Was ist gcloud MCP Server?
Der gcloud MCP-Server aus Googles Organisation googleapis gibt einem Agenten ein einziges Tool, run_gcloud_command, das die auf deinem Rechner installierte gcloud-CLI mit einer vom Modell gelieferten Argumentliste ausführt. Vor jedem Aufruf lässt es gcloud den Befehl parsen, prüft die Befehlsgruppe gegen eine Zugriffsliste und startet dann das gcloud-Binary direkt ohne Shell, sodass Pipes, Umleitungen und das Verketten von Befehlen scheitern. Im selben Repo liegen auch separate Server für Observability, Cloud Storage sowie Backup and DR.
Eigene Zugangsdaten hat es nicht. Jeder Aufruf läuft unter dem aktiven gcloud-Konto und erbt damit alles, was gcloud auth login oder ein aktivierter Service-Account-Schlüssel erlaubt; das README empfiehlt Service-Account-Impersonation mit einer eng gefassten IAM-Rolle. Eine Standard-Denylist mit 10 Einträgen, überwiegend SSH- und Tunnel-Befehle plus gcloud interactive und gcloud meta, gilt immer, und eine mit -c übergebene JSON-Datei ergänzt entweder eine Allowlist oder eine Denylist, nie beides.
Das Repo steht unter der Apache-2.0-Lizenz und hat rund 940 GitHub-Sterne, und @google-cloud/gcloud-mcp wurde im Monat bis zum 26. Oktober 2026 etwa 212.000 Mal heruntergeladen. Google kennzeichnet es als Preview, die kein offiziell unterstütztes Produkt ist und nicht unter die Nutzungsbedingungen von Google Cloud fällt. Das letzte gcloud-mcp-Release, 0.5.3, erschien am 5. Januar 2026; seitdem gab es nur Aktualisierungen von Abhängigkeiten.
gcloud MCP Server installieren
npx -y @google-cloud/gcloud-mcpLohnt sich gcloud MCP Server?
Dieser Server fügt zwischen Modell und gcloud fast nichts hinzu, und das ist sein Reiz und sein Risiko zugleich. In der Standardkonfiguration kann ein Agent, der unter einem typischen Entwicklerkonto läuft, Projekte, Compute-Engine-Instanzen und Cloud-SQL-Datenbanken löschen, IAM-Richtlinien umschreiben oder Service-Account-Schlüssel anlegen, denn die einzigen eingebauten Sperren sind 10 Befehlsgruppen, die interaktive Sitzungen verhindern sollen, nicht Schaden. Das README beschreibt die Denylist auch so: Sie entfernt Befehle, die für einen Agenten keinen Sinn ergeben, nicht Befehle, die gefährlich sind.
Die wichtigste Lücke betrifft Zugangsdaten. gcloud auth print-access-token und seine Varianten für Application Default und Identity Token stehen nicht auf der Standard-Denylist. Ein Agent, oder ein Prompt, der über eine von ihm gelesene Ressourcenbeschreibung eingeschleust wurde, kann also ein gültiges Access Token in den Kontext des Modells ausgeben. Ein Pull Request, der sie auf die Denylist setzt (#419), ist seit dem 6. Mai 2026 offen. Bis er gemergt ist, nimm diese Befehle in deine eigene Deny-Datei auf. Auch eine über gcloud config gesetzte Impersonation ist keine harte Grenze, da config-Befehle erlaubt sind und ein Agent sie zurücksetzen kann; wer den Service Account selbst aktiviert oder die Gruppe config sperrt, schließt diese Lücke.
Die Allowlist ist das Feature, das du nutzen solltest. Eine Datei wie {"allow": ["compute instances list", "logging read"]} beschränkt den Agenten auf benannte Gruppen oder exakte Befehle, und die Regeln sind bei Release-Tracks präzise: beta storage zu erlauben erlaubt nicht GA storage, während das Sperren eines GA-Befehls auch seine alpha- und beta-Formen sperrt. Befehle werden über den eigenen Linter von gcloud geparst statt per Stringvergleich, was es schwerer macht, die Prüfung mit umgestellten Flags zu umgehen.
