आपके Cloud SQL इंस्टेंस का कोई पब्लिक IP नहीं है।
उस तक नाम से पहुंचें, बिना किसी bastion VM के।
कनेक्शन खोलते ही AgentsRoom Cloud SQL Auth Proxy चला देता है और अपना डेटाबेस क्लाइंट उसी की ओर मोड़ देता है। आप इंस्टेंस का कनेक्शन नाम, project:region:instance, खुद लिखते हैं, या अपने gcloud लॉगिन को दिखने वाली सूची से चुन लेते हैं।
प्रॉक्सी को आपके Application Default Credentials अधिकृत करते हैं, इसलिए AgentsRoom कोई सर्विस अकाउंट की नहीं सहेजता। IAM डेटाबेस ऑथेंटिकेशन के साथ डेटाबेस का पासवर्ड भी नहीं रहता। और कोई AI कोडिंग एजेंट उसी इंस्टेंस को रीड-ओनली क्वेरी कर सकता है।
AgentsRoom कैसे Cloud SQL Auth Proxy के ज़रिए प्राइवेट IP वाले Cloud SQL इंस्टेंस तक पहुंचता है, ऐप की तरफ़ कुछ भी सहेजे बिना।
सिर्फ़ प्राइवेट IP वाला Cloud SQL इंस्टेंस सही सेटअप है, और साथ ही झंझट भरा भी। डेटाबेस आपके VPC में रहता है, उसका पब्लिक IP बंद है, और उस तक सिर्फ़ उसी नेटवर्क के भीतर की मशीनें पहुंच सकती हैं। फिर एक बग समझने के लिए आपको लैपटॉप से तीन पंक्तियां देखनी हैं।
इसका जवाब Google पहले से देता है: Cloud SQL Auth Proxy। वह इंस्टेंस तक एक एन्क्रिप्टेड कनेक्शन खोलता है, जिसे IP की अनुमति-सूची नहीं बल्कि आपकी Google पहचान अधिकृत करती है, और उसे एक लोकल पोर्ट के रूप में सामने रखता है। असली झंझट उसके आसपास की हर चीज़ में है: उसे इंस्टॉल करना, इंस्टेंस का कनेक्शन नाम याद रखना, क्लाइंट खोलने से पहले टर्मिनल में उसे चलाना, और बाद में उसे चलता हुआ भूल जाना।
यह हिस्सा AgentsRoom संभालता है। आप डेटाबेस कनेक्शन के "किसके ज़रिए पहुँचें" फ़ील्ड में Google Cloud SQL चुनते हैं, इंस्टेंस बताते हैं, ज़रूरत हो तो "प्राइवेट IP" या "IAM डेटाबेस ऑथेंटिकेशन" पर निशान लगाते हैं, और उसके बाद उस डेटाबेस को खोलना बस एक क्लिक का काम है। प्रॉक्सी कनेक्शन के साथ शुरू होता है और कनेक्शन के साथ ही रुक जाता है।
इसके आम रास्ते सब कुछ न कुछ वसूलते हैं
एक ही समस्या के तीन जवाब, और हर एक आपसे क्या वसूलता है।
सिर्फ़ इसी के लिए एक bastion VM
SSH पोर्ट वाली एक Compute Engine VM, जिसे VPC में सिर्फ़ इसलिए रखा जाता है कि कोई कभी-कभार डेटाबेस तक टनल बना सके। उसे पैच करना पड़ता है, वह हर घंटे पैसे खाती है, और टीम बदलने के साथ उसकी SSH कीज़ और फ़ायरवॉल नियम खिसकते रहते हैं।
एक पब्लिक IP और एक अनुमति-सूची
पब्लिक IP चालू करके अपने घर का पता अधिकृत नेटवर्क में जोड़ देना तब तक चलता है जब तक आपका पता बदल न जाए, और इस बीच डेटाबेस इंटरनेट पर सुन रहा होता है। यह वह अपवाद है जो कभी हटाया नहीं जाता।
लैपटॉप पर सर्विस अकाउंट की की
प्रॉक्सी चलाने के लिए JSON की डाउनलोड करना वह शॉर्टकट है जिस पर हर कोई पछताता है: Downloads फ़ोल्डर में पड़ा एक लंबे समय तक चलने वाला क्रेडेंशियल, जो स्क्रिप्ट और प्रॉम्प्ट में कॉपी होता रहता है, जिसे कोई रोटेट नहीं करता और जिसका पता कोई नहीं लगा सकता।
