שימוש בשרת MCP מרוחק של שירות העברת הנתונים ל-BigQuery

במאמר הזה מוסבר איך להשתמש בשרת Model Context Protocol‏ (MCP) מרוחק של שירות העברת הנתונים ל-BigQuery כדי להתחבר לאפליקציות מבוססות-AI, כולל Gemini CLI, ‏ ChatGPT, ‏ Claude ואפליקציות בהתאמה אישית שאתם מפתחים. שרת ה-MCP של שירות העברת הנתונים ל-BigQuery מספק מגוון רחב של יכולות שמאפשרות לשלוח הנחיות בשפה טבעית לאפליקציית ה-AI כדי לבצע מגוון משימות שקשורות להעברת נתונים, כולל:

• להציג רשימה של מקורות נתונים זמינים ולקבל פרטים עליהם.
• יצירה, ניהול והצגה של הגדרות העברת נתונים.
• הצגת רשימה של הפעלות של העברת נתונים וקבלת פרטים עליהן.
• בודקים אם פרטי הכניסה למקור הנתונים תקינים.

‫Model Context Protocol (‏MCP) הוא תקן שמגדיר איך מודלים גדולים של שפה (LLM) ואפליקציות או סוכנים של AI מתחברים למקורות נתונים חיצוניים. שרתי MCP מאפשרים לכם להשתמש בכלים, במשאבים ובהנחיות שלהם כדי לבצע פעולות ולקבל נתונים מעודכנים משירות הקצה העורפי שלהם.

מה ההבדל בין שרתי MCP מקומיים לשרתי MCP מרוחקים?

שרתי MCP מקומיים

בדרך כלל פועלים במחשב המקומי ומשתמשים בזרמי הקלט והפלט הרגילים (stdio) לתקשורת בין שירותים באותו מכשיר.

שרתי MCP מרוחקים

פועלים בתשתית של השירות ומציעים נקודת קצה (endpoint) מסוג HTTP לאפליקציות AI, כדי לאפשר תקשורת בין לקוח ה-MCP של ה-AI לבין שרת ה-MCP. מידע נוסף על ארכיטקטורת MCP

ליבה ללא שמירת מצב

בגרסת MCP‏ 2026-07-28, פרוטוקול MCP משתנה מפרוטוקול דו-כיווני עם שמירת מצב (stateful) לפרוטוקול ללא שמירת מצב (stateless). כל בקשת MCP מתארת את עצמה ואפשר לנתב אותה באמצעות כותרות. אין צורך בלחיצת היד של initialize/initialized או ב-Mcp-Session-Id כי כל בקשה כוללת את כל המידע הנדרש בכותרות HTTP או בפרמטר _meta. שרתי MCP יכולים לבקש מידע נוסף שנדרש לכלי באמצעות בקשות הלוך ושוב (MRTR).

כדי לנתב ולעבד בקשות בלי לנתח את גוף הבקשה, נדרשות כמה כותרות MCP, כולל:

• כותרות שנדרשות לפי מפרט ה-MCP, כמו כותרת גרסת הפרוטוקול וכותרות בקשה רגילות.
• כותרות בהתאמה אישית שמוגדרות על ידי שרת ה-MCP. הכותרות האלה משתקפות בכותרות HTTP מסכימת הקלט של הכלי באמצעות המאפיין x-mcp-header. לדוגמה, שרת MCP יכול להגדיר כותרת מותאמת אישית כדי לציין את האזור או את מזהה הפרויקט ב- Cloud de Confiance by S3NS .

מידע נוסף על הארכיטקטורה של MCP זמין במפרט של MCP בגרסה 2026-07-28 ובשינויים העיקריים.

שרתי MCP מרוחקים של Google ושל Cloud de Confiance by S3NS

• חיפוש פשוט ומרוכז
• נקודות קצה (endpoints) מנוהלות של HTTP גלובלי או אזורי
• הרשאה פרטנית
• אבטחה אופציונלית של הנחיות ותשובות באמצעות הגנה מוגברת על המודל
• רישום מרכזי ביומן הביקורת

במאמר סקירה כללית על שרתי Google Cloud MCP מוסבר על שרתי MCP אחרים ועל אמצעי הבקרה לאבטחה ולמשילות שזמינים לשרתי Google Cloud MCP.

