‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

שימוש בשרת MCP מרוחק של Spanner

במאמר הזה מוסבר איך להשתמש בשרת Model Context Protocol‏ (MCP) מרוחק של Spanner כדי להתחבר לאפליקציות AI, כולל Antigravity, ‏ ChatGPT, ‏ Claude ואפליקציות בהתאמה אישית שאתם מפתחים. שרת ה-MCP של Spanner מאפשר לכם לגשת לכלים של Spanner ולהריץ אותם כדי ליצור, לנהל ולשלוח שאילתות למשאבים של Spanner מסביבות הפיתוח ומפלטפורמות הסוכנים מבוססות ה-AI. שרת ה-MCP המרוחק של Spanner מופעל כשמפעילים את Spanner API.

‫Model Context Protocol (MCP) הוא תקן שמגדיר איך מודלים גדולים של שפה (LLM) ואפליקציות או סוכנים של AI מתחברים למקורות נתונים חיצוניים. שרתי MCP מאפשרים לכם להשתמש בכלים, במשאבים ובהנחיות שלהם כדי לבצע פעולות ולקבל נתונים מעודכנים משירות הקצה העורפי שלהם.

מה ההבדל בין שרתי MCP מקומיים לשרתי MCP מרוחקים?

שרתי MCP מקומיים: בדרך כלל פועלים במחשב המקומי ומשתמשים בזרמי הקלט והפלט הרגילים (stdio) כדי לתקשר בין שירותים באותו מכשיר.
שרתי MCP מרוחקים: פועלים בתשתית של השירות ומציעים נקודת קצה (endpoint) מסוג HTTP לאפליקציות AI, כדי לאפשר תקשורת בין לקוח ה-MCP של ה-AI לבין שרת ה-MCP. מידע נוסף על ארכיטקטורת MCP

ליבה ללא שמירת מצב

בגרסת MCP‏ 2026-07-28, פרוטוקול MCP משתנה מפרוטוקול דו-כיווני עם שמירת מצב (stateful) לפרוטוקול ללא שמירת מצב (stateless). כל בקשת MCP מתארת את עצמה ואפשר לנתב אותה באמצעות כותרות. אין צורך בלחיצת היד של initialize/initialized או ב-Mcp-Session-Id כי כל בקשה כוללת את כל המידע הנדרש בכותרות HTTP או בפרמטר _meta. שרתי MCP יכולים לבקש מידע נוסף שנדרש לכלי באמצעות בקשות הלוך ושוב (MRTR).

כדי לנתב ולעבד בקשות בלי לנתח את גוף הבקשה, נדרשות כמה כותרות MCP, כולל:

כותרות שנדרשות לפי מפרט ה-MCP, כמו כותרת גרסת הפרוטוקול וכותרות בקשה רגילות.
כותרות בהתאמה אישית שמוגדרות על ידי שרת ה-MCP. הכותרות האלה משתקפות בכותרות HTTP מסכימת הקלט של הכלי באמצעות המאפיין x-mcp-header. לדוגמה, שרת MCP יכול להגדיר כותרת מותאמת אישית כדי לציין את האזור או את מזהה הפרויקט ב- Google Cloud .

למידע נוסף על הארכיטקטורה של MCP, קראו את המפרט של MCP בגרסה 2026-07-28 ואת השינויים העיקריים.

מידע נוסף על שרת ה-MCP המקומי של Spanner זמין במאמר MCP Toolbox for Databases.

שרתי MCP של Google ושרתי MCP מרוחקים של Google Cloud

לשרתי MCP של Google ושל Google Cloud יש את התכונות והיתרונות הבאים:

חיפוש פשוט ומרוכז
נקודות קצה (endpoints) מנוהלות של HTTP גלובלי או אזורי
הרשאה פרטנית
אבטחה אופציונלית של הנחיות ותשובות באמצעות הגנה מוגברת על המודל
רישום מרכזי ביומן הביקורת

במאמר סקירה כללית על שרתי Google Cloud MCP מוסבר על שרתי MCP אחרים ועל אמצעי הבקרה לאבטחה ולמשילות שזמינים לשרתי Google Cloud MCP.

