Cloud SQL-Remote-MCP-Server verwenden

Das Model Context Protocol (MCP) standardisiert die Art und Weise, wie KI-Anwendungen über MCP-Server und ‑Tools eine Verbindung zu externen Datenquellen herstellen.

In diesem Dokument wird beschrieben, wie Sie den Cloud SQL-Remote-MCP-Server (Model Context Protocol) verwenden, um von KI-Anwendungen wie der Gemini CLI, dem Agent-Modus in Gemini Code Assist, Claude Code oder von KI-Anwendungen, die Sie entwickeln, eine Verbindung zu Cloud SQL for MySQL herzustellen.

Der Cloud SQL-Remote-MCP-Server und andere Google Cloud Remote-MCP-Server bieten die folgenden Funktionen und Vorteile:

  • Vereinfachte, zentrale Suche.
  • Verwaltete globale oder regionale HTTP-Endpunkte.
  • Detaillierte Autorisierung.
  • Optionale Sicherheit für Prompts und Antworten mit Model Armor-Schutz.
  • Zentralisiertes Audit-Logging.

Remote-MCP-Server werden von Google verwaltet und bieten im Vergleich zu lokalen MCP-Servern, die von der Cloud SQL for MySQL MCP Toolbox for Databases bereitgestellt werden, zusätzliche Sicherheits- und Governance-Kontrollen. Weitere Informationen zu anderen Remote-MCP-Servern sowie zu den für MCP verfügbaren Sicherheits- und Governance-Kontrollen finden Sie unter Google Cloud MCP-Server – Übersicht.

Die folgenden Abschnitte gelten nur für den Remote-MCP-Server von Cloud SQL for MySQL.

Hinweis

  1. Melden Sie sich in Ihrem Google Cloud -Konto an. Wenn Sie mit Google Cloudnoch nicht vertraut sind, erstellen Sie ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

  4. Installieren Sie die gcloud CLI.

  5. Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

  6. Führen Sie den folgenden Befehl aus, um die gcloud CLI zu initialisieren: 

    gcloud init

  7. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  8. If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

  9. Installieren Sie die gcloud CLI.

  10. Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

  11. Führen Sie den folgenden Befehl aus, um die gcloud CLI zu initialisieren: 

    gcloud init

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für das Projekt zuzuweisen, in dem Sie den Remote-Cloud SQL-MCP-Server aktivieren und verwenden möchten, um die Berechtigungen zu erhalten, die Sie dazu benötigen:

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Aktivieren und Verwenden des Cloud SQL-Remote-MCP-Servers erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen, um die notwendigen Berechtigungen anzuzeigen:

Erforderliche Berechtigungen

Die folgenden Berechtigungen sind erforderlich, um den Cloud SQL-Remote-MCP-Server zu aktivieren und zu verwenden:

  • serviceusage.mcppolicy.get
  • serviceusage.mcppolicy.update
  • MCP-Tool-Aufrufe ausführen: mcp.tools.call
  • Cloud SQL-Instanz klonen: cloudsql.instances.clone
  • Cloud SQL-Instanz erstellen: cloudsql.instances.create
  • Cloud SQL-Nutzer erstellen: cloudsql.users.create
  • SQL-Abfragen für eine Cloud SQL-Instanz ausführen:
    • cloudsql.instances.executeSql
    • cloudsql.instances.login
  • Cloud SQL-Instanz erstellen: cloudsql.instances.get
  • Cloud SQL-Instanzvorgang abrufen: cloudsql.instances.get
  • Daten in eine Cloud SQL-Instanz importieren: cloudsql.instances.import
  • Cloud SQL-Instanzen in einem Projekt auflisten: cloudsql.instances.list
  • Cloud SQL-Nutzer auflisten: cloudsql.users.list
  • Cloud SQL-Instanz aktualisieren: cloudsql.instances.update
  • Cloud SQL-Nutzer aktualisieren: cloudsql.users.update

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Cloud SQL-MCP-Server aktivieren oder deaktivieren

Sie können den Cloud SQL-MCP-Server in einem Projekt mit dem Befehl gcloud beta services mcp enable aktivieren.

