مثيل Cloud SQL لديك بلا IP عام.
صِل إليه باسمه، دون خادم bastion.
يشغّل AgentsRoom أداة Cloud SQL Auth Proxy عند فتح الاتصال، ويوجّه عميل قواعد البيانات الخاص به إليها. تكتب اسم اتصال المثيل بصيغة project:region:instance، أو تختاره من القائمة التي يراها تسجيل دخول gcloud الخاص بك.
يُصرَّح للأداة ببيانات Application Default Credentials الخاصة بك، فلا يخزّن AgentsRoom أي مفتاح لحساب خدمة. ومع مصادقة قاعدة البيانات عبر IAM لا توجد كلمة مرور لقاعدة البيانات أيضًا. ويستطيع وكيل برمجة بالذكاء الاصطناعي الاستعلام عن المثيل نفسه، للقراءة فقط.
كيف يصل AgentsRoom إلى مثيل Cloud SQL عبر IP الخاص به من خلال Cloud SQL Auth Proxy، دون تخزين أي شيء في التطبيق.
مثيل Cloud SQL بـ IP خاص فقط هو الإعداد الصحيح، وهو أيضًا إعداد مزعج. قاعدة البيانات تقيم داخل VPC لديك، وIP العام فيها مُغلق، والأجهزة الوحيدة القادرة على الوصول إليها هي تلك الموجودة داخل تلك الشبكة. ثم يظهر خلل يحتاج إلى النظر في ثلاثة صفوف، من حاسوب محمول.
Google توفر الحل أصلًا: Cloud SQL Auth Proxy. تفتح اتصالًا مشفّرًا بالمثيل، مصرَّحًا له بهويتك في Google لا بقائمة عناوين IP مسموحة، وتعرضه كمنفذ محلي. العناء الحقيقي في كل ما حولها: تثبيتها، وتذكّر اسم اتصال المثيل، وتشغيلها في الطرفية قبل فتح العميل، ثم نسيانها تعمل بعد ذلك.
يتولى AgentsRoom هذا الجزء. تختار Google Cloud SQL في حقل «الوصول عبر» ضمن اتصال قاعدة البيانات، وتحدد المثيل، وتفعّل «IP خاص» أو «مصادقة قاعدة البيانات عبر IAM» إن احتجت إليهما، ومن ثم يصبح فتح تلك القاعدة نقرة واحدة. تبدأ الأداة مع الاتصال وتتوقف معه.
كل الطرق المعتادة للالتفاف على ذلك لها ثمن
ثلاثة حلول للمشكلة نفسها، وما يتقاضاه كل منها منك.
خادم bastion لهذا الغرض وحده
جهاز Compute Engine افتراضي بمنفذ SSH، يُبقى داخل الـ VPC فقط ليتمكن أحدهم من فتح نفق إلى قاعدة البيانات بين الحين والآخر. يحتاج إلى ترقيع، ويكلّف مالًا كل ساعة، ومفاتيح SSH وقواعد جدار الحماية فيه تنحرف كلما تغيّر الفريق.
IP عام وقائمة عناوين مسموحة
تفعيل IP العام وإضافة عنوان منزلك إلى الشبكات المصرَّح لها ينجح حتى يتغير عنوانك، وفي أثناء ذلك تكون قاعدة البيانات مصغية على الإنترنت. إنه الاستثناء الذي لا يُزال أبدًا.
مفتاح حساب خدمة على حاسوب محمول
تنزيل مفتاح JSON لتشغيل الأداة هو الاختصار الذي يندم عليه الجميع: بيانات اعتماد طويلة الأمد في مجلد التنزيلات، تُنسخ إلى سكربتات ومطالبات، لا يدوّرها أحد ولا يستطيع أحد تتبعها.
من مثيل Cloud SQL خاص إلى مجموعة نتائج
أربع خطوات تُنفَّذ مرة واحدة، ثم تصبح العملية نقرة واحدة.
سجّل الدخول عبر gcloud مرة واحدة
شغّل الأمر gcloud auth application-default login على جهازك. بيانات Application Default Credentials (بيانات الاعتماد الافتراضية للتطبيقات) التي ينشئها هي ما تستخدمه الأداة للوصول إلى المثيل. لا يقرأ AgentsRoom منها شيئًا ولا يخزّن منها شيئًا.
