leitura e gravação.
Endpoint: somente endpoint global.
Para informações detalhadas sobre cotas e limites que se aplicam ao servidor MCP do Cloud Storage, consulte Cotas e limites.
Antes de começar
- Faça login na sua conta do Google Cloud . Se você começou a usar o Google Cloud, crie uma conta para avaliar o desempenho de nossos produtos em situações reais. Clientes novos também recebem US$ 300 em créditos para executar, testar e implantar cargas de trabalho.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
Roles required to select or create a project
- Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
-
Create a project: To create a project, you need the Project Creator role
(
roles/resourcemanager.projectCreator), which contains theresourcemanager.projects.createpermission. Learn how to grant roles.
-
If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.
-
Instale a CLI do Google Cloud.
-
Ao usar um provedor de identidade (IdP) externo, primeiro faça login na gcloud CLI com sua identidade federada.
-
Para inicializar a gcloud CLI, execute o seguinte comando:
gcloud init -
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
Roles required to select or create a project
- Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
-
Create a project: To create a project, you need the Project Creator role
(
roles/resourcemanager.projectCreator), which contains theresourcemanager.projects.createpermission. Learn how to grant roles.
-
If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.
-
Instale a CLI do Google Cloud.
-
Ao usar um provedor de identidade (IdP) externo, primeiro faça login na gcloud CLI com sua identidade federada.
-
Para inicializar a gcloud CLI, execute o seguinte comando:
gcloud init
Funções exigidas
Para receber as permissões necessárias a fim de usar o servidor MCP do Cloud Storage, peça ao administrador para conceder a você os seguintes papéis do IAM no projeto em que você quer usar o servidor MCP do Cloud Storage:
-
Fazer chamadas de ferramentas do MCP:
Usuário da ferramenta MCP (
roles/mcp.toolUser) -
Listar objetos, ler objetos e o conteúdo deles ou receber os metadados de um objeto:
Leitor de objetos do Storage (
roles/storage.objectViewer) -
Gravar conteúdo em um objeto:
Criador de objetos do Storage (
roles/storage.objectCreator) -
Criar e listar buckets:
Administrador do Storage (
roles/storage.admin)
Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.
Esses papéis predefinidos contêm as permissões necessárias para usar o servidor MCP do Cloud Storage. Para acessar as permissões exatas necessárias, expanda a seção Permissões necessárias:
Permissões necessárias
As seguintes permissões são necessárias para usar o servidor MCP do Cloud Storage:
-
Faça chamadas de ferramentas do MCP:
mcp.tools.call -
Listar objetos:
storage.objects.list -
Ler objetos e o conteúdo deles ou receber os metadados de um objeto:
storage.objects.get -
Gravar conteúdo em um objeto:
storage.objects.create -
Listar buckets:
storage.buckets.list -
Crie buckets:
storage.buckets.create
Essas permissões também podem ser concedidas com funções personalizadas ou outros papéis predefinidos.
Autenticação e autorização
O servidor MCP remoto do Cloud Storage usa o protocolo OAuth 2.0 com o Identity and Access Management (IAM) para autenticação e autorização. Todas as Google Cloud identidades são compatíveis com a autenticação em servidores MCP.
O servidor MCP do Cloud Storage não aceita chaves de API para autenticação porque todas as solicitações exigem autorização do Identity and Access Management (IAM).
Recomendamos que você crie uma identidade separada para agentes que usam ferramentas do MCP para que o acesso aos recursos possa ser controlado e monitorado. Para mais informações sobre autenticação, consulte Autenticar em servidores do MCP.
Escopos do OAuth do MCP do Cloud Storage
O OAuth 2.0 usa escopos e credenciais para determinar se um principal autenticado está autorizado a realizar uma ação específica em um recurso. Para mais informações sobre os escopos do OAuth 2.0 no Google, leia Como usar o OAuth 2.0 para acessar as APIs do Google.
O Cloud Storage tem os seguintes escopos OAuth da ferramenta MCP:
| URI de escopo para a CLI gcloud | Descrição |
|---|---|
https://www.googleapis.com/auth/storage.read-only |
Permite o acesso apenas para leitura de dados. |
https://www.googleapis.com/auth/storage.read-write |
Permite acesso para ler e modificar dados. |
Outros escopos podem ser necessários nos recursos acessados durante uma chamada de ferramenta. Para conferir uma lista dos escopos necessários para o Cloud Storage, consulte a API Cloud Storage. Se o agente interagir com outros serviços Google Cloud como parte do fluxo de trabalho, como BigQuery ou Storage Insights, ele vai precisar dos escopos OAuth adequados para esses serviços, além dos escopos do Cloud Storage.