Cloud SQL MCP-Server in einem Projekt aktivieren

Führen Sie den folgenden Befehl aus, um den Cloud SQL-MCP-Server in IhremGoogle Cloud -Projekt zu aktivieren:

gcloud beta services mcp enable sqladmin.googleapis.com \
    --project=PROJECT_ID

Ersetzen Sie Folgendes:

  • PROJECT_ID: die Google Cloud Projekt-ID.

Nachdem Sie den Befehl ausgeführt haben, wird der Cloud SQL-Remote-MCP-Server aktiviert.

Wenn der Cloud SQL-Dienst für IhrGoogle Cloud -Projekt nicht aktiviert ist, werden Sie aufgefordert, den Dienst zu aktivieren, bevor Sie den Cloud SQL-Remote-MCP-Server aktivieren.

Wenn Sie für Ihre Clientanmeldedaten (z. B. Dienstkontoschlüssel, OAuth-Client-ID oder API-Schlüssel) und für das Hosting Ihrer Ressourcen verschiedene Projekte verwenden, müssen Sie den Cloud SQL-Dienst und den Cloud SQL-Remote-MCP-Server in beiden Projekten aktivieren.

Cloud SQL-MCP-Server in einem Projekt deaktivieren

Führen Sie den folgenden Befehl aus, um den Cloud SQL-MCP-Server in IhremGoogle Cloud -Projekt zu deaktivieren:

gcloud beta services mcp disable sqladmin.googleapis.com \
    --project=PROJECT_ID

Der Cloud SQL-MCP-Server ist für die Verwendung in Ihrem Google Cloud Projekt deaktiviert.

MCP-Client für die Verwendung des Cloud SQL-MCP-Servers konfigurieren

Hostprogramme wie Claude oder die Gemini CLI können MCP-Clients instanziieren, die eine Verbindung zu einem einzelnen MCP-Server herstellen. Ein Hostprogramm kann mehrere Clients haben, die eine Verbindung zu verschiedenen MCP-Servern herstellen. Um eine Verbindung zu einem Remote-MCP-Server herzustellen, muss der MCP-Client mindestens die URL des Remote-MCP-Servers kennen.

Folgen Sie der Anleitung unten, um MCP-Clients für die Verbindung mit Ihrem Remote-Cloud SQL-MCP-Server zu konfigurieren.

Gemini CLI

Wenn Sie Ihrer Gemini CLI einen Cloud SQL-Remote-MCP-Server hinzufügen möchten, konfigurieren Sie ihn als Erweiterung.

  1. Erstellen Sie eine Erweiterungsdatei am folgenden Speicherort: ~/.gemini/extensions/EXT_NAME/gemini-extension.json, wobei ~/ Ihr Basisverzeichnis und EXT_NAME der Name ist, den Sie der Erweiterung geben möchten.

  2. Speichern Sie den folgenden Inhalt in Ihrer Erweiterungsdatei:

            {
          "name": "EXT_NAME",
          "version": "1.0.0",
          "mcpServers": {
            "Cloud SQL MCP Server": {
              "httpUrl": "https://sqladmin.googleapis.com/mcp",
              "authProviderType": "google_credentials",
              "oauth": {
                "scopes": ["https://www.googleapis.com/auth/cloud-platform"]
              },
              "timeout": 30000,
              "headers": {
                "x-goog-user-project": "PROJECT_ID"
              }
            }
          }
        }

  3. Speichern Sie die Erweiterungsdatei.

  4. Gemini CLI starten:

            gemini

  5. Führen Sie /mcp aus, um den konfigurierten MCP-Server und seine Tools aufzurufen.

    Das Ergebnis sieht etwa so aus:

            Configured MCP servers:
        🟢 Cloud SQL MCP Server (from sqladmin )
          - list_instances
          - get_instance
          - clone_instance
          - create_instance
          - update_instance
          - execute_sql
          - import_data
          - create_user
          - update_user
          - list_users
          - get_operation

Der Remote-MCP-Server kann in der Gemini CLI verwendet werden.

