Installation überspringen. In unter 2 Minuten einsatzbereit.
Starte eine kostenlose Testphase auf cloud.anythingmcp.com, füge Google Workspace Admin mit einem Klick hinzu und richte deinen KI-Client (Claude, ChatGPT, Copilot oder Cursor) auf den erzeugten MCP-Endpoint. Kein Docker, kein git clone, keinerlei Entwicklungserfahrung nötig.
Zusammenfassung
Google-Workspace-Verwaltung für KI-Agenten: Benutzer (anlegen, ändern, sperren, abmelden), Aliasse, Gruppen und Mitglieder, Organisationseinheiten, Admin-Rollen und Zuweisungen, ChromeOS- und Mobilgeräte, Domains sowie Audit-Logs und Nutzungsberichte. Admin SDK mit OAuth2 und einem Admin-Konto; Löschen von Benutzern, Gruppen, Mitgliedern, Aliassen und Rollenzuweisungen ist bei der Installation aus.
Frag einfach
Beispiel-Prompts für Google Workspace Admin
Klick auf einen Prompt, um ihn zu kopieren. In Claude, ChatGPT, Cursor, Gemini, Copilot oder OpenClaw einfügen — und gegen diesen Connector laufen lassen.
Claude ist KI und kann Fehler machen. Bitte Antworten gegenprüfen.
💡 Keine Installation? Nutze cloud.anythingmcp.com direkt. Einloggen, Connectors → Google Workspace Admin klicken, Zugangsdaten einfügen, MCP-API-Key erzeugen, fertig. Kein Docker, kein
git clone, kein lokaler Server.
Google Workspace Admin + Meta Muse
Google-Workspace-Verwaltung für KI-Agenten: Benutzer (anlegen, ändern, sperren, abmelden), Aliasse, Gruppen und Mitglieder, Organisationseinheiten, Admin-Rollen und Zuweisungen, ChromeOS- und Mobilgeräte, Domains sowie Audit-Logs und Nutzungsberichte. Admin SDK mit OAuth2 und einem Admin-Konto; Löschen von Benutzern, Gruppen, Mitgliedern, Aliassen und Rollenzuweisungen ist bei der Installation aus.
Voraussetzungen
Die vollständige Setup-Anleitung ist in den Connector eingebaut (im Store sichtbar, wenn du den Connector auswählst). Benötigte Umgebungsvariablen für diesen Connector:
GOOGLE_CLIENT_ID, GOOGLE_CLIENT_SECRET
Schritt 1 — Zugangsdaten holen
Die Einrichtung dauert etwa 10 Minuten. Das Google-Konto, das den Connector autorisiert, muss Workspace-Administrator eines Google-Workspace- oder Cloud-Identity-Kontos sein; der Connector arbeitet immer auf diesem Konto (my_customer).
- Öffne https://console.cloud.google.com, wähle oder erstelle ein Projekt, geh zu APIs & Services → Library und aktiviere die Admin SDK API (sie umfasst die Directory- und die Reports-API).
- Öffne APIs & Services → OAuth consent screen und wähle Internal; das Projekt muss zur selben Google-Workspace-Organisation gehören. Bei External setzt du den Veröffentlichungsstatus auf In production: Solange eine App im Status Testing ist, widerruft Google ihre Refresh Tokens nach 7 Tagen, und der Connector fällt jede Woche aus.
- Öffne APIs & Services → Credentials → Create credentials → OAuth client ID, wähle den Anwendungstyp Web application und füge die autorisierte Redirect URI
<your AnythingMCP URL>/api/mcp-oauth/callbackhinzu, auf AnythingMCP Cloudhttps://cloud.anythingmcp.com/api/mcp-oauth/callback. - Trag die Client ID in
GOOGLE_CLIENT_IDund das Client Secret inGOOGLE_CLIENT_SECRETein und installiere den Connector. - Klick auf der Connector-Seite auf Authorize with Provider und melde dich mit dem Admin-Konto an. Das Refresh Token wird verschlüsselt gespeichert, Access Tokens werden automatisch erneuert.
