Root.io 漏洞修复 MCP 服务器

1. 镜像概述和主要用途

Root.io 漏洞修复 MCP 服务器是一个提供容器镜像漏洞扫描与修复能力的 MCP (Model Context Protocol) 服务器，通过 Root.io 平台实现相关功能。

什么是 MCP 服务器？

2. 核心功能和特性

2.1 基本特性

2.2 可用工具（11个）

3. 使用场景和适用范围

3.1 典型使用场景

• 企业容器镜像漏洞自动化扫描与修复流程
• 私有容器注册表集成与安全管理
• 镜像修复状态跟踪与漏洞趋势分析
• 生成详细的修复报告（含升级包列表和结果镜像信息）
• 组织级容器镜像安全状态监控

3.2 适用范围

• 需要管理容器镜像安全的企业和组织
• 使用私有/公共容器注册表的开发与运维团队
• 容器安全自动化流程构建者
• 需满足合规要求的镜像漏洞修复跟踪场景

4. 详细使用方法和配置说明

4.1 工具详细说明

4.1.1 create_registry_integration

创建 Root 系统与容器注册表的集成，用于拉取待修复镜像和推送修复后的镜像。建议在修复未集成的私有注册表镜像时使用此工具，采用向导式配置流程。

参数

注意：此工具可能执行破坏性更新，且与外部系统交互。

4.1.2 get_image_remediation

检索指定 image_remediation_id 的修复详情，包括升级包列表、结果镜像 FQIN 或不修复的决策理由。

重要提示：获取镜像修复信息时应同时调用 get_remediation_continuity_summary 以生成完整报告。

参数

注意：此工具可能执行破坏性更新，且与外部系统交互。

4.1.3 get_remediation_continuity_summary

获取特定 FQIN 的修复连续性摘要，展示一段时间内的聚合修复和漏洞趋势，包括 Root 补丁数量、上游升级数量及漏洞严重程度变化。

前置要求：需先通过 list_unique_fqins 获取准确的 FQIN。

参数

注意：此工具可能执行破坏性更新，且与外部系统交互。

4.1.4 get_remediation_details_by_scan_id

根据扫描 ID 获取修复详情，主要包含 Root 升级/修补的包信息及可拉取的结果镜像名称。

重要提示：获取镜像修复信息时应同时调用 get_remediation_continuity_summary 以生成完整报告。

参数

注意：此工具可能执行破坏性更新，且与外部系统交互。

4.1.5 get_remediation_status

跟踪镜像修复过程的详细状态和结果，使用 trigger_remediation 返回的 remediation_id。

流程步骤：pulling → scanning → evaluating → remediating → rescanning → pushing → completed
状态类型：

• 流程状态：in_progress（进行中）、completed（已完成）、failed（失败）
• 扫描状态：scan_status_pending（待处理）、scan_status_running（运行中）、scan_status_completed（已完成）、scan_status_failed（失败）

参数

注意：此工具可能执行破坏性更新，且与外部系统交互。

4.1.6 get_user_info

获取当前用户信息及组织详情，是所有操作的首要工具。返回包含组织成员资格、角色和访问权限的用户配置文件，其中 organization_id 为后续工具调用的必需参数。

4.1.7 list_remediation_continuity_summaries

列出组织所有镜像的修复连续性摘要，展示每个 FQIN 的聚合修复信息和漏洞趋势。

前置要求：需先通过 list_unique_fqins 获取 FQIN 列表。

参数

注意：此工具可能执行破坏性更新，且与外部系统交互。

4.1.8 list_unique_fqins

返回组织内所有已处理修复的唯一 FQIN（完全限定镜像名称）列表，用于发现可分析的镜像。

参数

注意：此工具可能执行破坏性更新，且与外部系统交互。

4.1.9 ping

服务器健康检查端点，返回服务器状态和当前时间戳。

4.1.10 registries_credentials_list

列出组织的私有注册表凭据，返回的 creds_id 用于 trigger_remediation 工具的私有镜像访问认证。

参数

注意：此工具可能执行破坏性更新，且与外部系统交互。

4.1.11 trigger_remediation

触发容器镜像的异步修复流程，是核心功能入口。

工作流程：

1. 通过 get_user_info 获取 organization_id
2. 通过 registries_credentials_list 获取私有注册表 creds_id
3. 调用此工具启动修复流程

修复流程：扫描漏洞 → 生成 SBOM → 评估 OS/架构支持 → 应用安全补丁 → 重新扫描 → 推送修复镜像至注册表，返回 remediation_id 用于状态跟踪。

参数

注意：此工具可能执行破坏性更新，且与外部系统交互。

5. 部署方案示例

5.1 Docker 运行命令

bash
docker run -i --rm -e API_ACCESS_TOKEN=sk_your_access_token mcp/root

环境变量说明：

• API_ACCESS_TOKEN: Root.io API 访问令牌，需替换为实际令牌（格式：sk_ 开头）

5.2 Docker Compose 配置

yaml
version: '3.8'

services:
  mcp-root-server:
    image: mcp/root
    container_name: mcp-root-server
    environment:
      - API_ACCESS_TOKEN=sk_your_access_token  # 替换为实际访问令牌
    stdin_open: true  # 保持标准输入打开
    tty: true         # 分配伪终端
    restart: unless-stopped

启动命令：

bash
docker-compose up -d

5.3 镜像签名验证

为确保镜像完整性，可使用 cosign 验证镜像签名：

bash
COSIGN_REPOSITORY=mcp/signatures cosign verify mcp/root --key [***]

6. 许可证

本镜像遵循 MIT 许可证。