Claude.ai

Sie benötigen ein Claude Enterprise-, Pro-, Max- oder Team-Abo, um Google- und Google Cloud MCP-Server in Claude.ai zu konfigurieren. Preisinformationen finden Sie unter Claude-Preise.

Wenn Sie Claude.ai einen Google- oder Google Cloud Remote-MCP-Server hinzufügen möchten, konfigurieren Sie einen benutzerdefinierten Connector mit einer OAuth-Client-ID und einem OAuth-Client-Secret:

OAuth 2.0-Client-ID und -Secret erstellen

  1. Rufen Sie in der Google Cloud Console Google Auth Platform > Clients > Create client auf.

    Zur Seite „Client erstellen“

    Wenn Sie kein Projekt ausgewählt haben, werden Sie aufgefordert, eines zu erstellen.

  2. Wählen Sie in der Liste Anwendungstyp die Option Webanwendung aus.

  3. Geben Sie im Feld Name einen Namen für Ihre Anwendung ein.

  4. Klicken Sie im Abschnitt Autorisierte Weiterleitungs-URIs auf + URI hinzufügen und fügen Sie dann https://claude.ai/api/mcp/auth_callback in das Feld URIs ein.

  5. Klicken Sie auf Erstellen. Der Client wird erstellt. Um auf die Client-ID zuzugreifen, rufen Sie in der Google Cloud Console Google Auth Platform > Clients auf.

  6. Wählen Sie in der Liste OAuth 2.0-Client-IDs den Clientnamen aus.

  7. Kopieren Sie im Bereich Clientschlüssel den Clientschlüssel und speichern Sie ihn an einem sicheren Ort. Sie können sie nur einmal kopieren. Wenn Sie den Clientschlüssel verlieren, löschen Sie ihn und erstellen Sie einen neuen.

Benutzerdefinierten Connector in Claude.ai erstellen

Folgen Sie der Anleitung für den Claude-Tarif, den Sie verwenden:

Enterprise und Team

  1. Rufen Sie in Claude.ai Admin settings > Connectors auf.

  2. Klicken Sie auf Benutzerdefinierten Connector hinzufügen.

  3. Geben Sie im Dialogfeld Benutzerdefinierten Connector hinzufügen Folgendes ein:

    • Servername: Ein für Menschen lesbarer Name für den Server.
    • Remote-MCP-Server-URL: https://sqladmin.googleapis.com/mcp

  4. Maximieren Sie das Menü Erweiterte Einstellungen und geben Sie Folgendes ein:

    • OAuth-Client-ID: Die von Ihnen erstellte OAuth 2.0-Client-ID.
    • OAuth-Clientschlüssel: Der Schlüssel für Ihren OAuth 2.0-Client. Rufen Sie den geheimen Schlüssel ab, indem Sie zu Google Auth Platform > Clients wechseln und die von Ihnen erstellte OAuth-Client-ID auswählen. Klicken Sie im Bereich Clientschlüssel, um den Clientschlüssel zu kopieren.

  5. Klicken Sie auf Hinzufügen.

    Der benutzerdefinierte Connector wird erstellt.

  6. Öffnen Sie das Menü Tools und aktivieren Sie den Connector.

    Claude.ai kann den MCP-Server verwenden.

