Servidor Rubrik MCP: copias, SLA y amenazas

💡 ¿Sin instalación? Usa cloud.anythingmcp.com directamente. Inicia sesión, pulsa Connectors → Rubrik Security Cloud, pega tus credenciales, genera una MCP API key y listo. Sin Docker, sin git clone, sin servidor local.

Rubrik Security Cloud

Deja que tu IA revise tus copias de seguridad de Rubrik: estado y capacidad de los clústeres, SLA Domains, objetos protegidos y cumplimiento de SLA, snapshots, trabajos fallidos e informes de tareas, resultados de la detección de anomalías y de los threat hunts. GraphQL de solo lectura con una cuenta de servicio.

Configuración

La configuración tarda unos 5 minutos. Necesitas una cuenta de Rubrik Security Cloud (RSC) y acceso a Settings, Users and Access en RSC para crear una cuenta de servicio.

1. En RSC abre Settings, Users and Access, Service Accounts y añade una cuenta de servicio. Dale un rol que pueda ver lo que la IA debe ver: basta con un rol personalizado de solo lectura con permisos de visualización sobre clústeres, SLA Domains, objetos, eventos y threat analytics.
2. Descarga el JSON de la cuenta de servicio. Contiene client_id (empieza por client|), client_secret y access_token_uri (https://<account>.my.rubrik.com/api/client_token).
3. Pon en RUBRIK_ACCOUNT el nombre de tu cuenta: la parte anterior a .my.rubrik.com en tu dirección de RSC y en access_token_uri, en minúsculas y sin https://, por ejemplo acme para acme.my.rubrik.com.
4. Copia client_id en RUBRIK_CLIENT_ID y client_secret en RUBRIK_CLIENT_SECRET.
5. Instala el conector y comprueba la conexión con rubrik_get_account: devuelve el id de la cuenta y la versión del despliegue de RSC.

Cloud y self-hosted funcionan igual: el conector llama a la API GraphQL de tu cuenta en https://<account>.my.rubrik.com/api/graphql con la misma cuenta de servicio; no hay ninguna redirect URL que registrar.

Los tokens se renuevan solos: el conector cambia el client id y el secret en https://<account>.my.rubrik.com/api/client_token (grant client credentials) por un token de acceso y lo envía como Authorization: Bearer. El token dura 12 horas por defecto (hasta 24 horas en los ajustes de sesión de RSC) y se renueva antes de caducar y después de un 401.

Guarda bien el secret: RSC muestra client_secret una sola vez. Si se pierde, crea una cuenta de servicio nueva y pega sus valores.

El rol decide lo que ve la IA: la IA solo ve lo que el rol de la cuenta de servicio puede ver. Si falta un permiso de visualización, aparece un 403.

Ids, horas y paginación: los clústeres son UUID. Un objeto protegido tiene un id, que usa rubrik_list_snapshots, y un fid, que usan los filtros de eventos y anomalías. Las horas son ISO 8601 en UTC. Las listas aceptan first (25 por defecto, como máximo 200) y after: vuelve a llamar con after igual a pageInfo.endCursor mientras pageInfo.hasNextPage sea true; count es el total.

Herramientas GraphQL genéricas: rubrik_graphql_schema_url devuelve la dirección del esquema, rubrik_graphql_schema lee una parte del esquema público de RSC que Rubrik publica en el repositorio de su PowerShell SDK, y rubrik_graphql_query ejecuta cualquier otra consulta de lectura. El esquema publicado puede ser unos días más nuevo o más antiguo que el despliegue de tu cuenta (rubrik_get_account muestra su versión).

Errores frecuentes: un 400 en la petición del token significa que RUBRIK_CLIENT_ID no es el client_id del JSON (empieza por client|) o que el secret es de otra cuenta de servicio. Un 401 significa que RSC rechazó la cuenta de servicio: copia otra vez los dos valores, o crea una cuenta de servicio nueva si el secret se perdió o se rotó. Un 403 significa que la cuenta de servicio inició sesión, pero su rol no puede leer esos datos. Si no hay ninguna respuesta, RUBRIK_ACCOUNT es incorrecto: toma el nombre de tu dirección de RSC o de access_token_uri.

Qué lee: el id de la cuenta y la versión del despliegue; clústeres con estado de conexión, salud, versión, capacidad en bytes, runway estimado y fecha de fin de soporte; SLA Domains con su programación de snapshots, retención, retention lock y número de objetos protegidos; objetos protegidos (VM, bases de datos, filesets, objetos cloud y SaaS) con estado de protección y de cumplimiento de SLA, último snapshot, snapshots perdidos y tamaño; recuentos de cumplimiento por estado, tipo de objeto, clúster o SLA Domain; los snapshots de un objeto con fecha de caducidad e indicadores de anomalía, cuarentena y retention lock; actividad (copias de seguridad, archivado, replicación, recuperaciones) con estado, causa del error y solución, y la cronología de una serie; el informe Task Details con duraciones y bytes transferidos; resultados de la detección de anomalías por snapshot con los archivos creados, modificados, eliminados y marcados como sospechosos; threat hunts y sus resultados por objeto, con el último snapshot limpio.

Desactivadas al instalar: rubrik_graphql_mutation y rubrik_graphql_subscription. Ejecutan cualquier mutation o subscription de GraphQL; una mutation puede iniciar copias de seguridad y recuperaciones o borrar datos, así que actívala solo a propósito. Activa en la página del conector solo las que necesites; la IA te pide confirmación antes de cada cambio. Todas las demás herramientas son de solo lectura.

Límites: las herramientas de lectura no hacen copias de seguridad, no inician recuperaciones, no asignan SLA Domains y no ponen nada en cuarentena; no hay búsqueda de archivos dentro de los snapshots, y las API REST de los clústeres Rubrik CDM no están cubiertas.

Requisitos previos: RUBRIK_ACCOUNT, RUBRIK_CLIENT_ID, RUBRIK_CLIENT_SECRET

Instalar el conector localmente

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Abre http://localhost:3000/connectors/store, elige Rubrik Security Cloud e introduce las variables listadas en los Requisitos previos.

Herramientas disponibles

Ejemplos de prompts

• "¿Están todos mis clústeres de Rubrik conectados y sanos? ¿Cuánta capacidad y runway le queda a cada uno?"
• "¿Cuántos objetos están fuera de cumplimiento de SLA y cuáles son?"
• "¿Qué trabajos de copia de seguridad fallaron en las últimas 24 horas y cuál fue la causa de cada uno?"
• "¿Qué puntos de recuperación tiene la VM sql-prod-01 de los últimos 7 días?"
• "¿La detección de anomalías marcó algún snapshot esta semana? ¿Qué threat hunts encontraron coincidencias?"

Siguientes pasos

• Conectar a Claude
• Conectar a ChatGPT