לפני שמתחילים

נכנסים לחשבון Google Cloud . אנחנו ממליצים למשתמשים חדשים ב- Google Cloud ליצור חשבון כדי שיוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

מפעילים את Spanner API, אם הוא עדיין לא מופעל.
התפקידים שנדרשים כדי להפעיל ממשקי API
כדי להפעיל ממשקי API, צריך את ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד "בעלים" (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד "אדמין בממשק 'שימוש בשירות'" (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים
להפעלת ה-API

בפרויקטים חדשים, Spanner API מופעל באופן אוטומטי.

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות לשימוש בשרת Spanner MCP, אתם צריכים לבקש מהאדמין לתת לכם את התפקידים הבאים ב-IAM בפרויקט שבו אתם רוצים להשתמש בשרת Spanner MCP:

לבצע קריאות לכלי MCP: משתמש בכלי MCP (roles/mcp.toolUser)
יצירת מזהה לקוח ב-OAuth: עורך ההגדרות של OAuth (roles/oauthconfig.editor)
שימוש בכלים של Spanner MCP: אדמין ב-Cloud Spanner (roles/spanner.admin)

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

התפקידים המוגדרים מראש האלה כוללים את ההרשאות שנדרשות כדי להשתמש בשרת Spanner MCP. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

ההרשאות הנדרשות

כדי להשתמש בשרת ה-MCP של Spanner, נדרשות ההרשאות הבאות:

להפעיל כלי MCP: mcp.tools.call
משתמשים בכלי MCP של Spanner:
- spanner.instances.create
- spanner.instances.get
- spanner.databases.create
- spanner.databases.update
- spanner.sessions.create
- spanner.instanceOperations.get
- spanner.databases.getDdl
- spanner.databases.select
- spanner.databases.write

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

אימות והרשאה

שרתי MCP של Spanner משתמשים בפרוטוקול OAuth 2.0 עם ניהול זהויות והרשאות גישה (IAM) לאימות ולהרשאה. כל Google Cloud הזהויות נתמכות לאימות בשרתי MCP.

שרת ה-MCP המרוחק של Spanner לא מקבל מפתחות API.

אנחנו ממליצים ליצור זהות נפרדת לסוכנים שמשתמשים בכלים של MCP, כדי שתוכלו לשלוט בגישה למשאבים ולעקוב אחריה. מידע נוסף על אימות זמין במאמר אימות בשרתי MCP.

היקפי ההרשאות של Spanner MCP OAuth

ב-OAuth 2.0 משתמשים בהיקפי הרשאות ובפרטי כניסה כדי לקבוע אם לחשבון משתמש מאומת מסוים מותר לבצע פעולה מסוימת במשאב. למידע נוסף על היקפי ההרשאות של OAuth 2.0 ב-Google, קראו את המאמר שימוש ב-OAuth 2.0 כדי לגשת אל Google APIs.

ל-Spanner יש את היקפי ההרשאות הבאים של OAuth לכלי MCP:

URI של היקף ההרשאות ל-CLI של gcloud	תיאור
`https://www.googleapis.com/auth/spanner.admin`	מאפשרת גישה לניהול המופעים ומסדי הנתונים שלכם ב-Spanner.
`https://www.googleapis.com/auth/spanner.data`	מאפשרת גישה לצפייה בנתונים במסד נתונים של Spanner ולניהול שלהם.

מידע נוסף על היקפי ההרשאות האלה זמין במאמר Spanner API.

הגדרת לקוח MCP לשימוש בשרת MCP של Spanner

תוכנות מארחות, כמו Claude או Gemini CLI, יכולות ליצור לקוחות MCP שמתחברים לשרת MCP אחד. לתוכנה מארחת יכולים להיות כמה לקוחות שמתחברים לשרתי MCP שונים. כדי להתחבר לשרת MCP מרוחק, לקוח ה-MCP צריך לדעת לפחות את כתובת ה-URL של שרת ה-MCP המרוחק.

כדי להגדיר לקוחות MCP להתחבר לשרת MCP המרוחק של Spanner, פועלים לפי ההוראות הבאות.