Pro und Max

  1. Rufen Sie in Claude.ai Einstellungen > Connectors auf.

  2. Klicken Sie auf Benutzerdefinierten Connector hinzufügen.

  3. Geben Sie im Dialogfeld Benutzerdefinierten Connector hinzufügen Folgendes ein:

    • Servername: Ein für Menschen lesbarer Name für den Server.
    • Remote-MCP-Server-URL: https://sqladmin.googleapis.com/mcp

  4. Maximieren Sie das Menü Erweiterte Einstellungen und geben Sie Folgendes ein:

    • OAuth-Client-ID: Die von Ihnen erstellte OAuth 2.0-Client-ID.
    • OAuth-Clientschlüssel: Der Schlüssel für Ihren OAuth 2.0-Client. Rufen Sie den geheimen Schlüssel ab, indem Sie zu Google Auth Platform > Clients wechseln und die von Ihnen erstellte OAuth-Client-ID auswählen. Klicken Sie im Bereich Clientschlüssel, um den Clientschlüssel zu kopieren.

  5. Klicken Sie auf Hinzufügen.

    Der benutzerdefinierte Connector wird erstellt.

  6. Öffnen Sie das Menü Tools und aktivieren Sie den Connector.

    Claude.ai kann den MCP-Server verwenden.

ChatGPT

Sie benötigen ein ChatGPT Business-Abo, um Google- und Cloud SQL MCP-Server mit ChatGPT zu verwenden.

Wenn Sie ChatGPT einen Google- oder Cloud SQL-Remote-MCP-Server hinzufügen möchten, erstellen Sie eine Google OAuth 2.0-Client-ID und ein Secret und fügen Sie den MCP-Server dann als App in ChatGPT hinzu.

OAuth 2.0-Client-ID und -Secret erstellen

  1. Rufen Sie in der Google Cloud Console Google Auth Platform > Clients > Create client auf.

    Zur Seite „Client erstellen“

    Wenn Sie kein Projekt ausgewählt haben, werden Sie aufgefordert, eines zu erstellen.

  2. Wählen Sie in der Liste Anwendungstyp die Option Webanwendung aus.

  3. Geben Sie im Feld Name einen Namen für Ihre Anwendung ein.

  4. Klicken Sie im Abschnitt Autorisierte JavaScript-Quellen auf + URI hinzufügen und fügen Sie dann https://chatgpt.com in das Feld URIs ein.

  5. Klicken Sie im Abschnitt Autorisierte Weiterleitungs-URIs auf + URI hinzufügen und fügen Sie dann https://chatgpt.com/connector_platform_oauth_redirect in das Feld URIs ein.

  6. Klicken Sie auf Erstellen. Der Client wird erstellt. Um auf die Client-ID zuzugreifen, rufen Sie in der Google Cloud Console Google Auth Platform > Clients auf.

  7. Wählen Sie in der Liste OAuth 2.0-Client-IDs den Clientnamen aus.

  8. Kopieren Sie im Bereich Clientschlüssel den Clientschlüssel und speichern Sie ihn an einem sicheren Ort. Sie können sie nur einmal kopieren. Wenn Sie den Clientschlüssel verlieren, löschen Sie ihn und erstellen Sie einen neuen.

MCP-Server als App in ChatGPT hinzufügen

  1. Melden Sie sich in ChatGPT an.
  2. Aktivieren Sie den Entwicklermodus:
    1. Klicken Sie in ChatGPT auf Ihren Nutzernamen, um das Profilmenü zu öffnen, und wählen Sie dann Einstellungen aus.
    2. Wählen Sie im Menü „Einstellungen“ Apps und dann Erweiterte Einstellungen aus.
    3. Klicken Sie in den erweiterten Einstellungen auf den Schalter Entwicklermodus, um ihn zu aktivieren.
  3. Klicken Sie in den Einstellungen > Apps auf die Schaltfläche App erstellen.
  4. Geben Sie im Dialogfeld Neue App die folgenden Informationen ein:
    • Name: Der Name des MCP-Servers.
    • Beschreibung: Eine optionale Beschreibung des MCP-Servers.
    • MCP-Server-URL: https://sqladmin.googleapis.com/mcp
    • Authentifizierung:
      • Wählen Sie im Menü Authentifizierung die Option OAuth aus.
      • Geben Sie im Feld OAuth-Client-ID Ihre Google-OAuth-Client-ID ein.
      • Geben Sie im Feld OAuth-Secret Ihren Google OAuth-Clientschlüssel ein.
    • Bestätigen Sie, dass Sie das Risiko der Verwendung von MCP-Servern verstanden haben, und klicken Sie dann auf Erstellen.

