Scale agents securely with IAM Helper Agent Skills and MCP Tools

通过 IAM Helper Agent 技能和 MCP 工具安全扩展代理 | Google Cloud 博客

安全与身份

通过 IAM Helper Agent 技能和 MCP 工具安全扩展代理

2026年10月27日

##### Siddharth Deekshit

产品负责人

##### Surekha Balla

高级软件工程师

##### 今天试用 Gemini

通向职场 AI 的大门

立即试用

随着组织采用自主代理构建应用，身份和访问安全变得更具挑战性。开发人员依赖代理来分配云资源、编写 Terraform 以及以机器速度部署微服务，但随着安全摩擦的增加，他们的 CI/CD 管道反而会更快被阻塞。

为帮助您在代理时代提前应对身份和访问管理（IAM），我们今天推出 IAM Helper。这套智能的、面向代理的构建模块可以自动化复杂的端到端 IAM 工作流。

作为 Google Cloud IAM 的原生代理编排和接口层，它增强了 Google Cloud 的核心 IAM 引擎（包括策略智能和特权访问管理（PAM）），使 IAM 技能可以直接被自主代码助手、部署管道和自定义代理调用。使用此功能可以减少维护最小权限安全和代理治理的管理开销，同时最大化实用性并加速部署。

IAM Helper Agent 技能：通过自动化治理实现快速、安全的部署

手动排查权限阻塞会为工程和管理员带来摩擦，而走捷径可能导致代理过度授权，危及最小权限原则。

IAM Helper 赋予代理动态处理访问管理的能力。它将策略评估的负担从人类管理员和大语言模型（LLM）转移，直接将复杂编排卸载到 Google Cloud 后端，以最大化令牌效率并防止昂贵的操作瓶颈。

IAM Helper Agent 技能并非作为孤立工具运行，而是引导代理完成云访问生命周期。这些端到端工作流、辅助脚本和防护措施采用开放的 Agent Skills 标准进行封装，可以协调多个底层功能和 API 以解决复杂的 IAM 任务。它们适用于常见代理（Gemini CLI、Gemini Cloud Assist、ADK、Claude Code 和 Cursor）。

• 自主流水线自愈：在例行部署流水线过程中，基础设施代理遇到权限阻塞。流水线不会直接导致构建失败，而是利用 IAM Helper Agent 的技能生成修订后的最小权限策略，通过 iam-helper-for-policy-simulator 对 90 天的日志进行验证，确保现有服务不会中断，并将变更提交给管理员进行快速审批。

IAM Helper Agent 技能设计注重最大化的令牌和成本效率，使代理能够自主执行多步骤的管理操作。

• 编写合规的最小权限策略：当 DevOps 工程师将访问需求转换为 JSON、YAML 或 Terraform HCL 格式时，iam-helper-for-policy-management 会自动生成并验证 IAM v1 允许绑定和 IAM v2 拒绝规则。它会在配置应用前自动检测并阻止高风险配置，包括公开访问（allUsers）和广泛的基础角色（roles/owner、roles/editor）。

• 几秒钟内解除 403 错误：当值班工程师或部署代理遇到神秘的 403 PERMISSION_DENIED 错误时，iam-helper-for-troubleshooting 能在几秒钟内识别出缺失的具体权限或阻塞规则。它会根据用户的角色进行适配：开发者可以检查是否能本地解除限制或生成结构化工单提交给管理员（请求者流程），而安全管理员则可以跨组织、文件夹和项目层级追踪继承的允许规则和 v2 拒绝规则以解决问题（解决者流程）。

• 在部署变更前模拟影响范围：在平台工程师更新策略或应用 IAM Recommender 角色缩减之前，需要确保现有工作负载不会中断。iam-helper-for-policy-simulator 引导代理按照结构化流程进行计划、模拟、分析和应用，通过测试 90 天的历史访问日志验证拟议变更不会影响现有流量，确保任何更新生效前不会造成中断。

• 按需临时提升权限而非长期授权：当响应人员或维护代理需要临时生产环境访问权限时，iam-helper-for-privileged-access-management 通过特权访问管理器（PAM）管理按需凭证的生命周期。它支持请求者、管理员和审批者的工作流程，确保提升的权限可审计、有时限，并在任务完成后自动撤销。

虽然 IAM Helper Agent 技能提供了高层工作流逻辑，但它们都基于一套通用的基础 MCP 工具。

由 Google Cloud IAM MCP 工具驱动

Google Cloud IAM Helper MCP 工具通过 Google 管理的 MCP 服务器在核心 IAM 端点（策略排查器、策略分析器、策略模拟器以及 IAM v1/v2 API）上暴露的原子性、只读函数，提供与后端的连接。

无需团队编写自定义 API 封装器，MCP 工具为代理提供了一种标准方式，可直接查询云后端并获取精确答案，无需在提示中解析冗长的策略文档，从而最大化令牌效率。代理可以动态发现并调用这些工具，执行检查权限或列出角色等基础操作，满足自定义逻辑需求。

由于层级遍历、组扩展和策略评估等操作在专用的IAM端点（涵盖IAM v1允许角色、IAM v2拒绝策略、Policy Troubleshooter和Policy Analyzer）上执行，技能能够快速而准确地运行，且消耗的令牌数量极少。团队在编写自定义Agent技能时也可以直接使用这些原子级MCP工具，从而轻松将Google Cloud的IAM功能与内部工单系统、自定义合规检查和现有部署流水线集成。

入门

加速您的智能体工作流程，减少运营开销，为部署流水线带来智能且可扩展的安全防护。立即通过我们的Google Cloud Agent Skills Catalog探索IAM Helper Agent技能，进一步深入了解官方IAM文档。

发布于

• 安全与身份
• 人工智能与机器学习