Cómo conectar Netskope a Microsoft Copilot vía MCP

💡 ¿Sin instalación? Usa cloud.anythingmcp.com directamente. Inicia sesión, pulsa Connectors → Netskope, pega tus credenciales, genera una MCP API key y listo. Sin Docker, sin git clone, sin servidor local.

Netskope + Microsoft Copilot

Netskope Security Service Edge, solo lectura: búsqueda de alertas y eventos (aplicaciones, web, red, incidentes, DLP de endpoint), el registro de auditoría de administradores, puntuaciones de riesgo de usuarios, consultas del Cloud Confidence Index, listas de URL, publishers y apps de Private Access, y usuarios y grupos SCIM.

Requisitos previos

Las instrucciones de configuración completas están incluidas en el conector (visibles en el store al seleccionarlo). Las variables de entorno requeridas:

NETSKOPE_TENANT, NETSKOPE_API_TOKEN

Paso 1 — Obtener credenciales

La configuración lleva unos 5 minutos. Necesitas un tenant de Netskope y un token de REST API v2 con privilegio Read sobre los endpoints que debe usar la IA.

1. En el tenant de Netskope abre Settings > Tools > REST API v2 y crea un token nuevo, o usa una cuenta de servicio en Settings > Administration > Administrators & Roles.
2. Añade con privilegio Read cada endpoint que deba usar la IA: /api/v2/events/datasearch/alert y los demás tipos /api/v2/events/datasearch/..., /api/v2/events/data/audit, /api/v2/ubadatasvc/user/uci, /api/v2/services/cci/app, /api/v2/policy/urllist, /api/v2/infrastructure/publishers, /api/v2/steering/apps/private, /api/v2/scim/Users y /api/v2/scim/Groups. Un endpoint que no añadas queda cerrado para la IA.
3. Pon una fecha de caducidad y copia el token en NETSKOPE_API_TOKEN. Viaja en la cabecera Netskope-Api-Token.
4. Pon en NETSKOPE_TENANT el nombre de host de tu tenant tal como aparece en la barra de direcciones, por ejemplo example.goskope.com (tenants de la UE, por ejemplo example.eu.goskope.com), sin https:// ni ruta.
5. Si el tenant usa una lista de IP permitidas (Settings > Administration > IP Allowlist), añade la dirección de salida de tu servidor AnythingMCP.
6. Instala el conector y ejecuta netskope_search_alerts para comprobar el token.

Solo lectura: todas las herramientas solo leen. netskope_get_user_risk_score se envía como POST, pero solo lee la puntuación. El conector no cambia políticas, listas de URL, publishers, apps ni usuarios.

Qué lee: las alertas (DLP, malware, políticas, anomalías, credenciales comprometidas, UBA y más); los eventos de un tipo cada vez: application (actividad en apps en la nube), page (visitas web), network (tráfico de firewall y de Private Access), incident, clientstatus (estado del cliente de Netskope en los dispositivos) y epdlp (DLP de endpoint); el registro de auditoría de administradores (quién cambió qué ajuste o política, inicios de sesión en la consola); el User Confidence Index de un usuario (UCI, una puntuación de riesgo por análisis de comportamiento de 0 a 1000) y sus cambios; el Cloud Confidence Index de una app en la nube por su nombre exacto, como Dropbox o Slack (puntuación, Cloud Confidence Level, categoría, etiquetas, si está autorizada o solo descubierta); las listas de URL usadas en las políticas; los publishers de Private Access con su estado y las apps privadas que sirven; y los usuarios y grupos aprovisionados por SCIM.

Buscar alertas y eventos: la IA fija un intervalo de tiempo (starttime y endtime en segundos Unix) y una query en el lenguaje de consulta de Netskope, como alert_type eq 'DLP' o severity eq 'high', y pide solo los fields que necesita. Para recuentos usa fields=count_total:count(_id) con groupbys (por ejemplo alert_name o user) y ordena por count_total desc. Los tenants grandes guardan millones de eventos, así que toda búsqueda de eventos lleva un intervalo de tiempo. El tiempo del UCI (from_time) va en milisegundos.

Límites: las listas de datasearch se paginan con limit y offset, las de SCIM con startIndex (desde 1) y count. Netskope limita cada endpoint a unas pocas llamadas por segundo y por encima responde 429 con Retry-After.

