MCP Toolbox for Databasesとは？
Google の MCP Toolbox for Databases には 2 つの使い方があります。既製のサーバーとしては、選んだデータベース向けに list_tables や execute_sql などの既製ツールをエージェントに提供します。フレームワークとしては、tools.yaml ファイルで自前のパラメーター付きツールを定義するので、本番のエージェントは自分が書いたクエリしか実行できません。最初は Gen AI Toolbox for Databases として公開され、genai-toolbox リポジトリは mcp-toolbox に名前が変わりました。
既製の構成は npx -y @toolbox-sdk/server --prebuilt=postgres --stdio で起動し、接続情報は環境変数で渡します。バイナリやコンテナをダウンロードすることもできます。リポジトリには約 40 の既製構成が含まれ、Google Cloud 上の AlloyDB、BigQuery、Cloud SQL、Spanner、Firestore、Bigtable に加え、PostgreSQL、MySQL、SQL Server、Oracle、ClickHouse、Snowflake、Neo4j、Elasticsearch、SQLite などに対応します。クライアント SDK は Python、JavaScript、Go、Java 向けがあります。
ライセンスは Apache-2.0 で、GitHub のスター数は約 16,700 です。9 月中は毎週または隔週でリリースが続き、v1.14.0 が 2026 年 10 月 8 日に公開されました。
MCP Toolbox for Databasesのインストール方法
npx -y @toolbox-sdk/server --prebuilt=postgres --stdioMCP Toolbox for Databasesは使う価値があるか？
単一データベース用のサーバーではなくこれを選ぶ理由は、Toolbox のフレームワークモードにあります。本番のエージェントに execute_sql を渡す代わりに、名前付きのパラメーター付きステートメントを YAML で書きます。たとえば名前だけ を受け取るホテル検索です。エージェントはそれ以外を呼び出せません。Toolbox はコネクションプーリング、Google Cloud データベース向けの IAM 認証、OpenTelemetry のトレースも備えています。どれも、チームが自作すると出来が悪くなりがちな部分です。
既製モードは幅広い一方で重いです。Postgres の構成だけで 29 個のツールを定義しています。execute_sql や list_tables から、ロック、肥大化、レプリケーションの診断まであり、毎回のセッションに読み込むスキーマとしてはかなりの量です。ツールセットで絞り込めます。たとえば SQL だけなら --prebuilt=postgres/data で、コーディングエージェントではこれを既定にすべきです。既製の execute_sql は、背後にあるデータベースユーザーと同じだけ自由に操作できます。実際の防御は読み取り専用ロールです。
HTTP サーバーは、ネットワークに近づける前に堅牢化が必要です。バインド先は 127.0.0.1:5000 で、これは妥当です。しかし --allowed-hosts と --allowed-origins はどちらも既定値が * です。CLI のドキュメントは、悪意のある Web ページが DNS リバインディングでサーバーに到達できるため、localhost でも * は安全でないと警告しています。証明書と鍵を渡さない限り、通信は暗号化されない HTTP です。多くのデスクトップクライアントが使う stdio モードなら、この問題は起きません。
Google は今では議論のもう半分も販売しています。Google Cloud データベース向けのマネージド MCP サーバーは、何も運用せずに既製ツールと同じ体験を提供します。Toolbox の FAQ は、このオープンソースプロジェクトを、カスタムツールや Google 以外のデータベース向けの、セルフホスト型 で更新の速い選択肢と位置付けています。BigQuery か AlloyDB だけを使うチームならマネージドサーバーで足りるかもしれません。Snowflake、Postgres、Neo4j を併用するなら足りません。
真価を発揮する場面
Claude Code から遅い Postgres データベースをデバッグするバックエンドエンジニア
カタログクエリを書かずに、ブロッキングロック、肥大化したテーブル、悪いクエリプランを見つける
読み取り専用ロールで既製の postgres 構成を stdio で動かします。list_locks、list_top_bloated_tables、get_query_plan などのツールが直接答えます。無料ですが、狭いツールセットを読み込まない限り、29 個のツールスキーマがコンテキストを占めます。
注文データベースの上にカスタマーサポートエージェントを構築するチーム
自由な SQL を渡さずに、エージェントに注文状況を調べさせる
tools.yaml にパラメーター付きツールを 3、4 個定義し、そのツールセットだけを TLS の背後で HTTP 経由で公開します。許可ホストはサービス名に設定します。プーリングとトレースも付いてきます。
BigQuery を主なウェアハウスとし、Snowflake と Postgres も一部使うデータ責任者
Google のマネージド MCP サーバーと Toolbox の自前運用のどちらにするか決める