एक प्राइवेट Cloud SQL इंस्टेंस से रिज़ल्ट सेट तक
चार चरण, एक ही बार के, फिर बस एक क्लिक।
gcloud से एक बार लॉगिन करें
अपनी मशीन पर gcloud auth application-default login चलाएं। इससे बने Application Default Credentials (एप्लिकेशन के डिफ़ॉल्ट क्रेडेंशियल) ही वह चीज़ हैं जिनसे प्रॉक्सी इंस्टेंस तक पहुंचता है। AgentsRoom उनमें से कुछ भी न पढ़ता है, न सहेजता है।
"किसके ज़रिए पहुँचें" में इंस्टेंस चुनें
एक MySQL या PostgreSQL कनेक्शन बनाएं और "किसके ज़रिए पहुँचें" में Google Cloud SQL चुनें। इंस्टेंस का कनेक्शन नाम, project:region:instance, लिखें, या "मेरे इंस्टेंस दिखाएँ" पर क्लिक करके उसे उन इंस्टेंस में से चुनें जो आपका gcloud लॉगिन देख सकता है। होस्ट और पोर्ट गायब हो जाते हैं: इंस्टेंस ही पता है।
प्राइवेट IP और IAM ऑथेंटिकेशन चुनें
जब इंस्टेंस का कोई पब्लिक पता न हो और आपकी मशीन उसके VPC तक VPN या Interconnect से पहुंचती हो, तब "प्राइवेट IP" पर निशान लगाएं। अपनी Google पहचान से साइन इन करने के लिए "IAM डेटाबेस ऑथेंटिकेशन" पर निशान लगाएं: पासवर्ड फ़ील्ड हट जाता है, और यूज़र आपका IAM डेटाबेस यूज़र होता है।
खुद क्वेरी करें, या किसी एजेंट से करवाएं
कनेक्शन खोलने पर एक खाली loopback पोर्ट आरक्षित होता है, उस पर cloud-sql-proxy चलता है और वह TCP कनेक्शन स्वीकार करने तक इंतज़ार किया जाता है। कंसोल किसी भी दूसरे कनेक्शन की तरह 127.0.0.1 से जुड़ता है, और कोई AI एजेंट उसे MCP पर रीड-ओनली क्वेरी कर सकता है। कनेक्शन बंद करने पर प्रॉक्सी रुक जाता है।
वह कमांड जो AgentsRoom चलाता है
कुछ भी दोबारा नहीं लिखा गया। AgentsRoom Google की अपनी cloud-sql-proxy बाइनरी (वर्शन 2) को चाइल्ड प्रोसेस के रूप में चलाता है, और उसके आर्ग्युमेंट शेल के ज़रिए नहीं बल्कि सीधे देता है। अगर आपने कभी प्रॉक्सी हाथ से चलाया है, तो यह वही लाइन है जिसे आप पहले से जानते हैं।
cloud-sql-proxy acme-prod:europe-west1:orders \
--address 127.0.0.1 --port 54321 \
--private-ip \
--auto-iam-authnइंस्टेंस और दोनों विकल्प आपके सहेजे हुए कनेक्शन से आते हैं। लोकल पोर्ट खुलते समय ऑपरेटिंग सिस्टम चुनता है।
प्रॉक्सी कुछ भी जांचने से पहले लोकल कनेक्शन स्वीकार कर लेता है, फिर कुछ गड़बड़ होने पर उसे गिरा देता है और वजह लॉग में लिख देता है। AgentsRoom वह लॉग पढ़ता है और असली वजह बताता है: प्रॉक्सी इंस्टॉल नहीं है, आपके gcloud लॉगिन की अवधि खत्म हो गई है (चलाने वाली कमांड के साथ), आपके अकाउंट के पास Cloud SQL Client रोल नहीं है, इंस्टेंस का कोई प्राइवेट IP नहीं है, या इंस्टेंस का नाम गलत है।
इसके काम करने से पहले क्या ज़रूरी है
AgentsRoom आपका Google Cloud सेटअप चलाता है, उसकी जगह नहीं लेता। ये वही चीज़ें हैं जो प्रॉक्सी को अकेले भी चाहिए।
