Come collegare Netskope a Microsoft Copilot via MCP

💡 Niente installazione? Vai direttamente su cloud.anythingmcp.com. Accedi, clicca Connectors → Netskope, inserisci le credenziali, genera una MCP API key e hai finito. Niente Docker, niente git clone, niente server locale.

Netskope + Microsoft Copilot

Netskope Security Service Edge, in sola lettura: ricerca di alert ed eventi (applicazioni, web, rete, incidenti, DLP endpoint), audit log degli amministratori, punteggi di rischio degli utenti, consultazione del Cloud Confidence Index, liste di URL, publisher e app di Private Access, utenti e gruppi SCIM.

Prerequisiti

Le istruzioni di setup complete sono incluse nel connettore stesso (visibili nello store quando lo selezioni). Le variabili d'ambiente richieste sono:

NETSKOPE_TENANT, NETSKOPE_API_TOKEN

Step 1 — Ottieni le credenziali

La configurazione richiede circa 5 minuti. Ti servono un tenant Netskope e un token REST API v2 con privilegio Read sugli endpoint che l'AI deve usare.

1. Nel tenant Netskope apri Settings > Tools > REST API v2 e crea un nuovo token, oppure usa un account di servizio in Settings > Administration > Administrators & Roles.
2. Aggiungi con privilegio Read ogni endpoint che l'AI deve usare: /api/v2/events/datasearch/alert e gli altri tipi /api/v2/events/datasearch/..., /api/v2/events/data/audit, /api/v2/ubadatasvc/user/uci, /api/v2/services/cci/app, /api/v2/policy/urllist, /api/v2/infrastructure/publishers, /api/v2/steering/apps/private, /api/v2/scim/Users e /api/v2/scim/Groups. Un endpoint che non aggiungi resta chiuso all'AI.
3. Imposta una scadenza e copia il token in NETSKOPE_API_TOKEN. Viaggia nell'header Netskope-Api-Token.
4. Imposta NETSKOPE_TENANT sul nome host del tuo tenant come appare nella barra degli indirizzi, ad esempio example.goskope.com (tenant UE ad esempio example.eu.goskope.com), senza https:// né percorso.
5. Se il tenant usa una IP allowlist (Settings > Administration > IP Allowlist), aggiungi l'indirizzo in uscita del tuo server AnythingMCP.
6. Installa il connettore ed esegui netskope_search_alerts per verificare il token.

Sola lettura: ogni tool si limita a leggere. netskope_get_user_risk_score viene inviato come POST, ma legge soltanto il punteggio. Il connettore non modifica policy, liste di URL, publisher, app o utenti.

Cosa legge: gli alert (DLP, malware, policy, anomalie, credenziali compromesse, UBA e altro); gli eventi di un tipo alla volta: application (attività nelle app cloud), page (visite web), network (traffico firewall e Private Access), incident, clientstatus (stato del client Netskope sui dispositivi) ed epdlp (DLP endpoint); l'audit log degli amministratori (chi ha cambiato quale impostazione o policy, accessi alla console); lo User Confidence Index di un utente (UCI, punteggio di rischio da analisi comportamentale da 0 a 1000) e le sue variazioni; il Cloud Confidence Index di un'app cloud dal suo nome esatto, come Dropbox o Slack (punteggio, Cloud Confidence Level, categoria, tag, se è autorizzata o solo rilevata); le liste di URL usate nelle policy; i publisher di Private Access con il loro stato e le app private che servono; e gli utenti e i gruppi forniti via SCIM.

Cercare alert ed eventi: l'AI imposta un intervallo di tempo (starttime e endtime in secondi Unix) e una query nel linguaggio di Netskope, come alert_type eq 'DLP' o severity eq 'high', e chiede solo i fields che le servono. Per i conteggi usa fields=count_total:count(_id) con groupbys (ad esempio alert_name o user) e ordina per count_total desc. I tenant grandi contengono milioni di eventi, quindi ogni ricerca di eventi ha un intervallo di tempo. Il tempo dell'UCI (from_time) è in millisecondi.

Limiti: le liste datasearch si sfogliano con limit e offset, quelle SCIM con startIndex (da 1) e count. Netskope limita ogni endpoint a poche chiamate al secondo e oltre risponde 429 con Retry-After.

