设置 Kibana 警报

Kibana 警报是 Kibana 中的内置警报系统。警报功能是自动启用的，但可能需要进行一些额外的配置。

如果您使用的是本地 Elastic Stack 部署

• 在 kibana.yml 配置文件中，添加 xpack.encryptedSavedObjects.encryptionKey 设置。
• 若要使电子邮件页脚包含返回 Kibana 的链接，请设置 server.publicBaseUrl 配置项。

如果您使用的是启用了安全性的本地 Elastic Stack 部署

• 如果您无法访问 Kibana 警报功能，请确保您没有显式禁用 API 密钥。

警报框架使用的查询要求 search.allow_expensive_queries 设置为 true。请参阅脚本文档。

当将警报和操作作为关键任务服务时，请确保遵循警报生产注意事项。

有关警报功能可扩展性的更多信息，请前往扩展指南。

要在 Kibana 应用程序中使用警报功能，您必须拥有相应的功能权限

Kibana 权限

• 针对 Management > Stack Rules 功能设置 All。
• 针对 Management > Rules Settings 功能设置 All。
• 针对 Management > Actions and Connectors 功能设置 All。

Kibana 权限

• 针对 Management > Stack Rules 功能设置 Read。
• 针对 Management > Rules Settings 功能设置 Read。
• 针对 Management > Actions and Connectors 功能设置 Read。

Kibana 权限

• 为 .alerts-* 系统索引授予 Read 索引权限。

Kibana 权限

• 针对 Management > Stack Rules 功能设置 None。
• 针对 Management > Rules Settings 功能设置 None。
• 针对 Management > Actions and Connectors 功能设置 None。
• 不授予 .alerts-* 系统索引的索引权限。

有关配置提供功能访问权限的角色的更多信息，请前往功能权限。

规则使用 API 密钥进行授权。其凭据用于运行与规则关联的所有后台任务，包括条件检查（如 Elasticsearch 查询）和触发的操作。

当您在 Kibana 中创建规则时，系统会创建一个 API 密钥，其中捕获了您当时权限的快照。同样，当您更新规则时，API 密钥也会更新为您编辑时权限的快照。

当您禁用规则时，它会保留关联的 API 密钥，该密钥在启用规则时会被重用。如果启用规则时 API 密钥丢失，则会生成一个包含您当前安全权限的新密钥。导入规则时，必须先启用它才能使用，此时会生成一个新的 API 密钥。

您可以随时在堆栈管理 > 规则中，或通过在规则详细信息页面的操作菜单中选择更新 API 密钥，来生成新的 API 密钥。

如果您使用 Kibana API 管理规则，它们支持基于密钥和基于令牌的身份验证，如身份验证中所述。要使用基于密钥的身份验证，请创建 API 密钥并在 API 调用的标头中使用它们，如API 密钥中所述。要使用基于令牌的身份验证，请提供用户名和密码；系统会自动创建一个与用户当前权限匹配的 API 密钥。在这两种情况下，API 密钥随后都会与规则关联并在规则运行时使用。

出于安全考虑，您可能希望限制 Kibana 连接到外部服务的范围。您可以使用操作设置来禁用某些连接器，并允许 Kibana 连接到特定的主机名（白名单）。

规则和连接器被隔离在创建它们的 Kibana 空间中。在一个空间中创建的规则或连接器在另一个空间中将不可见。

如果您想将警报规则与跨集群搜索结合使用，则必须为 CCS 和 Kibana 配置权限。请参阅远程集群。

当启用了跨项目搜索并且您拥有关联项目时，警报规则会根据空间级跨项目搜索范围跨关联项目查询数据。您无法在单个规则上设置跨项目搜索范围。

当您打开规则进行创建或编辑时，标题中的 CPS 范围选择器会显示当前的跨项目搜索范围，但它是只读的。要更改规则查询的项目，请更新为该空间配置的跨项目搜索范围。

对于 ES|QL 规则，您可以在规则查询中使用 SET project_routing 来定位特定的关联项目，从而覆盖空间级范围。对于使用索引模式的非 ES|QL 规则，您可以使用限定的索引表达式将规则范围限定为特定项目。