आपकी मशीन पर cloud-sql-proxy
Cloud SQL Auth Proxy का वर्शन 2, आपके PATH में। सबसे तेज़ तरीका gcloud components install cloud-sql-proxy है; Google उसे अलग डाउनलोड के रूप में भी देता है। अगर वह नहीं है, तो AgentsRoom यह बताता है और कमांड का नाम देता है।
Application Default Credentials
gcloud auth application-default login, एक बार चलाया हुआ। जब वह लॉगिन खत्म हो जाता है, तो त्रुटि बंद सॉकेट दिखाने के बजाय उसे दोबारा चलाने को कहती है।
Cloud SQL Client रोल
आपके Google अकाउंट को इंस्टेंस के प्रोजेक्ट में Cloud SQL Client रोल चाहिए, और वहां Cloud SQL Admin API चालू होना चाहिए। IAM डेटाबेस ऑथेंटिकेशन के लिए Cloud SQL Instance User रोल और इंस्टेंस पर एक IAM यूज़र भी चाहिए।
चुनाव-सूची के लिए gcloud
"मेरे इंस्टेंस दिखाएँ" आपके सक्रिय प्रोजेक्ट में, या जिस प्रोजेक्ट का नाम आपने लिखना शुरू किया है उसमें, gcloud sql instances list चलाता है। gcloud के बिना भी आप कनेक्शन नाम हाथ से लिख सकते हैं।
प्राइवेट IP के लिए VPC तक एक रास्ता
प्राइवेट IP का मतलब है कि आपकी मशीन को खुद इंस्टेंस के VPC तक पहुंचना होगा, VPN, Interconnect या नेटवर्क के भीतर की किसी मशीन से। यह रास्ता न हो तो "प्राइवेट IP" बंद रखें और प्रॉक्सी की एन्क्रिप्शन के साथ पब्लिक IP इस्तेमाल करें।
प्रॉक्सी क्या करता है, और क्या करने से मना करता है
वे गुण जो तय करते हैं कि इसे किसी लैपटॉप पर कॉन्फ़िगर छोड़ देना सुरक्षित है या नहीं।
सिर्फ़ loopback
प्रॉक्सी सिर्फ़ 127.0.0.1 पर सुनता है, और कहीं नहीं। डेटाबेस लोकल नेटवर्क पर दोबारा प्रकाशित नहीं होता, इसलिए किसी कैफ़े का Wi-Fi प्रोडक्शन तक पहुंचने का रास्ता नहीं बन जाता।
OS का चुना हुआ पोर्ट
AgentsRoom ऑपरेटिंग सिस्टम से एक खाली पोर्ट मांगता है और उसे प्रॉक्सी को दे देता है। याद रखने के लिए कोई तय पोर्ट नहीं, और हाथ से चलाए गए किसी दूसरे प्रॉक्सी से कोई टकराव नहीं।
तैयार का मतलब सचमुच तैयार
कनेक्शन तभी खुलता है जब लोकल पोर्ट TCP स्वीकार करने लगे, और जो प्रॉक्सी तुरंत बंद हो जाता है वह अपनी छापी हुई वजह बताता है। कोई मनमाना इंतज़ार नहीं, कोई क्लाइंट समय से पहले नहीं जुड़ता।
कोई की नहीं सहेजी जाती
प्रॉक्सी को आपके Application Default Credentials अधिकृत करते हैं। AgentsRoom इंस्टेंस का कनेक्शन नाम और दो विकल्प सहेजता है, जिनमें से कोई क्रेडेंशियल नहीं है, और कोई सर्विस अकाउंट की ऐप को कभी छूती नहीं।
डेटाबेस रीड-ओनली रहता है
डेटाबेस कनेक्शन बनते समय रीड-ओनली होता है। राइट के लिए उस कनेक्शन को राइटेबल बनाना और स्पष्ट पुष्टि देना ज़रूरी है, जो प्रोडक्शन के रूप में चिह्नित कनेक्शन पर और ज़ोर से कही जाती है।
प्रति कॉल एक स्टेटमेंट
हर कॉल में ठीक एक स्टेटमेंट होता है, इसलिए सेमीकोलन के पीछे कुछ नहीं छिप सकता, और रिज़ल्ट सेट सीमित रहते हैं ताकि कोई चौड़ी क्वेरी किसी विंडो या एजेंट के कॉन्टेक्स्ट को न भर दे।
