Instance Cloud SQL Anda Tidak Punya IP Publik.
Jangkau Lewat Namanya, Tanpa VM Bastion.
AgentsRoom menjalankan Cloud SQL Auth Proxy saat Anda membuka koneksi dan mengarahkan klien databasenya ke sana. Anda cukup memberikan nama koneksi instance, project:region:instance, atau memilihnya dari daftar yang bisa dilihat login gcloud Anda.
Proxy diotorisasi oleh Application Default Credentials Anda, jadi AgentsRoom tidak menyimpan kunci service account. Dengan autentikasi basis data IAM, tidak ada kata sandi database juga. Dan agen coding AI bisa menjalankan kueri ke instance yang sama, secara baca-saja.
Bagaimana AgentsRoom menjangkau instance Cloud SQL lewat IP privatnya melalui Cloud SQL Auth Proxy, tanpa menyimpan apa pun di sisi aplikasi.
Instance Cloud SQL yang hanya punya IP privat adalah konfigurasi yang benar, sekaligus merepotkan. Databasenya berada di VPC Anda, IP publiknya dimatikan, dan hanya mesin di dalam jaringan itu yang bisa menjangkaunya. Lalu sebuah bug mengharuskan Anda melihat tiga baris data, dari sebuah laptop.
Google sudah menyediakan jawabannya: Cloud SQL Auth Proxy. Ia membuka koneksi terenkripsi ke instance, diotorisasi oleh identitas Google Anda alih-alih daftar IP yang diizinkan, lalu mengeksposnya sebagai port lokal. Yang biasanya merepotkan adalah semua hal di sekitarnya: memasangnya, mengingat nama koneksi instance, menjalankannya di terminal sebelum membuka klien, dan lupa mematikannya sesudahnya.
AgentsRoom yang mengurus bagian itu. Anda memilih Google Cloud SQL di kolom Jangkau melalui pada koneksi database, mengisi instance-nya, mencentang IP privat atau Autentikasi basis data IAM bila perlu, dan sejak itu membuka database tersebut cukup satu klik. Proxy menyala bersama koneksi dan mati bersamanya.
Semua Jalan Memutar yang Biasa Dipakai Ada Harganya
Tiga jawaban untuk masalah yang sama, dan harga yang ditagih masing-masing.
Sebuah VM bastion hanya untuk ini
Sebuah VM Compute Engine dengan port SSH, dipertahankan di VPC hanya supaya seseorang bisa membuat tunnel ke database sesekali. Ia perlu dipatch, memakan biaya setiap jam, dan kunci SSH serta aturan firewall-nya melenceng seiring tim berganti.
IP publik dan daftar izin
Menyalakan IP publik lalu menambahkan alamat rumah Anda ke jaringan yang diizinkan memang jalan, sampai alamat Anda berubah, dan selama itu database mendengarkan di internet. Ini jenis pengecualian yang tidak pernah dicabut.
Kunci service account di sebuah laptop
Mengunduh kunci JSON untuk menjalankan proxy adalah jalan pintas yang selalu disesali: kredensial berumur panjang di folder Downloads, disalin ke skrip dan prompt, yang tidak pernah diputar ulang dan tidak bisa dilacak siapa pun.
Dari Instance Cloud SQL Privat Menjadi Sebuah Set Hasil
Empat langkah, dikerjakan sekali, setelah itu cukup satu klik.
Login dengan gcloud, sekali saja
Jalankan gcloud auth application-default login di mesin Anda. Application Default Credentials yang dibuatnya dipakai proxy untuk menjangkau instance. AgentsRoom tidak membaca dan tidak menyimpan apa pun darinya.
Pilih instance di Jangkau melalui
Buat koneksi MySQL atau PostgreSQL lalu pilih Google Cloud SQL di Jangkau melalui. Ketik nama koneksi instance, project:region:instance, atau klik Tampilkan daftar instance saya untuk memilihnya dari yang bisa dilihat login gcloud Anda. Host dan port menghilang: instance-lah alamatnya.
Pilih IP privat dan autentikasi IAM
Centang IP privat bila instance tidak punya alamat publik dan mesin Anda menjangkau VPC-nya lewat VPN atau Interconnect. Centang Autentikasi basis data IAM untuk masuk dengan identitas Google Anda: kolom kata sandi hilang, dan penggunanya adalah pengguna database IAM Anda.