Gemini CLI

כדי להוסיף שרת MCP מרוחק של Spanner ל-Gemini CLI, צריך להגדיר אותו כתוסף.

יוצרים קובץ תוסף במיקום הבא: ~/.gemini/extensions/EXT_NAME/gemini-extension.json, כאשר ~/ היא ספריית הבית ו-EXT_NAME הוא השם שרוצים לתת לתוסף.

מוסיפים את התוכן הבא לקובץ התוסף:

        {
          "name": "EXT_NAME",
          "version": "1.0.0",
          "mcpServers": {
            "Spanner MCP Server": {
              "httpUrl": "https://spanner.googleapis.com/mcp",
              "authProviderType": "google_credentials",
              "oauth": {
                "scopes": ["https://www.googleapis.com/auth/cloud-platform"]
              },
              "timeout": 30000,
              "headers": {
                "x-goog-user-project": "PROJECT_ID"
              }
            }
          }
        }

שומרים את קובץ התוספים.
מפעילים את Gemini CLI:
```
        gemini
        
```

מריצים את הפקודה /mcp ב-CLI כדי לראות את שרת ה-MCP שהגדרתם ואת הכלים שלו.

התגובה אמורה להיראות כך:

        Configured MCP servers:
        🟢 Spanner MCP Server (from spanner )
          - get_database_ddl
          - get_instance
          - get_operation
          - create_database
          - create_instance
          - create_session
          - commit
          - execute_sql
          - list_databases
          - list_instances

שרת ה-MCP המרוחק מוכן לשימוש ב-Gemini CLI.

Claude.ai

כדי להגדיר שרתי Google ו- Google Cloud שרתי MCP ב-Claude.ai, צריך מינוי ל-Claude Enterprise, ‏Pro, ‏Max או Team. למידע על מחירים, ראו Claude Pricing.

כדי להוסיף שרת MCP מרוחק של Spanner ל-Claude.ai, מגדירים מחבר בהתאמה אישית עם מזהה לקוח וסוד לקוח ב-OAuth:

יצירת מזהה לקוח וסוד ב-OAuth 2.0

במסוף Google Cloud , נכנסים לדף Google Auth Platform > Clients > Create client.

כניסה לדף Create client

אם לא בחרתם פרויקט, תתבקשו ליצור פרויקט.
ברשימה Application type, בוחרים באפשרות אפליקציית אינטרנט.
בשדה Name, מזינים שם לאפליקציה.
בקטע Authorized redirect URIs, לוחצים על ‎+ Add URI ומוסיפים את https://claude.ai/api/mcp/auth_callback בשדה URIs.
לוחצים על יצירה. הלקוח נוצר. כדי לגשת למזהה הלקוח, במסוף Google Cloud , עוברים אל Google Auth Platform > Clients.
ברשימה מזהי לקוח ב-OAuth 2.0, בוחרים את שם הלקוח.
בקטע סודות לקוח, מעתיקים את סוד לקוח ושומרים אותו במקום מאובטח. אפשר להעתיק אותו רק פעם אחת. אם איבדתם אותו, מחקו את הסוד וצרו סוד חדש.

זהירות: צריך להתייחס לסודות הלקוח כמו לסיסמאות ולאחסן אותם במקום מאובטח.

יצירת מחבר בהתאמה אישית ב-Claude.ai

ב-Claude.ai, עוברים להגדרות של המחברים בתוכנית שלכם:
- בתוכנית Enterprise או Team, עוברים אל Admin settings > Connectors.
- בתוכנית Pro או Max, עוברים אל הגדרות > מחברים.
לוחצים על הוספת מחבר בהתאמה אישית.
בתיבת הדו-שיח Add custom connector, מזינים את הפרטים הבאים:
- שם השרת: שם קריא לאנשים של השרת.
- כתובת ה-URL של שרת ה-MCP המרוחק: https://spanner.googleapis.com/mcp
מרחיבים את התפריט הגדרות מתקדמות ומזינים את הפרטים הבאים:
- מזהה לקוח OAuth: מזהה הלקוח ב-OAuth 2.0 שיצרתם.
- סוד לקוח OAuth (בתוכניות Pro ו-Max בלבד): הסוד של לקוח OAuth 2.0. כדי לאחזר את הסוד, עוברים אל Google Auth Platform > Clients ובוחרים את מזהה הלקוח ב-OAuth שיצרתם. בקטע Client secrets, לוחצים כדי להעתיק את Client secret.
לוחצים על הוספה.