Configurar um cliente MCP para usar o servidor MCP do Cloud Storage
Aplicativos e agentes de IA, como a CLI do Claude ou do Gemini, podem instanciar um cliente MCP que se conecta a um único servidor MCP. Um aplicativo de IA pode ter vários clientes que se conectam a diferentes servidores MCP. Para se conectar a um servidor MCP remoto, o cliente MCP precisa saber o URL dele.
No seu aplicativo de IA, procure uma maneira de se conectar a um servidor MCP remoto. Você precisa inserir detalhes sobre o servidor, como nome e URL.
Para o servidor MCP do Cloud Storage, insira o seguinte conforme necessário:
- Nome do servidor: servidor MCP do Cloud Storage
- URL do servidor ou Endpoint:
https://storage.googleapis.com/mcp - Transporte: HTTP
- Detalhes da autenticação: dependendo de como você quer autenticar, é possível inserir suas Google Cloud credenciais, o ID do cliente e a chave secreta do OAuth ou uma identidade e credenciais do agente. Para mais informações sobre autenticação, consulte Autenticar em servidores do MCP.
- Escopo do OAuth: um dos escopos listados neste documento que você quer usar ao se conectar ao servidor MCP do Cloud Storage.
Para orientações específicas do host sobre como configurar e se conectar ao servidor MCP, consulte o seguinte:
Para orientações mais gerais, consulte os seguintes recursos:
Ferramentas disponíveis
Para conferir detalhes das ferramentas do MCP disponíveis e as descrições delas para o servidor do MCP do Cloud Storage, consulte a referência do MCP do Cloud Storage. Para esquemas e exemplos, consulte o repositório do GitHub do MCP do Cloud Storage.
Ferramentas de lista
Use o inspetor do MCP para listar ferramentas ou envie uma
solicitação HTTP tools/list diretamente ao servidor MCP do Cloud Storage. O método tools/list não requer autenticação.
POST /mcp HTTP/1.1
Host: storage.googleapis.com
Content-Type: application/json
{
"jsonrpc": "2.0",
"method": "tools/list"
}
Chamar uma ferramenta
Para chamar uma ferramenta específica, use o método tools/call e forneça o nome da ferramenta e os argumentos necessários no objeto params. O exemplo a seguir mostra
como chamar a ferramenta list_buckets para o projeto my-project:
POST /mcp HTTP/1.1
Host: storage.googleapis.com
Content-Type: application/json
Authorization: Bearer OAUTH2_TOKEN
{
"jsonrpc": "2.0",
"method": "tools/call",
"id": "123e4567-e89b-12d3-a456-426614174000",
"params": {
"name": "list_buckets",
"arguments": {
"projectId": "my-project"
}
}
}
Exemplos de casos de uso
Confira a seguir exemplos de casos de uso do servidor MCP do Cloud Storage.
Gerenciar conteúdo e campanhas de varejo
Um exemplo de caso de uso do servidor MCP do Cloud Storage é ajudar um agente de marketing de varejista a criar e gerenciar informações de produtos e campanhas promocionais. O servidor MCP do Cloud Storage permite listar, ler e gravar objetos, além de criar buckets para armazenar recursos de produtos e campanhas usando linguagem natural.
Comando de exemplo:
Crie informações do produto para o SKU-123 usando recursos do bucket product-images. Em seguida, crie um bucket chamado campaign-q3-assets e gere e salve imagens de banner nele.
Fluxo de trabalho: o fluxo de trabalho para criar informações de produtos e campanhas pode ser semelhante a este:
- Listar recursos: o agente usa
list_objectspara encontrar todas as imagens do novo produto em um bucket do Cloud Storage dedicado. - Buscar conteúdo: o agente usa o
read_objectpara acessar recursos de produtos (até 8 MiB de tamanho) e também busca descrições de produtos em um sistema de gerenciamento de informações de produtos (PIM) usando outra ferramenta. - Gerar informações do produto: o agente gera um rascunho das informações do produto, incluindo texto de marketing e links para as imagens e vídeos.