Der MCP-Server wird im Menü Apps angezeigt und kann über Chat-Prompts verwendet werden.

Allgemeine Anleitung für MCP-Clients

Wenn Ihr MCP-Client nicht unter MCP-Client für die Verwendung des Cloud SQL-MCP-Servers konfigurieren aufgeführt ist, verwenden Sie die folgenden Informationen, um eine Verbindung zu einem Remote-MCP-Server in Ihrem Hostprogramm oder Ihrer KI-Anwendung herzustellen. Sie werden aufgefordert, Details zum Server einzugeben, z. B. den Namen und die URL.

Geben Sie für den Remote-MCP-Server von Cloud SQL Folgendes ein:

  • Servername: Cloud SQL MCP-Server
  • Server-URL oder Endpunkt: https://sqladmin.googleapis.com/mcp
  • Transport: HTTP
  • Authentifizierungsdetails: Je nachdem, wie Sie sich authentifizieren möchten, können Sie Ihre Google Cloud Anmeldedaten, Ihre OAuth-Client-ID und Ihren OAuth-Clientschlüssel oder eine Agent-Identität und Anmeldedaten eingeben.

Allgemeine Informationen finden Sie in den folgenden Ressourcen:

Authentifizierung und Autorisierung

Cloud SQL MCP-Server verwenden das OAuth 2.0-Protokoll mit Identity and Access Management (IAM) für die Authentifizierung und Autorisierung. Alle Google Cloud Identitäten werden für die Authentifizierung bei MCP-Servern unterstützt.

Der Remote-MCP-Server von Cloud SQL akzeptiert keine API-Schlüssel.

Wir empfehlen, eine separate Identität für Kundenservicemitarbeiter zu erstellen, die MCP-Tools verwenden, damit der Zugriff auf Ressourcen gesteuert und überwacht werden kann. Weitere Informationen zur Authentifizierung finden Sie unter Authentifizierung bei MCP-Servern.

OAuth-Bereiche für Cloud SQL MCP

OAuth 2.0 verwendet Bereiche und Anmeldedaten, um zu ermitteln, ob ein authentifiziertes Hauptkonto autorisiert ist, eine bestimmte Aktion für eine Ressource auszuführen. Weitere Informationen zu OAuth 2.0-Bereichen bei Google finden Sie unter Mit OAuth 2.0 auf Google APIs zugreifen.

Cloud SQL hat die folgenden OAuth-Bereiche für das MCP-Tool:

Bereichs-URI für die gcloud CLI Beschreibung
https://www.googleapis.com/auth/cloud-platform Cloud SQL-Ressourcen wie Instanzen und Datenbanknutzer erstellen, aktualisieren und auflisten. Daten in Cloud SQL-Instanzen importieren und SQL-Abfragen für diese Instanzen ausführen

Möglicherweise sind zusätzliche Bereiche für die Ressourcen erforderlich, auf die während eines Tool-Aufrufs zugegriffen wird. Eine Liste der für Cloud SQL erforderlichen Bereiche finden Sie in der Cloud SQL Admin API.

