用途：对 Kibana 告警规则做增删查改，创建的是真实持久化的 saved object，会话结束后仍按计划评估，若已连接动作可通过 Slack、邮件、Webhook 等通知。
主要能力：create 创建自定义阈值规则；list 列出规则，可按标签、名称、类型过滤；get 按 id 获取单条规则及执行状态；delete 按 id 永久删除，不可恢复。
使用方式：create 需提供 rule_name、metric_field、threshold、comparator、kql_filter、check_interval、agg_type、time_size、time_unit、index_pattern 等参数。threshold 使用字段原生单位，如 80MB 的 working_set 应写 80000000 字节。comparator 默认 >，低水位规则用 <。check_interval 默认 5m，容量或趋势规则可用 15m–1h。agg_type 默认 avg，最坏情况用 max，事件频率用 count。index_pattern 默认 metrics-*。list 默认返回 Kibana 中全部规则，仅在用户明确限定“本应用创建的规则”时才传 tags: ["elastic-o11y-mcp"]。delete 为两步流程：首次调用返回预览，需用户明确批准后再传 confirm: true 执行，禁止在模糊指令下直接确认或批量删除。
适用场景：需要长期告警（“以后都通知我”）、规则应在会话结束后继续运行、阈值已明确时使用本工具；若只是临时监控或阈值仍在校准，建议先用 observe。
限制：需 Kibana 启用 Alerting；工具仅在操作者显式设置 kibana_url 时注册，否则不可见，属有意只读设计，不应绕过。规则需在 Kibana 中单独附加通知连接器，否则静默触发。创建时强烈建议加 KQL 过滤，避免对 metrics-* 全量评估产生噪声。删除不可逆。