Spanner-Remote-MCP-Server verwenden

In diesem Dokument wird beschrieben, wie Sie den Spanner-MCP-Server (Model Context Protocol) verwenden, um eine Verbindung zu KI-Anwendungen wie der Gemini CLI, ChatGPT, Claude und benutzerdefinierten Anwendungen herzustellen, die Sie entwickeln. Mit dem Spanner-MCP-Server können Sie auf Spanner-Tools zugreifen und diese ausführen, um Spanner-Ressourcen in Ihren KI-fähigen Entwicklungsumgebungen und KI-Agent-Plattformen zu erstellen, zu verwalten und abzufragen. .

Der Spanner-Remote-MCP-Server wird aktiviert, wenn Sie die Spanner API aktivieren.

Das Model Context Protocol (MCP) standardisiert die Verbindung von Large Language Models (LLMs) und KI-Anwendungen oder ‑Agents mit externen Datenquellen. Mit MCP-Servern können Sie die zugehörigen Tools, Ressourcen und Prompts verwenden, um Aktionen auszuführen und aktualisierte Daten vom Backend-Dienst abzurufen.

Was ist der Unterschied zwischen lokalen und Remote-MCP-Servern?

Lokale MCP-Server: werden in der Regel auf Ihrem lokalen Computer ausgeführt und verwenden die Standard-Ein- und Ausgabestreams (stdio) für die Kommunikation zwischen Diensten auf demselben Gerät.
Remote-MCP-Server: Wird auf der Infrastruktur des Dienstes ausgeführt und bietet einen HTTP-Endpunkt für KI-Anwendungen für die Kommunikation zwischen dem KI-MCP-Client und dem MCP-Server. Weitere Informationen zur MCP-Architektur finden Sie unter MCP-Architektur.

Informationen zum lokalen Spanner-MCP-Server finden Sie unter Spanner-MCP-Server auf GitHub.

Google- und Google Cloud Remote-MCP-Server

Google- und Google Cloud Remote-MCP-Server bieten folgende Funktionen und Vorteile:

Einfache, zentrale Suche
Verwaltete globale oder regionale HTTP-Endpunkte
Detaillierte Autorisierung
Optionale Sicherheit für Prompts und Antworten mit Model Armor
Zentralisiertes Audit-Logging

Informationen zu anderen MCP-Servern sowie zu den Sicherheits- und Governance-Kontrollen, die für Google Cloud-MCP-Server verfügbar sind, finden Sie unter Google Cloud-MCP-Server – Übersicht.

Hinweis

Melden Sie sich in Ihrem Google Cloud -Konto an. Wenn Sie mit Google Cloudnoch nicht vertraut sind, erstellen Sie ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Aktivieren Sie die Spanner API.
Rollen, die zum Aktivieren von APIs erforderlich sind
Zum Aktivieren von APIs benötigen Sie die IAM-Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin), die die Berechtigung serviceusage.services.enable enthält. Weitere Informationen zum Zuweisen von Rollen
API aktivieren

Bei neuen Projekten ist die Spanner API automatisch aktiviert.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für das Projekt zuzuweisen, in dem Sie den Spanner-MCP-Server verwenden möchten, um die Berechtigungen zu erhalten, die Sie zur Verwendung des Spanner-MCP-Servers benötigen:

MCP-Tool-Aufrufe ausführen: MCP Tool User (roles/mcp.toolUser)
OAuth-Client-ID erstellen: OAuth-Konfigurationsbearbeiter (roles/oauthconfig.editor)
Spanner-MCP-Tools verwenden: Cloud Spanner-Administrator (roles/spanner.admin)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die für die Verwendung des Spanner MCP-Servers erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen, um die notwendigen Berechtigungen anzuzeigen:

Erforderliche Berechtigungen

Die folgenden Berechtigungen sind erforderlich, um den Spanner-MCP-Server zu verwenden:

MCP-Tool-Aufrufe ausführen: mcp.tools.call
Spanner-MCP-Tools verwenden:
- spanner.instances.create
- spanner.instances.get
- spanner.databases.create
- spanner.databases.update
- spanner.sessions.create
- spanner.instanceOperations.get
- spanner.databases.getDdl
- spanner.databases.select
- spanner.databases.write

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Authentifizierung und Autorisierung

Spanner MCP-Server verwenden das OAuth 2.0-Protokoll mit Identity and Access Management (IAM) für die Authentifizierung und Autorisierung. Alle Google Cloud Identitäten werden für die Authentifizierung bei MCP-Servern unterstützt.

