Come collegare Google Workspace Admin a Claude via MCP

💡 Niente installazione? Vai direttamente su cloud.anythingmcp.com. Accedi, clicca Connectors → Google Workspace Admin, inserisci le credenziali, genera una MCP API key e hai finito. Niente Docker, niente git clone, niente server locale.

Google Workspace Admin + Claude

Amministrazione di Google Workspace per agenti AI: utenti (crea, modifica, sospendi, disconnetti), alias, gruppi e membri, unità organizzative, ruoli di amministratore e assegnazioni, dispositivi ChromeOS e mobili, domini, più log di controllo e report di utilizzo. Admin SDK con OAuth2 e un account amministratore; l'eliminazione di utenti, gruppi, membri, alias e assegnazioni di ruolo è disattivata all'installazione.

Prerequisiti

Le istruzioni di setup complete sono incluse nel connettore stesso (visibili nello store quando lo selezioni). Le variabili d'ambiente richieste sono:

GOOGLE_CLIENT_ID, GOOGLE_CLIENT_SECRET

Step 1 — Ottieni le credenziali

La configurazione richiede circa 10 minuti. L'account Google che autorizza il connettore deve essere un amministratore Workspace di un account Google Workspace o Cloud Identity; il connettore lavora sempre su quell'account (my_customer).

1. Apri https://console.cloud.google.com, scegli o crea un progetto, poi vai su APIs & Services → Library e attiva la Admin SDK API (copre le API Directory e Reports).
2. Apri APIs & Services → OAuth consent screen e scegli Internal; il progetto deve appartenere alla stessa organizzazione Google Workspace. Per External imposta lo stato di pubblicazione su In production: finché un'app è in Testing, Google revoca i suoi refresh token dopo 7 giorni e il connettore si ferma ogni settimana.
3. Apri APIs & Services → Credentials → Create credentials → OAuth client ID, scegli il tipo di applicazione Web application e aggiungi il redirect URI autorizzato <your AnythingMCP URL>/api/mcp-oauth/callback, su AnythingMCP Cloud https://cloud.anythingmcp.com/api/mcp-oauth/callback.
4. Incolla il client ID in GOOGLE_CLIENT_ID e il client secret in GOOGLE_CLIENT_SECRET, poi installa il connettore.
5. Nella pagina del connettore clicca Authorize with Provider e accedi con l'account amministratore. Il refresh token viene salvato cifrato e gli access token si rinnovano da soli.
6. Se la Console di amministrazione limita le app di terze parti (Security → Access and data control → API controls), contrassegna questo client OAuth come Trusted; altrimenti l'accesso termina con admin_policy_enforced.
7. Esegui google_admin_get_customer: mostra l'ID cliente e il dominio principale e conferma la connessione.

Un solo client Google per tutti i connettori Google: lo stesso progetto Cloud e lo stesso client OAuth possono servire ogni connettore Google (Gmail, Google Calendar, Google Drive, Google Sheets, Search Console, Analytics, Ads, Admin). Attiva ogni API in quel progetto, riusa GOOGLE_CLIENT_ID e GOOGLE_CLIENT_SECRET e autorizza ogni connettore una volta; ognuno chiede solo i propri scope.

Quale account amministratore: un Super Admin può usare ogni tool. Un amministratore delegato lavora sulle parti coperte dal suo ruolo, purché il ruolo abbia anche i corrispondenti Admin API privileges (Console di amministrazione → Account → Admin roles → il ruolo → Privileges → Admin API): Users per i tool di utenti e alias, Groups per gruppi e membri, Organization Units per le unità organizzative, Reports per controllo e utilizzo, Services → Chrome OS e Mobile Device Management per i dispositivi, Domain Settings per i domini. Ruoli e assegnazioni di ruolo richiedono Super Admin o il privilegio Roles Management. Un utente normale riceve 403 Not Authorized to access this resource/api a ogni chiamata. Usa un account amministratore dedicato con il ruolo più piccolo che copre il lavoro.

Scope: admin.directory.user, admin.directory.user.security (disconnessione), admin.directory.group, admin.directory.orgunit e admin.directory.rolemanagement, scope di sola lettura per dispositivi ChromeOS, dispositivi mobili, domini e cliente, più admin.reports.audit.readonly e admin.reports.usage.readonly. Per una configurazione in sola lettura sostituisci i primi cinque con admin.directory.user.readonly, admin.directory.group.readonly, admin.directory.orgunit.readonly e admin.directory.rolemanagement.readonly e togli admin.directory.user.security nelle impostazioni OAuth del connettore, autorizza di nuovo e disattiva ogni tool di creazione, modifica, aggiunta, assegnazione, sospensione, disconnessione e ripristino.

Cosa legge: l'account stesso, i suoi domini e domini alias. Gli utenti con unità organizzativa, stato di amministratore, sospensione, verifica in due passaggi, ultimo accesso, alias, qualifica, reparto e responsabile, cercati con query come isSuspended=true, orgUnitPath='/Sales', isEnrolledIn2Sv=false, isAdmin=true o email:anna*. I gruppi e i loro membri, i gruppi di un utente e se un utente fa parte di un gruppo direttamente o tramite gruppi annidati. L'albero delle unità organizzative. I ruoli di amministratore con i loro privilegi e chi ha quale ruolo. I dispositivi ChromeOS e mobili gestiti, cercati con status:provisioned, user:[email protected] o sync:..2026-06-01 (non sincronizzati da allora). I log di controllo per applicazione (login, admin, drive, token, groups, mobile, meet, gmail, calendar, chrome, saml, user_accounts e altri), filtrati per utente, periodo ed evento come login_failure o suspicious_login. Le statistiche di utilizzo giornaliere per l'account e per utente, come accounts:last_login_time, accounts:used_quota_in_mb o gmail:num_emails_sent.

