Rubrik MCP mit Gemini CLI verbinden

💡 Keine Installation? Nutze cloud.anythingmcp.com direkt. Einloggen, Connectors → Rubrik Security Cloud klicken, Zugangsdaten einfügen, MCP-API-Key erzeugen, fertig. Kein Docker, kein git clone, kein lokaler Server.

Rubrik Security Cloud + Gemini

Lass deine KI deine Rubrik-Backups prüfen: Zustand und Kapazität der Cluster, SLA Domains, geschützte Objekte und SLA-Compliance, Snapshots, fehlgeschlagene Jobs und Task-Berichte, Ergebnisse der Anomalieerkennung und der Threat Hunts. Nur lesendes GraphQL mit einem Service Account.

Voraussetzungen

Die vollständige Setup-Anleitung ist in den Connector eingebaut (im Store sichtbar, wenn du den Connector auswählst). Benötigte Umgebungsvariablen für diesen Connector:

RUBRIK_ACCOUNT, RUBRIK_CLIENT_ID, RUBRIK_CLIENT_SECRET

Schritt 1 — Zugangsdaten holen

Die Einrichtung dauert etwa 5 Minuten. Du brauchst ein Konto bei Rubrik Security Cloud (RSC) und Zugriff auf Settings, Users and Access in RSC, um einen Service Account anzulegen.

1. Öffne in RSC Settings, Users and Access, Service Accounts und leg einen Service Account an. Gib ihm eine Rolle, die sehen darf, was die KI sehen soll: Eine nur lesende Custom Role mit View-Rechten auf Cluster, SLA Domains, Objekte, Events und Threat Analytics reicht.
2. Lade das JSON des Service Accounts herunter. Es enthält client_id (beginnt mit client|), client_secret und access_token_uri (https://<account>.my.rubrik.com/api/client_token).
3. Setz RUBRIK_ACCOUNT auf deinen Account-Namen: den Teil vor .my.rubrik.com in deiner RSC-Adresse und in access_token_uri, kleingeschrieben und ohne https://, zum Beispiel acme für acme.my.rubrik.com.
4. Kopiere client_id in RUBRIK_CLIENT_ID und client_secret in RUBRIK_CLIENT_SECRET.
5. Installiere den Connector und prüfe die Verbindung mit rubrik_get_account: Es liefert die Account-ID und die Deployment-Version von RSC.

Cloud und Self-Hosting funktionieren gleich: Der Connector ruft die GraphQL-API deines Accounts unter https://<account>.my.rubrik.com/api/graphql mit demselben Service Account auf; eine Redirect-URL musst du nicht eintragen.

Tokens erneuern sich selbst: Der Connector tauscht Client-ID und Secret unter https://<account>.my.rubrik.com/api/client_token (Client Credentials Grant) gegen ein Zugriffstoken und schickt es als Authorization: Bearer. Das Token gilt standardmäßig 12 Stunden (bis zu 24 Stunden in den Session-Einstellungen von RSC) und wird vor Ablauf und nach einem 401 erneuert.

Heb das Secret gut auf: RSC zeigt client_secret nur einmal. Geht es verloren, leg einen neuen Service Account an und trag dessen Werte ein.

Die Rolle bestimmt, was die KI sieht: Die KI sieht nur, was die Rolle des Service Accounts sehen darf. Fehlt ein View-Recht, kommt ein 403.

IDs, Zeiten und Seiten: Cluster sind UUIDs. Ein geschütztes Objekt hat eine id, die rubrik_list_snapshots braucht, und eine fid, die die Event- und Anomalie-Filter brauchen. Zeiten sind ISO 8601 in UTC. Listen nehmen first (Standard 25, höchstens 200) und after: Ruf erneut mit after = pageInfo.endCursor auf, solange pageInfo.hasNextPage true ist; count ist die Gesamtzahl.

Generische GraphQL-Tools: rubrik_graphql_schema_url liefert die Adresse des Schemas, rubrik_graphql_schema liest einen Ausschnitt des öffentlichen RSC-Schemas, das Rubrik in seinem PowerShell-SDK-Repository veröffentlicht, und rubrik_graphql_query führt jede weitere lesende Query aus. Das veröffentlichte Schema kann ein paar Tage neuer oder älter sein als das Deployment deines Accounts (rubrik_get_account zeigt dessen Version).