- Schränkt die Admin-Konsole Drittanbieter-Apps ein (Security → Access and data control → API controls), markiere diesen OAuth-Client als Trusted; sonst endet die Anmeldung mit
admin_policy_enforced. - Rufe
google_admin_get_customerauf: Es zeigt die Kunden-ID und die primäre Domain und bestätigt die Verbindung.
Ein Google-Client für alle Google-Connectoren: Dasselbe Cloud-Projekt und derselbe OAuth-Client können jeden Google-Connector bedienen (Gmail, Google Calendar, Google Drive, Google Sheets, Search Console, Analytics, Ads, Admin). Aktiviere jede API in diesem Projekt, nutze GOOGLE_CLIENT_ID und GOOGLE_CLIENT_SECRET erneut und autorisiere jeden Connector einmal; jeder fragt nur seine eigenen Scopes an.
Welches Admin-Konto: Ein Super Admin kann jedes Tool nutzen. Ein delegierter Admin kommt in die Bereiche, die seine Rolle abdeckt, sofern die Rolle auch die passenden Admin API privileges hat (Admin-Konsole → Account → Admin roles → die Rolle → Privileges → Admin API): Users für Benutzer- und Alias-Tools, Groups für Gruppen und Mitglieder, Organization Units für Organisationseinheiten, Reports für Audit und Nutzung, Services → Chrome OS und Mobile Device Management für Geräte, Domain Settings für Domains. Rollen und Rollenzuweisungen brauchen Super Admin oder das Recht Roles Management. Ein normaler Benutzer bekommt bei jedem Aufruf 403 Not Authorized to access this resource/api. Nimm ein eigenes Admin-Konto mit der kleinsten Rolle, die die Arbeit abdeckt.
Scopes: admin.directory.user, admin.directory.user.security (Abmelden), admin.directory.group, admin.directory.orgunit und admin.directory.rolemanagement, reine Lese-Scopes für ChromeOS-Geräte, Mobilgeräte, Domains und den Kunden sowie admin.reports.audit.readonly und admin.reports.usage.readonly. Für ein reines Lese-Setup ersetzt du in den OAuth-Einstellungen des Connectors die ersten fünf durch admin.directory.user.readonly, admin.directory.group.readonly, admin.directory.orgunit.readonly und admin.directory.rolemanagement.readonly und lässt admin.directory.user.security weg, autorisierst erneut und deaktivierst jedes Tool zum Anlegen, Ändern, Hinzufügen, Zuweisen, Sperren, Abmelden und Wiederherstellen.
Was er liest: das Konto selbst, seine Domains und Alias-Domains. Benutzer mit Organisationseinheit, Admin-Status, Sperre, Bestätigung in zwei Schritten, letzter Anmeldung, Aliassen, Titel, Abteilung und Vorgesetztem, gesucht mit Abfragen wie isSuspended=true, orgUnitPath='/Sales', isEnrolledIn2Sv=false, isAdmin=true oder email:anna*. Gruppen und ihre Mitglieder, die Gruppen eines Benutzers und ob ein Benutzer direkt oder über verschachtelte Gruppen Mitglied ist. Den Baum der Organisationseinheiten. Admin-Rollen mit ihren Rechten und wer welche Rolle hat. Verwaltete ChromeOS- und Mobilgeräte, gesucht mit status:provisioned, user:[email protected] oder sync:..2026-06-01 (seitdem nicht synchronisiert). Audit-Logs pro Anwendung (login, admin, drive, token, groups, mobile, meet, gmail, calendar, chrome, saml, user_accounts und weitere), eingegrenzt nach Benutzer, Zeit und Ereignis wie login_failure oder suspicious_login. Tägliche Nutzungsstatistiken für das Konto und pro Benutzer, etwa accounts:last_login_time, accounts:used_quota_in_mb oder gmail:num_emails_sent.
Was er schreibt: legt Benutzer mit Startpasswort und change_password_at_next_login an, ändert ihre Felder, das Passwort, die Organisationseinheit und den Vorgesetzten, sperrt und reaktiviert sie, meldet sie von allen Web- und Gerätesitzungen ab, stellt einen in den letzten 20 Tagen gelöschten Benutzer wieder her (nur Super Admin) und fügt Aliasse hinzu (bis zu 30 pro Benutzer). Legt Gruppen an und ändert sie, fügt Benutzer, Gruppen oder externe Adressen als Mitglieder hinzu und ändert die Rolle oder E-Mail-Zustellung eines Mitglieds. Legt Organisationseinheiten an, benennt sie um und verschiebt sie. Vergibt eine Admin-Rolle an einen Benutzer oder eine Gruppe für das ganze Konto oder eine Organisationseinheit; Super Admin kann nur ein Super Admin vergeben.