Cosa scrive: crea utenti con una password iniziale e change_password_at_next_login, ne modifica campi, password, unità organizzativa e responsabile, li sospende e riattiva, li disconnette da tutte le sessioni web e sui dispositivi, ripristina un utente eliminato negli ultimi 20 giorni (solo Super Admin) e aggiunge alias (fino a 30 per utente). Crea e modifica gruppi, aggiunge come membri utenti, gruppi o indirizzi esterni e cambia ruolo o recapito della posta di un membro. Crea, rinomina e sposta unità organizzative. Assegna un ruolo di amministratore a un utente o gruppo per tutto l'account o per un'unità organizzativa; solo un Super Admin può assegnare Super Admin.

Disattivati all'installazione: google_admin_delete_user, google_admin_delete_group, google_admin_remove_group_member, google_admin_delete_user_alias e google_admin_delete_role_assignment. Non si possono annullare (un utente eliminato si recupera solo per 20 giorni, un gruppo mai), quindi un admin li attiva quando il team ne ha bisogno.

Formati dei dati: user_key accetta l'email principale, un alias o l'id immutabile. Nei percorsi dei tool un'unità organizzativa si scrive senza la barra iniziale (Sales/EMEA) o come id:<orgUnitId>; nei campi utente come org_unit_path con la barra (/Sales/EMEA). google_admin_assign_role e google_admin_undelete_user richiedono ID immutabili, non email. google_admin_update_user cambia solo i campi inviati, ma liste come organizations, phones e relations sostituiscono l'intera lista, quindi l'AI legge prima l'utente. Gli orari sono RFC 3339 in UTC, e un lastLoginTime pari a 1970-01-01T00:00:00.000Z significa mai connesso; il creationTime di un dominio è in millisecondi epoch. I report di utilizzo prendono date come YYYY-MM-DD nel fuso del Pacifico e arrivano con 1-3 giorni di ritardo: una data troppo recente restituisce PARTIAL_DATA_AVAILABLE o DATA_NOT_AVAILABLE, quindi torna indietro di un giorno.

Paginazione e limiti: i tool di elenco restituiscono nextPageToken; l'AI richiama con page_token finché non manca. Una pagina contiene fino a 500 utenti, 200 gruppi o membri, 300 dispositivi ChromeOS, 100 dispositivi mobili e 1.000 attività o righe di utilizzo per utente. I log di controllo arrivano dal più recente, quasi tutti risalgono a circa 6 mesi, e gli eventi compaiono dopo minuti o ore. Google limita le query al minuto per progetto e per utente: 403 quotaExceeded, rateLimitExceeded o 429 significa aspettare un minuto e riprovare. Nuovi utenti e gruppi possono richiedere qualche minuto prima di essere visibili.

Errori comuni: 401 significa che l'autorizzazione è scaduta o è stata revocata (sempre dopo 7 giorni finché la schermata di consenso è in Testing): clicca di nuovo Authorize with Provider. 403 Not Authorized to access this resource/api significa che l'account collegato non è amministratore o che al suo ruolo manca il privilegio Admin API per quest'area. 403 Request had insufficient authentication scopes significa autorizzare di nuovo dopo una modifica degli scope. 403 "Admin SDK API has not been used in project" significa che l'API non è attiva (passo 1). 404 Resource Not Found: userKey è un utente, alias o ID sconosciuto. 409 Entity already exists significa che email, alias o membro sono già in uso. 400 Invalid Input di solito significa che il dominio dell'email non appartiene all'account o che la password è troppo corta o troppo lunga (8-100 caratteri).

Il connettore non legge contenuti di Gmail o Drive (lo fanno i connettori Gmail e Google Drive), non cambia le impostazioni dei gruppi come chi può pubblicare o iscriversi (Groups Settings API), non gestisce licenze, non blocca né cancella dispositivi e non trasferisce dati in fase di offboarding. Eliminare un utente elimina anche la sua posta e i suoi file, se non sono stati trasferiti prima nella Console di amministrazione.

Step 2 — Installa l'adapter

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Step 3 — Aggiungi il connettore in Claude

L'URL del tuo server: in AnythingMCP apri MCP Servers → il server su cui si trova questo connettore e copia il suo URL (https://cloud.anythingmcp.com/mcp/…). Usalo ovunque questa guida mostra YOUR_SERVER_ID.

Percorso consigliato: funziona su claude.ai web senza toccare alcun file di configurazione.

1. In Claude apri Customize → Connectors.
2. Clicca + e poi Add custom connector.
3. Inserisci un nome, ad esempio Google Workspace Admin, e l'URL del server MCP remoto https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID, poi clicca Add.
4. Clicca Connect e accedi ad AnythingMCP (OAuth) per consentire l'accesso.

Tutti i tool sotto compaiono nella tua chat: inizia a scrivere prompt.

Tool disponibili

Esempi di prompt

• "Quali utenti non hanno attivato la verifica in due passaggi? Raggruppali per unità organizzativa."
• "Crea [email protected] per Jane Doe in /Sales/EMEA con una password temporanea e aggiungila a [email protected]."
• "Chi ha un ruolo di amministratore in questo momento, e quale?"
• "Mostrami gli accessi non riusciti e sospetti degli ultimi 7 giorni."
• "Sospendi [email protected] e disconnettilo da tutte le sessioni."

FAQ

Funziona con Claude Code come con Claude Desktop? Sì, punta entrambi a https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID.

Prossimi passi

• Landing del connettore
• Collegare a ChatGPT
• Collegare a Cursor
• Collegare a Gemini
• Collegare a Meta Muse
• Collegare a Microsoft Copilot