Как подключить Google Workspace Admin к Cursor через MCP

💡 Без установки? Используйте cloud.anythingmcp.com напрямую. Войдите, нажмите Connectors → Google Workspace Admin, вставьте учётные данные, создайте MCP API key, и готово. Без Docker, без git clone, без локального сервера.

Google Workspace Admin + Cursor

Администрирование Google Workspace для AI-агентов: пользователи (создание, изменение, блокировка, выход из сеансов), псевдонимы, группы и участники, организационные подразделения, роли администраторов и назначения, устройства ChromeOS и мобильные устройства, домены, а также журналы аудита и отчёты об использовании. Admin SDK с OAuth2 и аккаунтом администратора; удаление пользователей, групп, участников, псевдонимов и назначений ролей отключено при установке.

Предварительные требования

Полные инструкции по настройке встроены в коннектор (видны в магазине при выборе коннектора). Требуемые переменные окружения:

GOOGLE_CLIENT_ID, GOOGLE_CLIENT_SECRET

Шаг 1 — Получите учётные данные

Настройка занимает около 10 минут. Аккаунт Google, который авторизует коннектор, должен быть администратором Workspace в аккаунте Google Workspace или Cloud Identity; коннектор всегда работает с этим аккаунтом (my_customer).

1. Откройте https://console.cloud.google.com, выберите или создайте проект, перейдите в APIs & Services → Library и включите Admin SDK API (он охватывает Directory API и Reports API).
2. Откройте APIs & Services → OAuth consent screen и выберите Internal; проект должен принадлежать той же организации Google Workspace. Для External установите статус публикации In production: пока приложение в статусе Testing, Google отзывает его refresh token через 7 дней, и коннектор перестаёт работать каждую неделю.
3. Откройте APIs & Services → Credentials → Create credentials → OAuth client ID, выберите тип приложения Web application и добавьте разрешённый redirect URI <your AnythingMCP URL>/api/mcp-oauth/callback, в AnythingMCP Cloud https://cloud.anythingmcp.com/api/mcp-oauth/callback.
4. Вставьте client ID в GOOGLE_CLIENT_ID и client secret в GOOGLE_CLIENT_SECRET, затем установите коннектор.
5. На странице коннектора нажмите Authorize with Provider и войдите аккаунтом администратора. Refresh token хранится в зашифрованном виде, access token обновляется автоматически.
6. Если консоль администратора ограничивает сторонние приложения (Security → Access and data control → API controls), отметьте этот OAuth-клиент как Trusted; иначе вход завершится ошибкой admin_policy_enforced.
7. Вызовите google_admin_get_customer: он покажет ID клиента и основной домен и подтвердит подключение.

Один клиент Google для всех коннекторов Google: один и тот же проект Cloud и OAuth-клиент могут обслуживать все коннекторы Google (Gmail, Google Calendar, Google Drive, Google Sheets, Search Console, Analytics, Ads, Admin). Включите каждый API в этом проекте, используйте те же GOOGLE_CLIENT_ID и GOOGLE_CLIENT_SECRET и авторизуйте каждый коннектор один раз; каждый запрашивает только свои области доступа.

Какой аккаунт администратора: суперадминистратор (Super Admin) может пользоваться всеми инструментами. Делегированный администратор работает в тех частях, которые покрывает его роль, если у роли есть и соответствующие Admin API privileges (консоль администратора → Account → Admin roles → роль → Privileges → Admin API): Users для инструментов пользователей и псевдонимов, Groups для групп и участников, Organization Units для подразделений, Reports для аудита и использования, Services → Chrome OS и Mobile Device Management для устройств, Domain Settings для доменов. Роли и их назначения требуют Super Admin или привилегии Roles Management. Обычный пользователь получает 403 Not Authorized to access this resource/api на любой вызов. Используйте отдельный аккаунт администратора с минимальной ролью, покрывающей задачи.

Области доступа: admin.directory.user, admin.directory.user.security (выход из сеансов), admin.directory.group, admin.directory.orgunit и admin.directory.rolemanagement, области только для чтения для устройств ChromeOS, мобильных устройств, доменов и клиента, а также admin.reports.audit.readonly и admin.reports.usage.readonly. Для режима только чтения замените в настройках OAuth коннектора первые пять на admin.directory.user.readonly, admin.directory.group.readonly, admin.directory.orgunit.readonly и admin.directory.rolemanagement.readonly, уберите admin.directory.user.security, авторизуйтесь заново и отключите все инструменты создания, изменения, добавления, назначения, блокировки, выхода из сеансов и восстановления.

Что он читает: сам аккаунт, его домены и домены-псевдонимы. Пользователей с подразделением, статусом администратора, блокировкой, двухэтапной аутентификацией, последним входом, псевдонимами, должностью, отделом и руководителем, с поиском по запросам вроде isSuspended=true, orgUnitPath='/Sales', isEnrolledIn2Sv=false, isAdmin=true или email:anna*. Группы и их участников, группы одного пользователя и состоит ли пользователь в группе напрямую или через вложенные группы. Дерево организационных подразделений. Роли администраторов с их привилегиями и у кого какая роль. Управляемые устройства ChromeOS и мобильные устройства, с поиском по status:provisioned, user:[email protected] или sync:..2026-06-01 (не синхронизировались с этой даты). Журналы аудита по приложениям (login, admin, drive, token, groups, mobile, meet, gmail, calendar, chrome, saml, user_accounts и другие) с отбором по пользователю, времени и событию, например login_failure или suspicious_login. Ежедневную статистику использования по аккаунту и по пользователям, например accounts:last_login_time, accounts:used_quota_in_mb или gmail:num_emails_sent.