Verfügbare Tools

  • clone_instance: Erstellt eine Cloud SQL-Instanz als Klon der Quellinstanz.
  • create_instance: initiiert die Erstellung einer Cloud SQL-Instanz.
  • create_user: erstellt einen Datenbanknutzer für eine Cloud SQL-Instanz.
  • execute_sql: Führt alle gültigen SQL-Anweisungen (DDL, DCL, DQL, DML) für eine Cloud SQL-Instanz aus.
  • get_instance: Ruft die Details einer Cloud SQL-Instanz ab.
  • get_operation: Ruft den Status eines lang andauernden Vorgangs in Cloud SQL ab.
  • list_instances: Listet alle Cloud SQL-Instanzen in einem Projekt auf.
  • list_users: Listet alle Datenbanknutzer für eine Cloud SQL-Instanz auf.
  • import_data: Importiert Daten aus Cloud Storage in eine Cloud SQL-Instanz.
  • update_instance: Aktualisiert unterstützte Einstellungen einer Cloud SQL-Instanz.
  • update_user: Aktualisiert einen Datenbanknutzer für eine Cloud SQL-Instanz.

Weitere Informationen zu den verfügbaren MCP-Tools und ihren Beschreibungen für den Cloud SQL-Remote-MCP-Server finden Sie in der Cloud SQL-MCP-Referenz.

Tools für Listen

Verwenden Sie den MCP-Inspector, um Tools aufzulisten, oder senden Sie eine tools/list-HTTP-Anfrage direkt an den Cloud SQL-Remote-MCP-Server. Für die Methode tools/list ist keine Authentifizierung erforderlich.

POST /mcp HTTP/1.1
Host: sqladmin.googleapis.com
Content-Type: application/json

{
  "jsonrpc": "2.0",
  "method": "tools/list",
}

SQL-Anweisungen ausführen

Damit Sie SQL-Anweisungen ausführen können, muss Ihre Cloud SQL-Instanz die folgenden Anforderungen erfüllen:

Wenn die Instanz nicht für ALLOW_DATA_API konfiguriert ist, verwenden Sie das update_instance-Tool, um die Konfiguration für die Instanz zu aktualisieren.

Beispiele für Anwendungsfälle

Im Folgenden finden Sie einige Beispielanwendungsfälle für den Cloud SQL MCP-Server:

Entwicklung von Webanwendungen

Ein Beispiel für einen Anwendungsfall ist die schnelle Entwicklung von Webanwendungen und die Bereitstellung von Cloud SQL-Instanzen als Quelldatenbank. In diesem Anwendungsfall können Sie mit dem Cloud SQL-MCP-Server eine neue Datenbank erstellen und sie mit Anfangsdaten für ein neues Projekt in natürlicher Sprache füllen.

Beispielprompt:

"Create a new MySQL development instance and set up a table called products."

Workflow:

Der Workflow zum Einrichten einer Webanwendung könnte so aussehen:

  • Bereitstellung: Der Agent ruft das Tool create_instance auf, um eine neue Cloud SQL-Instanz mit Spezifikationen in der Größe einer Entwicklungsumgebung zu erstellen.

  • Bestätigung: Der Agent verwendet das Tool get_operation, um den Status des Vorgangs zum Erstellen der Instanz abzufragen.

  • Verbindung: Wenn der Vorgang abgeschlossen ist, ruft der Agent mit dem Tool get_instance die Metadaten der Instanzverbindung ab.

  • Schema einrichten: Wenn der Agent bereit ist, verwendet er execute_sql, um die SQL-Anweisung CREATE TABLE products auszuführen.

  • Data Seeding: Der Agent verwendet execute_sql noch einmal, um erste Seed-Daten (DML) in die neu erstellte Tabelle einzufügen.

  • Initialisieren von Daten: Wenn der Agent bereit ist, verwendet er die import_data, um eine Datendatei mit Produkten aus Cloud Storage zu importieren.

Datenbank mit natürlicher Sprache abfragen

Sie können eine Cloud SQL-Datenbank abfragen, Datensätze aktualisieren und Schemaänderungen in natürlicher Sprache vornehmen.

Beispiel-Prompt:

"Add a `stock_count` column to the inventory table."