اختر المثيل في حقل «الوصول عبر»
أنشئ اتصال MySQL أو PostgreSQL واختر Google Cloud SQL في «الوصول عبر». اكتب اسم اتصال المثيل project:region:instance، أو انقر «عرض مثيلاتي» لاختياره مما يراه تسجيل دخول gcloud الخاص بك. يختفي المضيف والمنفذ: المثيل هو العنوان.
اختر IP الخاص ومصادقة IAM
فعّل «IP خاص» حين لا يكون للمثيل عنوان عام ويصل جهازك إلى VPC الخاص به عبر VPN أو Interconnect. وفعّل «مصادقة قاعدة البيانات عبر IAM» لتسجيل الدخول بهويتك في Google: يختفي حقل كلمة المرور، ويكون المستخدم هو مستخدم قاعدة بيانات IAM الخاص بك.
استعلم عنه، أو دع وكيلًا يستعلم عنه
فتح الاتصال يحجز منفذ loopback حرًا، ويشغّل cloud-sql-proxy عليه، وينتظر حتى يقبل اتصال TCP. تتصل وحدة التحكم بـ 127.0.0.1 كأي اتصال آخر، ويستطيع وكيل ذكاء اصطناعي الاستعلام عنه عبر MCP، للقراءة فقط. وإغلاق الاتصال يوقف الأداة.
الأمر الذي يطلقه AgentsRoom
لم يُعَد تنفيذ أي شيء. يشغّل AgentsRoom الملف التنفيذي cloud-sql-proxy من Google نفسها (الإصدار 2) كعملية فرعية، مع تمرير وسائطه مباشرة بدل تمريرها عبر صدفة. وإن سبق أن شغّلت الأداة يدويًا، فهذا هو السطر الذي تعرفه أصلًا.
cloud-sql-proxy acme-prod:europe-west1:orders \
--address 127.0.0.1 --port 54321 \
--private-ip \
--auto-iam-authnالمثيل والخياران يأتون من الاتصال الذي حفظته. أما المنفذ المحلي فيختاره نظام التشغيل لحظة الفتح.
تقبل الأداة الاتصال المحلي قبل أن تتحقق من أي شيء، ثم تقطعه وتسجّل السبب إن وُجد خلل. يقرأ AgentsRoom ذلك السجل ويخبرك بالسبب الفعلي: الأداة غير مثبّتة، أو انتهت صلاحية تسجيل دخول gcloud (مع الأمر الواجب تشغيله)، أو يفتقر حسابك إلى دور Cloud SQL Client، أو لا IP خاص للمثيل، أو اسم المثيل خاطئ.
ما الذي يجب أن يتوفر قبل أن يعمل هذا
يقود AgentsRoom إعداد Google Cloud لديك، ولا يحل محله. هذه هي الأمور نفسها التي تحتاجها الأداة وحدها.
cloud-sql-proxy على جهازك
الإصدار 2 من Cloud SQL Auth Proxy، ضمن PATH لديك. أسرع طريقة هي gcloud components install cloud-sql-proxy، وتوفرها Google أيضًا كتنزيل مستقل. وإن كانت مفقودة، يخبرك AgentsRoom بذلك ويسمّي الأمر.
Application Default Credentials
الأمر gcloud auth application-default login، يُشغَّل مرة واحدة. وحين تنتهي صلاحية ذلك التسجيل، يطلب منك الخطأ تشغيله من جديد بدل أن يعرض مقبسًا مغلقًا.
دور Cloud SQL Client
يحتاج حساب Google لديك إلى دور Cloud SQL Client في مشروع المثيل، ويجب تفعيل Cloud SQL Admin API هناك. وتتطلب مصادقة قاعدة البيانات عبر IAM أيضًا دور Cloud SQL Instance User ومستخدم IAM على المثيل.
gcloud لقائمة الاختيار
«عرض مثيلاتي» يشغّل gcloud sql instances list في مشروعك النشط، أو في المشروع الذي بدأت بكتابته. وبدون gcloud يمكنك مع ذلك كتابة اسم الاتصال يدويًا.
