该技能名为 observability-csp-investigation，属于 Elastic agent-skills，用于调查云服务商（CSP）服务问题。其核心能力是基于 OTel 模式的指标和日志，在 Elastic 中诊断云服务故障。
主要能力：
- 提供与云服务商无关的调查准则、流程和综合方法，适用于所有 CSP 调查。
- 针对 AWS 提供详细的参考文档（references/aws.md），涵盖 RDS、Lambda、SQS、ALB/ELB、EC2 等服务的模式事实和故障模式签名。GCP 和 Azure 暂未覆盖。
- 强调先调查告警资源本身，量化告警指标相对于其自身基线的变化，计算速率而非计数，区分并发事件与因果关系，利用日志补充“为什么”，并处理稀疏指标字段缺失的情况。
- 支持在无集群访问时基于用户提供的证据进行分析，并明确指出需要检查的查询、索引和字段。
- 通过 elastic CLI 执行 Elasticsearch 操作，包括 ES|QL 查询、索引解析、字段能力查询、告警规则和 SLO 读取等。
使用方式：
- 通过 elastic CLI 执行操作，例如
elastic es esql query --format tsv --query '<esql>'等。如果 CLI 未安装，需告知用户其用途，不得猜测凭据或直接调用 HTTP API。 - 首先确定资源所属提供商，然后阅读对应的参考文档（如 AWS 的 references/aws.md），再编写查询。
- 遵循流程：定位资源与两个时间窗口（事件窗口和基线窗口），量化告警指标，对照故障模式分类，用兄弟资源、依赖资源、日志、SLO 和告警规则佐证，最后综合并停止。
- 输出结论时需明确根因、证据（含具体数字）、因果链、影响范围、建议措施和置信度。健康结论或证据不足也是有效结论。
适用场景：
- 调查 AWS 服务（尤其是 RDS、Lambda、SQS、ALB/ELB、EC2）的告警或异常。
- 对 AWS 其他服务（如 DynamoDB、ECS、API Gateway、Kinesis、ElastiCache 等）应用通用指南和 AWS 约定，但需经验性发现具体指标，且置信度上限为中等。
- 分析并发事件时，验证依赖关系后再关联。
- 处理稀疏计数器字段缺失，避免因字段未映射导致查询失败。
限制：
- GCP 和 Azure 暂未提供参考文档，需应用通用指南并经验性发现模式，置信度上限为中等。
- 不教授 ES|QL 查询语法、空值处理或函数用法，假设执行环境已能编写 ES|QL。
- 云指标管道通常有几分钟延迟，最近时间窗口可能尚未摄入数据。
- 零行日志不代表“无错误”，可能日志在另一种形态或未发送。
- 无法编造未提供的功能、收费、价格、平台或效果。