Der Spanner-Remote-MCP-Server akzeptiert keine API-Schlüssel.

Wir empfehlen, eine separate Identität für Kundenservicemitarbeiter zu erstellen, die MCP-Tools verwenden, damit der Zugriff auf Ressourcen gesteuert und überwacht werden kann. Weitere Informationen zur Authentifizierung finden Sie unter Authentifizierung bei MCP-Servern.

OAuth-Bereiche für Spanner-MCP

OAuth 2.0 verwendet Bereiche und Anmeldedaten, um zu ermitteln, ob ein authentifiziertes Hauptkonto autorisiert ist, eine bestimmte Aktion für eine Ressource auszuführen. Weitere Informationen zu OAuth 2.0-Bereichen bei Google finden Sie unter Mit OAuth 2.0 auf Google APIs zugreifen.

Für Spanner sind die folgenden OAuth-Bereiche für das MCP-Tool verfügbar:

Bereichs-URI für die gcloud CLI	Beschreibung
`https://www.googleapis.com/auth/spanner.admin`	Ermöglicht den Zugriff zum Verwalten Ihrer Spanner-Instanzen und -Datenbanken.
`https://www.googleapis.com/auth/spanner.data`	Ermöglicht den Zugriff zum Aufrufen und Verwalten von Daten in einer Spanner-Datenbank.

Weitere Informationen zu diesen Bereichen finden Sie unter Spanner API.

MCP-Client für die Verwendung des Spanner-MCP-Servers konfigurieren

Hostprogramme wie Claude oder die Gemini CLI können MCP-Clients instanziieren, die eine Verbindung zu einem einzelnen MCP-Server herstellen. Ein Hostprogramm kann mehrere Clients haben, die sich mit verschiedenen MCP-Servern verbinden. Um eine Verbindung zu einem Remote-MCP-Server herzustellen, muss der MCP-Client mindestens die URL des Remote-MCP-Servers kennen.

Folgen Sie der Anleitung unten, um MCP-Clients für die Verbindung zu Ihrem Remote-Spanner-MCP-Server zu konfigurieren.

Gemini CLI

Wenn Sie Ihrer Gemini CLI einen Spanner-Remote-MCP-Server hinzufügen möchten, konfigurieren Sie ihn als Erweiterung.

Erstellen Sie eine Erweiterungsdatei am folgenden Speicherort: ~/.gemini/extensions/EXT_NAME/gemini-extension.json, wobei ~/ Ihr Basisverzeichnis und EXT_NAME der Name ist, den Sie der Erweiterung geben möchten.

Fügen Sie der Erweiterungsdatei den folgenden Inhalt hinzu:

        {
          "name": "EXT_NAME",
          "version": "1.0.0",
          "mcpServers": {
            "Spanner MCP Server": {
              "httpUrl": "https://spanner.googleapis.com/mcp",
              "authProviderType": "google_credentials",
              "oauth": {
                "scopes": ["https://www.googleapis.com/auth/cloud-platform"]
              },
              "timeout": 30000,
              "headers": {
                "x-goog-user-project": "PROJECT_ID"
              }
            }
          }
        }

Speichern Sie die Erweiterungsdatei.
Gemini CLI starten:
```
        gemini
        
```

Führen Sie /mcp in der CLI aus, um den konfigurierten MCP-Server und seine Tools aufzurufen.

Das Ergebnis sieht etwa so aus:

        Configured MCP servers:
        🟢 Spanner MCP Server (from spanner )
          - get_database_ddl
          - get_instance
          - get_operation
          - create_database
          - create_instance
          - create_session
          - commit
          - execute_sql
          - list_databases
          - list_instances

Der Remote-MCP-Server kann in der Gemini CLI verwendet werden.

