Cloud SQL Örneğinizin Herkese Açık IP'si Yok.
Ona Adıyla Ulaşın, Bastion VM Olmadan.
AgentsRoom, bağlantıyı açtığınızda Cloud SQL Auth Proxy'yi başlatır ve veritabanı istemcisini ona yönlendirir. Örnek bağlantı adını, project:region:instance biçiminde, kendiniz yazarsınız ya da kendi gcloud oturumunuzun görebildiği listeden seçersiniz.
Proxy'yi Application Default Credentials bilgileriniz yetkilendirir, bu yüzden AgentsRoom hiçbir hizmet hesabı anahtarı saklamaz. IAM veritabanı kimlik doğrulamasıyla veritabanı parolası da yoktur. Bir yapay zeka kodlama ajanı da aynı örneği salt okunur sorgulayabilir.
AgentsRoom'un özel IP'sindeki bir Cloud SQL örneğine Cloud SQL Auth Proxy ile, uygulama tarafında hiçbir şey saklamadan nasıl ulaştığı.
Yalnızca özel IP'si olan bir Cloud SQL örneği doğru bir kurulumdur ve bir o kadar da zahmetlidir. Veritabanı VPC'nizde durur, herkese açık IP'si kapalıdır ve ona ulaşabilen tek makineler o ağın içindekilerdir. Sonra bir hatayı anlamak için dizüstünden üç satıra bakmanız gerekir.
Google çözümü zaten sunuyor: Cloud SQL Auth Proxy. Örneğe, bir IP izin listesiyle değil Google kimliğinizle yetkilendirilen şifreli bir bağlantı açar ve onu yerel bir port olarak sunar. Asıl zahmet çevresindeki işlerdedir: kurmak, örnek bağlantı adını hatırlamak, istemciyi açmadan önce terminalde başlatmak ve sonra çalışır halde unutmak.
AgentsRoom bu kısmı üstlenir. Bir veritabanı bağlantısının Şunun üzerinden eriş alanında Google Cloud SQL'i seçersiniz, örneği verirsiniz, gerekiyorsa Özel IP ya da IAM veritabanı kimlik doğrulamasını işaretlersiniz ve o andan sonra o veritabanını açmak tek tıktır. Proxy bağlantıyla birlikte başlar, bağlantıyla birlikte durur.
Alışılmış Çözümlerin Hepsinin Bir Bedeli Var
Aynı soruna üç yanıt ve her birinin sizden aldığı bedel.
Sırf bunun için bir bastion VM
Üzerinde SSH portu olan bir Compute Engine VM'si, yalnızca biri ara sıra veritabanına tünel açabilsin diye VPC'de tutulur. Yama ister, her saat para yer, SSH anahtarları ve güvenlik duvarı kuralları ekip değiştikçe kayar.
Herkese açık IP ve bir izin listesi
Herkese açık IP'yi açıp evinizin adresini yetkili ağlara eklemek, adresiniz değişene kadar işe yarar; bu arada veritabanı internette dinler. Hiç kaldırılmayan istisna budur.
Dizüstündeki hizmet hesabı anahtarı
Proxy'yi çalıştırmak için bir JSON anahtarı indirmek herkesin pişman olduğu kestirmedir: İndirilenler klasöründe duran, betiklere ve prompt'lara kopyalanan, kimsenin yenilemediği ve kimsenin izini süremediği uzun ömürlü bir kimlik bilgisi.
Özel Bir Cloud SQL Örneğinden Bir Sonuç Kümesine
Bir kez yapılan dört adım, sonrası tek tık.
gcloud ile bir kez giriş yapın
Makinenizde gcloud auth application-default login komutunu çalıştırın. Oluşan Application Default Credentials (uygulama varsayılan kimlik bilgileri), proxy'nin örneğe ulaşmak için kullandığı şeydir. AgentsRoom bunların hiçbirini okumaz, hiçbirini saklamaz.