לפני שמתחילים

1. In the Cloud de Confiance console, on the project selector page, select or create a Cloud de Confiance project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Go to project selector

2. If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

3. מפעילים את שירות העברת נתונים ל-BigQuery API, אם הוא עדיין לא מופעל.

   התפקידים שנדרשים כדי להפעיל ממשקי API

   כדי להפעיל ממשקי API, צריך את ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד "בעלים" (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד "אדמין בממשק 'שימוש בשירות'" (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים

   להפעלת ה-API

   בפרויקטים חדשים, ממשק ה-API של שירות העברת הנתונים ל-BigQuery מופעל באופן אוטומטי.

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות לשימוש בשרת MCP של שירות העברת הנתונים ל-BigQuery, בקשו מהאדמין להקצות לכם את תפקידי ה-IAM הבאים בפרויקט שבו אתם רוצים להשתמש בשרת MCP של שירות העברת הנתונים ל-BigQuery:

• לבצע קריאות לכלי MCP: משתמש בכלי MCP (roles/mcp.toolUser)

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

התפקידים המוגדרים מראש האלה מכילים את ההרשאות שנדרשות כדי להשתמש בשרת ה-MCP של שירות העברת הנתונים ל-BigQuery. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

שירות העברת הנתונים ל-BigQuery משתמש בסוכן שירות כדי לגשת למשאבים שלכם ולנהל אותם. סוכן השירות נוצר בשבילכם באופן אוטומטי אחרי שאתם מפעילים את שירות העברת הנתונים ל-BigQuery ומשתמשים ב-API בפעם הראשונה. כשיוצרים סוכן שירות, Google מקצה לו באופן אוטומטי את התפקיד המוגדר מראש של סוכן השירות.

במאמר תפקידים והרשאות של IAM בשירות העברת הנתונים ל-BigQuery מוסבר על ההרשאות של שירות העברת הנתונים ל-BigQuery.

אימות והרשאה

שרת ה-MCP של שירות העברת הנתונים ל-BigQuery לא מקבל מפתחות API. כדי שתוכלו לשלוט בגישה למשאבים ולעקוב אחריה, מומלץ ליצור זהות נפרדת לסוכנים שמשתמשים בכלים של MCP. מידע נוסף על אימות זמין במאמר אימות בשרתי MCP.

היקפי ההרשאות של OAuth ב-MCP של שירות העברת הנתונים ל-BigQuery

ב-OAuth 2.0 משתמשים בהיקפי הרשאות ובפרטי כניסה כדי לקבוע אם לחשבון משתמש מאומת מסוים מותר לבצע פעולה ספציפית במשאב. למידע נוסף על היקפי ההרשאות של OAuth 2.0 ב-Google, קראו את המאמר שימוש ב-OAuth 2.0 כדי לגשת אל Google APIs.

שרתי MCP של שירות העברת הנתונים ל-BigQuery משתמשים בפרוטוקול OAuth 2.0 עם IAM לאימות ולהרשאה. כל Cloud de Confiance by S3NS הזהויות נתמכות לאימות בשרתי MCP.

שירות העברת הנתונים ל-BigQuery תומך בהיקפי ההרשאות הבאים של OAuth לכלי BigQuery MCP:

יכול להיות שיידרשו היקפי הרשאות נוספים למשאבים שאליהם ניגשים במהלך קריאה לפונקציה. כדי לראות את רשימת היקפי ההרשאות שנדרשים לשירות העברת הנתונים ל-BigQuery, קראו את המאמר BigQuery Data Transfer Service API.

הגדרת לקוח MCP לשימוש בשרת MCP של שירות העברת הנתונים ל-BigQuery

אפליקציות וסוכני AI, כמו Claude או Antigravity, יכולים ליצור מופע של לקוח MCP שמתחבר לשרת MCP אחד. לאפליקציית AI יכולים להיות כמה לקוחות שמתחברים לשרתי MCP שונים. אם האפליקציה שלכם לא מופיעה בהנחיות הספציפיות ללקוח, תוכלו להשתמש במידע הבא כדי להתחבר מרוב האפליקציות.