Claude.ai

Sie benötigen ein Claude Enterprise-, Pro-, Max- oder Team-Abo, um Google- und Google Cloud MCP-Server in Claude.ai zu konfigurieren. Preisinformationen finden Sie unter Claude-Preise.

Wenn Sie Claude.ai einen Spanner-Remote-MCP-Server hinzufügen möchten, konfigurieren Sie einen benutzerdefinierten Connector mit einer OAuth-Client-ID und einem OAuth-Clientschlüssel:

OAuth 2.0-Client-ID und -Secret erstellen

Rufen Sie in der Google Cloud Console Google Auth Platform > Clients > Create client auf.

Zur Seite „Client erstellen“

Wenn Sie kein Projekt ausgewählt haben, werden Sie aufgefordert, eines zu erstellen.
Wählen Sie in der Liste Anwendungstyp die Option Webanwendung aus.
Geben Sie im Feld Name einen Namen für Ihre Anwendung ein.
Klicken Sie im Abschnitt Autorisierte Weiterleitungs-URIs auf + URI hinzufügen und fügen Sie dann https://claude.ai/api/mcp/auth_callback in das Feld URIs ein.
Klicken Sie auf Erstellen. Der Client wird erstellt. Um auf die Client-ID zuzugreifen, rufen Sie in der Google Cloud Console Google Auth Platform > Clients auf.
Wählen Sie in der Liste OAuth 2.0-Client-IDs den Clientnamen aus.
Kopieren Sie im Bereich Clientschlüssel den Clientschlüssel und speichern Sie ihn an einem sicheren Ort. Sie können sie nur einmal kopieren. Wenn Sie den Clientschlüssel verlieren, löschen Sie ihn und erstellen Sie einen neuen.

Achtung:Behandeln Sie Clientschlüssel wie Passwörter und speichern Sie sie an einem sicheren Ort.

Benutzerdefinierten Connector in Claude.ai erstellen

Rufen Sie in Claude.ai die Connector-Einstellungen für Ihr Abo auf:
- Rufen Sie für den Enterprise- oder Team-Tarif Admin settings > Connectors auf.
- Rufen Sie für den Pro- oder Max-Tarif Einstellungen > Connectors auf.
Klicken Sie auf Benutzerdefinierten Connector hinzufügen.
Geben Sie im Dialogfeld Benutzerdefinierten Connector hinzufügen Folgendes ein:
- Servername: Ein für Menschen lesbarer Name für den Server.
- Remote-MCP-Server-URL: https://spanner.googleapis.com/mcp
Maximieren Sie das Menü Erweiterte Einstellungen und geben Sie Folgendes ein:
- OAuth-Client-ID: Die von Ihnen erstellte OAuth 2.0-Client-ID.
- OAuth-Clientschlüssel (nur Pro- und Max-Abos): Der Schlüssel für Ihren OAuth 2.0-Client. Rufen Sie den geheimen Schlüssel ab, indem Sie zu Google Auth Platform > Clients wechseln und die von Ihnen erstellte OAuth-Client-ID auswählen. Klicken Sie im Bereich Clientschlüssel, um den Clientschlüssel zu kopieren.
Klicken Sie auf Hinzufügen.

Der benutzerdefinierte Connector wird erstellt.
Öffnen Sie das Menü Tools und aktivieren Sie den Connector.

Claude.ai kann den MCP-Server verwenden.

ChatGPT

Sie benötigen ein ChatGPT Business-Abo, um Google- und Spanner-MCP-Server mit ChatGPT zu verwenden.

Wenn Sie ChatGPT einen Spanner-Remote-MCP-Server hinzufügen möchten, erstellen Sie eine Google OAuth 2.0-Client-ID und ein Secret und fügen Sie den MCP-Server dann als App in ChatGPT hinzu.

OAuth 2.0-Client-ID und -Secret erstellen

Rufen Sie in der Google Cloud Console Google Auth Platform > Clients > Create client auf.

