核心用法
本Skill为纯文档型集成指南，本身不执行代码，而是通过ClawLink插件代理调用Kibana REST API。用户需先安装clawlink-plugin，完成OAuth设备配对后，在ClawLink仪表板连接Kibana实例。连接成功后，可通过自然语言指令调用40+种Kibana操作工具，涵盖数据视图查询、告警规则管理、检测引擎规则编排、Fleet代理策略配置、案例管理与实体存储分析等六大核心场景。
操作遵循"读取优先、写入确认"的安全工作流。读取类操作（如kibana_get_data_views、kibana_find_alerts）可直接执行；写入类操作（如kibana_delete_alerting_rules、kibana_delete_fleet_output）必须先通过clawlink_preview_tool展示影响范围，获得用户明确确认后方可执行。Skill内置完整的错误处理指引，针对权限不足、Fleet未就绪、连接丢失等常见问题提供诊断命令。
显著优点
零凭证暴露架构：通过ClawLink OAuth代理层处理所有身份验证，Kibana访问令牌由ClawLink安全存储并自动注入请求，聊天界面无需输入任何API密钥或密码，从根本上消除凭证泄露风险。
企业级功能覆盖：深度集成Elastic Stack可观测性与安全能力，不仅支持传统的日志搜索与可视化，更涵盖Elastic Security的检测引擎规则管理、终端异常列表查询、实体行为分析（Entity Store）等高级安全运营场景，以及Fleet的大规模代理生命周期管理。
操作可审计与回滚：所有写入操作强制预览确认，配合Kibana原生审计日志，形成完整的变更追溯链条。Fleet策略变更、告警规则修改等高风险操作均有明确的影响范围提示。
可信依赖链路：所有外部引用均指向Elastic官方文档、ClawLink认证服务与GitHub静态资源，无第三方不可信域名，供应链攻击面极小。
潜在缺点与局限性
外部服务强依赖：核心功能完全依赖ClawLink插件与OAuth服务的可用性。若ClawLink服务中断或插件出现兼容性问题，Kibana集成功能将立即失效。用户需自行评估ClawLink作为身份代理方的可靠性。
功能边界受限于Kibana版本：工具调用基于Kibana v8.x REST API，若用户实例版本过低或过高，可能存在API不兼容风险。部分高级功能（如某些机器学习告警类型）需特定Elastic许可证，Skill本身无法控制授权检查。
纯文档型Skill的固有约束：本Skill不包含可执行逻辑，仅提供操作指引与参数映射。复杂的多步骤工作流（如"创建告警规则→配置连接器→关联案例"）需要用户或Agent自行编排多次工具调用，缺乏原子化的事务保障。
网络延迟与超时风险：所有API请求经ClawLink代理转发，相比直连Kibana增加一跳网络延迟。大规模数据查询（如kibana_find_alerts返回数万条记录）可能遭遇超时，需依赖分页参数精细控制。
适合的目标群体
安全运营中心（SOC）分析师：需要快速查询检测告警、审查终端异常、管理检测规则的安全团队，可通过自然语言快速定位威胁事件，无需记忆复杂的KQL语法。
可观测性/DevOps工程师：负责基础设施监控、日志分析与告警策略维护的技术人员，可利用Fleet工具批量管理Elastic Agent部署与策略更新。
平台管理员：管理多租户Kibana实例、需要审计数据视图与连接器配置的运维人员，可通过统一入口查看跨空间（Space）的资源配置状态。
Elastic Stack初学者：希望以对话式交互学习Kibana功能、理解数据视图与告警概念的新用户，Skill提供的结构化工具列表与示例代码降低了学习曲线。
常规使用风险
权限提升误操作：虽然Skill强制要求写入确认，但若用户不理解Kibana角色权限模型，可能在预览阶段误批准超出预期的操作（如删除生产环境告警规则）。建议配合Kibana原生的只读角色进行日常查询，严格分离读写权限账户。
Fleet策略级联影响：删除或修改代理策略（kibana_delete_fleet_output等）可能导致数千台Elastic Agent失去管理连接或配置漂移。执行前务必确认策略的 enrollment count 与关联代理清单。
数据隐私合规边界：通过kibana_find_alerts或实体存储查询可能返回包含PII（个人身份信息）的安全事件数据。虽然ClawLink不持久化查询结果，但聊天上下文可能残留敏感片段，建议在受控环境中处理含个人数据的工作流。
插件版本漂移：ClawLink插件与Kibana实例的版本兼容性需用户自行维护。 major版本升级后可能出现API schema变更导致工具调用失败，需关注ClawHub发布的兼容性公告。