באפליקציית ה-AI, מחפשים דרך להוסיף שרת MCP מרוחק או להתחבר אליו. בשרת ה-MCP של שירות העברת הנתונים ל-BigQuery, מזינים את הפרטים הבאים לפי הצורך:

• שם השרת: שרת MCP של שירות העברת נתונים ל-BigQuery
• כתובת ה-URL של השרת או נקודת הקצה (endpoint): https://bigquerydatatransfer.googleapis.com/mcp
• תעבורה: HTTP שניתן להעביר בסטרימינג
• פרטי אימות: בהתאם לשיטת האימות שאתם רוצים להשתמש בה, אתם יכולים להזין את פרטי הכניסה, את מזהה הלקוח והסוד של לקוח OAuth או את פרטי הכניסה והזהות של הנציג. Cloud de Confiance by S3NS מידע נוסף על אימות זמין במאמר אימות לשרתי MCP.

‫URI של הפניה לכתובת אחרת

באפליקציות מבוססות-אינטרנט ובחלק מהאפליקציות למחשב, צריך להוסיף לרשימת ההיתרים URI להפניה אוטומטית כשיוצרים מזהה לקוח וסוד לאימות. שרת ההרשאות משתמש בכתובות URI להפניה אוטומטית כדי לשלוח אסימונים לאפליקציה. במסמכי התיעוד של האפליקציה צריך לציין את כתובת ה-URI להפניה אוטומטית שבה צריך להשתמש. אי אפשר להשתמש בכתובות URI מותאמות אישית להפניה אוטומטית.

בקטע הנחיות ספציפיות ללקוח מוסבר איך להגדיר שרת MCP ולהתחבר אליו באפליקציות ספציפיות.

להנחיות כלליות נוספות, אפשר לעיין במקורות המידע הבאים:

• להתחבר לשרתי MCP מרוחקים.
• הגדרת MCP באפליקציית AI.

באילו כלים אפשר להשתמש

במאמר הזה מפורטים הכלים שזמינים בשרת ה-MCP של שירות העברת הנתונים ל-BigQuery.

כלים לרשימות

משתמשים ב-MCP Inspector כדי להציג את רשימת הכלים, או שולחים בקשת HTTP מסוג tools/list ישירות לשרת ה-MCP המרוחק של שירות העברת הנתונים ל-BigQuery. השיטה tools/list לא דורשת אימות.

curl -X POST https://bigquerydatatransfer.googleapis.com/TOOLSET_ENDPOINT \
    -H 'Content-Type: application/json' \
    -H 'Accept: application/json' \
    -H 'MCP-Protocol-Version: MCP_PROTOCOL_VERSION' \
    -H 'Mcp-Method: tools/list' \
    -d '{
      "jsonrpc": "2.0",
      "id": 1,
      "method": "tools/list",
      "params": {
        "_meta": {
          "io.modelcontextprotocol/protocolVersion": "MCP_PROTOCOL_VERSION",
          "io.modelcontextprotocol/clientCapabilities": {
            "extensions": {
              "io.modelcontextprotocol/ui": {
                "mimeTypes": ["text/html;profile=mcp-app"]
              }
            }
          }
        }
      }
    }'

מחליפים את מה שכתוב בשדות הבאים:

• ‫TOOLSET_ENDPOINT: החלק שנותר בנקודת הקצה של ה-MCP אחרי שם השירות. בשירות העברת הנתונים ל-BigQuery, המזהה הוא mcp.
• ‫MCP_PROTOCOL_VERSION: גרסת פרוטוקול ה-MCP. לדוגמה, 2026-07-28.

תרחישים לדוגמה

הנה כמה דוגמאות לתרחישי שימוש בשרת MCP של שירות העברת הנתונים ל-BigQuery:

• לגלות מקורות נתונים נתמכים, לבדוק את הפרמטרים הנדרשים להגדרה ולוודא שקיימים פרטי כניסה תקינים למקור נתונים.
• ליצור, לעדכן, לבדוק ולמחוק הגדרות של העברת נתונים באמצעות הנחיות בשפה טבעית.
• אפשר להפעיל העברות ידניות לתאריך מסוים או להפעיל מילויים חוזרים בטווח תאריכים.
• כדי לפתור בעיות בהעברות שנכשלו, אפשר לעקוב אחרי הסטטוס של הרצות ההעברה ולבדוק את היומנים של הרצות ההעברה.