- Criar bucket de campanha: o agente usa
create_bucketpara criar um novo bucket para recursos de campanha. - Salvar recursos da campanha: o agente gera recursos da campanha (por exemplo, banners) e usa
write_textpara salvá-los no novo bucket "campanhas". Cada recurso precisa ter menos de 8 MiB.
Analise dados financeiros
Um exemplo de caso de uso do servidor MCP do Cloud Storage é ajudar os gestores de carteira a receber insights de relatórios financeiros e gravações de áudio de ligações de traders com clientes. O servidor MCP do Cloud Storage ajuda o agente a identificar e baixar documentos relevantes e transmiti-los a um LLM para análise.
Comando de exemplo:
Quais foram as principais conclusões da divulgação de resultados mais recente da ExampleCorp e como isso se compara ao sentimento nos últimos três relatórios financeiros?
Fluxo de trabalho: o fluxo de trabalho para analisar documentos financeiros pode ser semelhante a este:
- Identificar documentos: o agente extrai palavras-chave da pergunta do usuário para identificar buckets ou prefixos relevantes, por exemplo,
earnings-calls/ExampleCorp/oufinancial-reports/ExampleCorp/, e usalist_objectspara encontrar transcrições de áudio e relatórios financeiros relevantes. - Baixar conteúdo: o agente usa
read_textouread_objectpara baixar o conteúdo dos arquivos identificados, até 8 MiB por arquivo. - Analisar e responder: o agente passa o conteúdo para um LLM para resumir descobertas, comparar sentimentos e sintetizar uma resposta à pergunta do usuário. Se necessário, outras ferramentas, como o BigQuery, podem ser usadas para uma análise mais detalhada.
Avaliar o risco do fornecedor
Um exemplo de caso de uso do servidor MCP do Cloud Storage é ajudar a automatizar o processo inicial de avaliação de risco do fornecedor para a equipe de gerenciamento de riscos de um banco. O servidor MCP do Cloud Storage permite que o agente de IA busque e analise documentos enviados por fornecedores para identificar possíveis riscos usando linguagem natural.
Comando de exemplo:
"Avalie o fornecedor "Example Inc." analisando o questionário de segurança e o certificado de compliance mais recentes no bucket vendor-docs. Resuma os possíveis riscos com base nas nossas políticas e salve o relatório".
Fluxo de trabalho: o fluxo de trabalho para avaliar o risco do fornecedor pode ser semelhante ao seguinte:
- Encontrar documentos: o agente usa a ferramenta
list_objectspara encontrar a pasta do fornecedor em um bucket do Cloud Storage dedicado a documentos do fornecedor. - Fazer o download de documentos: o agente usa
read_objectpara baixar todos os documentos relevantes, como questionários de segurança, certificados de conformidade e demonstrações financeiras, até 8 MiB por arquivo. - Analisar documentos: o agente analisa o conteúdo desses documentos, possivelmente usando outras ferramentas para extrair texto, procurar indicadores de alerta ou informações ausentes com base nas políticas de risco do banco.
- Compilar e salvar relatório: o agente compila um relatório resumido das descobertas e usa
write_textpara salvar na pasta do fornecedor no Cloud Storage para o avaliador de riscos analisar.
Configurações opcionais de segurança
A MCP apresenta novos riscos e considerações de segurança devido à grande variedade de ações que podem ser realizadas com as ferramentas dela. Para minimizar e gerenciar esses riscos, o Google Cloud oferece configurações padrão e políticas personalizáveis para controlar o uso das ferramentas do MCP na sua organização ou projeto do Google Cloud.
Para mais informações sobre segurança e governança do MCP, consulte Segurança e proteção de IA.
Usar o Model Armor
O Model Armor é um Google Cloud serviço projetado para aumentar a segurança dos seus aplicativos de IA. Ele funciona verificando proativamente os comandos e respostas de LLMs, ajudando a proteger contra vários riscos e apoiando práticas de IA responsável. Se você implanta a IA no seu ambiente de nuvem ou em provedores de nuvem externos, o Model Armor pode ajudar a evitar entradas mal-intencionadas, verificar a segurança do conteúdo, proteger dados sensíveis, oferecer suporte à compliance e aplicar suas políticas de segurança e proteção de IA de maneira consistente em todo o seu cenário diversificado de IA.