Bei der Installation deaktiviert: google_admin_delete_user, google_admin_delete_group, google_admin_remove_group_member, google_admin_delete_user_alias und google_admin_delete_role_assignment. Sie lassen sich nicht rückgängig machen (ein gelöschter Benutzer ist nur 20 Tage wiederherstellbar, eine Gruppe nie); deshalb schaltet ein Admin sie ein, wenn das Team sie braucht.
Datenformate: user_key nimmt die primäre E-Mail, einen Alias oder die unveränderliche id. In Tool-Pfaden steht eine Organisationseinheit ohne führenden Schrägstrich (Sales/EMEA) oder als id:<orgUnitId>, in Benutzerfeldern wie org_unit_path mit Schrägstrich (/Sales/EMEA). google_admin_assign_role und google_admin_undelete_user brauchen unveränderliche IDs, keine E-Mails. google_admin_update_user ändert nur die gesendeten Felder, aber Listen wie organizations, phones und relations ersetzen die ganze Liste, daher liest die KI den Benutzer vorher. Zeiten sind RFC 3339 in UTC, und eine lastLoginTime von 1970-01-01T00:00:00.000Z heißt nie angemeldet; die creationTime einer Domain sind Epoch-Millisekunden. Nutzungsberichte nehmen date als YYYY-MM-DD in pazifischer Zeit und kommen 1-3 Tage verspätet: Ein zu junges Datum liefert PARTIAL_DATA_AVAILABLE oder DATA_NOT_AVAILABLE, dann geh einen Tag zurück.
Blättern und Limits: Listen-Tools liefern nextPageToken; die KI ruft erneut mit page_token auf, bis es fehlt. Eine Seite enthält bis zu 500 Benutzer, 200 Gruppen oder Mitglieder, 300 ChromeOS-Geräte, 100 Mobilgeräte und 1.000 Aktivitäten oder Nutzungszeilen pro Benutzer. Audit-Logs kommen neueste zuerst, die meisten reichen etwa 6 Monate zurück, und Ereignisse erscheinen nach Minuten bis Stunden. Google begrenzt Abfragen pro Minute, Projekt und Benutzer: 403 quotaExceeded, rateLimitExceeded oder 429 heißt eine Minute warten und erneut versuchen. Neue Benutzer und Gruppen können ein paar Minuten brauchen, bis sie sichtbar sind.
Häufige Fehler: 401 heißt, die Autorisierung ist abgelaufen oder wurde widerrufen (immer nach 7 Tagen, solange der Zustimmungsbildschirm auf Testing steht): Klick erneut auf Authorize with Provider. 403 Not Authorized to access this resource/api heißt, das angemeldete Konto ist kein Admin oder seiner Rolle fehlt das Admin-API-Recht für diesen Bereich. 403 Request had insufficient authentication scopes heißt, nach einer Scope-Änderung erneut autorisieren. 403 "Admin SDK API has not been used in project" heißt, die API ist nicht aktiviert (Schritt 1). 404 Resource Not Found: userKey ist ein unbekannter Benutzer, Alias oder eine unbekannte ID. 409 Entity already exists heißt, E-Mail, Alias oder Mitglied sind schon vergeben. 400 Invalid Input heißt meist, dass die E-Mail-Domain nicht zum Konto gehört oder das Passwort zu kurz oder zu lang ist (8-100 Zeichen).
Der Connector liest keine Gmail- oder Drive-Inhalte (das machen die Gmail- und Google-Drive-Connectoren), ändert keine Gruppeneinstellungen wie wer posten oder beitreten darf (Groups Settings API), verwaltet keine Lizenzen, sperrt oder löscht keine Geräte und überträgt beim Offboarding keine Daten. Wer einen Benutzer löscht, löscht auch seine E-Mails und Dateien, sofern sie nicht vorher in der Admin-Konsole übertragen wurden.