Jalankan kueri sendiri, atau biarkan agen yang menjalankannya
Membuka koneksi akan memesan port loopback yang bebas, menjalankan cloud-sql-proxy di atasnya, dan menunggu sampai ia menerima koneksi TCP. Konsolnya tersambung ke 127.0.0.1 seperti koneksi lainnya, dan agen AI bisa menjalankan kueri lewat MCP, secara baca-saja. Menutup koneksi akan menghentikan proxy.
Perintah yang dijalankan AgentsRoom
Tidak ada yang diimplementasikan ulang. AgentsRoom menjalankan biner cloud-sql-proxy milik Google (versi 2) sebagai proses anak, dengan argumen yang diteruskan langsung alih-alih lewat shell. Kalau Anda pernah menjalankan proxy secara manual, inilah baris perintah yang sudah Anda kenal.
cloud-sql-proxy acme-prod:europe-west1:orders \
--address 127.0.0.1 --port 54321 \
--private-ip \
--auto-iam-authnInstance dan kedua opsinya datang dari koneksi yang Anda simpan. Port lokalnya dipilih oleh sistem operasi saat koneksi dibuka.
Proxy menerima koneksi lokal lebih dulu sebelum memeriksa apa pun, lalu memutusnya dan mencatat alasannya di log bila ada yang salah. AgentsRoom membaca log itu dan memberi tahu penyebab sebenarnya: proxy belum terpasang, login gcloud Anda sudah kedaluwarsa (lengkap dengan perintah yang harus dijalankan), akun Anda tidak punya peran Cloud SQL Client, instance tidak punya IP privat, atau nama instance salah.
Apa yang harus terpenuhi agar ini bekerja
AgentsRoom mengemudikan setup Google Cloud Anda, bukan menggantikannya. Ini hal-hal yang sama yang dibutuhkan proxy itu sendiri.
cloud-sql-proxy di mesin Anda
Cloud SQL Auth Proxy versi 2, ada di PATH Anda. gcloud components install cloud-sql-proxy adalah cara tercepat; Google juga menyediakannya sebagai unduhan mandiri. Kalau belum ada, AgentsRoom memberi tahu dan menyebut perintahnya.
Application Default Credentials
gcloud auth application-default login, dijalankan sekali. Ketika login itu kedaluwarsa, galatnya menyuruh Anda menjalankannya lagi, bukan menampilkan soket yang tertutup.
Peran Cloud SQL Client
Akun Google Anda butuh peran Cloud SQL Client pada project instance tersebut, dan Cloud SQL Admin API harus aktif di sana. Autentikasi basis data IAM juga butuh peran Cloud SQL Instance User dan sebuah pengguna IAM di instance.
gcloud untuk daftar pilihan
Tampilkan daftar instance saya menjalankan gcloud sql instances list di project aktif Anda, atau di project yang mulai Anda ketik. Tanpa gcloud, Anda tetap bisa mengetik nama koneksinya secara manual.
Jalur menuju VPC untuk IP privat
IP privat berarti mesin Anda sendiri harus bisa menjangkau VPC instance, lewat VPN, Interconnect, atau mesin yang berada di dalam jaringan. Tanpa jalur itu, biarkan IP privat mati dan pakai IP publik dengan enkripsi dari proxy.
Apa yang Dilakukan Proxy Ini, dan Apa yang Ditolaknya
Sifat-sifat yang menentukan apakah ini aman dibiarkan terkonfigurasi di sebuah laptop.
Hanya loopback
Proxy mendengarkan di 127.0.0.1 dan tidak di tempat lain. Database tidak pernah diterbitkan ulang ke jaringan lokal, jadi Wi-Fi kedai kopi tidak berubah menjadi jalan menuju produksi.
Port yang dipilih sistem operasi
AgentsRoom meminta port yang bebas kepada sistem operasi dan menyerahkannya ke proxy. Tidak ada port tetap untuk diingat, tidak ada tabrakan dengan proxy lain yang Anda jalankan sendiri.
Siap berarti benar-benar siap
Koneksi baru dibuka setelah port lokal menerima TCP, dan proxy yang langsung berhenti melaporkan alasan yang dicetaknya. Tidak ada jeda tunggu asal-asalan, tidak ada klien yang menyambung terlalu dini.
Tanpa kunci tersimpan
Proxy diotorisasi oleh Application Default Credentials Anda. AgentsRoom menyimpan nama koneksi instance dan dua opsi, yang tidak satu pun merupakan kredensial, dan kunci service account tidak pernah menyentuh aplikasi.
Databasenya tetap baca-saja
Koneksi database bersifat baca-saja sejak dibuat. Penulisan menuntut koneksi itu dibuat bisa ditulis sekaligus konfirmasi eksplisit, dengan peringatan yang lebih keras pada koneksi yang ditandai sebagai produksi.
