AIでデータベースのクエリプランを生成する方法：Cerbos MCPコネクター

エージェントがplan_resourcesツールを使用し、Cerbosのポリシーを抽象構文木（AST）形式のクエリプランに変換します。これにより、認可ロジックをデータベースクエリに直接適用でき、許可されたレコードのみを取得できます。既存のセキュリティルールを遵守した状態で、フィルタリング済みのデータにアクセスできます。

1. 01

   ポリシーの分析

   エージェントがCerbosの認可ルールを確認し、特定のリソースやユーザーに対する制約を把握します。

   plan_resources
2. 02

   ASTの構築

   ルールを、データベースがフィルタとして解釈可能な抽象構文木（AST）に変換します。

   plan_resources
3. 03

   フィルタの適用

   生成されたプランを使用して、データリクエストの範囲を制限します。

   plan_resources
4. 04

   制約の検証

   実行前に、クエリプランが要求されたリソースの権限と一致しているかを確認します。

   plan_resources

Cerbos Connector

準備完了です。MCPクライアントを選択し、セットアップ手順に従ってください。

コネクタリンクhttps://edge.vinkius.com/vk_preview_y0c5dNo7ENj8oh5gsdkYK0hZAMSRgY44sro1JyED/mcpコピー

Claude Desktop

以下の手順で数秒で接続できます。

1. 1In Claude Desktop, open Settings → Connectors.
2. 2Click “Add custom connector” and paste the connector link above as the remote MCP server URL.
3. 3Click Add and start a new chat — Cerbos capabilities are ready to use.

設定 · claude_desktop_config.jsonコピー

{
  "mcpServers": {
    "cerbos-mcp": {
      "url": "https://edge.vinkius.com/vk_preview_y0c5dNo7ENj8oh5gsdkYK0hZAMSRgY44sro1JyED/mcp"
    }
  }
}

• Claude
• ChatGPT
• Cursor
• VS Code
• Windsurf
• Claude Code
• JetBrains
• Cline

クリックひとつでCerbosインスタンスをVinkiusに連携できます。認証情報は暗号化されて保持されるため、すぐに安全なクエリの計画をエージェントに依頼できます。

• 01

  AIがCerbosのポリシーを変更することはありませんか？

  ありません。AIはクエリプランを生成するためにポリシーを読み取るだけで、Cerbos内の認可ルールを変更、削除、または新規作成することはできません。

• 02

  AIがセキュリティルールを回避することはありますか？

  ありません。AIはplan_resourcesツールを使用することで、クエリが設定済みのポリシーによって厳格に制限されるように制御します。

• 03

  ASTベースのクエリプランとは何ですか？

  認可ロジックを利用して、データベースのソース側で結果をフィルタリングするための、構造化されたクエリ表現のことです。

• 04

  SQLフィルタを手動で書く必要がありますか？

  いいえ。エージェントがCerbosポリシーからクエリプランへの変換を自動的に行います。

• 05

  AIはデータベースに存在しないデータにアクセスできますか？

  できません。AIは、接続された環境内で定義されているリソースとデータに対してのみ、プランを生成します。

• Cerbosについてさらに詳しく知りたいですか？ Cerbosコネクターの全機能を見る