Errori comuni: 401 o 403 indicano un token errato o scaduto, oppure un endpoint non aggiunto al token con privilegio Read; il 403 può arrivare anche dalla IP allowlist del tenant. Una chiamata datasearch che fallisce, ad esempio per un campo sconosciuto in query, riporta status.execution FAILED con un messaggio, e il connettore lo trasforma in un errore. Un 404 su ogni chiamata di solito indica un NETSKOPE_TENANT errato.

Step 2 — Installa l'adapter

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Step 3 — Aggiungi il connettore in Microsoft Copilot

L'URL del tuo server: in AnythingMCP apri MCP Servers → il server su cui si trova questo connettore e copia il suo URL (https://cloud.anythingmcp.com/mcp/…). Usalo ovunque questa guida mostra YOUR_SERVER_ID.

Microsoft Copilot usa i server MCP tramite gli agenti creati in Copilot Studio: aggiungi AnythingMCP a un agente come strumento, poi pubblichi l'agente in Microsoft 365 Copilot e in Teams. Copilot Studio si collega dal cloud di Microsoft via Streamable HTTP, che AnythingMCP supporta.

1. In Copilot Studio apri il tuo agente (o creane uno), vai su Tools e scegli Add a tool → New tool → Model Context Protocol.
2. Inserisci un Server name (per esempio AnythingMCP), una Server description che dica cosa fa il connettore e il Server URL https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID. Copilot Studio usa la descrizione per decidere quando chiamare il server.
3. Come autenticazione scegli API key, imposta Type su Header e come nome dell'header X-API-Key, poi seleziona Create.
4. In Add tool scegli Create a new connection, incolla una chiave API MCP di AnythingMCP (MCP Servers → il tuo server → API keys) e seleziona Add to agent.
5. Provalo nel riquadro Test dell'agente: chiedi qualcosa che richiede i tool di Netskope.
6. Seleziona Publish, poi Channels → Microsoft 365 and Microsoft Teams, lascia selezionato Make agent available in Microsoft Copilot e scegli Add channel. See agent in Teams lo installa per te; in Microsoft 365 Copilot scrivi @ e scegli l'agente.

Preferisci un accesso per ogni utente? Al posto della chiave API scegli OAuth 2.0 → Dynamic discovery: ogni persona accede ad AnythingMCP la prima volta che l'agente lo chiama.

Usi il self-hosting? Usa l'indirizzo HTTPS pubblico della tua istanza al posto di https://cloud.anythingmcp.com. Copilot Studio si collega dal cloud di Microsoft, quindi localhost non funziona.

Tool disponibili

Esempi di prompt

• "Mostrami gli alert DLP di gravità alta delle ultime 24 ore, raggruppati per utente."
• "Quali utenti hanno generato più alert questa settimana, e quali nomi di alert ricorrono più spesso?"
• "Qual è lo User Confidence Index di [email protected], e come è cambiato negli ultimi 30 giorni?"
• "Cerca il Cloud Confidence Index di Dropbox e dimmi se l'app è autorizzata."
• "I nostri publisher di Private Access sono tutti connessi? Quali app private serve ciascuno?"

FAQ

Per quale Copilot vale? Per Microsoft 365 Copilot in azienda, tramite gli agenti di Copilot Studio. L'app Microsoft Copilot per account personali non permette di aggiungere un proprio server MCP.

Cosa mi serve? Un account di lavoro con accesso a Copilot Studio (licenza o prova) per creare l'agente. Chi lo usa in Microsoft 365 Copilot o in Teams deve avere accesso all'agente: condividilo, oppure chiedi a un amministratore di pubblicarlo per l'organizzazione. Se la tua organizzazione applica criteri sui dati ai connettori di Power Platform, valgono anche per i server MCP.

L'agente non chiama i tool. Controlla che il nome dell'header sia esattamente X-API-Key e che la chiave appartenga allo stesso server MCP dell'URL, e scrivi una Server description precisa: Copilot Studio la usa per decidere quando chiamare il server. Dopo ogni modifica pubblica di nuovo l'agente; in una chat già aperta scrivi "start over" per passare alla nuova versione.

Prossimi passi

• Landing del connettore
• Collegare a Claude
• Collegare a ChatGPT
• Collegare a Cursor
• Collegare a Gemini
• Collegare a Meta Muse