🔌 技術調査 - Gemini Enterprise Agent Platform remote MCP server

Google Cloud が提供するフルマネージドの remote MCP (Model Context Protocol) server を調査します。外部 AI エージェント (Claude Code / Gemini CLI / Antigravity CLI / ChatGPT / カスタムアプリ) を Google Cloud 内の AI 資産へ MCP 標準で接続する「接続面」を、構造・データ・構築・利用・運用の観点で整理します。起点は Google Cloud Blog の発表記事 (2026-07-01 公開) です。

概要

何を解決するか

企業の AI 活用が進むにつれ、外部 AI エージェントが Google Cloud 内の AI 資産にアクセスする場面が増えています。これまでは各クライアントから個別に認証・統合コードを書く必要があり、IT 部門によるガバナンス適用も困難でした。

Gemini Enterprise Agent Platform remote MCP server は、この課題を「ツール追加」ではなく「接続面とガバナンスの設計」として解決します。外部エージェントが触れる Google Cloud AI 資産への入口を 1 か所に集約し、MCP 標準プロトコル経由で標準化された接続を提供します。開発チームは統合コードを書かずに既存の IDE やエージェントから Google Cloud 資産を利用でき、IT チームは IAM Deny ポリシーで主体・OAuth クライアント・read-only 区分の単位で利用制御を後から一元的に適用できます。

旧 Vertex AI との関係

本基盤は「Vertex AI」のブランドを引き継ぐ形で「Gemini Enterprise Agent Platform」として提供されています。モデルトレーニング・AutoML・Model Registry・Endpoints・Pipelines など既存の Vertex AI 機能は、引き続きプラットフォームのサブ機能として利用できます。API エンドポイントは従来どおり aiplatform.googleapis.com を使用します。エージェント基盤としての位置づけを前面に出した名称になっています。

中核となる 4 コンポーネント

remote MCP server 単体は「接続口」に過ぎません。実際のガバナンスは次の 4 コンポーネントが協調して担います。

IAM Deny と Agent Gateway は別系統の制御です。IAM Deny は Google マネージド MCP server の tool call を IAM 権限レベルで拒否します。Agent Gateway は egress 経路で Agent Registry への登録を必須化し、IAP の明示 allow を強制します。両者を別レイヤーとして組み合わせることで「deny-by-default + 明示認可」を実現します。

特徴

• MCP 標準準拠でベンダーロックインを回避 — open MCP spec (JSON-RPC 2.0 over HTTP/SSE) に準拠します。Claude Code / Gemini CLI / Antigravity CLI / ChatGPT など任意の MCP クライアントが接続できます。
• 8 toolset を即時利用可能 — 生成 AI・推論・Colab Enterprise Notebook・エンドポイント管理・モデル管理・ファインチューニング・品質評価・プロンプト管理の 8 領域をカバーします。
• IAM Deny で粒度制御 — read-only / read-write 区分・主体 (ユーザー / サービスアカウント)・OAuth クライアント ID・サービスの組み合わせで呼び出しをブロックできます。org / folder / project の各レベルで適用します。個別のツール名や toolset パス単位の判定属性は提供されないため、ツール種別の制御は read-only 区分や OAuth クライアント ID で表現します。
• Agent Registry による中央カタログ — MCP server・ツール・エージェントをキーワード / プレフィックス検索で発見でき、接続先のメタデータを一元管理します。
• deny-by-default — Agent Gateway が存在する場合、Agent Registry に未登録の MCP server・エージェント・ツールへのアクセスをデフォルトでブロックします。明示的な認可のみを許可します。
• マネージドでセットアップ最小 — Gemini Enterprise Agent Platform API を有効化するだけで remote MCP server が利用可能になり、インフラ構築・運用は不要です。
• リージョン選択に対応 — グローバル・リージョナル・マルチリージョン (EU / US) の各エンドポイントを選べます。データレジデンシー要件に合わせて使い分けます。
• 可観測性 — Cloud Logging / Cloud Trace と連携し、ツール呼び出しの監査証跡を取得できます。

構造

C4 model の 3 段階で内部構造を図解します。各図の直後に要素名と説明のテーブルを配置します。

システムコンテキスト図

コンテナ図

Agent Platform コア

8 Toolset エンドポイント

背後の AI 資産

コンポーネント図

MCP リクエスト 1 本が通る経路をドリルダウンします。

OAuth 認証フロー (補助図)