यह ज़्यादा नहीं, कम एक्सेस क्यों है
इंस्टेंस की तरफ़ कुछ नहीं खोला जाता। पब्लिक IP बंद रह सकता है, अधिकृत सूची में कोई नेटवर्क नहीं जुड़ता, और कभी-कभार की क्वेरी के लिए SSH पोर्ट वाली कोई VM ज़िंदा नहीं रखी जाती। प्रॉक्सी इंस्टेंस तक के कनेक्शन को सिरे से सिरे तक एन्क्रिप्ट करता है।
अधिकार वहीं रहता है जहां आपका संगठन उसे संभालता है: आपकी Google पहचान और उसके IAM रोल। उस पहचान को दिया गया एक्सेस किसी भी दूसरे Cloud SQL कनेक्शन की तरह लॉग होता है और उसी दिन खत्म हो जाता है जिस दिन रोल हटाया जाता है। AgentsRoom इंस्टेंस का नाम, "प्राइवेट IP" का चुनाव और IAM का चुनाव सहेजता है, और ऐसा कुछ नहीं जिसे इन्हें पढ़ने वाला दोबारा इस्तेमाल कर सके।
डेटाबेस की तरफ़ गार्डरेल वही हैं जो AgentsRoom के हर कनेक्शन को मिलते हैं: डिफ़ॉल्ट रूप से रीड-ओनली, प्रति कॉल एक स्टेटमेंट, सीमित रिज़ल्ट सेट, और एक प्रोडक्शन फ़्लैग जो राइट की पुष्टि को कठिन बना देता है। MCP पर क्वेरी करते किसी AI एजेंट को रिज़ल्ट सेट मिलता है, क्रेडेंशियल कभी नहीं, और वह तब तक नहीं लिख सकता जब तक आपने उस कनेक्शन को राइटेबल न बनाया हो और उसके लिए "एजेंट को लिखने की अनुमति दें" चालू न किया हो।
MySQL और PostgreSQL, SQL Server अभी नहीं
Cloud SQL पर MySQL, PostgreSQL और SQL Server चलते हैं। AgentsRoom पहले दो तक प्रॉक्सी के ज़रिए पहुंचता है, और आज उसके पास SQL Server क्लाइंट नहीं है। AlloyDB, जिसका अपना प्रॉक्सी है, वह भी शामिल नहीं है।
अगला इंजन या सर्विस कौन सी आएगी, यह इससे तय होता है कि लोग क्या मांगते हैं। अगर आपका इंजन नदारद है, तो सार्वजनिक बैकलॉग पर बताएं कि कौन सा, और वह गिना जाएगा।
अपने डेटाबेस इंजन की मांग करेंकोई एजेंट भी उसे क्वेरी कर सकता है, रीड-ओनली
कनेक्शन बन जाने के बाद, कोई AI कोडिंग एजेंट उसका नाम लेकर AgentsRoom MCP के ज़रिए उसका इस्तेमाल करता है: db_list, टेबल और कॉलम में घूमने के लिए db_schema, और सीमित पंक्तियों के साथ एक स्टेटमेंट के लिए db_query। एजेंट इंस्टेंस का कनेक्शन नाम देकर db_connection_new या db_connection_save से खुद भी Cloud SQL कनेक्शन दर्ज कर सकता है।
एजेंट के मांगने पर प्रॉक्सी AgentsRoom खुद चलाता है, इसलिए एजेंट के हाथ में न कोई Google क्रेडेंशियल आता है, न डेटाबेस पासवर्ड, न कोई पोर्ट नंबर। वापस सिर्फ़ एक रिज़ल्ट सेट जाता है। राइट के लिए राइटेबल कनेक्शन और "एजेंट को लिखने की अनुमति दें" सेटिंग ज़रूरी है, जो डिफ़ॉल्ट रूप से बंद रहती है।
प्रोडक्शन रेप्लिका पर डिबग कर रहा एजेंट वे पंक्तियां पढ़ता है जो बग समझाती हैं, उसके कॉन्टेक्स्ट में लीक होने लायक कोई क्रेडेंशियल नहीं होता, और ऐप बंद होने के बाद डेटाबेस तक पहुंचने का कोई रास्ता नहीं रहता।
अक्सर पूछे जाने वाले सवाल
सिर्फ़ प्राइवेट IP वाले Cloud SQL इंस्टेंस से मैं कैसे जुड़ूं?