המחבר בהתאמה אישית נוצר.
פותחים את התפריט כלים ומפעילים את המחבר.

‫Claude.ai יכול להשתמש בשרת ה-MCP.

ChatGPT

כדי להשתמש בשרתי MCP של Google ו-Spanner עם ChatGPT, צריך מינוי ל-ChatGPT Business.

כדי להוסיף שרת MCP מרוחק של Spanner ל-ChatGPT, יוצרים מזהה לקוח וסוד של Google OAuth 2.0, ואז מוסיפים את שרת ה-MCP כאפליקציה ב-ChatGPT.

יצירת מזהה לקוח וסוד ב-OAuth 2.0

במסוף Google Cloud , נכנסים לדף Google Auth Platform > Clients > Create client.

כניסה לדף Create client

אם לא בחרתם פרויקט, תתבקשו ליצור פרויקט.
ברשימה Application type, בוחרים באפשרות אפליקציית אינטרנט.
בשדה Name, מזינים שם לאפליקציה.
בקטע Authorized JavaScript origins, לוחצים על ‎+ Add URI ומוסיפים את https://chatgpt.com בשדה URIs.
בקטע Authorized redirect URIs, לוחצים על ‎+ Add URI ומוסיפים את https://chatgpt.com/connector_platform_oauth_redirect בשדה URIs.
לוחצים על יצירה. הלקוח נוצר. כדי לגשת למזהה הלקוח, במסוף Google Cloud , עוברים אל Google Auth Platform > Clients.
ברשימה מזהי לקוח ב-OAuth 2.0, בוחרים את שם הלקוח.
בקטע Client secrets, מעתיקים את Client secret ושומרים אותו במקום מאובטח. אפשר להעתיק אותו רק פעם אחת. אם איבדתם אותו, מחקו את הסוד וצרו סוד חדש.

זהירות: צריך להתייחס לסודות הלקוח כמו לסיסמאות ולאחסן אותם במקום מאובטח.

מוסיפים את שרת ה-MCP כאפליקציה ב-ChatGPT.

נכנסים לחשבון ב-ChatGPT.
מפעילים את מצב פיתוח:
1. ב-ChatGPT, לוחצים על שם המשתמש כדי לפתוח את תפריט הפרופיל, ואז בוחרים באפשרות הגדרות.
2. בתפריט ההגדרות, לוחצים על אפליקציות ואז על הגדרות מתקדמות.
3. בקטע Advanced settings, מעבירים את המתג מצב פיתוח למצב מופעל.
בקטע הגדרות > אפליקציות, לוחצים על הכפתור יצירת אפליקציה.
בתיבת הדו-שיח New app, מזינים את הפרטים הבאים:
- שם: השם של שרת ה-MCP.
- תיאור: תיאור אופציונלי של שרת ה-MCP.
- כתובת ה-URL של שרת ה-MCP: https://spanner.googleapis.com/mcp
- אימות:
  - בתפריט Authentication, בוחרים באפשרות OAuth.
  - בשדה OAuth client ID, מזינים את מזהה הלקוח ב-Google OAuth.
  - בשדה OAuth secret, מזינים את סוד הלקוח של Google OAuth.
- מאשרים שמבינים את הסיכון שקשור לשימוש בשרת MCP ולוחצים על יצירה.

שרת ה-MCP מופיע בתפריט אפליקציות, ואפשר להשתמש בו באמצעות הנחיות בצ'אט.