Workflow: Der Workflow für das Abfragen einer Datenbank mit natürlicher Sprache könnte so aussehen:

  • Schemamigration: Der Agent ruft execute_sql auf, um eine ALTER TABLE-Anweisung auszuführen und dem Datenbankschema die neue Spalte stock_count hinzuzufügen.

  • Validierung: Der Agent verwendet get_instance, um zu bestätigen, dass die Aktualisierung der Instanz erfolgreich abgeschlossen wurde.

Beispiel-Prompt:

"Show me a list of shoes that are priced above $100 from the inventory table."

Workflow:

  • Ausführung der Abfrage: Der Agent ruft execute_sql auf, um die SQL-Anweisung auszuführen, mit der die Daten abgerufen werden.

Beschränkungen

Für den Cloud SQL-Remote-MCP-Server gelten die folgenden Einschränkungen:

  • Das create_user-Tool unterstützt nicht das Erstellen eines Nutzers mit integrierter Authentifizierung mit einem Passwort.
  • Wenn das execute_sql-Tool eine Antwort zurückgibt, die größer als 10 MB ist, wird die Antwort abgeschnitten.
  • Wenn Sie das execute_sql-Tool verwenden, kann es bei Abfragen, die länger als 30 Sekunden dauern, zu einem Zeitüberschreitungsfehler kommen.

Optionale Sicherheitskonfigurationen

Google Cloud bietet eine Integration mit Model Armor für Remote-MCP-Server, damit Sie MCP-Tools sicher verwenden können. Weitere Informationen zur Sicherheit und Governance von MCP finden Sie unter KI-Sicherheit.

Model Armor

Model Armor ist einGoogle Cloud Dienst, der die Sicherheit Ihrer KI-Anwendungen verbessern soll. Das System überwacht und kontrolliert sowohl die Prompts als auch die Antworten des LLM, um Sie vor verschiedenen Risiken zu schützen und für verantwortungsbewusste Anwendung von KI zu sorgen. Unabhängig davon, ob Sie KI in Ihrer Cloud-Umgebung oder bei externen Cloud-Anbietern bereitstellen, kann Model Armor Ihnen helfen, schädliche Eingaben zu verhindern, die Sicherheit von Inhalten zu überprüfen, sensible Daten zu schützen, die Compliance aufrechtzuerhalten und Ihre KI-Sicherheitsrichtlinien in Ihrer vielfältigen KI-Landschaft einheitlich durchzusetzen.

Model Armor ist nur an bestimmten regionalen Standorten verfügbar. Wenn Model Armor für ein Projekt aktiviert ist und ein Aufruf an dieses Projekt aus einer nicht unterstützten Region erfolgt, führt Model Armor einen regionsübergreifenden Aufruf aus. Weitere Informationen finden Sie unter Model Armor-Standorte.

Model Armor aktivieren

Sie müssen Model Armor APIs aktivieren, bevor Sie Model Armor verwenden können.

Console

  1. Aktivieren Sie die Model Armor API.

    Rollen, die zum Aktivieren von APIs erforderlich sind

    Zum Aktivieren von APIs benötigen Sie die IAM-Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin), die die Berechtigung serviceusage.services.enable enthält. Weitere Informationen zum Zuweisen von Rollen

    API aktivieren

  2. Wählen Sie das Projekt aus, für das Sie Model Armor aktivieren möchten.

gcloud

Führen Sie die folgenden Schritte mit der gcloud CLI und der Model Armor API aus, bevor Sie beginnen:

  1. Aktivieren Sie Cloud Shell in der Google Cloud Console.

    Cloud Shell aktivieren

    Unten in der Google Cloud Console wird eine Cloud Shell-Sitzung gestartet und eine Eingabeaufforderung angezeigt. Cloud Shell ist eine Shell-Umgebung, in der die gcloud CLI bereits installiert ist und Werte für Ihr aktuelles Projekt bereits festgelegt sind. Das Initialisieren der Sitzung kann einige Sekunden dauern.