Örneği Şunun üzerinden eriş alanında seçin
Bir MySQL veya PostgreSQL bağlantısı oluşturun ve Şunun üzerinden eriş alanında Google Cloud SQL'i seçin. Örnek bağlantı adını, project:region:instance, yazın ya da gcloud oturumunuzun görebildikleri arasından seçmek için Örneklerimi listele'ye tıklayın. Host ve port kaybolur: adres artık örneğin kendisidir.
Özel IP ve IAM kimlik doğrulamasını seçin
Örneğin herkese açık adresi yoksa ve makineniz VPC'sine bir VPN ya da Interconnect üzerinden ulaşıyorsa Özel IP'yi işaretleyin. Google kimliğinizle giriş yapmak için IAM veritabanı kimlik doğrulamasını işaretleyin: parola alanı kaybolur ve kullanıcı IAM veritabanı kullanıcınız olur.
Siz sorgulayın ya da bir ajan sorgulasın
Bağlantıyı açmak boş bir loopback portu ayırır, cloud-sql-proxy'yi onun üzerinde başlatır ve bir TCP bağlantısı kabul edene kadar bekler. Konsol, diğer her bağlantı gibi 127.0.0.1'e bağlanır; bir yapay zeka ajanı da onu MCP üzerinden salt okunur sorgulayabilir. Bağlantıyı kapatmak proxy'yi durdurur.
AgentsRoom'un başlattığı komut
Hiçbir şey yeniden yazılmadı. AgentsRoom, Google'ın kendi cloud-sql-proxy ikili dosyasını (sürüm 2) bir alt süreç olarak çalıştırır, argümanlarını bir kabuk üzerinden değil doğrudan geçirir. Proxy'yi daha önce elle başlattıysanız, bu zaten bildiğiniz satırdır.
cloud-sql-proxy acme-prod:europe-west1:orders \
--address 127.0.0.1 --port 54321 \
--private-ip \
--auto-iam-authnÖrnek ve iki seçenek kaydettiğiniz bağlantıdan gelir. Yerel portu ise işletim sistemi açılış anında seçer.
Proxy yerel bağlantıyı bir şeyi denetlemeden önce kabul eder, bir sorun varsa sonra düşürür ve nedenini loga yazar. AgentsRoom bu logu okur ve gerçek nedeni söyler: proxy kurulu değil, gcloud oturumunuzun süresi dolmuş (çalıştırılacak komutla birlikte), hesabınızda Cloud SQL Client rolü yok, örneğin özel IP'si yok ya da örnek adı yanlış.
Çalışması için önceden sağlanması gerekenler
AgentsRoom Google Cloud kurulumunuzu yönetir, onun yerini almaz. Bunlar, proxy'nin tek başına da ihtiyaç duyduğu şeylerin aynısıdır.
Makinenizde cloud-sql-proxy
Cloud SQL Auth Proxy'nin 2. sürümü, PATH'inizde. En hızlı yol gcloud components install cloud-sql-proxy; Google onu bağımsız bir indirme olarak da sunar. Eksikse AgentsRoom bunu söyler ve komutu belirtir.
Application Default Credentials
Bir kez çalıştırılan gcloud auth application-default login. Bu oturumun süresi dolduğunda hata, kapalı bir soket göstermek yerine komutu yeniden çalıştırmanızı söyler.
Cloud SQL Client rolü
Google hesabınızın örneğin projesinde Cloud SQL Client rolüne sahip olması ve orada Cloud SQL Admin API'nin etkin olması gerekir. IAM veritabanı kimlik doğrulaması ayrıca Cloud SQL Instance User rolünü ve örnekte bir IAM kullanıcısı gerektirir.
Seçim listesi için gcloud
Örneklerimi listele, etkin projenizde ya da yazmaya başladığınız projede gcloud sql instances list komutunu çalıştırır. gcloud olmadan da bağlantı adını elle yazabilirsiniz.