Zur Seite „Client erstellen“

Wenn Sie kein Projekt ausgewählt haben, werden Sie aufgefordert, eines zu erstellen.
Wählen Sie in der Liste Anwendungstyp die Option Webanwendung aus.
Geben Sie im Feld Name einen Namen für Ihre Anwendung ein.
Klicken Sie im Abschnitt Autorisierte JavaScript-Quellen auf + URI hinzufügen und fügen Sie dann https://chatgpt.com in das Feld URIs ein.
Klicken Sie im Abschnitt Autorisierte Weiterleitungs-URIs auf + URI hinzufügen und fügen Sie dann https://chatgpt.com/connector_platform_oauth_redirect in das Feld URIs ein.
Klicken Sie auf Erstellen. Der Client wird erstellt. Um auf die Client-ID zuzugreifen, rufen Sie in der Google Cloud Console Google Auth Platform > Clients auf.
Wählen Sie in der Liste OAuth 2.0-Client-IDs den Clientnamen aus.
Kopieren Sie im Bereich Clientschlüssel den Clientschlüssel und speichern Sie ihn an einem sicheren Ort. Sie können sie nur einmal kopieren. Wenn Sie den Clientschlüssel verlieren, löschen Sie ihn und erstellen Sie einen neuen.

Achtung:Behandeln Sie Clientschlüssel wie Passwörter und speichern Sie sie an einem sicheren Ort.

MCP-Server als App in ChatGPT hinzufügen

Melden Sie sich in ChatGPT an.
Aktivieren Sie den Entwicklermodus:
1. Klicken Sie in ChatGPT auf Ihren Nutzernamen, um das Profilmenü zu öffnen, und wählen Sie dann Einstellungen aus.
2. Wählen Sie im Menü „Einstellungen“ Apps und dann Erweiterte Einstellungen aus.
3. Klicken Sie in den erweiterten Einstellungen auf den Schalter Entwicklermodus, um ihn zu aktivieren.
Klicken Sie in den Einstellungen > Apps auf die Schaltfläche App erstellen.
Geben Sie im Dialogfeld Neue App die folgenden Informationen ein:
- Name: Der Name des MCP-Servers.
- Beschreibung: Eine optionale Beschreibung des MCP-Servers.
- MCP-Server-URL: https://spanner.googleapis.com/mcp
- Authentifizierung:
  - Wählen Sie im Menü Authentifizierung die Option OAuth aus.
  - Geben Sie im Feld OAuth-Client-ID Ihre Google-OAuth-Client-ID ein.
  - Geben Sie im Feld OAuth-Geheimnis Ihren Google OAuth-Clientschlüssel ein.
- Bestätigen Sie, dass Sie das Risiko der Verwendung von MCP-Servern verstanden haben, und klicken Sie dann auf Erstellen.

Der MCP-Server wird im Menü Apps angezeigt und kann über Chat-Prompts verwendet werden.

Allgemeine Anleitung für MCP-Clients

Wenn in MCP-Client für die Verwendung des Spanner-MCP-Servers konfigurieren keine spezifischen Anleitungen für Ihren MCP-Client enthalten sind, verwenden Sie die folgenden Informationen, um eine Verbindung zu einem Remote-MCP-Server in Ihrem Hostprogramm oder Ihrer KI-Anwendung herzustellen. Sie werden aufgefordert, Details zum Server einzugeben, z. B. den Namen und die URL.

Geben Sie für den Spanner-Remote-MCP-Server die folgenden Informationen ein:

Servername: Spanner-MCP-Server
Server-URL oder Endpunkt: https://spanner.googleapis.com/mcp
Transport: HTTP
Authentifizierungsdetails: Je nachdem, wie Sie sich authentifizieren möchten, können Sie Ihre Google Cloud Anmeldedaten, Ihre OAuth-Client-ID und Ihren OAuth-Clientschlüssel oder eine Agent-Identität und ‑Anmeldedaten eingeben.

Allgemeine Informationen finden Sie in den folgenden Ressourcen:

Verfügbare Tools

Details zu verfügbaren MCP-Tools und deren Beschreibungen für den Spanner-MCP-Server finden Sie in der Spanner-MCP-Referenz.