データ

概念モデル

登場するエンティティを所有関係 (subgraph の入れ子) と参照・利用関係 (矢印) で表します。

情報モデル

主要エンティティの属性を示します。概念モデルと同じエンティティ名を使います。

主要属性の補足

構築方法

前提条件

• GCP プロジェクトが作成済みで課金が有効であること。
• Google Cloud CLI (gcloud) がインストール済みで、gcloud init による初期化が完了していること。
• 必要な IAM ロールがセットアップ対象のプリンシパルに付与されていること。

MCP ツール呼び出しに必須のロールは roles/mcp.toolUser です。IAM ロールに含まれる権限は mcp.tools.call と表記され、deny policy の deniedPermissions に書く値は mcp.googleapis.com/tools.call です (同じ権限の異なる表記)。生成・モデル管理など背後 API を操作するツールは、対象 toolset に応じて追加ロール (roles/aiplatform.user 等) を必要とします。ロール名の正確な定義は公式ドキュメントを確認してください。

ステップ 1: API 有効化

Gemini Enterprise Agent Platform API を有効化すると、remote MCP server が自動的に有効になります。

gcloud services enable aiplatform.googleapis.com --project=PROJECT_ID

IAM ロール付与例:

export PROJECT_ID=$(gcloud config get-value project)
export USER_EMAIL=$(gcloud config get-value account)

# MCP ツール呼び出しに必須
gcloud projects add-iam-policy-binding $PROJECT_ID \
  --member="user:$USER_EMAIL" \
  --role="roles/mcp.toolUser"

# 背後 API を操作するツールを使う場合に追加
gcloud projects add-iam-policy-binding $PROJECT_ID \
  --member="user:$USER_EMAIL" \
  --role="roles/aiplatform.user"

ステップ 2: クライアント設定

外部 AI アプリケーションを remote MCP server に向けて設定します。対応クライアントは Gemini CLI / Claude Code / Antigravity CLI / ChatGPT / MCP 準拠カスタムアプリです。認証は OAuth 2.0 (IAM 統合) が基本で、アクセストークンの直接指定もサポートします。

Gemini CLI

Google マネージドの remote MCP server を Gemini CLI に接続する場合、拡張機能の設定ファイル ~/.gemini/extensions/EXT_NAME/gemini-extension.json を使います。認証は Application Default Credentials (ADC) を使う authProviderType: "google_credentials" が基本です。事前に ADC を取得します。

gcloud auth application-default login

~/.gemini/extensions/EXT_NAME/gemini-extension.json の記述例:

{
  "name": "EXT_NAME",
  "version": "1.0.0",
  "mcpServers": {
    "agent-platform-prompts": {
      "httpUrl": "https://aiplatform.googleapis.com/mcp/prompts",
      "authProviderType": "google_credentials",
      "oauth": {
        "scopes": ["https://www.googleapis.com/auth/cloud-platform"]
      },
      "timeout": 30000,
      "headers": {
        "x-goog-user-project": "YOUR_PROJECT_ID"
      }
    }
  }
}

複数 toolset を使う場合は mcpServers に toolset ごとのエントリを追加し、httpUrl に各 toolset のエンドポイントを指定します。既定スコープ以外が必要なら --scopes フラグまたは oauth.scopes で追加します。

enabled / clientId / clientSecret / redirectUri を含む oauth ブロックと ~/.gemini/settings.json を使う形式は、Cloud Run などに自前デプロイした MCP server を OAuth クライアントで保護する別ケースの設定です。Google マネージド server では authProviderType: "google_credentials" を使います。

Gemini CLI 内で MCP サーバーの状態を確認するコマンド:

/mcp

Claude Code

Claude Code では claude mcp add --transport http コマンドでリモート MCP サーバーを追加します。Google マネージド server は OAuth クライアント (client ID / secret) を前提とするため、--client-id / --client-secret / --callback-port を渡し、追加後に claude mcp login で認可を完了します。Google Cloud Console で OAuth 2.0 クライアント ID (ウェブアプリケーション) を作成しておきます。