Özel IP için VPC'ye bir yol
Özel IP, makinenizin örneğin VPC'sine bir VPN, Interconnect ya da ağın içindeki bir makine üzerinden ulaşması gerektiği anlamına gelir. Bu yol yoksa Özel IP'yi kapalı bırakın ve proxy'nin şifrelemesiyle herkese açık IP'yi kullanın.
Proxy Ne Yapar, Neyi Yapmayı Reddeder
Bunu bir dizüstünde yapılandırılmış halde bırakmanın güvenli olup olmadığına karar veren özellikler.
Yalnızca loopback
Proxy yalnızca 127.0.0.1'i dinler, başka hiçbir şeyi değil. Veritabanı yerel ağda asla yeniden yayımlanmaz, dolayısıyla bir kafenin Wi-Fi'si üretime giden bir yola dönüşmez.
İşletim sisteminin seçtiği bir port
AgentsRoom işletim sisteminden boş bir port ister ve proxy'ye verir. Hatırlanacak sabit bir port yok, elle başlattığınız başka bir proxy ile çakışma yok.
Hazır demek gerçekten hazır demek
Bağlantı yalnızca yerel port TCP kabul ettiğinde açılır ve hemen çıkan bir proxy, yazdırdığı nedeni bildirir. Rastgele bir bekleme yok, erkenden bağlanan istemci yok.
Anahtar saklanmaz
Proxy'yi Application Default Credentials bilgileriniz yetkilendirir. AgentsRoom örnek bağlantı adını ve iki seçeneği saklar; bunların hiçbiri bir kimlik bilgisi değildir ve hiçbir hizmet hesabı anahtarı uygulamaya değmez.
Veritabanı salt okunur kalır
Bir veritabanı bağlantısı oluşturulduğunda salt okunurdur. Bir yazma işlemi, o bağlantının yazılabilir yapılmasını ve açık bir onayı gerektirir; üretim olarak işaretlenmiş bir bağlantıda bu onay daha belirgindir.
Çağrı başına tek ifade
Her çağrı tam olarak bir ifade taşır, böylece bir noktalı virgülün arkasına hiçbir şey saklanamaz; sonuç kümeleri de sınırlandırılır, böylece geniş bir sorgu bir pencereyi ya da bir ajanın bağlamını boğamaz.
Bu Neden Daha Fazla Değil, Daha Az Erişim Demek
Örnek tarafında hiçbir şey açılmaz. Herkese açık IP kapalı kalabilir, yetkili listeye hiçbir ağ eklenmez ve ara sıra yapılan bir sorgu için SSH portlu bir VM ayakta tutulmaz. Proxy, örneğe giden bağlantıyı uçtan uca şifreler.
Yetkilendirme, kuruluşunuzun onu yönettiği yerde kalır: Google kimliğiniz ve onun IAM rolleri. Bu kimliğe verilen erişim diğer her Cloud SQL bağlantısı gibi kaydedilir ve rol kaldırıldığı gün sona erer. AgentsRoom örnek adını, Özel IP seçimini ve IAM seçimini saklar; bunları okuyan birinin yeniden kullanabileceği hiçbir şeyi değil.
Veritabanı tarafında koruma önlemleri her AgentsRoom bağlantısının aldıklarının aynısıdır: varsayılan olarak salt okunur, çağrı başına tek ifade, sınırlandırılmış sonuç kümeleri ve yazma onayını sertleştiren bir üretim işareti. MCP üzerinden sorgu çalıştıran bir yapay zeka ajanı bir sonuç kümesi alır, asla bir kimlik bilgisi almaz; o bağlantıyı yazılabilir yapıp onun için Ajanların yazmasına izin ver seçeneğini açmadıysanız yazamaz.
MySQL ve PostgreSQL var, SQL Server henüz yok
Cloud SQL; MySQL, PostgreSQL ve SQL Server çalıştırır. AgentsRoom ilk ikisine proxy üzerinden ulaşır ve bugün bir SQL Server istemcisi yoktur. Kendi proxy'si olan AlloyDB de kapsam dışıdır.
