用途：agent-dd 是 Datadog 的排查（triage）与加固 CLI，用于调查监控器、日志、指标、链路（traces）、事件（incidents）和 SLO，并在发现问题后创建或调整监控器。它不负责完整的 Datadog 管理，不涉及仪表盘、用户、角色、管道或合成监控。
主要能力：查看监控器/告警状态、静音与取消静音监控器；搜索日志中的错误、尖峰或异常；查询指标或调查指标尖峰；搜索链路的延迟或错误；管理事件（列出、创建、更新）；检查 SLO 燃烧率或错误预算；创建或更新监控器以覆盖新发现的问题。
使用方式：先识别信号，如 agent-dd monitors list --status alert 或 agent-dd incidents list --state active；限定时间窗口，如 --from now-1h；用日志 facets 定位热点服务；再拉取受影响服务的日志、指标和链路进行关联分析。加固阶段先检查已有监控器（monitors search --query "<service>"），优先修复误报的监控器而非新建重复项；写入前用 --dry-run 校验，再执行 monitors create 或 monitors update <id>，update 会返回前后差异。
常用命令示例：agent-dd logs search --query "service:web status:error" --from now-1h；agent-dd metrics query --query "avg:system.cpu.user{host:web-1}" --from now-1h --to now；agent-dd traces search --service my-api --from now-30m；agent-dd monitors mute <id> --reason "investigating" --end now+1h；agent-dd monitors create --type "metric alert" --query 'avg(last_5m):avg:system.cpu.user{service:web} > 90' --name "CPU high on web" --message "@slack-oncall" --tag "service:web" --priority 2 --threshold-critical 90 --threshold-warning 80 --dry-run。
限制与注意：监控器查询与指标查询语法不同，且随 --type 变化，写入前应阅读 references/query-syntax.md 并 dry-run。错误以 JSON 输出到 stderr，并带 fixable_by 分类（agent、human、retry）。API key 与 app key 是机密，不应作为命令行参数传入，应使用 --form 交互输入或通过 stdin 管道传入；也可用环境变量 DD_API_KEY、DD_APP_KEY、DD_SITE。默认输出为 NDJSON，可用 --format json|yaml|jsonl 覆盖。时间格式支持相对（now-15m）、RFC3339 或 unix epoch，默认 --from now-1h、--to now。