gcloud MCP Serverとは？
Google の googleapis organisation による gcloud MCP サーバーは、エージェントに run_gcloud_command という 1 つのツールを与えます。このツールは、手元のマシンにインストールされた gcloud CLI を、モデルが渡す引 数リストで実行します。呼び出しのたびに、まず gcloud にコマンドを解析させ、コマンドグループをアクセス制御リストと照合し、その後シェルを介さずに gcloud バイナリを直接起動します。そのためパイプ、リダイレクト、コマンドの連結は失敗します。同じリポジトリには、オブザーバビリティ、Cloud Storage、Backup and DR 用の別サーバーもあります。
独自の認証情報は持ちません。すべての呼び出しは有効な gcloud アカウントとして実行されるため、gcloud auth login や有効化したサービスアカウントキーが許すことをそのまま引き継ぎます。README は、範囲の狭い IAM ロールを使ったサービスアカウントの借用を推奨しています。10 項目の既定の拒否リストが常に適用され、その大半は SSH とトンネリングのコマンドで、ほかに gcloud interactive と gcloud meta が含まれます。-c で渡す JSON ファイルで、許可リストか拒否リストのどちらかを追加できますが、両方は指定できません。
リポジトリは Apache-2.0 ライセンスで、GitHub のスターは約 940 です。@google-cloud/gcloud-mcp は 2026年10月26日までの 1 か月で約 212,000 回ダウンロードされました。Google はこれをプレビュー版とし、公式にサポートされる製品ではなく、Google Cloud の利用規約の対象外だとしています。gcloud-mcp の最新リリースは 2026年1月5日の 0.5.3 で、その後の変更は依存関係の更新です。
gcloud MCP Serverのインストール方法
npx -y @google-cloud/gcloud-mcpgcloud MCP Serverは使う価値があるか？
このサーバ ーはモデルと gcloud の間にほとんど何も挟みません。それが魅力であり、リスクでもあります。既定の設定では、一般的な開発者アカウントとして動くエージェントが、プロジェクト、Compute Engine インスタンス、Cloud SQL データベースを削除し、IAM ポリシーを書き換え、サービスアカウントキーを作成できます。組み込みのブロックは 10 のコマンドグループだけで、それも損害ではなく対話型セッションを止めるために選ばれたものだからです。README も拒否リストをそう位置づけています。危険なコマンドではなく、エージェントにとって意味のないコマンドを取り除くものです。
最も重要な穴は認証情報です。gcloud auth print-access-token と、その application-default 版と identity-token 版は既定の拒否リストにありません。そのため、エージェントや、エージェントが読んだリソースの説明文を通じて注入されたプロンプトが、有効なアクセストークンをモデルのコンテキストに出力できます。これらを拒否リストに加えるプルリクエスト（#419）は 2026年5月6日から未マージのままです。反映されるまでは、これらのコマンドを自分の拒否ファイルに追加してください。gcloud config で設定した借用も確かな境界ではありません。config コマンドは許可されており、エージェントが設定を解除できるからです。サービスアカウント自体を有効化するか、config グループを拒否すれば、この穴は塞がります。
使うべき機能は許可リストです。{"allow": ["compute instances list", "logging read"]} のようなファイルで、エージェントを指定したグループや特定のコマンドに限定できます。リリーストラックのルールも厳 密で、beta の storage を許可しても GA の storage は許可されず、GA のコマンドを拒否すると alpha 版と beta 版も拒否されます。コマンドの解析は文字列照合ではなく gcloud 自身のリンターを通るため、フラグの順序を入れ替えてチェックをすり抜けるのは難しくなります。
BigQuery のコスト保護はありません。BigQuery のクエリツールがないからです。サーバーは gcloud バイナリだけを実行し、ドキュメントにはドライランやバイト数の上限の記述がありません。BigQuery のオンデマンドクエリは、月 1 TiB の無料枠を超えるとスキャン 1 TiB あたり $6.25 で課金されます。設定すべき制御は、引き続き BigQuery 自身のプロジェクト単位の割り当てと課金対象の最大バイト数の設定です。BigQuery、AlloyDB、Cloud SQL に SQL を投げるなら、自由なコマンドラインではなく名前付きのパラメーター化クエリを使う Google の MCP Toolbox for Databases のほうが適しています。gcloud-mcp は、それらのデータベースを取り巻くコントロールプレーン向けです。
真価を発揮する場面
Google Cloud を使う 20 人規模のスタートアップのプラットフォームエンジニア
Cloud Run サービスが 500 を返す理由と、何が変わったかを尋ねる
run services describe、run revisions list、logging read の許可リストを付け、閲覧者ロールだけを持つサービスアカウントで gcloud-mcp を実行します。エージェントは書き込み経路なしでリビジョンとログを読みます。サーバーは無料で、Cloud Logging の読み取りは通常どおり課金されます。
中規模小売企業の FinOps アナリスト
複数のプロジェクトにまたがって、使われていない Compute Engine ディスクと未割り当ての IP アドレスを棚卸しする
compute disks list や compute addresses list などの一覧コマンドに --filter と --format の射影を付けると、必要なフィールドだけが返り、出力を小さく保てます。一覧コマンドの許可リストなら、エージェントは報告はできても削除はできず、片付けの判断は人に残ります。
