Conectar Rubrik MCP con Gemini CLI

💡 ¿Sin instalación? Usa cloud.anythingmcp.com directamente. Inicia sesión, pulsa Connectors → Rubrik Security Cloud, pega tus credenciales, genera una MCP API key y listo. Sin Docker, sin git clone, sin servidor local.

Rubrik Security Cloud + Gemini

Deja que tu IA revise tus copias de seguridad de Rubrik: estado y capacidad de los clústeres, SLA Domains, objetos protegidos y cumplimiento de SLA, snapshots, trabajos fallidos e informes de tareas, resultados de la detección de anomalías y de los threat hunts. GraphQL de solo lectura con una cuenta de servicio.

Requisitos previos

Las instrucciones de configuración completas están incluidas en el conector (visibles en el store al seleccionarlo). Las variables de entorno requeridas:

RUBRIK_ACCOUNT, RUBRIK_CLIENT_ID, RUBRIK_CLIENT_SECRET

Paso 1 — Obtener credenciales

La configuración tarda unos 5 minutos. Necesitas una cuenta de Rubrik Security Cloud (RSC) y acceso a Settings, Users and Access en RSC para crear una cuenta de servicio.

1. En RSC abre Settings, Users and Access, Service Accounts y añade una cuenta de servicio. Dale un rol que pueda ver lo que la IA debe ver: basta con un rol personalizado de solo lectura con permisos de visualización sobre clústeres, SLA Domains, objetos, eventos y threat analytics.
2. Descarga el JSON de la cuenta de servicio. Contiene client_id (empieza por client|), client_secret y access_token_uri (https://<account>.my.rubrik.com/api/client_token).
3. Pon en RUBRIK_ACCOUNT el nombre de tu cuenta: la parte anterior a .my.rubrik.com en tu dirección de RSC y en access_token_uri, en minúsculas y sin https://, por ejemplo acme para acme.my.rubrik.com.
4. Copia client_id en RUBRIK_CLIENT_ID y client_secret en RUBRIK_CLIENT_SECRET.
5. Instala el conector y comprueba la conexión con rubrik_get_account: devuelve el id de la cuenta y la versión del despliegue de RSC.

Cloud y self-hosted funcionan igual: el conector llama a la API GraphQL de tu cuenta en https://<account>.my.rubrik.com/api/graphql con la misma cuenta de servicio; no hay ninguna redirect URL que registrar.

Los tokens se renuevan solos: el conector cambia el client id y el secret en https://<account>.my.rubrik.com/api/client_token (grant client credentials) por un token de acceso y lo envía como Authorization: Bearer. El token dura 12 horas por defecto (hasta 24 horas en los ajustes de sesión de RSC) y se renueva antes de caducar y después de un 401.

Guarda bien el secret: RSC muestra client_secret una sola vez. Si se pierde, crea una cuenta de servicio nueva y pega sus valores.

El rol decide lo que ve la IA: la IA solo ve lo que el rol de la cuenta de servicio puede ver. Si falta un permiso de visualización, aparece un 403.

Ids, horas y paginación: los clústeres son UUID. Un objeto protegido tiene un id, que usa rubrik_list_snapshots, y un fid, que usan los filtros de eventos y anomalías. Las horas son ISO 8601 en UTC. Las listas aceptan first (25 por defecto, como máximo 200) y after: vuelve a llamar con after igual a pageInfo.endCursor mientras pageInfo.hasNextPage sea true; count es el total.

Herramientas GraphQL genéricas: rubrik_graphql_schema_url devuelve la dirección del esquema, rubrik_graphql_schema lee una parte del esquema público de RSC que Rubrik publica en el repositorio de su PowerShell SDK, y rubrik_graphql_query ejecuta cualquier otra consulta de lectura. El esquema publicado puede ser unos días más nuevo o más antiguo que el despliegue de tu cuenta (rubrik_get_account muestra su versión).