Schritt 2 — Adapter installieren
curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d
Schritt 3 — Connector in Muse hinzufügen
Deine Server-URL: Öffne in AnythingMCP MCP Servers → den Server, auf dem dieser Connector liegt, und kopiere seine URL (
https://cloud.anythingmcp.com/mcp/…). Setze sie überall ein, wo diese AnleitungYOUR_SERVER_IDzeigt.
Muse bindet Remote-MCP-Server als Custom Connectors ein und meldet sich per OAuth bei ihnen an.
- Öffne in Muse Settings → Connectors und wähle Add custom connector.
- Füge die MCP-Server-URL
https://cloud.anythingmcp.com/mcp/YOUR_SERVER_IDein. - Muse öffnet die Anmeldeseite von AnythingMCP: Melde dich an und bestätige den Zugriff.
- Bitte Muse im Chat um etwas, wofür es die
Google Workspace Admin-Tools braucht.
Du kannst den Connector auch per Chat einrichten, im Web, in den Apps für iOS und Android oder in WhatsApp. Schick Muse diese Nachricht:
Create a Custom Connector for a new remote MCP server, then connect to it:
Name: AnythingMCP
Transport: remote streamable HTTP
URL: https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID
Auth: OAuth
Du hostest selbst? Nimm statt https://cloud.anythingmcp.com die öffentliche HTTPS-Adresse deiner Instanz. Muse verbindet sich aus der Cloud von Meta, localhost funktioniert deshalb nicht.
Verfügbare Tools
| Tool | What it does |
|---|---|
google_admin_get_customer | Read the Google Workspace account itself: customer id (starts with C), primary domain, organization name and postal address, language… |
google_admin_list_domains | List the domains of the Workspace account: the primary domain and every secondary domain, each with verified, isPrimary, creationTime… |
google_admin_get_domain | Read one domain of the account: whether it is verified and primary, when it was added, and its domain aliases |
google_admin_list_domain_aliases | List domain aliases (domains that mirror another domain, so every user also receives mail at user@alias-domain), with their parent domain… |
google_admin_list_users | List or search the users of the Workspace account (up to 500 per page): primaryEmail, name, id, orgUnitPath, isAdmin, suspended, archived… |
google_admin_get_user | Read one user's full admin view: name, primaryEmail, aliases, orgUnitPath, suspended and suspensionReason, isAdmin, isDelegatedAdmin… |
google_admin_create_user | Create a user account in Google Workspace |
google_admin_update_user | Change fields of an existing user; fields left out stay as they are |
google_admin_suspend_user | Suspend a user: they can no longer sign in and stop receiving mail, but the account, its data and licenses stay |
google_admin_unsuspend_user | Reactivate a suspended user so they can sign in again |
google_admin_sign_out_user | Sign a user out of every web and device session and reset their sign-in cookies, e.g. after a lost laptop or a suspected compromise |
google_admin_undelete_user | Restore a user deleted in the last 20 days (super admin only) |
google_admin_delete_user | Delete a user account |
google_admin_list_user_aliases | List a user's email aliases (extra addresses that deliver to the same mailbox) |
google_admin_add_user_alias | Add an email alias to a user, e.g. "[email protected]" |
google_admin_delete_user_alias | Remove an email alias from a user; mail to that address bounces afterwards |
google_admin_list_groups | List or search the groups of the Workspace account (up to 200 per page): email, name, description, directMembersCount, aliases, id |
google_admin_list_user_groups | List the groups one user (or one group) is a direct member of |
google_admin_get_group | Read one group: email, name, description, aliases, directMembersCount and whether an admin created it |
google_admin_create_group | Create a group (mailing list and access group) with an email on one of the account's domains |
google_admin_update_group | Change a group's email, name or description; fields left out stay as they are |
google_admin_delete_group | Delete a group with its membership list and archive; access granted through it to Drive files, calendars or apps ends |
google_admin_list_group_members | List the members of a group (up to 200 per page): email, role (OWNER, MANAGER, MEMBER), type (USER, GROUP, CUSTOMER, EXTERNAL), status and… |