פרומפטים לדוגמה

אתם יכולים להשתמש בהנחיות לדוגמה הבאות כדי לגלות מקורות נתונים, לנהל הגדרות העברה ולפתור בעיות בהפעלות של העברות:

• "הצג את כל מקורות הנתונים הזמינים בפרויקט PROJECT_ID ובמיקום LOCATION, ובדוק אם יש לי פרטי כניסה תקינים למקור הנתונים DATA_SOURCE_ID".
• "הצגת רשימה של כל הגדרות העברת הנתונים בפרויקט PROJECT_ID באזור LOCATION".
• "התחלת הפעלה של העברה ידנית להגדרת ההעברה TRANSFER_CONFIG_ID בפרויקט PROJECT_ID ובמיקום LOCATION בטווח התאריכים מ-2026-01-01 עד 2026-01-07".
• "בודקים את הסטטוס של הפעלות ההעברה האחרונות של ההגדרה TRANSFER_CONFIG_ID בפרויקט PROJECT_ID. אם אחת מההפעלות נכשלה, תציג לי את יומני ההעברות ותסביר מה השתבש".

בהנחיות, מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט ב- Cloud de Confiance .
• ‫LOCATION: המיקום של הגדרת ההעברה או של מקור הנתונים.
• ‫DATA_SOURCE_ID: מזהה מקור הנתונים, לדוגמה google_ads או scheduled_query.
• ‫TRANSFER_CONFIG_ID: המזהה של הגדרות ההעברה.

הגדרות אופציונליות של אבטחה ובטיחות

בגלל המגוון הרחב של הפעולות שאפשר לבצע באמצעות כלי MCP, יש סיכוני אבטחה ושיקולים חדשים שצריך להביא בחשבון. כדי לצמצם ולנהל את הסיכונים האלה,Cloud de Confiance by S3NS מציע הגדרות ברירת מחדל וכללי מדיניות שניתנים להתאמה אישית כדי לשלוט בשימוש בכלי MCP בארגון או בפרויקט ב- Cloud de Confiance by S3NS.

מידע נוסף על אבטחה ופיקוח ב-MCP זמין במאמר אבטחה ובטיחות ב-AI.

שימוש ב-Model Armor

הגנה מוגברת על המודל היא שירות שלCloud de Confiance by S3NS שנועד לשפר את האבטחה והבטיחות של אפליקציות ה-AI. הוא פועל באופן יזום כדי לסנן הנחיות ותשובות של מודלי LLM, להגן מפני סיכונים שונים ולתמוך בשיטות לפיתוח אחראי של AI. לא משנה אם אתם פורסים את ה-AI בסביבת הענן שלכם או אצל ספקי שירותי ענן חיצוניים, אתם יכולים להשתמש ב"הגנה מוגברת על המודל" כדי למנוע קלט זדוני, לוודא שהתוכן בטוח, להגן על מידע אישי רגיש, לשמור על תאימות ולאכוף את מדיניות הבטיחות והאבטחה של ה-AI באופן עקבי בכל סביבת ה-AI המגוונת שלכם.

כשהתכונה "הגנה מוגברת על המודל" מופעלת עם רישום ביומן, היא מתעדת את כל המטען הייעודי (payload). זה עלול לחשוף מידע רגיש ביומנים.

ניתוב בקשות MCP ל-Model Armor

הפעלת Model Armor

כדי להשתמש ב-Model Armor, צריך להפעיל את ממשקי ה-API של Model Armor.

הגדרת הגנה לשרתי MCP של Google ו Cloud de Confiance by S3NS לשרתי MCP מרוחקים

כדי להגן על הקריאות והתשובות של כלי ה-MCP, אתם יכולים להשתמש בהגדרות האבטחה המינימליות של Model Armor. הגדרת אבטחה מינימלית קובעת את מסנני האבטחה המינימליים שחלים על כל הפרויקט. ההגדרה הזו מחילה קבוצה עקבית של מסננים על כל הקריאות והתגובות של כלי ה-MCP בפרויקט.