Errores frecuentes: un 400 en la petición del token significa que RUBRIK_CLIENT_ID no es el client_id del JSON (empieza por client|) o que el secret es de otra cuenta de servicio. Un 401 significa que RSC rechazó la cuenta de servicio: copia otra vez los dos valores, o crea una cuenta de servicio nueva si el secret se perdió o se rotó. Un 403 significa que la cuenta de servicio inició sesión, pero su rol no puede leer esos datos. Si no hay ninguna respuesta, RUBRIK_ACCOUNT es incorrecto: toma el nombre de tu dirección de RSC o de access_token_uri.

Qué lee: el id de la cuenta y la versión del despliegue; clústeres con estado de conexión, salud, versión, capacidad en bytes, runway estimado y fecha de fin de soporte; SLA Domains con su programación de snapshots, retención, retention lock y número de objetos protegidos; objetos protegidos (VM, bases de datos, filesets, objetos cloud y SaaS) con estado de protección y de cumplimiento de SLA, último snapshot, snapshots perdidos y tamaño; recuentos de cumplimiento por estado, tipo de objeto, clúster o SLA Domain; los snapshots de un objeto con fecha de caducidad e indicadores de anomalía, cuarentena y retention lock; actividad (copias de seguridad, archivado, replicación, recuperaciones) con estado, causa del error y solución, y la cronología de una serie; el informe Task Details con duraciones y bytes transferidos; resultados de la detección de anomalías por snapshot con los archivos creados, modificados, eliminados y marcados como sospechosos; threat hunts y sus resultados por objeto, con el último snapshot limpio.

Desactivadas al instalar: rubrik_graphql_mutation y rubrik_graphql_subscription. Ejecutan cualquier mutation o subscription de GraphQL; una mutation puede iniciar copias de seguridad y recuperaciones o borrar datos, así que actívala solo a propósito. Activa en la página del conector solo las que necesites; la IA te pide confirmación antes de cada cambio. Todas las demás herramientas son de solo lectura.

Límites: las herramientas de lectura no hacen copias de seguridad, no inician recuperaciones, no asignan SLA Domains y no ponen nada en cuarentena; no hay búsqueda de archivos dentro de los snapshots, y las API REST de los clústeres Rubrik CDM no están cubiertas.

Paso 2 — Instalar el adapter

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Paso 3 — Añadir el conector en Gemini

La URL de tu servidor: en AnythingMCP abre MCP Servers → el servidor donde está este conector y copia su URL (https://cloud.anythingmcp.com/mcp/…). Úsala donde esta guía muestra YOUR_SERVER_ID.

Gemini CLI lee los servidores MCP de ~/.gemini/settings.json (en Windows, %USERPROFILE%\.gemini\settings.json). Añade:

{
  "mcpServers": {
    "anythingmcp": {
      "httpUrl": "https://cloud.anythingmcp.com/mcp/YOUR_SERVER_ID",
      "headers": { "X-API-Key": "YOUR_MCP_API_KEY" }
    }
  }
}

1. Crea una clave de API MCP en AnythingMCP en MCP Servers → tu servidor → API keys y pégala en lugar de YOUR_MCP_API_KEY.
2. Guarda el archivo y reinicia gemini.
3. Ejecuta /mcp dentro de Gemini CLI (o gemini mcp list en tu terminal): anythingmcp debería aparecer como conectado.
4. Empieza a escribir prompts: Gemini CLI ya puede llamar a las herramientas de Rubrik Security Cloud.

Herramientas disponibles

Ejemplos de prompts

• "¿Están todos mis clústeres de Rubrik conectados y sanos? ¿Cuánta capacidad y runway le queda a cada uno?"
• "¿Cuántos objetos están fuera de cumplimiento de SLA y cuáles son?"
• "¿Qué trabajos de copia de seguridad fallaron en las últimas 24 horas y cuál fue la causa de cada uno?"
• "¿Qué puntos de recuperación tiene la VM sql-prod-01 de los últimos 7 días?"
• "¿La detección de anomalías marcó algún snapshot esta semana? ¿Qué threat hunts encontraron coincidencias?"

FAQ

¿Dónde busca Gemini CLI los servidores MCP? En ~/.gemini/settings.json para tu usuario, o en .gemini/settings.json dentro de un proyecto. gemini mcp list muestra cada servidor y si se conecta.

Siguientes pasos

• Página del conector
• Conectar a Claude