# OAuth クライアントを指定して追加する
claude mcp add --transport http agent-platform-prompts \
  https://aiplatform.googleapis.com/mcp/prompts \
  --client-id "YOUR_OAUTH_CLIENT_ID" \
  --client-secret \
  --callback-port 7777

# 追加後に認可フローを実行する
claude mcp login agent-platform-prompts

短期検証では、OAuth クライアントの代わりに Bearer トークンを直接ヘッダで渡す方法もあります。

claude mcp add --transport http agent-platform-prompts \
  https://aiplatform.googleapis.com/mcp/prompts \
  --header "Authorization: Bearer $(gcloud auth print-access-token)"

--scope は既定で local (カレントプロジェクト専用) です。全プロジェクトで共有する場合は --scope user、チームのリポジトリで共有する場合は --scope project を指定します。

claude mcp add の構文とフラグは Claude Code 公式ドキュメントに基づきます (参考リンク参照)。Google Cloud 側のクライアント手順は OAuth クライアント ID / シークレットを使う custom connector 構成を案内しています。

ステップ 3: Toolset Endpoint の利用開始

8 つの toolset エンドポイントが利用可能になります。次節「利用方法」を参照して tools/list でツール一覧を確認し、tools/call でツールを呼び出します。

リージョン別 base URL

toolset パスはすべての base URL に同様に追記します (例: https://us-west4-aiplatform.googleapis.com/mcp/prompts)。

利用方法

共通パラメータ / ヘッダ

公式 curl サンプルに準拠した MCP リクエストの共通要素をまとめます。tools/list によるツール発見は認証なしで呼べる場合があります。実際のツール実行 (tools/call) では Authorization と x-goog-user-project を付けます。

アクセストークンの取得:

ACCESS_TOKEN=$(gcloud auth print-access-token)

8 toolset エンドポイント一覧

各 toolset の全ツール名は tools/list リクエストで動的に取得するか、公式 MCP ツールリファレンス (参考リンク参照) で確認します。

tools/list によるツール列挙

利用可能なツールとそのスキーマを確認します。

curl -X POST \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  -H "x-goog-user-project: YOUR_PROJECT_ID" \
  -d '{"jsonrpc": "2.0", "method": "tools/list", "id": 1}' \
  "https://aiplatform.googleapis.com/mcp/prompts"

レスポンスにはツール名・説明・入力 JSON スキーマが含まれます。

tools/call によるツール呼び出し

Prompt Management toolset の create_prompt ツールを /mcp/prompts に呼び出す例です。

2026-07-01 時点で公式 docs 間に不整合があります。toolset 一覧は create_prompt を /mcp/prompts に載せていますが、ツール個別ページの curl 例は /mcp/generate を使っています。実際の所属エンドポイントは tools/list か実機テストで確認してください。

curl --location "https://aiplatform.googleapis.com/mcp/prompts" \
  --header "Content-Type: application/json" \
  --header "Accept: application/json, text/event-stream" \
  --header "Authorization: Bearer $(gcloud auth print-access-token)" \
  --header "x-goog-user-project: YOUR_PROJECT_ID" \
  --data '{
    "jsonrpc": "2.0",
    "method": "tools/call",
    "params": {
      "name": "create_prompt",
      "arguments": {}
    },
    "id": 1
  }'

arguments に渡すパラメータ名と型は tools/list で取得したスキーマに従います。リージョナルエンドポイントを使う場合は base URL を https://REGION-aiplatform.googleapis.com/mcp/TOOLSET に置き換えます。

MCP Inspector を使った OAuth トークン取得

OAuth フローを手動で確認・テストする場合は MCP Inspector を使います。

npx @modelcontextprotocol/inspector

Inspector 上で Streamable HTTP を選択し、MCP エンドポイント URL を入力します。OAuth フローを完了するとアクセストークンを取得できます。