規制下にある Google Cloud 組織で、エージェントを許可するかを審査するセキュリティエンジニア
開発者のノート PC 上のエージェントが、その開発者の gcloud ログインで何をできるかを判断する
初期状態では、アクセストークンの出力を含め、そのログインでできることはすべてでき、Google はサポート契約を提供していません。クライアント設定と一緒に配布する許可リストファイルと、読み取り専用サービスアカウントの借用が、承認前の最低条件です。
導入前に確認すること
- 導入
- Node.js 20 以降と、認証済みの gcloud CLI が必要です。npx @google-cloud/gcloud-mcp init --agent=gemini-cli で Gemini CLI 拡張としてインストールされます。Claude Desktop、Cursor、Cline、VS Code では MCP 設定に npx -y @google-cloud/gcloud-mcp を追加します。-c フラグには、許可または拒否の JSON ファイルの絶対パスを渡します。
- 連携
- ツールは run_gcloud_command の 1 つで、読み取りも書き込みも gcloud が扱う範囲をすべてカバーします。同じリポジトリには、別サーバーとして storage-mcp（既定では読み取りと作成のみで、削除は --enable-destructive-tools の背後）、observability-mcp（Application Default Credentials 経由のログ、メトリクス、トレース）、backupdr-mcp があります。stdio のみで、HTTP トランスポートはありません。
- データとプライバシー
- 有効な gcloud アカウントとしてローカルで実行され、コマンド出力をモデルに返します。gcloud が出力できるものはすべてコンテキストに届き、auth の print コマンドを拒否しない限りアクセストークンも含まれます。リソースの説明やログ行は信頼できないテキストです。GitHub のセキュリティアドバイザリは公開されていません。
- 大規模利用時のコスト
- サーバーは無料で、各コマンドは通常どおりプロジェクトに課金されます。高くつくミスは呼び出し回数では なく、インスタンスや GPU の作成のような書き込みで、サーバー側にそれを制限する仕組みはありません。予算、割り当て、IAM で制限する必要があります。
- 制限
- プレビュー版で、破壊的な変更の可能性があり、Google Cloud のサポートと規約の対象外です。独自のドライラン、承認ステップ、コマンドごとの確認はありません。既定の拒否リストは上書きできないため、SSH を使うワークフローは使えません。2026年10月28日時点で 33 件の issue が未解決でした。
良い点
- 1 つのツールで gcloud が扱うほぼすべての Google Cloud サービスに届く
- コマンドグループ単位の許可リストか拒否リストを、gcloud 自身のリンターで解析する
- シェルを使わないため、パイプ、連結、置換は失敗する
- 既存の gcloud 認証情報と IAM を使い、新たな準備が不要
気になる点
- 既定の拒否リストが止めるのは SSH と対話型コマンドで、削除ではない
- print-access-token 系のコマンドが既定で拒否されない
- プレビュー版で、Google の公式サポート製品ではない
- 2026年1月以降 gcloud-mcp のリリースがない
おすすめの人
エージェントに gcloud 経由でリソースを調べ、操作させたい Google Cloud エンジニアで、許可リストと権限の狭いサービスアカウントで縛る意思のある人。
gcloud MCP Serverの代替
gcloud MCP Server：よくある質問
- gcloud MCP Serverは使う価値があるか？
- gcloud を薄く、正直に包んだラッパー で、安全性は背後のアカウントとまったく同じです。多くの開発者にとっては、許可リストを加えるまで権限が強すぎることを意味します。 評価は5点満点中3.5点です。
- gcloud MCP Serverの料金は？
- 無料で、Apache-2.0 ライセンスです。各コマンドは、自分で入力した場合と同じように Google Cloud プロジェクトに課金されます。
- gcloud MCP Serverの欠点は？
- 既定の拒否リストが止めるのは SSH と対話型コマンドで、削除ではない; print-access-token 系のコマンドが既定で拒否されない; プレビュー版で、Google の公式サポート製品ではない; 2026年1月以降 gcloud-mcp のリリースがない.
- gcloud MCP Serverは誰に向いているか？
- エージェントに gcloud 経由でリソースを調べ、操作させたい Google Cloud エンジニアで、許可リストと権限の狭いサービスアカウントで縛る意思のある人。
- チームや本番環境でgcloud MCP Serverを使うと費用はいくらか？
- サーバーは無料で、各コマンドは通常どおりプロジェクトに課金されます。高くつくミスは呼び出し回数ではなく、インスタンスや GPU の作成のような書き込みで、サーバー側にそれを制限する仕組みはありません。予算、割り当て、IAM で制限する必要があります。
- gcloud MCP Serverは企業データを扱っても安全か？
- 有効な gcloud アカウントとしてローカルで実行され、コマンド出力をモデルに返します。gcloud が出力できるものはすべてコンテキストに届き、auth の print コマンドを拒否しない限りアクセストークンも含まれます。リソースの説明やログ行は信頼できないテキストです。GitHub のセキュリティアドバイザリは公開されていません。
- gcloud MCP Serverの代わりになるものは？
- 当サイトでレビューした中で最も近い代替はMCP Toolbox for Databases, AWS MCP Server, Azure MCP Server 、 Terraform MCP Serverです。
回答確認日：2026年10月28日