הנחיות כלליות ללקוחות MCP

אם ההוראות הספציפיות ללקוח ה-MCP שלכם לא מופיעות במאמר הגדרת לקוח MCP לשימוש בשרת Spanner MCP, אתם יכולים להשתמש במידע הבא כדי להתחבר לשרת MCP מרוחק בתוכנית המארחת או באפליקציית ה-AI. תתבקשו להזין פרטים על השרת, כמו השם וכתובת ה-URL שלו.

לשרת ה-MCP המרוחק של Spanner, מזינים את הפרטים הבאים:

שם השרת: שרת MCP של Spanner
כתובת ה-URL של השרת או נקודת הקצה (endpoint): https://spanner.googleapis.com/mcp
תעבורה: HTTP שניתן להעביר בסטרימינג
פרטי אימות: בהתאם לשיטת האימות שאתם רוצים להשתמש בה, אתם יכולים להזין את פרטי הכניסה, את מזהה הלקוח והסוד של לקוח OAuth או את פרטי הכניסה והזהות של הנציג. Google Cloud מידע נוסף על אימות זמין במאמר אימות בשרתי MCP.
היקף הרשאות OAuth: היקף ההרשאות של OAuth 2.0 שבו רוצים להשתמש כשמתחברים לשרת ה-MCP של Spanner.

‫URI של הפניה לכתובת אחרת

באפליקציות מבוססות-אינטרנט ובחלק מהאפליקציות למחשב, צריך להוסיף לרשימת ההיתרים URI להפניה אוטומטית כשיוצרים מזהה לקוח וסוד לאימות. שרת ההרשאות משתמש בכתובות URI להפניה אוטומטית כדי לשלוח אסימונים לאפליקציה. במסמכי התיעוד של האפליקציה צריך לציין את כתובת ה-URI להפניה אוטומטית שבה צריך להשתמש. אי אפשר להשתמש בכתובות URI מותאמות אישית להפניה אוטומטית.

בקטע הנחיות ספציפיות ללקוח מוסבר איך להגדיר את שרת ה-MCP ולהתחבר אליו באפליקציות ספציפיות.

למידע כללי נוסף, אפשר לעיין במקורות המידע הבאים:

באילו כלים אפשר להשתמש

בחומר העזר בנושא שרת Spanner MCP מפורטים כלי ה-MCP שזמינים לשרת Spanner MCP והתיאורים שלהם.

כלים לרשימות

משתמשים ב-MCP inspector כדי להציג רשימה של כלים, או שולחים בקשת HTTP מסוג tools/list ישירות לשרת ה-MCP המרוחק של Spanner. השיטה tools/list לא דורשת אימות.

curl -X POST https://spanner.googleapis.com/TOOLSET_ENDPOINT \
    -H 'Content-Type: application/json' \
    -H 'Accept: application/json' \
    -H 'MCP-Protocol-Version: MCP_PROTOCOL_VERSION' \
    -H 'Mcp-Method: tools/list' \
    -d '{
      "jsonrpc": "2.0",
      "id": 1,
      "method": "tools/list",
      "params": {
        "_meta": {
          "io.modelcontextprotocol/protocolVersion": "MCP_PROTOCOL_VERSION",
          "io.modelcontextprotocol/clientCapabilities": {
            "extensions": {
              "io.modelcontextprotocol/ui": {
                "mimeTypes": ["text/html;profile=mcp-app"]
              }
            }
          }
        }
      }
    }'

מחליפים את מה שכתוב בשדות הבאים:

‫TOOLSET_ENDPOINT: החלק שנותר בנקודת הקצה של ה-MCP אחרי שם השירות. לדוגמה, ב-Spanner זה יכול להיות mcp/toolset-name.
‫MCP_PROTOCOL_VERSION: גרסת פרוטוקול ה-MCP. לדוגמה, 2026-07-28.

ניראות (observability)

שרת ה-MCP של Spanner תומך בכלי ניתוח פנימי ותצפיתיות של Spanner.

תגי בקשה

השאילתות שמופעלות או הטרנזקציות שמתבצעות באמצעות שרת ה-MCP של Spanner מתויגות באופן אוטומטי בתגי בקשה ספציפיים. אתם יכולים להשתמש בתגים האלה כדי לנפות באגים בשאילתות ובעסקאות. מידע נוסף זמין במאמר פתרון בעיות באמצעות תגי בקשות ותגי עסקאות.