مسار إلى الـ VPC من أجل IP الخاص
IP الخاص يعني أن جهازك نفسه يجب أن يصل إلى VPC المثيل، عبر VPN أو Interconnect أو جهاز داخل الشبكة. وبدون هذا المسار، اترك «IP خاص» معطّلًا واستخدم IP العام مع تشفير الأداة.
ما تفعله الأداة، وما ترفض فعله
الخصائص التي تحدد ما إذا كان من الآمن ترك هذا مُعدًّا على حاسوب محمول.
على loopback وحده
تصغي الأداة إلى 127.0.0.1 فقط. لا تُعاد إتاحة قاعدة البيانات على الشبكة المحلية أبدًا، فلا يتحول Wi-Fi مقهى إلى طريق نحو بيئة الإنتاج.
منفذ يختاره نظام التشغيل
يطلب AgentsRoom من نظام التشغيل منفذًا حرًا ويسلّمه إلى الأداة. لا منفذ ثابتًا يجب تذكّره، ولا تعارض مع أداة أخرى شغّلتها يدويًا.
جاهز تعني جاهزًا فعلًا
لا يُفتح الاتصال إلا بعد أن يقبل المنفذ المحلي اتصال TCP، والأداة التي تنتهي فورًا تُبلغ بالسبب الذي طبعته. لا انتظار عشوائيًا، ولا عميل يتصل مبكرًا.
لا مفتاح مخزَّن
يُصرَّح للأداة ببيانات Application Default Credentials الخاصة بك. يخزّن AgentsRoom اسم اتصال المثيل وخيارين، وليس أي منها بيانات اعتماد، ولا يلمس التطبيق أي مفتاح لحساب خدمة.
قاعدة البيانات تبقى للقراءة فقط
يكون اتصال قاعدة البيانات للقراءة فقط عند إنشائه. والكتابة تتطلب جعل ذلك الاتصال قابلًا للكتابة وتأكيدًا صريحًا، يكون أشد تنبيهًا على اتصال موسوم بأنه إنتاجي.
عبارة واحدة في كل استدعاء
يحمل كل استدعاء عبارة واحدة بالضبط، فلا شيء يختبئ خلف فاصلة منقوطة، ومجموعات النتائج محدودة كي لا يغرق استعلام واسع نافذة أو سياق وكيل.
لماذا هذا وصول أقل لا أكثر
لا يُفتح شيء من جهة المثيل. يمكن أن يبقى IP العام مغلقًا، ولا تُضاف أي شبكة إلى قائمة المصرَّح لها، ولا يُبقى جهاز افتراضي بمنفذ SSH حيًا من أجل استعلام عارض. وتشفّر الأداة الاتصال بالمثيل من طرف إلى طرف.
يبقى التصريح حيث تديره مؤسستك: هويتك في Google وأدوار IAM الخاصة بها. والوصول الممنوح لتلك الهوية يُسجَّل كأي اتصال آخر بـ Cloud SQL، وينتهي يوم تُزال الصلاحية. يحتفظ AgentsRoom باسم المثيل واختيار IP الخاص واختيار IAM، ولا شيء يمكن لمن قرأها إعادة استخدامه.
أما في جهة قاعدة البيانات فالضمانات هي نفسها التي يحصل عليها كل اتصال في AgentsRoom: قراءة فقط افتراضيًا، وعبارة واحدة في كل استدعاء، ومجموعات نتائج محدودة، وعلامة إنتاج تشدّد تأكيد الكتابة. يحصل وكيل الذكاء الاصطناعي الذي يستعلم عبر MCP على مجموعة نتائج، لا على بيانات اعتماد أبدًا، ولا يستطيع الكتابة ما لم تجعل ذلك الاتصال قابلًا للكتابة وتفعّل له «السماح للوكلاء بالكتابة».
MySQL وPostgreSQL، لا SQL Server بعد
يشغّل Cloud SQL كلًا من MySQL وPostgreSQL وSQL Server. يصل AgentsRoom إلى الأولين عبر الأداة، وليس لديه عميل SQL Server اليوم. كما أن AlloyDB، الذي له أداته الخاصة، غير مشمول.