運用

IAM Deny policy の適用・更新

すべての MCP ツール呼び出しは権限 mcp.googleapis.com/tools.call 1 つで制御されます。IAM Deny policy でこの権限を対象にすることで、principal / read-only 区分 / OAuth client ID / service 単位の粒度制御が可能になります。8 toolset は同一サービス aiplatform.googleapis.com 配下のため、resource.service では toolset 間 (例: /mcp/prompts と /mcp/generate) を分離できません。toolset 単位で接続先を分けたい場合は、Agent Gateway と Agent Registry の登録単位で接続面を分離します。

deny policy の denialCondition で利用できる属性は次のとおりです。参照方法が 2 系統に分かれる点に注意します。

deny policy JSON 例

全ユーザーの MCP tool 呼び出しをブロックする deny-all の例です。

{
  "displayName": "Deny access to MCP tools for all users",
  "rules": [
    {
      "denyRule": {
        "deniedPrincipals": ["principalSet://goog/public:all"],
        "deniedPermissions": ["mcp.googleapis.com/tools.call"]
      }
    }
  ]
}

read-write ツールのみをブロックして read-only を既定化する例です。

{
  "rules": [
    {
      "denyRule": {
        "deniedPrincipals": ["principalSet://goog/public:all"],
        "deniedPermissions": ["mcp.googleapis.com/tools.call"],
        "denialCondition": {
          "title": "Deny read-write tools",
          "expression": "api.getAttribute('mcp.googleapis.com/tool.isReadOnly', false) == false"
        }
      }
    }
  ]
}

特定 OAuth client ID のみを許可する例です。

{
  "rules": [
    {
      "denyRule": {
        "deniedPrincipals": ["principalSet://goog/public:all"],
        "deniedPermissions": ["mcp.googleapis.com/tools.call"],
        "denialCondition": {
          "title": "Allow MCP tool use by the following client ID only",
          "expression": "!(request.auth.oauth.client_id == 'CLIENT_ID')"
        }
      }
    }
  ]
}

deny policy の作成・更新コマンド

# 作成 (policy.json に上記 JSON を保存しておく)
gcloud iam policies create mcp-deny-policy \
  --attachment-point=cloudresourcemanager.googleapis.com/projects/PROJECT_ID \
  --kind=denypolicies \
  --policy-file=policy.json

# 一覧確認
gcloud iam policies list \
  --attachment-point=cloudresourcemanager.googleapis.com/projects/PROJECT_ID \
  --kind=denypolicies \
  --format=json

# 更新 (etag を含む policy.json で楽観的ロック。先に get で最新 etag を取得する)
gcloud iam policies update mcp-deny-policy \
  --attachment-point=cloudresourcemanager.googleapis.com/projects/PROJECT_ID \
  --kind=denypolicies \
  --policy-file=updated-policy.json

• --attachment-point には organization / folder / project を指定でき、上位から継承されます。組織全体の read-write 禁止は org に、CI/CD SA への書き込み例外は project の exceptionPrincipals に置くと、影響範囲を段階的に管理できます。
• policy の変更は伝搬に数分かかります。
• exceptionPrincipals に break-glass 用の管理者 SA を入れておくと緊急時の迂回が可能になります。

Agent Registry / Agent Gateway での登録・棚卸し

Google Cloud 公式 MCP server (例: aiplatform.googleapis.com/mcp/*) は、対応 API を有効化した時点で利用可能になります。外部・カスタム MCP server は手動登録が必要です。

# 登録済み MCP server の一覧 (discovery)
gcloud agent-registry mcp-servers list \
  --project=PROJECT_ID \
  --location=REGION

# 特定 MCP server の詳細
gcloud agent-registry mcp-servers describe SERVER_NAME \
  --project=PROJECT_ID \
  --location=REGION

Agent Registry は閲覧用と書き込み用でリソースが分かれます。discovery (一覧・参照) は McpServer リソース (gcloud agent-registry mcp-servers ...)、登録・ツール定義の更新は書き込み用の Service リソース (gcloud agent-registry services create / update ...) を使います。

Agent Gateway + Registry を運用するオペレーター向けの最小権限 role の例です。

gcloud alpha iam roles create AGENT_GATEWAY_ROLE_NAME \
  --project=PROJECT_ID \
  --permissions="agentregistry.agents.list,agentregistry.agents.search,agentregistry.agents.get,agentregistry.mcpServers.list,agentregistry.mcpServers.search,agentregistry.mcpServers.get,networkservices.agentGateways.list,networkservices.agentGateways.get,networkservices.agentGateways.use"

閲覧専用 (棚卸し担当) には事前定義 role roles/agentregistry.viewer を使います。Agent Gateway は未登録のリソースへのアクセスをデフォルトでブロックし、Registry に登録されたリソースのみを通過させます。