מגדירים את הגדרות האבטחה המינימליות של "הגנה מוגברת על המודל" עם הסרת תוכן זדוני או רגיש ב-MCP. מידע נוסף זמין במאמר קביעת הגדרות האבטחה המינימליות של Model Armor.

דוגמה לפקודה:

gcloud model-armor floorsettings update \
--full-uri='projects/PROJECT_ID/locations/global/floorSetting' \
--enable-floor-setting-enforcement=TRUE \
--add-integrated-services=GOOGLE_MCP_SERVER \
--google-mcp-server-enforcement-type=INSPECT_AND_BLOCK \
--enable-google-mcp-server-cloud-logging \
--malicious-uri-filter-settings-enforcement=ENABLED \
--add-rai-settings-filters='[{"confidenceLevel": "MEDIUM_AND_ABOVE", "filterType": "DANGEROUS"}]'

מחליפים את PROJECT_ID במזהה הפרויקט ב- Cloud de Confiance .

שימו לב להגדרות הבאות:

• ‫INSPECT_AND_BLOCK: סוג האכיפה שבודק את התוכן בשרת MCP של Google וחוסם הנחיות ותשובות שתואמות למסננים.
• ‫ENABLED: ההגדרה שמפעילה סינון או אכיפה.
• ‫MEDIUM_AND_ABOVE: רמת הסמך של הגדרות הסינון של "אתיקה של בינה מלאכותית – תוכן מסוכן". אפשר לשנות את ההגדרה הזו, אבל ערכים נמוכים יותר עלולים לגרום ליותר תוצאות חיוביות כוזבות. מידע נוסף זמין במאמר רמות הסמך של Model Armor.

השבתת הסריקה של תנועת MCP באמצעות Model Armor

כדי להפסיק את הסריקה האוטומטית של Model Armor לתנועה אל שרתי Google MCP וממנה, על סמך הגדרות האבטחה המינימליות של הפרויקט, מריצים את הפקודה הבאה:

gcloud model-armor floorsettings update \
  --full-uri='projects/PROJECT_ID/locations/global/floorSetting' \
  --remove-integrated-services=GOOGLE_MCP_SERVER

מחליפים את PROJECT_ID במזהה הפרויקט ב- Cloud de Confiance . הגדרות האבטחה המינימליות של הפרויקט לא חלות באופן אוטומטי על התנועה בשרת Google MCP.

הגדרות האבטחה המינימליות וההגדרות הכלליות של "הגנה מוגברת על המודל" יכולות להשפיע על יותר מאשר רק MCP. מכיוון ש-Model Armor משתלב עם שירותים כמו Vertex AI, כל שינוי שתבצעו בהגדרות האבטחה המינימליות יכול להשפיע על סריקת התנועה ועל התנהגויות הבטיחות בכל השירותים המשולבים, ולא רק ב-MCP.

שליטה בשימוש ב-MCP באמצעות מדיניות IAM

כללי מדיניות הדחייה וכללי מדיניות ההרשאה של ניהול זהויות והרשאות גישה (IAM) עוזרים לכם לאבטח את Cloud de Confiance by S3NS ואת שרתי Google MCP.

אתם יכולים לשלב כמה קריטריונים כדי ליצור מדיניות אבטחה ופיקוח בהתאמה אישית, על ידי מתן גישה או דחיית גישה על סמך:

• חשבון המשתמש.
• מאפייני הכלי, כמו המאפיין "לקריאה בלבד".
• שם השירות או שם הכלי.
• מזהה הלקוח ב-OAuth של האפליקציה.

מידע נוסף זמין במאמר שליטה בשימוש ב-MCP באמצעות ניהול זהויות והרשאות גישה.

המאמרים הבאים

• מאמרי העזרה של שירות העברת הנתונים ל-BigQuery בנושא MCP.
• מידע נוסף על שרתי MCP של Google Cloud