שם הכלי	תג הבקשה
`execute_sql`	`mcp_execute_sql`
`execute_sql_readonly`	`mcp_execute_sql_readonly`
`commit`	`mcp_commit`

תרחישים לדוגמה

הנה כמה דוגמאות לתרחישי שימוש בשרת MCP של Spanner.

פיתוח אפליקציות באמצעות Spanner

מפתחי אפליקציות יכולים להשתמש בשרת Spanner MCP כדי להקצות משאבים, ליצור מסדי נתונים ולאכלס נתונים לדוגמה.

הנחיה לדוגמה: "צור מכונה אזורית של Spanner בפרויקט PROJECT_ID בהגדרת המכונה האזורית us-central1. צור מסד נתונים למעקב אחרי מלאי והוסף 5 מוצרים לדוגמה".

מחליפים את PROJECT_ID במזהה הפרויקט ב- Google Cloud .

תהליך עבודה:

תהליך העבודה לפיתוח אפליקציה יכול להיראות כך:

הנציג מפעיל את הכלי create_instance כדי להקצות מכונה חדשה של Spanner באמצעות הגדרת המכונה שצוינה. הסוכן עשוי להפעיל את הכלי get_operation כדי לוודא שהמכונה מוכנה לשימוש.
הנציג מפעיל את הכלי create_database כדי ליצור מסד נתונים חדש עם הסכימה הנדרשת. יכול להיות שהנציג יפעיל את הכלי get_operation כדי לבדוק את הסטטוס של פעולת יצירת מסד הנתונים.
הנציג יכול להשתמש בשילוב של הכלים create_session,‏ execute_sql ו-commit כדי להוסיף נתונים לדוגמה.
אם רוצים, הנציג יכול להפעיל את הכלי execute_sql כדי לשלוח שאילתה ולאמת את יצירת הנתונים לדוגמה.

תובנות תפעוליות וניהול הגדרות של מסדי נתונים

אדמינים של Spanner יכולים להשתמש בשרת ה-MCP של Spanner כדי לאסוף מידע על מכונות ומסדי נתונים של Spanner באמצעות כלים כמו list_instances,‏ get_instance,‏ list_databases ו-get_database_ddl.

הנחיות לדוגמה:

"הצגת רשימה של כל המכונות של Spanner בפרויקט הנוכחי".
"הצגת רשימה של כל מסדי הנתונים במכונה הנוכחית של Spanner".
"הצגת הסכימה של מסד הנתונים הנוכחי ב-Spanner".

הגדרות אופציונליות של אבטחה ובטיחות

בגלל המגוון הרחב של הפעולות שאפשר לבצע באמצעות כלי MCP, יש סיכוני אבטחה ושיקולים חדשים שצריך להביא בחשבון. כדי לצמצם ולנהל את הסיכונים האלה,Google Cloud מציע הגדרות ברירת מחדל וכללי מדיניות שניתנים להתאמה אישית כדי לשלוט בשימוש בכלים של MCP בארגון או בפרויקט ב- Google Cloud.

מידע נוסף על אבטחה ופיקוח ב-MCP זמין במאמר אבטחה ובטיחות ב-AI.

שימוש ב-Model Armor

‫Model Armor הוא שירות שלGoogle Cloud שנועד לשפר את האבטחה והבטיחות של אפליקציות ה-AI. הוא פועל באופן יזום כדי לסנן הנחיות ותשובות של מודלי LLM, להגן מפני סיכונים שונים ולתמוך בשיטות לפיתוח אחראי של AI. לא משנה אם אתם פורסים את ה-AI בסביבת הענן שלכם או אצל ספקי שירותי ענן חיצוניים, אתם יכולים להשתמש ב-Model Armor כדי למנוע קלט זדוני, לאמת את בטיחות התוכן, להגן על מידע אישי רגיש, לשמור על תאימות ולאכוף את מדיניות הבטיחות והאבטחה של ה-AI באופן עקבי בכל סביבת ה-AI שלכם.