Häufige Fehler: Ein 400 bei der Token-Anfrage heißt, dass RUBRIK_CLIENT_ID nicht die client_id aus dem JSON ist (sie beginnt mit client|) oder das Secret zu einem anderen Service Account gehört. Ein 401 heißt, dass RSC den Service Account abgelehnt hat: Kopiere beide Werte erneut oder leg einen neuen Service Account an, wenn das Secret verloren ging oder rotiert wurde. Ein 403 heißt, dass der Service Account angemeldet ist, seine Rolle diese Daten aber nicht lesen darf. Kommt gar keine Antwort, ist RUBRIK_ACCOUNT falsch: Nimm den Namen aus deiner RSC-Adresse oder aus access_token_uri.

Was der Connector liest: Account-ID und Deployment-Version; Cluster mit Verbindungsstatus, Zustand, Version, Kapazität in Bytes, geschätzter Runway und End-of-Support-Datum; SLA Domains mit Snapshot-Zeitplan, Aufbewahrung, Retention Lock und Zahl der geschützten Objekte; geschützte Objekte (VMs, Datenbanken, Filesets, Cloud- und SaaS-Objekte) mit Schutz- und SLA-Compliance-Status, letztem Snapshot, verpassten Snapshots und Größe; Compliance-Zahlen nach Status, Objekttyp, Cluster oder SLA Domain; die Snapshots eines Objekts mit Ablaufdatum und Kennzeichen für Anomalie, Quarantäne und Retention Lock; Aktivitäten (Backups, Archivierung, Replikation, Wiederherstellungen) mit Status, Fehlerursache und Abhilfe sowie den Verlauf einer einzelnen Serie; den Task-Details-Bericht mit Dauer und übertragenen Bytes; Ergebnisse der Anomalieerkennung pro Snapshot mit den erstellten, geänderten, gelöschten und als verdächtig markierten Dateien; Threat Hunts und ihre Ergebnisse pro Objekt mit dem letzten sauberen Snapshot.

Bei der Installation deaktiviert: rubrik_graphql_mutation und rubrik_graphql_subscription. Sie führen beliebige GraphQL-Mutations oder -Subscriptions aus; eine Mutation kann Backups und Wiederherstellungen starten oder Daten löschen, schalte sie also nur bewusst ein. Schalte auf der Connector-Seite nur die ein, die du brauchst; die KI lässt sich jede Änderung vorher von dir bestätigen. Alle anderen Tools lesen nur.

Grenzen: Die lesenden Tools machen keine Backups, starten keine Wiederherstellungen, weisen keine SLA Domains zu und stellen nichts unter Quarantäne; eine Dateisuche in Snapshots gibt es nicht, und die REST-APIs der Rubrik-CDM-Cluster sind nicht abgedeckt.

Schritt 2 — Adapter installieren

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Schritt 3 — Connector in Gemini hinzufügen

Deine Server-URL: Öffne in AnythingMCP MCP Servers → den Server, auf dem dieser Connector liegt, und kopiere seine URL (https://cloud.anythingmcp.com/mcp/…). Setze sie überall ein, wo diese Anleitung YOUR_SERVER_ID zeigt.

Gemini CLI liest MCP-Server aus ~/.gemini/settings.json (unter Windows %USERPROFILE%\.gemini\settings.json). Füge hinzu:

{
  "mcpServers": {
    "anythingmcp": {
      "httpUrl": "https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID",
      "headers": { "X-API-Key": "YOUR_MCP_API_KEY" }
    }
  }
}

1. Erstelle in AnythingMCP unter MCP Servers → dein Server → API keys einen MCP-API-Key und setze ihn anstelle von YOUR_MCP_API_KEY ein.
2. Speichere die Datei und starte gemini neu.
3. Führe in der Gemini CLI /mcp aus (oder gemini mcp list im Terminal) — anythingmcp sollte als verbunden erscheinen.
4. Leg los: Gemini CLI kann jetzt die Rubrik Security Cloud-Tools aufrufen.

Verfügbare Tools

Beispiel-Prompts

• "Sind alle meine Rubrik-Cluster verbunden und in Ordnung, und wie viel Kapazität und Runway hat jeder noch?"
• "Wie viele Objekte sind außerhalb der SLA-Compliance, und welche sind es?"
• "Welche Backup-Jobs sind in den letzten 24 Stunden fehlgeschlagen, und was war jeweils die Ursache?"
• "Welche Wiederherstellungspunkte hat die VM sql-prod-01 aus den letzten 7 Tagen?"
• "Hat die Anomalieerkennung diese Woche Snapshots markiert, und welche Threat Hunts haben Treffer gefunden?"

FAQ

Wo sucht Gemini CLI nach MCP-Servern? In ~/.gemini/settings.json für deinen Benutzer oder in .gemini/settings.json innerhalb eines Projekts. gemini mcp list zeigt jeden Server und ob er sich verbindet.

Nächste Schritte

• Connector-Startseite
• Mit Claude verbinden