ما يأتي لاحقًا من محركات وخدمات يقرره ما يطلبه الناس. فإن كان محركك مفقودًا، فاذكر أيّها في الـ backlog العام ليُحتسب.
اطلب محرك قاعدة البيانات الذي تستخدمهيستطيع وكيل الاستعلام عنه أيضًا، للقراءة فقط
متى وُجد الاتصال، يستخدمه وكيل برمجة بالذكاء الاصطناعي عبر AgentsRoom MCP بذكر اسمه: db_list، وdb_schema للتجوّل بين الجداول والأعمدة، وdb_query لعبارة واحدة بصفوف محدودة. ويستطيع الوكيل أيضًا تسجيل اتصال Cloud SQL بنفسه عبر db_connection_new أو db_connection_save بذكر اسم اتصال المثيل.
يشغّل AgentsRoom الأداة بنفسه حين يطلب الوكيل ذلك، فلا يتعامل الوكيل أبدًا مع بيانات اعتماد Google ولا كلمة مرور قاعدة البيانات ولا رقم منفذ. وما يعود هو مجموعة نتائج. أما الكتابة فتتطلب اتصالًا قابلًا للكتابة وإعداد «السماح للوكلاء بالكتابة»، وهو معطّل افتراضيًا.
الوكيل الذي يصحّح خللًا على نسخة إنتاج مكررة يقرأ الصفوف التي تفسّر الخلل، دون بيانات اعتماد قد تتسرب إلى سياقه ودون أي طريق إلى قاعدة البيانات بعد إغلاق التطبيق.
الأسئلة الشائعة
كيف أتصل بمثيل Cloud SQL لا يملك سوى IP خاص؟
أنشئ اتصال MySQL أو PostgreSQL، واختر Google Cloud SQL في «الوصول عبر»، وحدد اسم اتصال المثيل، وفعّل «IP خاص». يشغّل AgentsRoom أداة Cloud SQL Auth Proxy مع --private-ip على منفذ loopback ويوصل عميله بها. ويجب أن يصل جهازك إلى VPC المثيل، عبر VPN أو Interconnect مثلًا.
هل يخزّن AgentsRoom مفتاح حساب خدمة؟
لا. يُصرَّح للأداة ببيانات Application Default Credentials التي أنشأها الأمر gcloud auth application-default login على جهازك. يخزّن AgentsRoom اسم اتصال المثيل والخيارين، وليس أي منها بيانات اعتماد.
هل يمكنني الاتصال دون كلمة مرور لقاعدة البيانات؟
نعم، عبر مصادقة قاعدة البيانات عبر IAM. فعّلها في الاتصال وتعمل الأداة مع --auto-iam-authn: تسجّل الدخول بهويتك في Google، ويختفي حقل كلمة المرور، ويكون المستخدم هو مستخدم قاعدة بيانات IAM الخاص بك. ويجب أن تكون مصادقة IAM مفعّلة على المثيل وأن يكون ذلك المستخدم قد أُنشئ.
ما الذي أحتاج إلى تثبيته؟
Cloud SQL Auth Proxy الإصدار 2 (gcloud components install cloud-sql-proxy، أو تنزيل Google المستقل)، وتسجيل دخول gcloud من أجل Application Default Credentials. أما gcloud نفسه فلا يلزم إلا لزر «عرض مثيلاتي».
ماذا يحدث حين تنتهي صلاحية تسجيل دخول gcloud؟
ترفض الأداة الاتصال وتسجّل السبب. يقرأ AgentsRoom ذلك السجل ويعرض رسالة واضحة تطلب منك تشغيل gcloud auth application-default login بدل خطأ اتصال مجرد. ثم تعيد المحاولة.
أي منفذ محلي يُستخدم، ومن يستطيع الوصول إليه؟
يختار نظام التشغيل منفذًا حرًا عند فتح الاتصال، وتصغي الأداة إلى 127.0.0.1 فقط. لا شيء على الشبكة المحلية يستطيع الوصول إليه، وتتوقف الأداة حين يُغلق الاتصال أو يُغلق التطبيق.