כשהתכונה "הגנה מוגברת על המודל" מופעלת עם רישום ביומן, היא מתעדת את כל המטען הייעודי (payload). זה עלול לחשוף מידע רגיש ביומנים.

ניתוב בקשות של MCP ל-Model Armor

התכונה "הגנה מוגברת על המודל" זמינה באזורים מסוימים. אם אתם מפעילים את Model Armor ומשתמשים בשרת MCP בסמכות שיפוט שלא נתמכת על ידי Model Armor, יכול להיות שההתנהגות של ניתוב הקריאה תהיה שונה בשרתי MCP שונים, ושהיא תפר את התאימות של מיקום אחסון הנתונים לנתונים שנמצאים בשימוש ובמעבר. מידע נוסף על ההתנהגות של שרתי MCP ספציפיים זמין במאמר מוצרים שנתמכים ב-Model Armor.

הפעלת Model Armor

כדי להשתמש ב-Model Armor, צריך להפעיל את ממשקי ה-API של Model Armor.

המסוף

מפעילים את Model Armor API, אם הוא עדיין לא מופעל.
התפקידים שנדרשים כדי להפעיל ממשקי API
כדי להפעיל ממשקי API, צריך את ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד "בעלים" (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד "אדמין בממשק 'שימוש בשירות'" (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים
להפעלת ה-API
בוחרים את הפרויקט שבו רוצים להפעיל את Model Armor.

gcloud

לפני שמתחילים, מבצעים את השלבים הבאים באמצעות Google Cloud CLI עם Model Armor API:

מפעילים את Cloud Shell במסוף Google Cloud .

הפעלת Cloud Shell

בחלק התחתון של מסוף Google Cloud יתחיל סשן של Cloud Shell ותופיע הודעה של שורת הפקודה. Cloud Shell היא סביבת מעטפת שבה ה-CLI של Google Cloud מותקן ומוגדרים ערכים לפרויקט הקיים. הסשן יופעל תוך כמה שניות.
מריצים את הפקודה הבאה כדי להגדיר את נקודת הקצה ל-API של שירות Model Armor.
```
gcloud config set api_endpoint_overrides/modelarmor "https://modelarmor.LOCATION.rep.googleapis.com/"
```
מחליפים את LOCATION באזור שבו רוצים להשתמש ב-Model Armor.

הגדרת הגנה לשרתי MCP של Google ו Google Cloud לשרתי MCP מרוחקים

כדי להגן על הקריאות והתשובות של כלי ה-MCP, אתם יכולים להשתמש בהגדרות הבסיסיות של Model Armor. הגדרת רצפה קובעת את מסנני האבטחה המינימליים שחלים על הפרויקט. ההגדרה הזו מחילה קבוצה עקבית של מסננים על כל הקריאות והתגובות של כלי ה-MCP בפרויקט.

מגדירים את ההגנה המוגברת על המודל עם הסרת תוכן זדוני או רגיש ב-MCP. מידע נוסף זמין במאמר הגדרת רמות הסינון של Model Armor.

דוגמה לפקודה:

gcloud model-armor floorsettings update \
--full-uri='projects/PROJECT_ID/locations/global/floorSetting' \
--enable-floor-setting-enforcement=TRUE \
--add-integrated-services=GOOGLE_MCP_SERVER \
--google-mcp-server-enforcement-type=INSPECT_AND_BLOCK \
--enable-google-mcp-server-cloud-logging \
--malicious-uri-filter-settings-enforcement=ENABLED \
--add-rai-settings-filters='[{"confidenceLevel": "MEDIUM_AND_ABOVE", "filterType": "DANGEROUS"}]'

מחליפים את PROJECT_ID במזהה הפרויקט ב- Google Cloud .

שימו לב להגדרות הבאות:

‫INSPECT_AND_BLOCK: סוג האכיפה שבודק את התוכן בשרת MCP של Google וחוסם הנחיות ותשובות שתואמות למסננים.
‫ENABLED: ההגדרה שמפעילה סינון או אכיפה.
‫MEDIUM_AND_ABOVE: רמת הסמך של הגדרות הסינון של Responsible AI - Dangerous. אפשר לשנות את ההגדרה הזו, אבל ערכים נמוכים יותר עלולים לגרום ליותר תוצאות חיוביות כוזבות. מידע נוסף מופיע במאמר רמות הסמך של Model Armor.