Tools für Listen

Verwenden Sie den MCP-Inspector, um Tools aufzulisten, oder senden Sie eine tools/list HTTP-Anfrage direkt an den Spanner-Remote-MCP-Server. Für die Methode tools/list ist keine Authentifizierung erforderlich.

POST /mcp HTTP/1.1
Host: spanner.googleapis.com
Content-Type: application/json

{
  "jsonrpc": "2.0",
  "method": "tools/list",
}

Beobachtbarkeit

Der Spanner-MCP-Server unterstützt Spanner-Introspektions- und ‑Beobachtbarkeitstools.

Anfrage-Tags

Die Abfragen, die mit dem Spanner-MCP-Server ausgeführt oder die Transaktionen, die mit dem Spanner-MCP-Server committet werden, werden automatisch mit bestimmten Anfrage-Tags versehen. Sie können diese Tags verwenden, um Fehler in Abfragen und Transaktionen zu beheben. Weitere Informationen finden Sie unter Fehlerbehebung bei Anfrage- und Transaktions-Tags.

Toolname	Anfrage-Tag
`execute_sql`	`mcp_execute_sql`
`execute_sql_readonly`	`mcp_execute_sql_readonly`
`commit`	`mcp_commit`

Beispiele für Anwendungsfälle

Im Folgenden finden Sie Beispielanwendungsfälle für den Spanner-MCP-Server.

Anwendungsentwicklung mit Spanner

Ein Anwendungsentwickler kann den Spanner MCP-Server verwenden, um Ressourcen bereitzustellen, Datenbanken zu erstellen und Beispieldaten einzufügen.

Beispielprompt: „Erstelle eine regionale Spanner-Instanz im Projekt PROJECT_ID in der regionalen Instanzkonfiguration us-central1. Erstelle eine Datenbank zum Verfolgen des Inventars und füge fünf Beispielprodukte hinzu.“

Ersetzen Sie PROJECT_ID durch Ihre Google Cloud Projekt-ID.

Workflow:

Der Workflow für die Entwicklung einer Anwendung könnte so aussehen:

Der Agent ruft das Tool create_instance auf, um eine neue Spanner-Instanz mit der angegebenen Instanzkonfiguration bereitzustellen. Der KI-Agent kann das Tool get_operation aufrufen, um zu prüfen, ob die Instanz einsatzbereit ist.
Der Agent ruft das Tool create_database auf, um eine neue Datenbank mit dem erforderlichen Schema zu erstellen. Der Agent ruft möglicherweise das Tool get_operation auf, um den Status des Vorgangs zur Datenbankerstellung zu prüfen.
Der Agent kann eine Kombination aus den Tools create_session, execute_sql und commit verwenden, um Beispieldaten einzufügen.
Optional kann der Agent das Tool execute_sql aufrufen, um die Erstellung von Beispieldaten abzufragen und zu validieren.

Betriebsstatistiken und Verwaltung der Datenbankkonfiguration

Spanner-Administratoren können den Spanner-MCP-Server verwenden, um mit Tools wie list_instances, get_instance, list_databases und get_database_ddl Informationen zu Spanner-Instanzen und -Datenbanken zu erfassen.

Beispiel-Prompts:

„List all Spanner instances in the current project.“ (Liste alle Spanner-Instanzen im aktuellen Projekt auf.)
„List all databases in the current Spanner instance.“ (Liste alle Datenbanken in der aktuellen Spanner-Instanz auf.)
„Show the schema for the current Spanner database.“ (Zeige das Schema für die aktuelle Spanner-Datenbank an.)

Optionale Sicherheitskonfigurationen

MCP birgt neue Sicherheitsrisiken und ‑aspekte, da mit den MCP-Tools eine Vielzahl von Aktionen ausgeführt werden kann. Um diese Risiken zu minimieren und zu verwalten, bietetGoogle Cloud Standardeinstellungen und anpassbare Richtlinien, mit denen Sie die Verwendung von MCP-Tools in Ihrer Google Cloud-Organisation oder Ihrem Google Cloud-Projekt steuern können.

Weitere Informationen zur Sicherheit und Governance von MCP finden Sie unter KI-Sicherheit.