Errores comunes: 401 o 403 indica un token incorrecto o caducado, o un endpoint que no se añadió al token con privilegio Read; el 403 también puede venir de la lista de IP permitidas del tenant. Una llamada de datasearch que falla, por ejemplo por un campo desconocido en query, devuelve status.execution FAILED con un mensaje, y el conector lo convierte en un error. Un 404 en todas las llamadas suele indicar un NETSKOPE_TENANT incorrecto.

Paso 2 — Instalar el adapter

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Paso 3 — Añadir el conector en Microsoft Copilot

La URL de tu servidor: en AnythingMCP abre MCP Servers → el servidor donde está este conector y copia su URL (https://cloud.anythingmcp.com/mcp/…). Úsala donde esta guía muestra YOUR_SERVER_ID.

Microsoft Copilot usa servidores MCP a través de agentes creados en Copilot Studio: añades AnythingMCP a un agente como herramienta y luego publicas el agente en Microsoft 365 Copilot y Teams. Copilot Studio se conecta desde la nube de Microsoft por Streamable HTTP, que AnythingMCP admite.

1. En Copilot Studio, abre tu agente (o crea uno), ve a Tools y elige Add a tool → New tool → Model Context Protocol.
2. Escribe un Server name (por ejemplo AnythingMCP), una Server description que diga qué hace el conector y la Server URL https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID. Copilot Studio usa la descripción para decidir cuándo llamar al servidor.
3. En la autenticación, elige API key, pon Type en Header y X-API-Key como nombre de la cabecera, y selecciona Create.
4. En Add tool, elige Create a new connection, pega una clave de API MCP de AnythingMCP (MCP Servers → tu servidor → API keys) y selecciona Add to agent.
5. Pruébalo en el panel Test del agente: pide algo que necesite las herramientas de Netskope.
6. Selecciona Publish y luego Channels → Microsoft 365 and Microsoft Teams, deja marcada Make agent available in Microsoft Copilot y elige Add channel. See agent in Teams lo instala para ti; en Microsoft 365 Copilot, escribe @ y elige el agente.

¿Prefieres que cada persona inicie sesión? En lugar de la clave de API elige OAuth 2.0 → Dynamic discovery: cada usuario inicia sesión en AnythingMCP la primera vez que el agente lo llama.

¿Lo alojas tú mismo? Usa la dirección HTTPS pública de tu instancia en lugar de https://cloud.anythingmcp.com. Copilot Studio se conecta desde la nube de Microsoft, así que localhost no funciona.

Herramientas disponibles

Ejemplos de prompts

• "Muéstrame las alertas DLP de gravedad alta de las últimas 24 horas, agrupadas por usuario."
• "¿Qué usuarios generaron más alertas esta semana y qué nombres de alerta aparecen más a menudo?"
• "¿Cuál es el User Confidence Index de [email protected] y cómo ha cambiado en los últimos 30 días?"
• "Consulta el Cloud Confidence Index de Dropbox y dime si está autorizada."
• "¿Están conectados todos nuestros publishers de Private Access y qué apps privadas sirve cada uno?"

FAQ

¿Para qué Copilot es? Para Microsoft 365 Copilot en el trabajo, mediante agentes de Copilot Studio. La app de Microsoft Copilot para cuentas personales no permite añadir tu propio servidor MCP.

¿Qué necesito? Una cuenta de trabajo con acceso a Copilot Studio (licencia o prueba) para crear el agente. Quien lo use en Microsoft 365 Copilot o Teams necesita acceso al agente: compártelo o pide a un administrador que lo publique para la organización. Si tu organización aplica directivas de datos a los conectores de Power Platform, también cubren los servidores MCP.

El agente no llama a las herramientas. Comprueba que el nombre de la cabecera sea exactamente X-API-Key y que la clave pertenezca al mismo servidor MCP que la URL, y escribe una Server description concreta: Copilot Studio la usa para decidir cuándo llamar al servidor. Vuelve a publicar el agente después de cada cambio; en un chat abierto, escribe "start over" para usar la nueva versión.

Siguientes pasos

• Página del conector
• Conectar a Claude
• Conectar a ChatGPT
• Conectar a Cursor
• Conectar a Gemini
• Conectar a Meta Muse