השבתת הסריקה של תנועת MCP באמצעות Model Armor

כדי להפסיק את הסריקה האוטומטית של הגנה מוגברת על המודל לתעבורת נתונים אל שרתי MCP וממנה, על סמך הגדרות אבטחה מינימליות של הפרויקט, מריצים את הפקודה הבאה:

gcloud model-armor floorsettings update \
  --full-uri='projects/PROJECT_ID/locations/global/floorSetting' \
  --remove-integrated-services=GOOGLE_MCP_SERVER

מחליפים את PROJECT_ID במזהה הפרויקט ב- Google Cloud . התכונה "הגנה מוגברת על המודל" לא מחילה באופן אוטומטי את הכללים שמוגדרים בהגדרות המינימום של הפרויקט הזה על תנועה בשרת MCP של Google.

הגדרות הסף וההגדרות הכלליות של Model Armor יכולות להשפיע על יותר מאשר רק MCP. מכיוון שהגנה מוגברת על המודל משתלבת עם שירותים כמו Vertex AI, כל שינוי שתבצעו בהגדרות של רמות הסינון יכול להשפיע על סריקת התנועה ועל התנהגויות הבטיחות בכל השירותים המשולבים, ולא רק ב-MCP.

שליטה בשימוש ב-MCP באמצעות מדיניות IAM

כללי מדיניות הדחייה וכללי מדיניות ההרשאה של ניהול זהויות והרשאות גישה (IAM) עוזרים לכם לאבטח את Google Cloud ואת שרתי Google MCP.

אפשר לשלב כמה קריטריונים כדי ליצור מדיניות אבטחה ופיקוח בהתאמה אישית, על ידי מתן גישה או דחיית גישה על סמך:

חשבון המשתמש.
מאפייני הכלי, כמו המאפיין "לקריאה בלבד".
שם השירות או שם הכלי.
מזהה הלקוח ב-OAuth של האפליקציה.

מידע נוסף זמין במאמר שליטה בשימוש ב-MCP באמצעות ניהול זהויות והרשאות גישה.

שימוש בשרת MCP מרוחק של Spanner קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

מה ההבדל בין שרתי MCP מקומיים לשרתי MCP מרוחקים?

ליבה ללא שמירת מצב

שרתי MCP של Google ושרתי MCP מרוחקים של Google Cloud

לפני שמתחילים

התפקידים הנדרשים

ההרשאות הנדרשות

אימות והרשאה

היקפי ההרשאות של Spanner MCP OAuth

הגדרת לקוח MCP לשימוש בשרת MCP של Spanner

Gemini CLI

Claude.ai

יצירת מזהה לקוח וסוד ב-OAuth 2.0

יצירת מחבר בהתאמה אישית ב-Claude.ai

ChatGPT

יצירת מזהה לקוח וסוד ב-OAuth 2.0

מוסיפים את שרת ה-MCP כאפליקציה ב-ChatGPT.

הנחיות כלליות ללקוחות MCP

‫URI של הפניה לכתובת אחרת

באילו כלים אפשר להשתמש

כלים לרשימות

ניראות (observability)

תגי בקשה

תרחישים לדוגמה

פיתוח אפליקציות באמצעות Spanner

תובנות תפעוליות וניהול הגדרות של מסדי נתונים

הגדרות אופציונליות של אבטחה ובטיחות

שימוש ב-Model Armor

ניתוב בקשות של MCP ל-Model Armor

הפעלת Model Armor

המסוף

gcloud

הגדרת הגנה לשרתי MCP של Google ו Google Cloud לשרתי MCP מרוחקים

השבתת הסריקה של תנועת MCP באמצעות Model Armor

שליטה בשימוש ב-MCP באמצעות מדיניות IAM

המאמרים הבאים

שימוש בשרת MCP מרוחק של Spanner