google_admin_get_group_member | Read one member of a group: role, type, status and delivery setting. 404 means the address is not a direct member |
google_admin_has_group_member | Check whether a user is a member of a group, directly or through nested groups |
google_admin_add_group_member | Add a user, another group or an external address to a group. 409 "Member already exists" means it is already in |
google_admin_update_group_member | Change a group member's role (OWNER, MANAGER, MEMBER) or their mail delivery setting |
google_admin_remove_group_member | Remove a member from a group; access granted through the group ends at once |
google_admin_list_org_units | List organizational units (the tree that settings and policies apply to): name, orgUnitPath, orgUnitId, parentOrgUnitPath, description |
google_admin_get_org_unit | Read one organizational unit: name, path, id, parent and description |
google_admin_create_org_unit | Create an organizational unit under a parent unit, e.g. "EMEA" under "/Sales" |
google_admin_update_org_unit | Rename an organizational unit, change its description or move it under another parent (its users and sub-units move with it) |
google_admin_list_roles | List the admin roles of the account, prebuilt (Super Admin, Groups Admin, User Management Admin, Help Desk Admin...) and custom: roleId… |
google_admin_get_role | Read one admin role with its full list of privileges (serviceId and privilegeName) |
google_admin_list_role_assignments | List who holds which admin role: roleAssignmentId, roleId, assignedTo (a user or group id), assigneeType, scopeType (CUSTOMER = whole… |
google_admin_get_role_assignment | Read one admin role assignment by its id: role, assignee id and type, scope and org unit |
google_admin_assign_role | Give a user or group an admin role, for the whole account or one organizational unit. assigned_to is the user's or group's immutable id… |
google_admin_delete_role_assignment | Take an admin role away from a user or group by deleting the role assignment |
google_admin_list_chromeos_devices | List managed ChromeOS devices (Chromebooks, Chromeboxes, kiosks; up to 300 per page): deviceId, serialNumber, model, status (ACTIVE… |
google_admin_get_chromeos_device | Read one ChromeOS device by its deviceId: hardware, OS and firmware versions, enrolment, last sync and user, network addresses, auto-update… |
google_admin_list_mobile_devices | List mobile devices (Android and iOS phones and tablets) that sync with Google Workspace (up to 100 per page): resourceId, email, name… |
google_admin_get_mobile_device | Read one mobile device by its resourceId: owner, model, OS version, status, compromised status, encryption, first and last sync and the… |
google_admin_list_activities | Audit log: who did what and when in one Google Workspace application, newest first (up to 1,000 per page) |
google_admin_get_customer_usage | Account-wide usage statistics for one day: active users, licenses, Gmail volume, Drive storage, Meet minutes, 2SV adoption, etc |
google_admin_get_user_usage | Per-user usage statistics for one day: last login, emails sent and received, Drive storage used, 2SV enrolment, Meet calls, etc. user_key… |
Beispiel-Prompts
- „Welche Benutzer haben die Bestätigung in zwei Schritten nicht eingerichtet? Gruppiere sie nach Organisationseinheit.“
- „Leg [email protected] für Jane Doe in /Sales/EMEA mit einem temporären Passwort an und füge sie zu [email protected] hinzu.“
- „Wer hat gerade eine Admin-Rolle, und welche?“
- „Zeig die fehlgeschlagenen und verdächtigen Anmeldungen der letzten 7 Tage.“
- „Sperr [email protected] und meld ihn von allen Sitzungen ab.“
FAQ
Wo ist Muse verfügbar? Meta bietet Muse derzeit in den USA und in Kanada an, im Web, in den Apps für iOS und Android und in WhatsApp.
Prüft Meta diesen Connector? Nein. Meta prüft Custom Connectors nicht. Muse sieht nur die Tools, die du in AnythingMCP für diesen MCP-Server eingeschaltet hast, und du kannst den Connector jederzeit unter Settings → Connectors trennen.
Nächste Schritte
- Connector-Startseite
- Mit Claude verbinden
- Mit ChatGPT verbinden
- Mit Cursor verbinden
- Mit Gemini verbinden
- Mit Microsoft Copilot verbinden
War dieser Guide hilfreich?