用途：作为 OpenSearch 日志分析专家技能，帮助用户发现、查询和分析存储在 OpenSearch 中的日志数据，例如查询日志、分析错误模式、发现日志规律等。
前置条件：需要一个运行中的 OpenSearch 集群（本地、Amazon OpenSearch Service 或 Serverless），并安装 uv 以运行辅助脚本。
可选 MCP 服务器：opensearch-mcp-server 提供直连 OpenSearch API 的能力（含通过 GenericOpenSearchApiTool 使用 PPL），支持 AOS/AOSS 的 SigV4 认证，主要工具包括 ListIndexTool、IndexMappingTool、SearchIndexTool、GenericOpenSearchApiTool；ddg-search 用于检索 OpenSearch 文档中的 PPL 语法。配置按认证方式区分：基础认证（本地/自管）设置 OPENSEARCH_URL、OPENSEARCH_USERNAME、OPENSEARCH_PASSWORD、OPENSEARCH_SSL_VERIFY；AOS 设置 OPENSEARCH_URL、AWS_REGION、AWS_PROFILE；AOSS 在此基础上增加 AWS_OPENSEARCH_SERVERLESS=true。均以 uvx 启动 opensearch-mcp-server-py@latest。
关键规则：未知 PPL 命令必须查阅官方文档，不得猜测语法；有可用端点时，输出的 PPL 查询应针对 _plugins/_ppl 验证，无端点则明确说明查询未经集群验证；先做索引与字段发现，不假设索引模式或字段名；以 PPL 为主要查询语言，PPL 支持不佳的复杂聚合回退到 Query DSL；PPL 中点号字段名需用反引号引用，如 log.level、host.name。
工作流程：先确认集群类型、端点与认证方式；再列出索引并识别日志相关索引（含 log、logs、events、audit、otel、cwl 或日期模式），检查数据流与别名；然后查看目标索引映射并抽样文档，确认时间戳、日志级别、消息、服务/来源、错误与关联字段实际是否填充；之后用真实字段名构建 PPL 查询，覆盖日志量、错误计数、错误率趋势、近期错误、全文检索、高频/稀有错误、patterns 日志模式发现、ad 异常检测等；最后进行跨索引关联和复杂聚合等高级分析。
限制：文档未提供收费、价格或效果数据；未安装 uv 或未连接集群时，查询只能作为未验证模板给出。