Einen Kostenschutz für BigQuery gibt es hier nicht, weil es kein BigQuery-Abfrage-Tool gibt. Der Server führt nur das gcloud-Binary aus, und seine Dokumentation erwähnt weder einen Probelauf noch ein Byte-Limit. On-Demand-Abfragen in BigQuery kosten 6,25 $ pro gescanntem TiB nach einem kostenlosen 1 TiB im Monat, und die projektbezogenen Kontingente und die Einstellung für maximal abgerechnete Bytes in BigQuery bleiben die Stellschrauben. Für SQL gegen BigQuery, AlloyDB oder Cloud SQL passt Googles MCP Toolbox for Databases besser, mit benannten, parametrisierten Abfragen statt einer offenen Kommandozeile; gcloud-mcp ist für die Control Plane rund um diese Datenbanken gedacht.
Wo es sich lohnt
Ein Platform Engineer in einem Startup mit 20 Beschäftigten auf Google Cloud
Fragen, warum ein Cloud-Run-Service 500er liefert und was sich geändert hat
gcloud-mcp mit einer Allowlist aus run services describe, run revisions list und logging read betreiben, unter einem Service Account, der nur Viewer-Rollen hat. Der Agent liest Revisionen und Logs ohne Schreibweg. Der Server ist kostenlos; Lesezugriffe auf Cloud Logging werden normal abgerechnet.
Eine FinOps-Analystin bei einem mittelgroßen Händler
Ungenutzte Compute-Engine-Disks und nicht zugewiesene IP-Adressen über mehrere Projekte inventarisieren
List-Befehle wie compute disks list und compute addresses list mit --filter und --format-Projektionen liefern nur die nötigen Felder und halten die Ausgabe klein. Mit einer Allowlist aus List-Befehlen kann der Agent berichten, aber nichts löschen, und die Entscheidung über das Aufräumen bleibt bei einem Menschen.
Ein Security Engineer, der prüft, ob Agenten in einer regulierten Google-Cloud-Organisation zugelassen werden
Entscheiden, was ein Agent auf einem Entwicklerlaptop mit dem gcloud-Login des Entwicklers tun könnte
Ab Werk kann er alles, was dieses Login kann, einschließlich der Ausgabe von Access Tokens, und Google bietet dafür keinen Supportvertrag. Eine mit der Client-Konfiguration verteilte Allowlist-Datei plus Impersonation eines schreibgeschützten Service Accounts ist das Minimum vor einer Freigabe.
Bevor du dich festlegst
- Einrichtung
- Braucht Node.js 20 oder neuer und eine authentifizierte gcloud-CLI. npx @google-cloud/gcloud-mcp init --agent=gemini-cli installiert es als Gemini-CLI-Erweiterung; für Claude Desktop, Cursor, Cline oder VS Code npx -y @google-cloud/gcloud-mcp zur MCP-Konfiguration hinzufügen. Das Flag -c nimmt einen absoluten Pfad zu einer Allow- oder Deny-JSON-Datei.
- Integrationen
- Ein Tool, run_gcloud_command, das alles abdeckt, was gcloud abdeckt, lesend wie schreibend. Im selben Repo gibt es separate Server: storage-mcp (standardmäßig nur lesen und anlegen, Löschen hinter --enable-destructive-tools), observability-mcp (Logs, Metriken, Traces über Application Default Credentials) und backupdr-mcp. Nur stdio; kein HTTP-Transport.
- Daten und Datenschutz
- Läuft lokal unter dem aktiven gcloud-Konto und gibt die Befehlsausgabe an das Modell zurück. Alles, was gcloud ausgeben kann, erreicht den Kontext, einschließlich Access Tokens, sofern du die auth-print-Befehle nicht sperrst, und Ressourcenbeschreibungen oder Logzeilen sind nicht vertrauenswürdiger Text. Es wurden keine GitHub Security Advisories veröffentlicht.