Sıradaki motoru ya da servisi insanların ne istediği belirler. Sizinki eksikse hangisi olduğunu halka açık backlog'ta söyleyin, sayılsın.
Veritabanı motorunuzu talep edinBir ajan da onu salt okunur sorgulayabilir
Bağlantı bir kez var olduğunda, bir yapay zeka kodlama ajanı onu adıyla anarak AgentsRoom MCP üzerinden kullanır: db_list, tabloları ve sütunları dolaşmak için db_schema, sınırlandırılmış satırlarla tek bir ifade için db_query. Bir ajan, örnek bağlantı adını vererek db_connection_new veya db_connection_save ile bir Cloud SQL bağlantısını kendisi de kaydedebilir.
Ajan istediğinde proxy'yi AgentsRoom'un kendisi başlatır, dolayısıyla ajan ne bir Google kimlik bilgisine, ne bir veritabanı parolasına, ne de bir port numarasına dokunur. Geri dönen şey bir sonuç kümesidir. Yazma işlemleri yazılabilir bir bağlantı ve varsayılan olarak kapalı olan Ajanların yazmasına izin ver ayarını gerektirir.
Bir üretim replikasına karşı hata ayıklayan bir ajan, hatayı açıklayan satırları okur; bağlamına sızacak bir kimlik bilgisi ve uygulama kapandıktan sonra veritabanına ulaşan bir yol yoktur.
Sıkça Sorulan Sorular
Yalnızca özel IP'si olan bir Cloud SQL örneğine nasıl bağlanırım?
Bir MySQL veya PostgreSQL bağlantısı oluşturun, Şunun üzerinden eriş alanında Google Cloud SQL'i seçin, örnek bağlantı adını verin ve Özel IP'yi işaretleyin. AgentsRoom, Cloud SQL Auth Proxy'yi --private-ip ile bir loopback portunda başlatır ve istemcisini ona bağlar. Makinenizin örneğin VPC'sine, örneğin bir VPN ya da Interconnect üzerinden, ulaşması gerekir.
AgentsRoom bir hizmet hesabı anahtarı saklıyor mu?
Hayır. Proxy'yi, makinenizde gcloud auth application-default login komutunun oluşturduğu Application Default Credentials yetkilendirir. AgentsRoom örnek bağlantı adını ve iki seçeneği saklar; bunların hiçbiri kimlik bilgisi değildir.
Veritabanı parolası olmadan bağlanabilir miyim?
Evet, IAM veritabanı kimlik doğrulamasıyla. Bağlantıda işaretleyin, proxy --auto-iam-authn ile çalışır: Google kimliğinizle giriş yapar, parola alanı kaybolur ve kullanıcı IAM veritabanı kullanıcınız olur. Örnekte IAM kimlik doğrulamasının etkin olması ve o kullanıcının oluşturulmuş olması gerekir.
Neyin kurulu olması gerekiyor?
Cloud SQL Auth Proxy sürüm 2 (gcloud components install cloud-sql-proxy ya da Google'ın bağımsız indirmesi) ve Application Default Credentials için bir gcloud oturumu. gcloud'un kendisi yalnızca Örneklerimi listele düğmesi için gereklidir.
gcloud oturumumun süresi dolarsa ne olur?
Proxy bağlantıyı reddeder ve nedenini loga yazar. AgentsRoom bu logu okur ve çıplak bir bağlantı hatası yerine gcloud auth application-default login komutunu çalıştırmanızı söyleyen açık bir mesaj gösterir. Sonra yeniden denersiniz.
Hangi yerel port kullanılıyor ve ona kim ulaşabilir?
İşletim sistemi bağlantı açılırken boş bir port seçer ve proxy yalnızca 127.0.0.1'i dinler. Yerel ağdaki hiçbir şey ona ulaşamaz; proxy, bağlantı kapandığında ya da uygulama çıkıldığında durur.
