创建与管理 Kibana 告警规则：选对…

需要创建、查询、更新、启停、静音或删除 Kibana 告警规则时，用 elastic CLI 按正确规则类型、参数语义和只读/变更边界操作。

适用场景

解决思路

1. 使用 `elastic` CLI 执行所有 Kibana alerting 操作；若未安装 `elastic` CLI，告知用户需要它，不要猜测凭据、直接调用 HTTP API 或尝试其他绕过方式。
2. 将该技能中的 HTTP 简写映射为 `elastic` CLI 命令并始终使用 CLI：`GET kbn:/api/alerting/rules/_find` → `elastic kb alerting get-alerting-rules-find [--filter '<kql>'] [--search '<q>'] [--per-page <n>] [--page <n>] [--sort-field <field>] [--sort-order asc|desc]`；`POST kbn:/api/alerting/rule/{id}` → `elastic kb alerting post-alerting-rule-id --id '<id>' --name '<name>' --rule-type-id '<type>' --consumer '<consumer>' --schedule '<json>' --params '<json>' [--tags '<json>'] [--actions '<json>'] [--enabled]`；`GET kbn:/api/alerting/rule/{id}` → `elastic kb alerting get-alerting-rule-id --id '<id>'`；`PUT kbn:/api/alerting/rule/{id}` → `elastic kb alerting put-alerting-rule-id --id '<id>' --name '<name>' --schedule '<json>' --params '<json>' [--tags '<json>'] [--actions '<json>']`；`DELETE kbn:/api/alerting/rule/{id}` → `elastic kb alerting delete-alerting-rule-id --id '<id>'`；`POST kbn:/api/alerting/rule/{id}/_enable` → `elastic kb alerting post-alerting-rule-id-enable --id '<id>'`；`POST kbn:/api/alerting/rule/{id}/_disable` → `elastic kb alerting post-alerting-rule-id-disable --id '<id>' [--untrack]`；`POST kbn:/api/alerting/rule/{id}/_mute_all` → `elastic kb alerting post-alerting-rule-id-mute-all --id '<id>'`；`POST kbn:/api/alerting/rule/{id}/_unmute_all` → `elastic kb alerting post-alerting-rule-id-unmute-all --id '<id>'`；`POST kbn:/api/alerting/rule/{id}/_update_api_key` → `elastic kb alerting post-alerting-rule-id-update-api-key --id '<id>'`；`POST kbn:/api/alerting/rule/{rule_id}/alert/{alert_id}/_mute` → `elastic kb alerting post-alerting-rule-rule-id-alert-alert-id-mute --rule-id '<rule_id>' --alert-id '<alert_id>'`；`POST kbn:/api/alerting/rule/{rule_id}/alert/{alert_id}/_unmute` → `elastic kb alerting post-alerting-rule-rule-id-alert-alert-id-unmute --rule-id '<rule_id>' --alert-id '<alert_id>'`；`POST kbn:/api/alerting/rule/{id}/snooze_schedule` → `elastic kb alerting post-alerting-rule-id-snooze-schedule --id '<id>' --schedule '<json>'`；`DELETE kbn:/api/alerting/rule/{ruleId}/snooze_schedule/{scheduleId}` → `elastic kb alerting delete-alerting-rule-ruleid-snooze-schedule-scheduleid --rule-id '<ruleId>' --schedule-id '<scheduleId>'`。
3. 理解规则三部分：conditions（`params` + `rule_type_id`）、schedule（多久检查一次条件）、actions（可选，告警触发时运行的 connectors）；条件满足时创建 alerts，actions 通过 connectors 发送通知。

适用边界 · 注意事项

• 用户只要求展示、列出或过滤规则时，不要创建、更新、启用、禁用、静音、暂停或删除任何规则；这是只读任务。
• 未安装 `elastic` CLI、缺少所需权限，或自管理 Kibana 未配置稳定的 `xpack.encryptedSavedObjects.encryptionKey` 时，不要猜测凭据、直接调用 HTTP API 或创建规则。
• 不要用本技能处理 Security detection rules（`consumer: securitySolution` 或 `siem`）；它们属于专用 Security Detections API `/api/detection_engine/rules`，规则类型 id 和生命周期不同。

经验正文