Satu pernyataan per panggilan
Setiap panggilan membawa tepat satu pernyataan, jadi tidak ada yang bersembunyi di balik titik koma, dan set hasil dibatasi agar kueri yang lebar tidak membanjiri jendela atau konteks agen.
Mengapa Ini Berarti Akses Lebih Sedikit, Bukan Lebih Banyak
Tidak ada yang dibuka di sisi instance. IP publik bisa tetap mati, tidak ada jaringan yang ditambahkan ke daftar izin, dan tidak ada VM dengan port SSH yang dibiarkan menyala demi kueri sesekali. Proxy mengenkripsi koneksi ke instance dari ujung ke ujung.
Otorisasi tetap berada di tempat organisasi Anda mengelolanya: identitas Google Anda dan peran IAM-nya. Akses yang diberikan ke identitas itu tercatat seperti koneksi Cloud SQL lainnya dan berakhir pada hari peran tersebut dicabut. AgentsRoom menyimpan nama instance, pilihan IP privat, dan pilihan IAM, dan tidak ada satu pun yang bisa diputar ulang oleh orang yang membacanya.
Di sisi database, pengamannya sama dengan yang didapat setiap koneksi AgentsRoom: baca-saja secara default, satu pernyataan per panggilan, set hasil yang dibatasi, dan penanda produksi yang memperketat konfirmasi penulisan. Agen AI yang menjalankan kueri lewat MCP menerima set hasil, tidak pernah kredensial, dan tidak bisa menulis kecuali Anda membuat koneksi itu bisa ditulis dan mengaktifkan Izinkan agen menulis untuknya.
MySQL dan PostgreSQL, belum SQL Server
Cloud SQL menjalankan MySQL, PostgreSQL, dan SQL Server. AgentsRoom menjangkau dua yang pertama lewat proxy, dan saat ini belum punya klien SQL Server. AlloyDB, yang punya proxy sendiri, juga belum tercakup.
Mesin atau layanan mana yang menyusul ditentukan oleh apa yang diminta pengguna. Kalau milik Anda belum ada, sebutkan di backlog publik dan permintaannya akan dihitung.
Minta mesin database AndaAgen juga bisa menjalankan kueri, secara baca-saja
Setelah koneksinya ada, agen coding AI memakainya lewat MCP AgentsRoom dengan menyebut namanya: db_list, db_schema untuk menelusuri tabel dan kolom, db_query untuk satu pernyataan dengan jumlah baris yang dibatasi. Agen juga bisa mendaftarkan sendiri koneksi Cloud SQL dengan db_connection_new atau db_connection_save, dengan memberikan nama koneksi instance.
AgentsRoom menjalankan proxy sendiri saat agen memintanya, jadi agen tidak pernah menangani kredensial Google, kata sandi database, atau nomor port. Yang kembali hanyalah set hasil. Penulisan menuntut koneksi yang bisa ditulis dan pengaturan Izinkan agen menulis, yang nonaktif secara default.
Agen yang men-debug terhadap replika produksi membaca baris-baris yang menjelaskan bugnya, tanpa kredensial yang bisa bocor ke konteksnya dan tanpa jalur ke database setelah aplikasi ditutup.
FAQ
Bagaimana cara terhubung ke instance Cloud SQL yang hanya punya IP privat?
Buat koneksi MySQL atau PostgreSQL, pilih Google Cloud SQL di Jangkau melalui, isi nama koneksi instance, lalu centang IP privat. AgentsRoom menjalankan Cloud SQL Auth Proxy dengan --private-ip pada sebuah port loopback dan menyambungkan kliennya ke sana. Mesin Anda harus bisa menjangkau VPC instance, misalnya lewat VPN atau Interconnect.
Apakah AgentsRoom menyimpan kunci service account?
Tidak. Proxy diotorisasi oleh Application Default Credentials yang dibuat gcloud auth application-default login di mesin Anda. AgentsRoom menyimpan nama koneksi instance dan dua opsi, yang tidak satu pun merupakan kredensial.
Bisakah saya terhubung tanpa kata sandi database?
Bisa, dengan autentikasi basis data IAM. Centang di koneksi dan proxy berjalan dengan --auto-iam-authn: ia masuk dengan identitas Google Anda, kolom kata sandi menghilang, dan penggunanya adalah pengguna database IAM Anda. Instance harus mengaktifkan autentikasi IAM dan pengguna itu harus sudah dibuat.
Apa yang harus saya pasang?