Model Armor verwenden

Model Armor ist einGoogle Cloud -Dienst, der die Sicherheit Ihrer KI-Anwendungen verbessern soll. Das System überwacht und kontrolliert sowohl die Prompts als auch die Antworten des LLM, um Sie vor verschiedenen Risiken zu schützen und für verantwortungsbewusste Anwendung von KI zu sorgen. Unabhängig davon, ob Sie KI in Ihrer Cloud-Umgebung oder bei externen Cloud-Anbietern bereitstellen, kann Model Armor Ihnen helfen, schädliche Eingaben zu verhindern, die Sicherheit von Inhalten zu überprüfen, sensible Daten zu schützen, die Compliance aufrechtzuerhalten und Ihre KI-Sicherheitsrichtlinien in Ihrer vielfältigen KI-Landschaft einheitlich durchzusetzen.

Wenn Model Armor mit aktiviertem Logging aktiviert ist, protokolliert Model Armor die gesamte Nutzlast. Dadurch können vertrauliche Informationen in Ihren Logs offengelegt werden.

Model Armor aktivieren

Sie müssen Model Armor APIs aktivieren, bevor Sie Model Armor verwenden können.

Console

Aktivieren Sie die Model Armor API.
Rollen, die zum Aktivieren von APIs erforderlich sind
Zum Aktivieren von APIs benötigen Sie die IAM-Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin), die die Berechtigung serviceusage.services.enable enthält. Weitere Informationen zum Zuweisen von Rollen
API aktivieren
Wählen Sie das Projekt aus, für das Sie Model Armor aktivieren möchten.

gcloud

Führen Sie die folgenden Schritte mit der Google Cloud CLI und der Model Armor API aus, bevor Sie beginnen:

Aktivieren Sie Cloud Shell in der Google Cloud Console.

Cloud Shell aktivieren

Unten in der Google Cloud Console wird eine Cloud Shell-Sitzung gestartet und eine Eingabeaufforderung angezeigt. Cloud Shell ist eine Shell-Umgebung, in der das Google Cloud CLI bereits installiert ist und Werte für Ihr aktuelles Projekt bereits festgelegt sind. Das Initialisieren der Sitzung kann einige Sekunden dauern.
Führen Sie den folgenden Befehl aus, um den API-Endpunkt für den Model Armor-Dienst festzulegen.
```
gcloud config set api_endpoint_overrides/modelarmor "https://modelarmor.LOCATION.rep.googleapis.com/"
```
Ersetzen Sie LOCATION durch die Region, in der Sie Model Armor verwenden möchten.

Schutz für Google- und Google Cloud Remote-MCP-Server konfigurieren

Mit den Mindesteinstellungen für Model Armor können Sie Ihre MCP-Toolaufrufe und ‑Antworten schützen. Eine Mindesteinstellung definiert die Mindestsicherheitsfilter, die für das gesamte Projekt gelten. Mit dieser Konfiguration wird ein einheitlicher Satz von Filtern auf alle MCP-Tool-Aufrufe und ‑Antworten im Projekt angewendet.

Richten Sie eine Model Armor-Mindesteinstellung mit aktivierter Bereinigung von Inhalten mit sexueller Ausbeutung von Kindern ein. Weitere Informationen finden Sie unter Model Armor-Untergrenzeneinstellungen konfigurieren.

Hier ein Beispielbefehl:

gcloud model-armor floorsettings update \
--full-uri='projects/PROJECT_ID/locations/global/floorSetting' \
--enable-floor-setting-enforcement=TRUE \
--add-integrated-services=GOOGLE_MCP_SERVER \
--google-mcp-server-enforcement-type=INSPECT_AND_BLOCK \
--enable-google-mcp-server-cloud-logging \
--malicious-uri-filter-settings-enforcement=ENABLED \
--add-rai-settings-filters='[{"confidenceLevel": "MEDIUM_AND_ABOVE", "filterType": "DANGEROUS"}]'

Ersetzen Sie dabei PROJECT_ID durch die ID Ihres Projekts in Google Cloud .