  2. Führen Sie den folgenden Befehl aus, um den API-Endpunkt für den Model Armor-Dienst festzulegen.

    gcloud config set api_endpoint_overrides/modelarmor "https://modelarmor.LOCATION.rep.googleapis.com/"

    Ersetzen Sie LOCATION durch die Region, in der Sie Model Armor verwenden möchten.

Schutz für Google- und Google Cloud Remote-MCP-Server konfigurieren

Mit den Mindesteinstellungen für Model Armor können Sie Ihre MCP-Toolaufrufe und ‑Antworten schützen. Eine Mindesteinstellung definiert die Mindestsicherheitsfilter, die für das gesamte Projekt gelten. Mit dieser Konfiguration wird ein einheitlicher Satz von Filtern auf alle MCP-Tool-Aufrufe und ‑Antworten im Projekt angewendet.

Richten Sie eine Model Armor-Mindesteinstellung mit aktivierter MCP-Bereinigung ein. Weitere Informationen finden Sie unter Model Armor-Untergrenzeneinstellungen konfigurieren.

Hier ein Beispielbefehl:

gcloud model-armor floorsettings update \
--full-uri='projects/PROJECT_ID/locations/global/floorSetting' \
--enable-floor-setting-enforcement=TRUE \
--add-integrated-services=GOOGLE_MCP_SERVER \
--google-mcp-server-enforcement-type=INSPECT_AND_BLOCK \
--enable-google-mcp-server-cloud-logging \
--malicious-uri-filter-settings-enforcement=ENABLED \
--add-rai-settings-filters='[{"confidenceLevel": "MEDIUM_AND_ABOVE", "filterType": "DANGEROUS"}]'

Ersetzen Sie dabei PROJECT_ID durch die ID Ihres Projekts in Google Cloud .

Beachten Sie die folgenden Einstellungen:

  • INSPECT_AND_BLOCK: Der Erzwingungstyp, der Inhalte für den Google MCP-Server prüft und Prompts und Antworten blockiert, die den Filtern entsprechen.
  • ENABLED: Die Einstellung, die einen Filter oder die Erzwingung ermöglicht.
  • MEDIUM_AND_ABOVE: Das Konfidenzniveau für die Filter für verantwortungsbewusste KI – gefährlich. Sie können diese Einstellung ändern. Niedrigere Werte können jedoch zu mehr falsch positiven Ergebnissen führen. Weitere Informationen finden Sie unter Vertrauenswürdigkeitsstufen für Model Armor.

Scannen von MCP-Traffic mit Model Armor deaktivieren

Wenn Sie das Scannen von Google MCP-Traffic mit Model Armor beenden möchten, führen Sie den folgenden Befehl aus:

gcloud model-armor floorsettings update \
  --full-uri='projects/PROJECT_ID/locations/global/floorSetting' \
  --remove-integrated-services=GOOGLE_MCP_SERVER

Ersetzen Sie PROJECT_ID durch die Google Cloud Projekt-ID.

Model Armor scannt keinen MCP-Traffic im Projekt.

MCP-Nutzung mit IAM-Ablehnungsrichtlinien steuern

IAM-Richtlinien (Identity and Access Management) zur Zugriffsbeschränkung helfen Ihnen, Google Cloud Remote-MCP-Server zu schützen. Konfigurieren Sie diese Richtlinien, um unerwünschten Zugriff auf MCP-Tools zu blockieren.

Sie können den Zugriff beispielsweise anhand der folgenden Kriterien verweigern oder zulassen:

  • Der Prinzipal
  • Tool-Eigenschaften wie „Schreibgeschützt“
  • Die OAuth-Client-ID der Anwendung

Weitere Informationen finden Sie unter MCP-Nutzung mit Identity and Access Management steuern.

Nächste Schritte