マネージドサーバーはホスティング不要ですが、Google Cloud のデータベースにしか対応しません。Toolbox は 1 つのデプロイで 3 つすべてに対応しますが、ホスト、TLS、そして tools.yaml を継続的に見直す担当者が必要です。クエリ費用は通常どおり各データベースから請求されます。
導入前に確認すること
- 導入
- POSTGRES_HOST、POSTGRES_DATABASE、POSTGRES_USER、POSTGRES_PASSWORD を設定して npx -y @toolbox-sdk/server --prebuilt=postgres --stdio を実行します。Gemini CLI、Antigravity、Claude Code、Codex 向けの手順が文書化されています。バイナリとコンテナはバージョンごとに固定され、現在は 1.14.0 です。
- 連携
- データベースごとの既製ツールセット（Postgres には data、monitor、health、view-config、replication に分類された 29 個のツールがあり、読み取り専用の診断と書き込み可能な execute_sql が混在します）。tools.yaml でのカスタムツール、ツールセット、プロンプト。ADK、LangChain、LlamaIndex 向けの SDK。
- データとプライバシー
- 自分 のマシンかサーバーで動くので、データはデータベースと MCP クライアントにしか渡りません。アクセス範囲はデータベースユーザーまたは IAM ID が許す範囲です。CLI のドキュメントは、既定の * のホストとオリジンによる DNS リバインディングと CORS のリスクを指摘しています。--tls-cert と --tls-key を指定しない限り HTTP 通信は暗号化されません。GitHub のセキュリティアドバイザリは公開されていません。
- 大規模利用時のコスト
- ライセンス料はかかりません。費用はデータベース本体、BigQuery などのウェアハウスでのクエリごとの料金、そして本番エージェント向けに HTTP で動かす場合の常時稼働の小さなホストです。
- 制限
- 既製ツールの一覧が大きく、絞らない限りコンテキストを消費します。既製ツールは汎用的なので、本番利用では YAML を書いて保守することになります。issue トラッカーには約 395 件の未解決の issue とプルリクエストがあります。
良い点
- YAML のカスタムツールで本番エージェントを承認済みクエリに限定できる
- 1 つのバイナリで約 40 の既製データベース構成を使える
- コネクションプーリング、IAM 認証、OpenTelemetry を内蔵
- リリースが頻繁で、Python、JS、Go、Java 向けの SDK がある
気になる点
- HTTP モードの許可ホストとオリジンの既定値が * で、自身のドキュメントでも安全でないとされている
- 既製の Postgres は、ツールセットで絞らない限り 29 個のツールを読み込む
- 既製の execute_sql の安全性はデータベースロール次第
- 単一データベース用サーバーより設定が多い
おすすめの人
複数のデータベースを扱うチームや、本番エージェント向けに管理されたデータベースツールを作りたいチーム。
MCP Toolbox for Databasesの代替
MCP Toolbox for Databases：よくある質問
- MCP Toolbox for Databasesは使う価値があるか？
- 本番エージェントの土台にすべきデータベースサーバーです。自由な SQL を自分で書いたクエリに置き換えられるからです。ただし、ネットワーク関連の既定値は、多くの人が払う以上の注意を前提にしています。 評価は5点満点中4.5点です。
- MCP Toolbox for Databasesの料金は？
- 無料で、ライセンスは Apache-2.0 です。自分で運用します。データベース、クエリ、Google Cloud のホスティング費用は別にかかります。
- MCP Toolbox for Databasesの欠点は？
- HTTP モードの許可ホストとオリジンの既定値が * で、自身のドキュメントでも安全でないとされている; 既製の Postgres は、ツールセットで絞らない限り 29 個のツールを読み込む; 既製の execute_sql の安全性はデータベースロール次第; 単一データベース用サーバーより設定が多い.
- MCP Toolbox for Databasesは誰に向いているか？
- 複数のデータベースを扱うチームや、本番エージェント向けに管理されたデータベースツールを作りたいチーム。
- チームや本番環境でMCP Toolbox for Databasesを使うと費用はいくらか？
- ライセンス料はかかりません。費用はデータベース本体、BigQuery などのウェアハウスでのクエリごとの料金、そして本番エージェント向けに HTTP で動かす場合の常時稼働の小さなホストです。
- MCP Toolbox for Databasesは企業データを扱っても安全か？
- 自分のマシンかサーバーで動くので、データはデータベースと MCP クライアントにしか渡りません。アクセス範囲はデータベースユーザーまたは IAM ID が許す範囲です。CLI のドキュメントは、既定の * のホストとオリジンによる DNS リバインディングと CORS のリスクを指摘しています。--tls-cert と --tls-key を指定しない限り HTTP 通信は暗号化されません。GitHub のセキュリティアドバイザリは公開されていません。
- MCP Toolbox for Databasesの代わりになるものは？
- 当サイトでレビューした中で最も近い代替はSupabase MCP Server, ClickHouse MCP Server 、 Snowflake-managed MCP Serverです。
回答確認日：2026年10月22日