Beachten Sie die folgenden Einstellungen:

INSPECT_AND_BLOCK: Der Erzwingungstyp, der Inhalte für den Google MCP-Server prüft und Prompts und Antworten blockiert, die den Filtern entsprechen.
ENABLED: Die Einstellung, die einen Filter oder die Erzwingung ermöglicht.
MEDIUM_AND_ABOVE: Das Konfidenzniveau für die Filter für verantwortungsbewusste KI – gefährlich. Sie können diese Einstellung ändern. Niedrigere Werte können jedoch zu mehr falsch positiven Ergebnissen führen. Weitere Informationen finden Sie unter Vertrauenswürdigkeitsstufen für Model Armor.

Scannen von MCP-Traffic mit Model Armor deaktivieren

Wenn Sie verhindern möchten, dass Model Armor den Traffic zu und von Google MCP-Servern basierend auf den Mindesteinstellungen des Projekts automatisch scannt, führen Sie den folgenden Befehl aus:

gcloud model-armor floorsettings update \
  --full-uri='projects/PROJECT_ID/locations/global/floorSetting' \
  --remove-integrated-services=GOOGLE_MCP_SERVER

Ersetzen Sie PROJECT_ID durch die Google Cloud Projekt-ID. Model Armor wendet die in den Mindesteinstellungen dieses Projekts definierten Regeln nicht automatisch auf den gesamten Google MCP-Server-Traffic an.

Die Mindesteinstellungen für Model Armor und die allgemeine Konfiguration können sich auf mehr als nur MCP auswirken. Da Model Armor in Dienste wie die Agent Platform eingebunden ist, können sich Änderungen, die Sie an den Mindesteinstellungen vornehmen, auf das Scannen von Traffic und das Sicherheitsverhalten in allen eingebundenen Diensten auswirken, nicht nur in MCP.

MCP-Nutzung mit IAM-Ablehnungsrichtlinien steuern

IAM-Richtlinien (Identity and Access Management) zur Zugriffsbeschränkung helfen Ihnen, Google Cloud Remote-MCP-Server zu schützen. Konfigurieren Sie diese Richtlinien, um unerwünschten Zugriff auf MCP-Tools zu blockieren.

Sie können den Zugriff beispielsweise anhand der folgenden Kriterien verweigern oder zulassen:

Der Prinzipal
Tooleigenschaften wie „schreibgeschützt“
Die OAuth-Client-ID der Anwendung

Weitere Informationen finden Sie unter MCP-Nutzung mit Identity and Access Management steuern.

Nächste Schritte

Lesen Sie die Referenzdokumentation zu Spanner MCP.
Weitere Informationen zu Google Cloud MCP-Servern

Spanner-Remote-MCP-Server verwenden Mit Sammlungen den Überblick behalten Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.

Was ist der Unterschied zwischen lokalen und Remote-MCP-Servern?

Google- und Google Cloud Remote-MCP-Server

Hinweis

Erforderliche Rollen

Erforderliche Berechtigungen

Authentifizierung und Autorisierung

OAuth-Bereiche für Spanner-MCP

MCP-Client für die Verwendung des Spanner-MCP-Servers konfigurieren

Gemini CLI

Claude.ai

OAuth 2.0-Client-ID und -Secret erstellen

Benutzerdefinierten Connector in Claude.ai erstellen

ChatGPT

OAuth 2.0-Client-ID und -Secret erstellen

MCP-Server als App in ChatGPT hinzufügen

Allgemeine Anleitung für MCP-Clients

Verfügbare Tools

Tools für Listen

Beobachtbarkeit

Anfrage-Tags

Beispiele für Anwendungsfälle

Anwendungsentwicklung mit Spanner

Betriebsstatistiken und Verwaltung der Datenbankkonfiguration

Optionale Sicherheitskonfigurationen

Model Armor verwenden

Model Armor aktivieren

Console

gcloud

Schutz für Google- und Google Cloud Remote-MCP-Server konfigurieren

Scannen von MCP-Traffic mit Model Armor deaktivieren

MCP-Nutzung mit IAM-Ablehnungsrichtlinien steuern

Nächste Schritte

Spanner-Remote-MCP-Server verwenden