Kibana

管理 Elastic Kibana，用于可观测性、安全性和基础设施监控。查询数据视图、管理告警规则、处理检测引擎规则、管理 Fleet 代理策略，并操作案例（cases）与安全告警。

本技能使用 ClawLink 实现托管连接流程与凭据管理，因此您无需自行配置 Kibana API 访问权限。

三步完成设置

工作原理

┌─────────────────┐     ┌──────────────┐     ┌──────────────────┐
│   OpenClaw      │────▶│   ClawLink   │────▶│  Kibana REST API │
│   (用户聊天)    │     │   (OAuth)    │     │   (v8.x)        │
└─────────────────┘     └──────────────┘     └──────────────────┘
         │                       │                       │
         │  1. 安装插件         │                       │
         │  2. 绑定设备         │                       │
         │  3. 连接 Kibana      │                      │
         │                   │  4. 安全令牌           │
         │                   │  5. 代理请求           │
         │                   │                       │
         ▼                   ▼                       ▼
   ┌──────────┐      ┌──────────┐           ┌──────────┐
   │  技能    │      │ 仪表板   │           │  Kibana  │
   │  文件    │      │ 认证     │           │ Stack   │
   └──────────┘      └──────────┘           └──────────┘

安装

从 ClawHub 安装已验证的 ClawLink 插件。用户确认后，请完成全部设置流程，以便在下一次 OpenClaw 聊天中可见 ClawLink 工具。

openclaw plugins install clawhub:clawlink-plugin
openclaw config set tools.alsoAllow '["clawlink-plugin"]' --strict-json
openclaw gateway restart

随后告知用户：“OpenClaw 已重启。请单独发送 /new 消息以开启全新会话，然后再次询问 Kibana 相关功能。”

快速入门

# 列出数据视图
clawlink_call_tool --tool "kibana_get_data_views" --params '{}'

# 获取告警类型
clawlink_call_tool --tool "kibana_get_alert_types" --params '{}'

# 列出案例
clawlink_call_tool --tool "kibana_get_cases" --params '{}'

认证机制

所有 Kibana 工具调用均由 ClawLink 自动完成身份认证，使用用户已连接的 Kibana 实例进行授权。

聊天中无需提供 API 密钥。 ClawLink 安全地存储 OAuth 令牌，并代表用户将其注入每一次 Kibana API 请求中。

建立连接

1. 安装 ClawLink 插件（参见上方“安装”部分）。
2. 若插件尚未配置，请运行 clawlink_begin_pairing 进行绑定。
3. 访问 https://claw-link.dev/dashboard?add=kibana 并连接 Kibana（需已有正在运行的 Kibana 实例）。
4. 调用 clawlink_list_integrations 验证连接是否已激活。

连接管理

列出连接

clawlink_list_integrations

响应：返回所有已连接的集成。请在列表中查找 kibana。

验证连接

clawlink_list_tools --integration kibana

响应：返回 Kibana 的实时工具目录。

重新连接

若 Kibana 工具缺失或连接显示错误，请执行以下操作：

1. 引导用户访问 https://claw-link.dev/dashboard?add=kibana
2. 待用户确认后，调用 clawlink_list_integrations 验证连接状态
3. 再调用 clawlink_list_tools --integration kibana

安全与权限

• 访问范围仅限于已连接的 Kibana 实例。
• 所有写入操作均需用户显式确认。 在执行任何告警、案例或 Fleet 相关操作前，须向用户确认目标资源及预期影响。
• 破坏性操作（如删除规则、删除已保存对象、删除连接器）被标记为高影响操作，必须获得用户确认。
• Fleet 代理策略变更会影响已部署的代理，请务必在执行前确认。
• 检测引擎规则变更将影响安全监控能力，请务必在执行前确认。

工具参考

数据视图

告警

操作与连接器

案例

已保存对象

安全检测引擎

告警

Endpoint 异常项

实体存储（Entity Store）

Fleet

Fleet EPM（Elastic Package Manager）

列表

Osquery

代码示例

列出数据视图

clawlink_call_tool --tool "kibana_get_data_views" 
  --params '{}'

获取告警类型

clawlink_call_tool --tool "kibana_get_alert_types" 
  --params '{}'