एक MySQL या PostgreSQL कनेक्शन बनाएं, "किसके ज़रिए पहुँचें" में Google Cloud SQL चुनें, इंस्टेंस का कनेक्शन नाम दें और "प्राइवेट IP" पर निशान लगाएं। AgentsRoom Cloud SQL Auth Proxy को --private-ip के साथ एक loopback पोर्ट पर चलाता है और अपना क्लाइंट उससे जोड़ता है। आपकी मशीन को इंस्टेंस के VPC तक पहुंचना होगा, उदाहरण के लिए VPN या Interconnect से।
क्या AgentsRoom सर्विस अकाउंट की सहेजता है?
नहीं। प्रॉक्सी को वे Application Default Credentials अधिकृत करते हैं जो आपकी मशीन पर gcloud auth application-default login ने बनाए हैं। AgentsRoom इंस्टेंस का कनेक्शन नाम और दो विकल्प सहेजता है, जिनमें से कोई क्रेडेंशियल नहीं है।
क्या मैं डेटाबेस पासवर्ड के बिना जुड़ सकता हूं?
हां, IAM डेटाबेस ऑथेंटिकेशन के साथ। कनेक्शन में उस पर निशान लगाएं और प्रॉक्सी --auto-iam-authn के साथ चलता है: वह आपकी Google पहचान से साइन इन करता है, पासवर्ड फ़ील्ड गायब हो जाता है, और यूज़र आपका IAM डेटाबेस यूज़र होता है। इंस्टेंस पर IAM ऑथेंटिकेशन चालू होना चाहिए और वह यूज़र बना हुआ होना चाहिए।
मुझे क्या इंस्टॉल करना होगा?
Cloud SQL Auth Proxy वर्शन 2 (gcloud components install cloud-sql-proxy, या Google का अलग डाउनलोड), और Application Default Credentials के लिए एक gcloud लॉगिन। gcloud खुद सिर्फ़ "मेरे इंस्टेंस दिखाएँ" बटन के लिए चाहिए।
मेरा gcloud लॉगिन खत्म हो जाए तो क्या होता है?
प्रॉक्सी कनेक्शन ठुकरा देता है और वजह लॉग में लिखता है। AgentsRoom वह लॉग पढ़ता है और सीधे कनेक्शन त्रुटि के बजाय एक साफ़ संदेश दिखाता है जो gcloud auth application-default login चलाने को कहता है। फिर आप दोबारा कोशिश करते हैं।
कौन सा लोकल पोर्ट इस्तेमाल होता है, और उस तक कौन पहुंच सकता है?
कनेक्शन खुलते समय ऑपरेटिंग सिस्टम एक खाली पोर्ट चुनता है, और प्रॉक्सी सिर्फ़ 127.0.0.1 पर सुनता है। लोकल नेटवर्क की कोई चीज़ उस तक नहीं पहुंच सकती, और कनेक्शन बंद होने या ऐप से बाहर निकलने पर प्रॉक्सी रुक जाता है।
कौन से Cloud SQL इंजन समर्थित हैं?
Cloud SQL for MySQL और Cloud SQL for PostgreSQL। Cloud SQL for SQL Server समर्थित नहीं है क्योंकि AgentsRoom के पास अभी SQL Server क्लाइंट नहीं है; सार्वजनिक बैकलॉग पर उसकी मांग करें, वह गिना जाएगा।
क्या यह Windows और Linux पर चलता है?