أي محركات Cloud SQL مدعومة؟
Cloud SQL لـ MySQL وCloud SQL لـ PostgreSQL. أما Cloud SQL لـ SQL Server فغير مدعوم لأن AgentsRoom لا يملك عميل SQL Server بعد؛ اطلبه في الـ backlog العام ليُحتسب.
هل يعمل على Windows وLinux؟
نعم. cloud-sql-proxy ملف تنفيذي أصلي على macOS وWindows وLinux، ويشغّله AgentsRoom بالطريقة نفسها على الثلاثة. ويعرض تطبيق الهاتف الاتصالات نفسها ويستعلم عنها للقراءة فقط عبر حاسوبك المكتبي.
هل يستطيع وكيل ذكاء اصطناعي الاستعلام عن قاعدة البيانات عبر الأداة؟
نعم، للقراءة فقط افتراضيًا. يذكر الوكيل اتصالًا محفوظًا عبر AgentsRoom MCP، فيشغّل التطبيق الأداة وينفّذ العبارة بنفسه، ولا يعود سوى مجموعة النتائج. لا يتلقى الوكيل بيانات اعتماد Google ولا كلمة مرور قاعدة البيانات، ويرفض db_query أي شيء غير القراءة ما لم يكن الاتصال قابلًا للكتابة وقد فعّلت له «السماح للوكلاء بالكتابة».
قد يعجبك أيضًا
اتصالات قواعد البيانات
احفظ اتصالات MySQL وPostgreSQL وMongoDB الخاصة بك، وصِل إلى قاعدة بيانات في شبكة فرعية خاصة عبر نفق SSH أو جلسة AWS SSM، ودع وكلاء الذكاء الاصطناعي يستعلمون عنها عبر MCP. للقراءة فقط افتراضيًا، وعبارة واحدة لكل استدعاء، ومجموعات نتائج محدودة، وكلمة المرور لا تصل إلى الوكيل أبدًا. ويشمل ذلك التصدير والاستيراد والنسخ المباشر من قاعدة بيانات إلى أخرى.
RDS عبر AWS SSM
صِل إلى مثيل Amazon RDS بلا نقطة نهاية عامة، من جهازك أنت، عبر aws ssm start-session ومستند AWS-StartPortForwardingSessionToRemoteHost. لا خادم bastion تصونه، ولا VPN، ولا قاعدة SSH واردة. يفتح AgentsRoom الجلسة على منفذ loopback ويوصل عميل قواعد البيانات من خلاله. MySQL وPostgreSQL وMongoDB، أي RDS MySQL وRDS PostgreSQL وAurora وDocumentDB.
مدير الأسرار
خزّن مفاتيح API ورموز الوصول وكلمات المرور في سلسلة مفاتيح نظام التشغيل لديك، وأشِر إليها بصيغة {{secret:NAME}} في أوامر التطوير وبيئات الوكلاء، ودع AgentsRoom يستبدلها عند الإطلاق. يرى الوكلاء الأسماء ولا يرون القيم أبدًا، ولا يُزامَن أي شيء مع خادم.
اتصالات SSH
احفظ اتصالات SSH الخاصة بك، وافتح طرفية SSH مدمجة، وشغّل Claude Code أو Codex أو Antigravity CLI مباشرة على خادمك البعيد أو VPS. المصادقة بمفتاح SSH أو كلمة مرور، وملفات اتصال لكل مشروع، دون الحاجة إلى عميل SSH منفصل.
استعلم عن مثيل Cloud SQL الخاص بك
حمّل AgentsRoom، واختر مثيل Cloud SQL، واستعلم عنه عبر Cloud SQL Auth Proxy بتسجيل دخول gcloud الخاص بك: بلا خادم bastion، وبلا IP عام، وبلا مفتاح على القرص.
التطبيق المرافق: تابع وكلاءك أينما كنت
استخدم Claude أو Codex أو Antigravity CLI أو أي مزود AI آخر.
أرسل الأخطاء والطلبات مباشرة إلى قائمة المهام العامة.