核心功能
Kibana可观测性管理是一套面向企业级Elastic Stack的综合运维技能，通过ClawLink托管的OAuth认证流程，用户无需手动配置Kibana API密钥即可安全接入。该技能覆盖三大核心领域：
1. 可观测性与基础设施监控
- 数据视图管理：查询Kibana数据视图（索引模式），支持日志、指标、追踪数据的统一检索
- 告警体系：支持Elasticsearch查询告警、索引阈值告警、机器学习异常检测等多类型规则管理
- 连接器生态：集成Slack、Email、Webhook、ServiceNow等主流通知渠道
2. 安全运营(SecOps)
- 检测引擎：管理Elastic Security检测规则，支持KQL过滤与排序
- 安全告警：聚合查询检测告警，支持异常查询与过滤
- 案件管理：完整的案例生命周期管理，支持按状态、负责人、严重级别筛选
- 终端例外：管理Elastic Agent终端安全例外列表
- 实体存储：聚合用户、主机、服务等实体数据，提供统一资产视图
3. Fleet与代理管理
- 代理策略：管理Fleet代理策略组，控制Elastic Agent配置与集成启停
- EPM包管理：浏览、安装Elastic Package Manager集成包，查看数据流与资产详情
- 注册密钥：管理代理注册认证密钥
---
显著优点
| 优势 | 说明 |
|------|------|
零配置接入 | ClawLink托管OAuth流程，免除API密钥手动配置与轮换维护 |
企业级安全 | 所有写入操作强制用户确认，破坏性操作高亮标记 |
全栈覆盖 | 从基础设施监控到SOC响应的端到端能力 |
实时发现 | 动态工具目录，通过clawlink_list_tools获取最新能力 |
细粒度权限 | 继承Kibana原生RBAC，操作范围严格限定于授权实例 |
---
潜在局限
1. 版本依赖：基于Kibana REST API v8.x，旧版本可能存在兼容性问题
2. 网络可达性：需Kibana实例对ClawLink服务可访问
3. License限制：部分高级告警类型、机器学习功能需Elastic商业授权
4. 代理就绪状态：Fleet管理需预先完成Elasticsearch与Kibana的集成配置
5. OAuth范围：通过ClawLink代理，非直接API调用，存在额外跳转延迟
---
适用人群
- SRE/运维工程师：基础设施监控、告警规则编排、Fleet代理管理
- 安全分析师(SOC)：检测规则调优、安全告警调查、案件响应
- DevOps团队：日志统一分析、APM追踪、可观测性平台建设
- Elastic Stack管理员：集中化Kibana多租户管理
---
安全与风险提示
安全架构：
- OAuth令牌由ClawLink安全托管，聊天会话中永不暴露
- 读写操作分离：读操作直接执行，写操作强制
clawlink_preview_tool+用户确认流程 - 破坏性操作（删除规则、连接器、保存对象）标记为高影响，需二次确认
常规风险：
- Fleet策略变更将实时推送至已部署Agent，误操作可能导致数据采集中断
- 检测引擎规则修改影响实时安全监控，建议先在非生产环境验证
- 实体存储查询可能涉及敏感资产信息，需确保Kibana用户权限最小化
故障排查：工具不可见时，需执行/new重载目录或检查clawlink-plugin安装状态