mcp/root Docker 镜像 - 轩辕镜像

Root.io 漏洞修复 MCP 服务器

1. 镜像概述和主要用途

Root.io 漏洞修复 MCP 服务器是一个提供容器镜像漏洞扫描与修复能力的 MCP (Model Context Protocol) 服务器，通过 Root.io 平台实现相关功能。

什么是 MCP 服务器？

2. 核心功能和特性

2.1 基本特性

2.2 可用工具（11个）

3. 使用场景和适用范围

3.1 典型使用场景

• 企业容器镜像漏洞自动化扫描与修复流程
• 私有容器注册表集成与安全管理
• 镜像修复状态跟踪与漏洞趋势分析
• 生成详细的修复报告（含升级包列表和结果镜像信息）
• 组织级容器镜像安全状态监控

3.2 适用范围

• 需要管理容器镜像安全的企业和组织
• 使用私有/公共容器注册表的开发与运维团队
• 容器安全自动化流程构建者
• 需满足合规要求的镜像漏洞修复跟踪场景

4. 详细使用方法和配置说明

4.1 工具详细说明

4.1.1 create_registry_integration

创建 Root 系统与容器注册表的集成，用于拉取待修复镜像和推送修复后的镜像。建议在修复未集成的私有注册表镜像时使用此工具，采用向导式配置流程。

参数

注意：此工具可能执行破坏性更新，且与外部系统交互。

4.1.2 get_image_remediation

检索指定 image_remediation_id 的修复详情，包括升级包列表、结果镜像 FQIN 或不修复的决策理由。

重要提示：获取镜像修复信息时应同时调用 get_remediation_continuity_summary 以生成完整报告。

参数

注意：此工具可能执行破坏性更新，且与外部系统交互。

4.1.3 get_remediation_continuity_summary

获取特定 FQIN 的修复连续性摘要，展示一段时间内的聚合修复和漏洞趋势，包括 Root 补丁数量、上游升级数量及漏洞严重程度变化。

前置要求：需先通过 list_unique_fqins 获取准确的 FQIN。

参数

注意：此工具可能执行破坏性更新，且与外部系统交互。

4.1.4 get_remediation_details_by_scan_id

根据扫描 ID 获取修复详情，主要包含 Root 升级/修补的包信息及可拉取的结果镜像名称。

重要提示：获取镜像修复信息时应同时调用 get_remediation_continuity_summary 以生成完整报告。

参数

注意：此工具可能执行破坏性更新，且与外部系统交互。

4.1.5 get_remediation_status

跟踪镜像修复过程的详细状态和结果，使用 trigger_remediation 返回的 remediation_id。

流程步骤：pulling → scanning → evaluating → remediating → rescanning → pushing → completed
状态类型：

• 流程状态：in_progress（进行中）、completed（已完成）、failed（失败）
• 扫描状态：scan_status_pending（待处理）、scan_status_running（运行中）、scan_status_completed（已完成）、scan_status_failed（失败）

参数

注意：此工具可能执行破坏性更新，且与外部系统交互。

4.1.6 get_user_info

获取当前用户信息及组织详情，是所有操作的首要工具。返回包含组织成员资格、角色和访问权限的用户配置文件，其中 organization_id 为后续工具调用的必需参数。

4.1.7 list_remediation_continuity_summaries

列出组织所有镜像的修复连续性摘要，展示每个 FQIN 的聚合修复信息和漏洞趋势。

前置要求：需先通过 list_unique_fqins 获取 FQIN 列表。

参数

注意：此工具可能执行破坏性更新，且与外部系统交互。

4.1.8 list_unique_fqins

返回组织内所有已处理修复的唯一 FQIN（完全限定镜像名称）列表，用于发现可分析的镜像。

参数

注意：此工具可能执行破坏性更新，且与外部系统交互。

4.1.9 ping

服务器健康检查端点，返回服务器状态和当前时间戳。

4.1.10 registries_credentials_list

列出组织的私有注册表凭据，返回的 creds_id 用于 trigger_remediation 工具的私有镜像访问认证。

参数

注意：此工具可能执行破坏性更新，且与外部系统交互。

4.1.11 trigger_remediation

触发容器镜像的异步修复流程，是核心功能入口。

工作流程：

1. 通过 get_user_info 获取 organization_id
2. 通过 registries_credentials_list 获取私有注册表 creds_id
3. 调用此工具启动修复流程

修复流程：扫描漏洞 → 生成 SBOM → 评估 OS/架构支持 → 应用安全补丁 → 重新扫描 → 推送修复镜像至注册表，返回 remediation_id 用于状态跟踪。

参数

注意：此工具可能执行破坏性更新，且与外部系统交互。

5. 部署方案示例

5.1 Docker 运行命令

bash
docker run -i --rm -e API_ACCESS_TOKEN=sk_your_access_token mcp/root

环境变量说明：

• API_ACCESS_TOKEN: Root.io API 访问令牌，需替换为实际令牌（格式：sk_ 开头）

5.2 Docker Compose 配置

yaml
version: '3.8'

services:
  mcp-root-server:
    image: mcp/root
    container_name: mcp-root-server
    environment:
      - API_ACCESS_TOKEN=sk_your_access_token  # 替换为实际访问令牌
    stdin_open: true  # 保持标准输入打开
    tty: true         # 分配伪终端
    restart: unless-stopped

启动命令：

bash
docker-compose up -d

5.3 镜像签名验证

为确保镜像完整性，可使用 cosign 验证镜像签名：

bash
COSIGN_REPOSITORY=mcp/signatures cosign verify mcp/root --key [***]

6. 许可证

本镜像遵循 MIT 许可证。