O Model Armor está disponível apenas em locais regionais específicos. Se o Model Armor estiver ativado para um projeto e uma chamada para esse projeto vier de uma região sem suporte, o Model Armor não será chamado, e a chamada será enviada sem verificação pelo Model Armor. Para mais informações, consulte Locais do Model Armor.
Ativar o Model Armor
É necessário ativar as APIs do Model Armor antes de usar o Model Armor.
Console
Ativar a API Model Armor.
Funções necessárias para ativar APIs
Para ativar as APIs, é necessário ter o papel do IAM de administrador de uso do serviço (
roles/serviceusage.serviceUsageAdmin), que contém a permissãoserviceusage.services.enable. Saiba como conceder papéis.Selecione o projeto em que você quer ativar o Model Armor.
gcloud
Antes de começar, siga estas etapas usando a Google Cloud CLI com a API Model Armor:
No console do Google Cloud , ative o Cloud Shell.
Na parte de baixo do console Google Cloud , uma sessão do Cloud Shell é iniciada e exibe um prompt de linha de comando. O Cloud Shell é um ambiente shell com a CLI do Google Cloud já instalada e com valores já definidos para o projeto atual. A inicialização da sessão pode levar alguns segundos.
-
Execute o comando a seguir para definir o endpoint de API do serviço Model Armor.
gcloud config set api_endpoint_overrides/modelarmor "https://modelarmor.LOCATION.rep.googleapis.com/"
Substitua
LOCATIONpela região em que você quer usar o Model Armor.
Configurar a proteção para servidores MCP remotos e do Google Google Cloud
Para proteger as chamadas e respostas da ferramenta MCP, use as configurações mínimas do Model Armor. Uma configuração mínima define os filtros de segurança mínimos que se aplicam a todo o projeto. Essa configuração aplica um conjunto consistente de filtros a todas as chamadas e respostas da ferramenta MCP no projeto.
Configurar um valor mínimo do Model Armor com a limpeza da MCP ativada. Para mais informações, consulte Configurar configurações mínimas do Model Armor.
Confira o exemplo de comando a seguir:
gcloud model-armor floorsettings update \ --full-uri='projects/PROJECT_ID/locations/global/floorSetting' \ --enable-floor-setting-enforcement=TRUE \ --add-integrated-services=GOOGLE_MCP_SERVER \ --google-mcp-server-enforcement-type=INSPECT_AND_BLOCK \ --enable-google-mcp-server-cloud-logging \ --malicious-uri-filter-settings-enforcement=ENABLED \ --add-rai-settings-filters='[{"confidenceLevel": "MEDIUM_AND_ABOVE", "filterType": "DANGEROUS"}]'
Substitua PROJECT_ID pelo ID do projeto Google Cloud .
Observe as seguintes configurações:
INSPECT_AND_BLOCK: o tipo de aplicação que inspeciona o conteúdo do servidor MCP do Google e bloqueia solicitações e respostas que correspondem aos filtros.ENABLED: a configuração que ativa um filtro ou uma restrição.MEDIUM_AND_ABOVE: o nível de confiança das configurações do filtro de IA responsável - perigoso. É possível modificar essa configuração, mas valores mais baixos podem resultar em mais falsos positivos. Para mais informações, consulte Níveis de confiança do Model Armor.
Desativar a verificação do tráfego do MCP com o Model Armor
Se você quiser interromper a verificação do tráfego do Google MCP com o Model Armor, execute o seguinte comando:
gcloud model-armor floorsettings update \
--full-uri='projects/PROJECT_ID/locations/global/floorSetting' \
--remove-integrated-services=GOOGLE_MCP_SERVER
Substitua PROJECT_ID pelo
Google Cloud ID do projeto.
O Model Armor não vai verificar o tráfego do MCP no projeto.
Controlar o uso do MCP com políticas de negação do IAM
As políticas de negação do Identity and Access Management (IAM) ajudam a proteger Google Cloud servidores MCP remotos. Configure essas políticas para bloquear o acesso indesejado às ferramentas do MCP.
Por exemplo, é possível negar ou permitir o acesso com base em:
- O diretor
- Propriedades da ferramenta, como somente leitura
- O ID do cliente OAuth do aplicativo
Para mais informações, consulte Controlar o uso do MCP com o Identity and Access Management.
A seguir
- Leia a documentação de referência do MCP do Cloud Storage.
- Saiba mais sobre os servidores MCP do Google Cloud.