将 GWC Bridge 手动连接到 Gemini

将 GWC Bridge 连接到 Gemini，让 Gemini 能够在您自己的电脑上处理获准访问的文件并执行获准的命令。

界面标签说明： 引号内的标签采用 Google 当前英文文档中的原文。随着 Google 逐步推出各项功能，您看到的界面可能会有所不同。GWC Bridge 可让 Gemini 在您自己的电脑上处理获准访问的文件并执行获准的命令，该电脑上需运行 GWC for VS Code 或 GWC Studio。添加自定义 MCP 服务器并不代表 Google 已审核或认可 GWC Bridge。

1. 谁可以使用此方式

Gemini： 在项目的托管组织策略允许自定义 MCP 连接器后，管理员可以添加 Custom MCP Server 数据存储（Data store）。Google 要求创建数据存储的管理员具备 Discovery Engine Editor 角色；如果启用了 VPC Service Controls 或托管策略强制执行，还可能需要额外配置出站流量（egress）和数据源策略。^[1]^[2]

Gemini CLI： GWC Bridge 目前不支持此路径。请勿配置静态 Gemini CLI OAuth 客户端。

个人版 Gemini 自定义应用： Google 目前仅向符合条件的用户开放自定义应用：年满 18 周岁、位于美国、使用个人 Google Account 登录、已开启 “Keep Activity”（保留活动记录），且将该功能的语言设为英文。设置从 Gemini 网页版应用开始。^[4] GWC Bridge 尚未对此个人版流程启用。 Google 文档说明，当服务器不支持动态客户端注册（Dynamic Client Registration）时，可在 “Advanced features”（高级功能）下输入凭据，但当前的帮助页面并未公布需要由 GWC 加入允许列表的回调 URI。GWC 不会猜测该地址，也不会接受通配符重定向。

2. 开始之前

请准备好您的 GWC 账户，确保 Connect Pass 处于有效状态，并确认 GWC for VS Code 或 GWC Studio 已在您希望 Gemini 使用的电脑上运行且已连接。
当 OAuth 窗口打开时，请登录同一个 GWC 账户。添加 MCP URL 不会安装或启动电脑端组件。
请检查该电脑开放的文件、文件夹和命令权限，并从所需的最小权限开始配置。
GWC Bridge 仍会强制执行自身的账户、授权（grant）、文件夹、资源、批准和命令策略。Gemini 无法自行授予被 GWC 拒绝的访问权限。

3. 服务器地址与 OAuth

请使用以下 MCP 服务器地址：

https://mcp.gwc-corp.com/mcp

GWC 的 OAuth 端点如下：

Authorization URL: https://api.gwc-corp.com/oauth/authorize
Token URL:         https://api.gwc-corp.com/oauth/token
Issuer:            https://api.gwc-corp.com

受支持的 Gemini 路径使用 Authorization Code + PKCE S256。其静态客户端 ID 是绑定到 Google 精确托管回调的公开标识符。GWC Bridge 目前不注册 Gemini CLI OAuth 客户端。

4. Gemini 管理员设置

Google 将 Custom MCP Server 配置视为组织级的管理员操作。^[1]

在 Google Cloud 中，选择拥有该 Gemini 应用的项目。
打开 Organization Policies（组织策略），找到 Disable custom MCP server connector for Gemini Enterprise（constraints/discoveryengine.managed.disableCustomMcpServerConnector）。针对此项目覆盖父级策略，并将强制执行（Enforcement）设为 Off。除非这是贵组织明确的管理决策，否则请勿在更大的组织范围内停用该策略。^[2]
如果您的项目受 VPC Service Controls 保护，或此项目启用了相关的托管连接器策略，请允许将 custom_mcp 作为数据源，并允许访问 mcp.gwc-corp.com 和 api.gwc-corp.com 的出站流量（egress）。^[1]^[5]
为创建数据存储的管理员授予必需的 Discovery Engine Editor 角色（roles/discoveryengine.editor）。^[1]
打开 Gemini Enterprise → Data stores → Create data store → Custom MCP Server → Add MCP server。
选择 OAuth 2.0 并输入以下内容：

字段	值
MCP Server URL	`https://mcp.gwc-corp.com/mcp`
Authorization URL	`https://api.gwc-corp.com/oauth/authorize`
Authorization URL Parameters	留空（Leave blank）
Token URL	`https://api.gwc-corp.com/oauth/token`
Client ID	`gwc-google-gemini-v1`
Client Secret	`none`
Scopes	`files:read files:write commands:run`
Enable PKCE Support	On
Use HTTP Basic	Off

Google 当前针对 Gemini MCP 应用提供的 Cloud 示例同样显示启用了 PKCE 且未勾选 HTTP Basic。^[7]

Google 为此连接器记录的重定向地址固定为 https://vertexaisearch.cloud.google.com/oauth-redirect；GWC 客户端配置仅接受该 URI，不接受任何同级路径、其他主机或通配符。^[1] none 值不是共享密钥。当表单要求为 PKCE 公共客户端填写 Client Secret 字段时，Google 自己的 Looker MCP 配置说明同样使用该字面量 none。^[6]

点击 Verify Auth（验证身份验证），登录 GWC，检查请求的 GWC 权限，确认账户和目标电脑无误后再予以批准。
完成数据存储的创建，等待其状态变为 Active。
打开数据存储的 Actions（操作）视图，如有需要请重新加载自定义操作，并仅启用您希望 Gemini 使用的 GWC Bridge 工具。Google 默认会禁用自定义 MCP 操作。^[1]
将数据存储连接到目标 Gemini 应用，然后运行首次只读检查：Use GWC Bridge to show which of my computers and shared folders are available. Do not change files or run commands.

