核心用法
本 Skill 通过 ClawLink 提供托管式 Kibana 集成，覆盖 Elastic Stack 的完整观测与安全运营场景。用户仅需完成三步安装配对即可通过自然语言查询数据视图、管理告警规则与检测引擎、操作 Fleet 代理策略、处理安全案件及实体存储。
技术架构：OpenClaw ↔ ClawLink（OAuth 代理）↔ Kibana REST API（v8.x）。ClawLink 负责令牌安全存储与请求注入，用户侧无需暴露 API 密钥。
显著优点
1. 零配置接入：通过 clawlink_begin_pairing 与 Web 仪表盘完成 OAuth 授权，省去 API Key 管理繁琐流程。
2. 全栈覆盖：涵盖 Data Views、Alerting、Cases、Security Detection Engine、Fleet、Entity Store、Osquery 等 40+ 工具，满足从基础设施监控到终端安全的完整需求。
3. 安全设计：
4. 弹性工作流：支持 clawlink_describe_tool 动态发现工具能力，clawlink_search_tools 模糊匹配需求，降低学习成本。
- 所有写入操作需用户显式确认（
preview→confirm工作流）。 - 破坏性动作（删除规则、连接器、代理策略等）标记为高影响。
- 权限最小化：作用域限定于已连接 Kibana 实例。
潜在缺点与局限性
1. 外部依赖：核心功能依赖 ClawLink 服务可用性，若其托管服务中断将影响全部 Kibana 调用。
2. 版本锁定：明确标注 Kibana v8.x API，跨版本兼容性需等待 ClawLink 更新。
3. 网络要求：需访问 https://claw-link.dev 完成授权与仪表盘操作，企业内网隔离场景可能受限。
4. 写入确认摩擦：严格确认流程虽提升安全，但高频自动化场景下可能降低效率。
适合人群
- SRE / 平台工程师：快速查询数据视图、管理告警规则与 Fleet 代理策略。
- 安全分析师：操作 Detection Engine 规则、审查案件、管理 Endpoint 例外列表。
- Elastic Stack 用户：希望通过自然语言替代 Kibana UI 操作的团队。
常规风险
| 风险类型 | 说明 |
|---------|------|
| **OAuth 令牌泄露** | ClawLink 托管令牌，若其服务端出现漏洞可能导致横向访问。建议定期审查已授权集成。 |
| **误操作影响范围** | Fleet 策略变更将级联至所有已部署 Agent；检测规则删除可能导致监控盲区。务必使用预览流程。 |
| **权限配置错误** | Kibana 角色权限不足会导致 API 调用失败，需提前确认用户具备相应 Index 与 Kibana 权限。 |
| **Fleet 就绪状态** | Fleet 未正确初始化时（如 Elasticsearch 许可证、索引模板缺失），代理管理工具将报错。应先检查 `kibana_get_fleet_agents_setup_status`。 |
总结：适合追求“对话即操作”体验的 Elastic Stack 用户，但需权衡外部托管依赖与严格确认流程带来的便利与限制。