Cloud SQL Auth Proxy versi 2 (gcloud components install cloud-sql-proxy, atau unduhan mandiri dari Google), dan login gcloud untuk Application Default Credentials. gcloud sendiri hanya dibutuhkan untuk tombol Tampilkan daftar instance saya.
Apa yang terjadi saat login gcloud saya kedaluwarsa?
Proxy menolak koneksi dan mencatat alasannya. AgentsRoom membaca log itu dan menampilkan pesan yang jelas yang menyuruh Anda menjalankan gcloud auth application-default login, bukan sekadar galat koneksi. Setelah itu Anda coba lagi.
Port lokal mana yang dipakai, dan siapa yang bisa menjangkaunya?
Sistem operasi memilih port yang bebas saat koneksi dibuka, dan proxy hanya mendengarkan di 127.0.0.1. Tidak ada yang ada di jaringan lokal bisa menjangkaunya, dan proxy berhenti saat koneksi ditutup atau aplikasi keluar.
Mesin Cloud SQL mana yang didukung?
Cloud SQL for MySQL dan Cloud SQL for PostgreSQL. Cloud SQL for SQL Server belum didukung karena AgentsRoom belum punya klien SQL Server; mintalah di backlog publik dan permintaannya akan dihitung.
Apakah berfungsi di Windows dan Linux?
Ya. cloud-sql-proxy adalah biner native di macOS, Windows, dan Linux, dan AgentsRoom menjalankannya dengan cara yang sama di ketiganya. Aplikasi ponsel menampilkan koneksi yang sama dan menjalankan kueri secara baca-saja lewat desktop Anda.
Bisakah agen AI menjalankan kueri ke database lewat proxy?
Bisa, secara baca-saja secara default. Agen menyebut koneksi yang tersimpan lewat MCP AgentsRoom, aplikasi menjalankan proxy dan pernyataannya sendiri, dan hanya set hasil yang dikembalikan. Agen tidak pernah menerima kredensial Google atau kata sandi database, dan db_query menolak apa pun selain pembacaan kecuali koneksinya bisa ditulis dan Anda mengaktifkan Izinkan agen menulis untuknya.
Anda mungkin juga suka
Koneksi Database
Simpan koneksi MySQL, PostgreSQL, dan MongoDB Anda, jangkau database di subnet privat lewat terowongan SSH atau sesi AWS SSM, dan biarkan agen AI Anda menjalankan kueri lewat MCP. Baca-saja secara bawaan, satu pernyataan per panggilan, set hasil dibatasi, dan kata sandi tidak pernah sampai ke agen. Ekspor, impor, dan penyalinan dari satu database ke database lain sudah termasuk.
RDS lewat AWS SSM
Jangkau instance Amazon RDS yang tidak punya endpoint publik, dari mesin Anda sendiri, lewat aws ssm start-session dan dokumen AWS-StartPortForwardingSessionToRemoteHost. Tidak ada bastion yang harus dirawat, tidak ada VPN, tidak ada aturan SSH masuk. AgentsRoom membuka sesinya pada sebuah port loopback dan menyambungkan klien databasenya lewat jalur itu. MySQL, PostgreSQL, dan MongoDB, jadi RDS MySQL, RDS PostgreSQL, Aurora, dan DocumentDB.
Pengelola Rahasia
Simpan kunci API, token, dan kata sandi di keychain sistem operasi Anda, rujuk sebagai {{secret:NAME}} di perintah dev dan lingkungan agen, lalu biarkan AgentsRoom menggantinya dengan nilai asli saat peluncuran. Agen melihat namanya, tidak pernah nilainya, dan tidak ada yang disinkronkan ke server.
Koneksi SSH
Simpan koneksi SSH-mu, buka terminal SSH bawaan, dan jalankan Claude Code, Codex, atau Antigravity CLI langsung di server jarak jauh atau VPS-mu. Autentikasi dengan kunci SSH atau kata sandi, profil koneksi per proyek, tanpa perlu klien SSH terpisah.
Jalankan Kueri ke Instance Cloud SQL Privat Anda
Unduh AgentsRoom, pilih instance Cloud SQL Anda, dan jalankan kueri lewat Cloud SQL Auth Proxy dengan login gcloud Anda sendiri: tanpa VM bastion, tanpa IP publik, tanpa kunci di disk.
Aplikasi pendamping: pantau agen Anda saat bepergian
Gunakan Claude, Codex, Antigravity CLI, atau penyedia AI lainnya.
Kirim bug dan permintaan langsung ke backlog publik Anda.