列出案例

clawlink_call_tool --tool "kibana_get_cases" 
  --params '{}'

获取检测引擎规则

clawlink_call_tool --tool "kibana_get_detection_engine_rules_find" 
  --params '{"page": 1, "per_page": 25}'

获取 Fleet 代理策略

clawlink_call_tool --tool "kibana_get_fleet_agent_policies" 
  --params '{}'

发现工作流

1. 调用 clawlink_list_integrations 确认 Kibana 是否已连接。
2. 调用 clawlink_list_tools --integration kibana 查看实时工具目录。
3. 以返回的列表为准作为唯一可信来源，切勿猜测或假设工具是否存在。
4. 若用户描述某项能力但无法确定对应工具，请使用简短查询调用 clawlink_search_tools，并指定集成名称为 kibana。
5. 若未出现任何 Kibana 工具，请引导用户访问 https://claw-link.dev/dashboard?add=kibana。

执行工作流

┌─────────────────────────────────────────────────────────────┐
│  读取操作（安全）                                           │
│  list → get → search → describe → call                     │
│                                                             │
│  示例：列出数据视图 → 获取索引字段 → 查询数据             │
└─────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────┐
│  写入操作（需确认）                                         │
│  list → get → describe → preview → confirm → call          │
│                                                             │
│  示例：预览规则删除 → 用户批准 → 执行                      │
└─────────────────────────────────────────────────────────────┘

1. 对于不熟悉的工具、模糊请求或任何写入操作，请首先调用 clawlink_describe_tool。
2. 依据返回的指导说明、Schema、whenToUse、askBefore、safeDefaults、examples 和 followups 构建调用参数。
3. 优先使用读取、列出、搜索和获取等操作，以降低歧义性，再考虑写入操作。
4. 对于写入操作或任何标记为需要确认的操作，请先调用 clawlink_preview_tool。
5. 使用 clawlink_call_tool 执行；仅在预览结果与用户意图一致后才传入确认参数。
6. 若工具调用失败，请如实反馈真实错误。不得虚构结果，也不得将失败重新表述为“能力缺失”，除非实时目录明确支持该结论。

备注

• 告警类型包括 Elasticsearch 查询告警、索引阈值告警、机器学习异常检测及安全检测规则。
• 连接器类型（即操作类型）包括 Slack、Email、Webhook、ServiceNow 等——各类连接器均有不同的许可证要求。
• Fleet 代理策略定义了 Elastic Agent 组的配置，包括启用的集成项。
• 实体存储（Entity Store）从多个来源聚合并管理实体数据（用户、主机、服务）。
• Endpoint 异常列表包含应用于 Elastic Endpoint 代理的安全例外项。
• Osquery 已保存查询需使用 saved_object_id（UUID 格式），而非自定义 ID 字段。

错误处理

故障排查：工具不可见

1. 检查 ClawLink 插件是否已安装：

   openclaw plugins list
   

2. 若插件已安装但工具缺失，请告知用户单独发送 /new 消息以重新加载目录。
3. 若新会话仍无效，请运行：

   openclaw config set tools.alsoAllow '["clawlink-plugin"]' --strict-json
   openclaw gateway restart
   

4. 重启完成后，请告知用户再次发送 /new 并重试。

故障排查：Fleet 未就绪

1. 检查 Fleet 设置状态：

   clawlink_call_tool --tool "kibana_get_fleet_agents_setup_status" --params '{}'
   

2. 审阅缺失的前提条件并予以解决，再管理代理或策略。
3. 验证 Elasticsearch 连接与许可证状态。

资源

• Kibana 文档
• Elastic Fleet 文档
• Elastic 安全解决方案
• ClawLink：https://claw-link.dev/?utm_source=clawhub&utm_medium=referral&utm_content=kibana-observability
• ClawLink 文档：https://docs.claw-link.dev/openclaw
• ClawLink 验证：https://claw-link.dev/verify

相关技能

• New Relic 可观测性 —— 用于 New Relic 监控与告警
• Make 自动化 —— 用于 Make.com 工作流自动化

由 ClawLink 提供支持 —— OpenClaw 的集成中心