モデルアクセス org policy

constraints/vertexai.allowedModels はリスト型 org policy で、Vertex AI API 経由で使用できるモデルと機能を制限します。値の形式は "publishers/PUBLISHER/models/MODEL_ID:FEATURE" です。

name: projects/PROJECT_ID/policies/vertexai.allowedModels
spec:
  rules:
    - values:
        deniedValues:
          - "publishers/meta/models/llama3:deploy"
          - "publishers/google/models/gemini-2.0-flash-001:tune"

YAML を適用するコマンド:

gcloud org-policies set-policy policy.yaml --project=PROJECT_ID

監査: Cloud Audit Logs での追跡

Data Access 監査ログはデフォルトで無効のため、aiplatform.googleapis.com の DATA_READ / DATA_WRITE を明示的に有効化します。

{
  "auditConfigs": [
    {
      "service": "aiplatform.googleapis.com",
      "auditLogConfigs": [
        { "logType": "DATA_READ" },
        { "logType": "DATA_WRITE" }
      ]
    }
  ]
}

Logs Explorer での MCP tool 呼び出しフィルタ例:

protoPayload.serviceName="aiplatform.googleapis.com"
protoPayload.authenticationInfo.principalEmail="user@example.com"

ベストプラクティス

接続面の設計: Registry・IAM・Gateway の役割分担

この 3 レイヤーを独立して設計し、それぞれ異なるオーナーが管理することで、変更影響を局所化できます。

最小権限 / deny-by-default / read-only 既定

• Agent Gateway は deny-by-default で動作します。明示的に IAM で許可したリソースのみが通過します。
• 新しいエージェントには最初に read-only ツールへのアクセスのみを付与し、write 権限は申請・承認フローを経て昇格させます。
• エージェントごとに identity を分離し、最小権限のロールを個別に付与します。

評価基盤とプロンプト基盤の所有者分離

• write 権限は CI/CD のサービスアカウントに限定し、人間は read のみで確認・レビューする構成が安全です。
• IAM Deny は toolset パス単位では分離できないため、人間ユーザーには read-only 区分の deny (api.getAttribute('mcp.googleapis.com/tool.isReadOnly', false) == false) を適用し、書き込みは特定 OAuth クライアント ID (CI/CD) のみ許可するパターンが有効です。toolset ごとに所有者を厳密に分けたい場合は、Agent Registry の登録と Agent Gateway の接続統制で接続面を分離します。

リージョン選択 / マルチ env 分離

• EU データレジデンシーが要件の場合は aiplatform.eu.rep.googleapis.com/mcp/ エンドポイントを使います。
• dev / staging / prod は別プロジェクトで分離し、org policy と deny policy をプロジェクト単位で管理します。同一プロジェクトに混在させると、deny policy の exceptionPrincipals 管理が複雑になります。

トラブルシューティング

まとめ

Gemini Enterprise Agent Platform remote MCP server は、外部 AI エージェントを Google Cloud の AI 資産へつなぐ「接続面」を、8 つの toolset と Agent Registry / Agent Gateway / IAM Deny によるガバナンスで標準化します。MCP 導入の論点は、ツールを増やすことではなく、スキル管理・権限制御・接続統制をどこで分けるかという設計に移っています。

この記事が少しでも参考になった、あるいは改善点などがあれば、ぜひリアクションやコメント、SNSでのシェアをいただけると励みになります！

参考リンク

• 概要 / 発表
  • Gemini Enterprise Agent Platform remote MCP server ブログ (2026-07-01)
  • Platform overview
  • MCP specification
• 構造 / データ
  • Use the Agent Platform remote MCP server (公式 docs)
  • MCP toolset reference
  • Agent Gateway overview
  • Agent Registry overview
  • IAM deny overview
  • terraform-google-agent-registry
  • terraform-google-agent-gateway
• 構築 / 利用
  • Configure MCP for AI applications (Gemini CLI / Claude Code / ChatGPT 設定の主参照)
  • Configure IAM policies / assign identity (自前 Cloud Run server の OAuth 設定)
  • Getting started with Google MCP servers (codelab)
  • Claude Code MCP docs
  • MCP authorization spec
• 運用 / ガバナンス
  • Control MCP use with IAM
  • Set up Agent Gateway
  • Register MCP servers
  • Manage MCP tools
  • MCP known issues
  • Agent Gateway codelab