Google Cloud 发布 IAM Helper

2026 年 10 月 26 日，Google Cloud 博客介绍 IAM Helper：面向 Agent 的 Identity and Access Management 编排层，把 Policy Intelligence、Privileged Access Manager（PAM）等能力收成可调用的 Agent Skills，并提供只读 MCP 工具对接 Policy Troubleshooter / Analyzer / Simulator 与 IAM v1/v2。

博客举例：部署撞 403 时，用 troubleshooting Skill 几秒内定位缺的 Pub/Sub 权限，再经 PAM 申请一小时临时授权；流水线则可先生成最小权限修订、用 simulator 对照历史流量，再交给管理员批准。策略编写侧同时支持 IAM v1 allow 绑定与 IAM v2 deny 规则，并在落到 JSON / YAML / Terraform HCL 前做校验。

底层 MCP 工具偏原子、只读查询，复杂层级遍历与策略求值放在云端 IAM 端点上，减少把整份策略塞进提示词。团队也可拿这些 MCP 工具自己拼内部工单、合规检查，不必从零包一层 API。

已经在用编程 Agent 写云资源的团队，不妨把「403 自助排查 + JIT」写进 runbook，同时留住审批人角色，别让 Agent 直接改生产绑定。本机装 Skills、无凭证列 MCP 工具见教程《IAM Helper 上手：装 Skills，MCP 列 12 工具》。

注意：以 Google Cloud 博客与官方 Agent Skills 目录为准；本站未在真实项目上实测 HITL 与计费。