Что он пишет: создаёт пользователей с начальным паролем и change_password_at_next_login, меняет их поля, пароль, подразделение и руководителя, блокирует и разблокирует их, завершает все их веб-сеансы и сеансы на устройствах, восстанавливает пользователя, удалённого за последние 20 дней (только Super Admin), и добавляет псевдонимы (до 30 на пользователя). Создаёт и меняет группы, добавляет в них пользователей, группы или внешние адреса и меняет роль или доставку почты участника. Создаёт, переименовывает и перемещает организационные подразделения. Назначает роль администратора пользователю или группе на весь аккаунт или одно подразделение; роль Super Admin может назначить только Super Admin.

Отключены при установке: google_admin_delete_user, google_admin_delete_group, google_admin_remove_group_member, google_admin_delete_user_alias и google_admin_delete_role_assignment. Их нельзя отменить (удалённого пользователя можно восстановить только в течение 20 дней, группу никогда), поэтому администратор включает их, когда они нужны команде.

Форматы данных: user_key принимает основной e-mail, псевдоним или неизменяемый id. В путях инструментов подразделение пишется без начальной косой черты (Sales/EMEA) или как id:<orgUnitId>; в полях пользователя вроде org_unit_path с ней (/Sales/EMEA). google_admin_assign_role и google_admin_undelete_user требуют неизменяемые ID, а не e-mail. google_admin_update_user меняет только переданные поля, но списки вроде organizations, phones и relations заменяются целиком, поэтому ИИ сначала читает пользователя. Время передаётся в RFC 3339 по UTC, а lastLoginTime, равный 1970-01-01T00:00:00.000Z, означает, что пользователь ни разу не входил; creationTime домена указан в миллисекундах эпохи. Отчёты об использовании принимают date как YYYY-MM-DD по тихоокеанскому времени и приходят с задержкой 1-3 дня: слишком свежая дата возвращает PARTIAL_DATA_AVAILABLE или DATA_NOT_AVAILABLE, тогда отступите на день назад.

Постраничный вывод и лимиты: инструменты списков возвращают nextPageToken; ИИ вызывает их снова с page_token, пока он не пропадёт. Страница вмещает до 500 пользователей, 200 групп или участников, 300 устройств ChromeOS, 100 мобильных устройств и 1 000 событий или строк использования по пользователям. Журналы аудита идут от новых к старым, большинство охватывает около 6 месяцев, а события появляются через минуты или часы. Google ограничивает число запросов в минуту на проект и на пользователя: 403 quotaExceeded, rateLimitExceeded или 429 означает подождать минуту и повторить. Новые пользователи и группы могут стать видимыми только через несколько минут.

Частые ошибки: 401 означает, что авторизация истекла или отозвана (всегда через 7 дней, пока экран согласия в статусе Testing): снова нажмите Authorize with Provider. 403 Not Authorized to access this resource/api означает, что подключённый аккаунт не администратор или у его роли нет привилегии Admin API для этой области. 403 Request had insufficient authentication scopes означает, что после смены областей доступа нужно авторизоваться заново. 403 "Admin SDK API has not been used in project" значит, что API не включён (шаг 1). 404 Resource Not Found: userKey значит неизвестного пользователя, псевдоним или ID. 409 Entity already exists значит, что e-mail, псевдоним или участник уже заняты. 400 Invalid Input обычно значит, что домен e-mail не принадлежит аккаунту или пароль слишком короткий или длинный (8-100 символов).

Коннектор не читает содержимое Gmail и Drive (для этого есть коннекторы Gmail и Google Drive), не меняет настройки групп вроде того, кто может публиковать или вступать (Groups Settings API), не управляет лицензиями, не блокирует и не стирает устройства и не переносит данные при увольнении. Удаление пользователя удаляет и его почту и файлы, если их заранее не перенесли в консоли администратора.

Шаг 2 — Установите адаптер

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Шаг 3 — Добавьте коннектор в Cursor

URL вашего сервера: в AnythingMCP откройте MCP Servers → сервер, на котором находится этот коннектор, и скопируйте его URL (https://cloud.anythingmcp.com/mcp/…). Используйте его везде, где в этом руководстве указано YOUR_SERVER_ID.

Cursor читает MCP-серверы из ~/.cursor/mcp.json. Добавь эту запись:

{
  "mcpServers": {
    "anythingmcp": {
      "url": "https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID",
      "headers": { "X-API-Key": "YOUR_MCP_API_KEY" }
    }
  }
}

1. Создай MCP API-ключ в AnythingMCP в разделе MCP Servers → твой сервер → API keys и вставь его вместо YOUR_MCP_API_KEY.
2. Сохрани файл и перезапусти Cursor.
3. Открой Cursor → Settings → MCP и проверь, что anythingmcp есть в списке и подключён.
4. Начинай общаться: агент теперь может вызывать инструменты Google Workspace Admin.

Доступные инструменты

Примеры запросов

• «У каких пользователей не включена двухэтапная аутентификация? Сгруппируй их по подразделениям.»
• «Создай [email protected] для Jane Doe в /Sales/EMEA с временным паролем и добавь её в [email protected].»
• «У кого сейчас есть роль администратора и какая именно?»
• «Покажи неудачные и подозрительные входы за последние 7 дней.»
• «Заблокируй [email protected] и заверши все его сеансы.»

FAQ

Поддерживает ли Cursor собственные MCP-серверы на бесплатном тарифе? Да, MCP доступен на тарифах Hobby, Pro и Business.

Следующие шаги

• Страница коннектора
• Подключить к Claude
• Подключить к ChatGPT
• Подключить к Gemini
• Подключить к Meta Muse
• Подключить к Microsoft Copilot