हां। cloud-sql-proxy macOS, Windows और Linux पर एक नेटिव बाइनरी है, और AgentsRoom उसे तीनों पर एक ही तरह चलाता है। फ़ोन ऐप वही कनेक्शन दिखाता है और आपके डेस्कटॉप के ज़रिए उन्हें रीड-ओनली क्वेरी करता है।
क्या कोई AI एजेंट प्रॉक्सी के ज़रिए डेटाबेस को क्वेरी कर सकता है?
हां, डिफ़ॉल्ट रूप से रीड-ओनली। एजेंट AgentsRoom MCP के ज़रिए किसी सहेजे गए कनेक्शन का नाम लेता है, ऐप प्रॉक्सी चलाकर स्टेटमेंट खुद चलाता है, और सिर्फ़ रिज़ल्ट सेट वापस जाता है। एजेंट को न कोई Google क्रेडेंशियल मिलता है न डेटाबेस पासवर्ड, और db_query रीड के अलावा सब कुछ अस्वीकार करता है, जब तक कनेक्शन राइटेबल न हो और आपने उसके लिए "एजेंट को लिखने की अनुमति दें" चालू न किया हो।
आपको यह भी पसंद आ सकता है
डेटाबेस कनेक्शन
अपने MySQL, PostgreSQL और MongoDB कनेक्शन सहेजें, किसी SSH सुरंग या किसी AWS SSM सेशन के ज़रिए प्राइवेट सबनेट के डेटाबेस तक पहुंचें, और अपने AI एजेंट को MCP पर उसे क्वेरी करने दें। डिफ़ॉल्ट रूप से रीड-ओनली, प्रति कॉल एक स्टेटमेंट, सीमित रिज़ल्ट सेट, और पासवर्ड कभी एजेंट तक नहीं पहुंचता। एक्सपोर्ट, इम्पोर्ट और एक डेटाबेस से दूसरे में सीधी कॉपी भी शामिल है।
AWS SSM के ज़रिए RDS
ऐसे Amazon RDS इंस्टेंस तक अपनी ही मशीन से पहुंचें जिसका कोई पब्लिक एंडपॉइंट नहीं है, aws ssm start-session और AWS-StartPortForwardingSessionToRemoteHost डॉक्यूमेंट के ज़रिए। रखरखाव के लिए कोई bastion नहीं, कोई VPN नहीं, कोई इनबाउंड SSH नियम नहीं। AgentsRoom सेशन को एक loopback पोर्ट पर खोलता है और अपना डेटाबेस क्लाइंट उसी से जोड़ता है। MySQL, PostgreSQL और MongoDB, यानी RDS MySQL, RDS PostgreSQL, Aurora और DocumentDB।
सीक्रेट मैनेजर
API की, टोकन और पासवर्ड अपने OS कीचेन में रखें, उन्हें डेव कमांड और एजेंट परिवेश में {{secret:NAME}} के रूप में रेफ़र करें, और AgentsRoom को लॉन्च के समय उन्हें हल करने दें। एजेंट नाम देखते हैं, मान कभी नहीं, और कुछ भी किसी सर्वर पर सिंक नहीं होता।
SSH कनेक्शन
अपने SSH कनेक्शन सहेजें, बिल्ट-इन SSH टर्मिनल खोलें, और Claude Code, Codex या Antigravity CLI को सीधे अपने रिमोट सर्वर या VPS पर चलाएं। SSH की या पासवर्ड से प्रमाणीकरण, प्रति-प्रोजेक्ट कनेक्शन प्रोफ़ाइल, बिना किसी अलग SSH क्लाइंट के।
अपने प्राइवेट Cloud SQL इंस्टेंस को क्वेरी करें
AgentsRoom डाउनलोड करें, अपना Cloud SQL इंस्टेंस चुनें, और अपने ही gcloud लॉगिन से Cloud SQL Auth Proxy के ज़रिए उसे क्वेरी करें: कोई bastion VM नहीं, कोई पब्लिक IP नहीं, डिस्क पर कोई की नहीं।
कंपेनियन ऐप: चलते-फिरते अपने एजेंट्स मॉनिटर करें
Claude, Codex, Antigravity CLI या किसी अन्य AI प्रदाता का उपयोग करें।
बग और अनुरोध सीधे अपने सार्वजनिक बैकलॉग में भेजें।