- Kosten im großen Maßstab
- Der Server ist kostenlos; jeder Befehl wird dem Projekt wie üblich berechnet. Die teuren Fehler sind Schreibvorgänge, etwa das Anlegen von Instanzen oder GPUs, nicht das Aufrufvolumen, und nichts im Server begrenzt sie; das müssen Budgets, Kontingente und IAM übernehmen.
- Grenzen
- Preview mit möglichen Breaking Changes, außerhalb von Support und Bedingungen von Google Cloud. Kein eigener Probelauf, kein Freigabeschritt und keine Bestätigung pro Befehl. Die Standard-Denylist lässt sich nicht überschreiben, SSH-basierte Workflows sind also nicht verfügbar. Am 28. Oktober 2026 waren 33 Issues offen.
Was gut ist
- Ein Tool erreicht fast jeden Google-Cloud-Dienst, den gcloud abdeckt
- Allowlist oder Denylist nach Befehlsgruppe, geparst vom eigenen Linter von gcloud
- Keine Shell, daher scheitern Pipes, Verkettung und Substitution
- Nutzt vorhandene gcloud-Zugangsdaten und IAM, nichts Neues bereitzustellen
Was nicht
- Die Standard-Denylist blockiert SSH und interaktive Befehle, nicht Löschvorgänge
- print-access-token-Befehle sind standardmäßig nicht gesperrt
- Preview, kein offiziell unterstütztes Google-Produkt
- Kein gcloud-mcp-Release seit Januar 2026
Am besten für
Google-Cloud-Engineers, die einen Agenten Ressourcen über gcloud prüfen und betreiben lassen wollen und ihn auf eine Allowlist und einen eng gefassten Service Account festlegen.
Alternativen zu gcloud MCP Server
gcloud MCP Server: häufige Fragen
- Lohnt sich gcloud MCP Server?
- Ein dünner, ehrlicher Wrapper um gcloud, der genau so sicher ist wie das Konto dahinter, und das heißt für die meisten Entwickler: viel zu mächtig, bis du eine Allowlist ergänzt. Wir bewerten es mit 3.5 von 5.
- Was kostet gcloud MCP Server?
- Kostenlos und unter Apache 2.0 lizenziert. Jeder Befehl wird deinem Google-Cloud-Projekt so berechnet, als hättest du ihn selbst eingetippt.
- Welche Nachteile hat gcloud MCP Server?
- Die Standard-Denylist blockiert SSH und interaktive Befehle, nicht Löschvorgänge; print-access-token-Befehle sind standardmäßig nicht gesperrt; Preview, kein offiziell unterstütztes Google-Produkt; Kein gcloud-mcp-Release seit Januar 2026.
- Für wen eignet sich gcloud MCP Server?
- Google-Cloud-Engineers, die einen Agenten Ressourcen über gcloud prüfen und betreiben lassen wollen und ihn auf eine Allowlist und einen eng gefassten Service Account festlegen.
- Was kostet gcloud MCP Server für ein Team oder im Produktivbetrieb?
- Der Server ist kostenlos; jeder Befehl wird dem Projekt wie üblich berechnet. Die teuren Fehler sind Schreibvorgänge, etwa das Anlegen von Instanzen oder GPUs, nicht das Aufrufvolumen, und nichts im Server begrenzt sie; das müssen Budgets, Kontingente und IAM übernehmen.
- Ist gcloud MCP Server sicher für Firmendaten?
- Läuft lokal unter dem aktiven gcloud-Konto und gibt die Befehlsausgabe an das Modell zurück. Alles, was gcloud ausgeben kann, erreicht den Kontext, einschließlich Access Tokens, sofern du die auth-print-Befehle nicht sperrst, und Ressourcenbeschreibungen oder Logzeilen sind nicht vertrauenswürdiger Text. Es wurden keine GitHub Security Advisories veröffentlicht.
- Was sind die besten Alternativen zu gcloud MCP Server?
- Die nächsten Alternativen, die wir getestet haben, sind MCP Toolbox for Databases, AWS MCP Server, Azure MCP Server und Terraform MCP Server.
Antworten geprüft am 28. Okt. 2026.