Hangi Cloud SQL motorları destekleniyor?
Cloud SQL for MySQL ve Cloud SQL for PostgreSQL. AgentsRoom'un henüz bir SQL Server istemcisi olmadığı için Cloud SQL for SQL Server desteklenmiyor; halka açık backlog'ta talep edin, sayılsın.
Windows ve Linux'ta çalışıyor mu?
Evet. cloud-sql-proxy macOS, Windows ve Linux'ta yerel bir ikili dosyadır ve AgentsRoom onu üçünde de aynı şekilde başlatır. Telefon uygulaması aynı bağlantıları listeler ve masaüstünüz üzerinden salt okunur sorgular.
Bir yapay zeka ajanı veritabanını proxy üzerinden sorgulayabilir mi?
Evet, varsayılan olarak salt okunur. Ajan AgentsRoom MCP üzerinden kayıtlı bir bağlantıyı adlandırır, uygulama proxy'yi başlatıp ifadeyi kendisi çalıştırır ve geri yalnızca sonuç kümesi döner. Ajan ne bir Google kimlik bilgisi ne bir veritabanı parolası alır; db_query de, bağlantı yazılabilir yapılıp onun için Ajanların yazmasına izin ver açılmadıkça okuma dışında her şeyi reddeder.
Bunları da beğenebilirsiniz
Veritabanı Bağlantıları
MySQL, PostgreSQL ve MongoDB bağlantılarınızı kaydedin, özel bir alt ağdaki veritabanına bir SSH tüneli ya da bir AWS SSM oturumu üzerinden ulaşın ve yapay zeka ajanlarınız onu MCP üzerinden sorgulasın. Varsayılan olarak salt okunur, çağrı başına tek ifade, sınırlandırılmış sonuç kümeleri ve parola ajana asla ulaşmaz. Dışa aktarma, içe aktarma ve veritabanından veritabanına kopyalama da dahil.
AWS SSM üzerinden RDS
Herkese açık uç noktası olmayan bir Amazon RDS örneğine kendi makinenizden, aws ssm start-session ve AWS-StartPortForwardingSessionToRemoteHost belgesi üzerinden ulaşın. Bakımını üstleneceğiniz bir bastion yok, VPN yok, gelen SSH kuralı yok. AgentsRoom oturumu bir loopback portunda açar ve veritabanı istemcisini onun üzerinden bağlar. MySQL, PostgreSQL ve MongoDB, yani RDS MySQL, RDS PostgreSQL, Aurora ve DocumentDB.
Gizli Bilgi Yöneticisi
API anahtarlarınızı, token'larınızı ve parolalarınızı işletim sistemi anahtar zincirinizde saklayın, dev komutlarında ve ajan ortamlarında onlara {{secret:NAME}} ile referans verin, AgentsRoom da başlatma anında değeri çözümlesin. Ajanlar adları görür, değerleri asla, ve hiçbir şey bir sunucuya senkronize edilmez.
SSH Bağlantıları
SSH bağlantılarınızı kaydedin, SSH üzerinden yerleşik bir terminal açın ve Claude Code, Codex veya Antigravity CLI'yi doğrudan uzak sunucunuzda ya da VPS'inizde çalıştırın. SSH anahtarı veya parola ile kimlik doğrulama, proje bazlı bağlantı profilleri, ayrı bir SSH istemcisine gerek yok.
Özel Cloud SQL Örneğinizi Sorgulayın
AgentsRoom'u indirin, Cloud SQL örneğinizi seçin ve onu kendi gcloud oturumunuzla Cloud SQL Auth Proxy üzerinden sorgulayın: bastion VM yok, herkese açık IP yok, diskte anahtar yok.
Yardımcı uygulama: hareket halindeyken ajanlarınızı izleyin
Claude, Codex, Antigravity CLI veya başka bir AI sağlayıcı kullan.
Hataları ve istekleri doğrudan genel backlogunuza gönderin.