5. Gemini CLI

Gemini CLI 可以连接远程 MCP 服务器，但 GWC Bridge 目前未启用 Gemini CLI OAuth 客户端。暂时不要在 Gemini CLI 中添加 GWC Bridge OAuth 配置。在 GWC 发布经过单独审查的客户端身份机制之前，此路径不受支持。

6. 个人版 Gemini 自定义应用

Google 的个人版 Gemini Apps 帮助文档说明，符合条件的用户可以打开 Settings → Connected Apps（设置 → 已连接的应用），通过 MCP 服务器 URL 添加自定义应用；当服务器不支持动态客户端注册时，可打开 Advanced features（高级功能）并输入凭据。^[4]

目前请不要在该界面中输入任何一个 GWC 静态 Client ID。当前的 Google 帮助页面未公布个人版自定义应用的 OAuth 回调 URI，且 GWC 没有动态客户端注册端点。混用 Enterprise 回调或 CLI 本地环回回调是不正确的，而接受通配符则会削弱 OAuth 重定向绑定安全性。

只有在满足以下至少一项条件后，该方式才可获得支持：

Google 公布稳定且确切的个人版回调 URI，使 GWC 能够将其绑定到专用的公共 Client ID；或
GWC 实现并通过安全评审符合 Gemini 客户端注册流程的动态客户端注册。

在此之前，本指南唯一受支持的客户路径是 Gemini。

7. Gemini 能看到什么，以及如何断开连接

当 Gemini 调用 GWC Bridge 工具时，工具结果可能包含文件名、文件内容、命令输出、设备标签或获准使用的工具返回的其他数据。这些内容会离开您的电脑，并由您选择的 Gemini 端进行处理。Google 声明第三方自定义 MCP 服务器不受 Google 控制，并建议仅连接您信任的服务器。^[4]

GWC Bridge 权限始终具有最终决定权：

文件读取仅限于与当前有效 GWC Bridge 连接共享的文件夹。
文件修改要求连接和文件夹均允许修改，并通过受保护操作检查。
命令执行要求连接允许 Commands，且仍可能需要批准。
不同的电脑、不同的账户或已撤销的授权（grant）不能与您已授权的对象互换使用。

如需断开连接：

Gemini： 管理员可根据组织策略禁用相关操作、断开数据存储与应用的连接，或移除自定义 MCP 数据存储。
Gemini CLI： 当前没有启用 GWC OAuth 客户端。请移除任何实验性的 GWC Bridge OAuth 配置，不要尝试进行身份验证。
在 GWC 中撤销底层 Bridge 授权（grant）会立即使访问失效，无论 Gemini 端如何配置。

8. 故障排查

症状	检查事项
尝试 Gemini CLI OAuth	请停止。GWC Bridge 目前不支持 Gemini CLI OAuth。
Gemini 提示 Custom MCP Server 被阻止	确认项目级托管约束条件 Disable custom MCP server connector for Gemini Enterprise 已覆盖并设为 Off。如果适用 VPC Service Controls 或托管策略强制执行，请同时允许 `custom_mcp` 和所需的出站 FQDN。
Verify Auth 报告无效的重定向（invalid redirect）	确认 Client ID 严格为 `gwc-google-gemini-v1`。对于该客户端，GWC 仅接受 Google 文档记录的 `https://vertexaisearch.cloud.google.com/oauth-redirect`。
Verify Auth 报告无效的客户端密钥（invalid client secret）	请严格输入 `none`，启用 PKCE，并将 Use HTTP Basic 保持为 Off。GWC 仅将此值视为 Google 表单针对该公共客户端要求的占位符，任何其他密钥均会被拒绝。
授权立即失败	确认 GWC 已启用 Gemini 手动 OAuth。服务端兼容性开关默认处于关闭状态。
Gemini 无法访问服务器或 OAuth 端点	如果启用了出站流量控制，请同时放行 `mcp.gwc-corp.com` 和 `api.gwc-corp.com`，并再次核对 HTTPS URL 是否完全一致。
数据存储状态为 Active，但 Gemini 不调用工具	自定义 MCP 操作默认处于禁用状态。请启用所需操作，并将数据存储连接到目标 Gemini 应用。

联系 GWC 支持团队时，请说明您使用的 Gemini 端（Enterprise 或 CLI）、设置步骤以及确切的错误信息。切勿发送密码、Bearer 令牌、私人文件内容或任何真实的客户端密钥。

9. 官方参考资料

服务商步骤已于 2026-10-22 (Asia/Singapore) 对照 Google 当前官方英文文档核对：