Elastic’s no-code and full-code approaches to custom integrations

Elasticsearch 自定义集成：无代码和智能代理路径 | Elastic 博客

Elastic 的无代码和全代码自定义集成方法

通过自动导入改进和集成技能提升自定义 Elastic 集成

作者：

Charles Davison

Hanna Tamoudi

2026 年 6 月 18 日

• 在 Twitter 上分享 在 Twitter 上分享

• 在 LinkedIn 上分享 在 LinkedIn 上分享

• 在 Facebook 上分享 在 Facebook 上分享

• 通过电子邮件分享 通过电子邮件分享

• 打印本页 打印

Elastic 9.4 版本推出了两个用于构建自定义集成的工具：

• 自动导入，现在支持多个数据流，ECS 映射的样本最多可达 1,000 条日志（之前是 100 条日志），并且在后台处理，这样你可以在集成完成之前继续工作

• 集成技能，一个开放且不依赖于特定大语言模型（LLM）的智能代理工具包，适用于希望拥有完整生命周期控制的开发人员。其中一条路径无需编写代码；另一条路径则提供完全的控制权。

这两项功能今天均已发布。

自动导入与集成技能：自定义 Elasticsearch 集成的两条路径

Elastic 的独特之处不仅仅在于构建更好的工具。它认识到“更好”的含义因人而异。SOC 分析师和高级开发人员的需求并不相同。因此，Elastic 构建了两项截然不同的创新，同时发布它们以满足不同用户的需求。

Elasticsearch 9.4 中的自动导入是如何工作的？

自动导入是一项用于自动化开发自定义数据集成的独特功能，而在 9.4 版本中，它变得更加出色。Elastic 对后端和用户界面都进行了多项改进，结果是从开始到结束的体验都更加明显地加快和简化了。

只需为你的集成命名并添加描述，然后开始添加多个数据流。后台处理意味着你可以在集成完成之前继续工作，而无需等待。

没错，你确实听对了：多个数据流。你不再局限于单个数据流；多个数据流现在完全支持。本次发布还新增了直接从索引创建集成的功能。在幕后，映射到 ECS 的日志采样率已从 100 提高到 1,000，使你能够开箱即用更完整的集成。

当你的数据流（s）分析完成时，只需查看并批准集成。我们将默认安装它，以便在 Fleet 中使用并附加到策略。

即使在集成安装之后，你也可以在以后随时返回，进行修改或添加更多数据流（如果需要）。每当集成被修改并应用更改时，该集成的版本号会自动增加，从而保持你的生命周期干净且可审计，无需任何手动记录。

安全团队尤其会喜欢这种易用性，以及通过搜索已映射到 ECS 的自定义集成来立即获取价值的能力。

该工具包围绕构建和维护 Elastic 集成的四个核心技能进行组织，这些技能与构建和维护 Elastic 集成的实际生命周期相呼应：

• /research-integration：在构建集成之前，研究供应商、产品或功能。它会启动并行的通用子代理，以调查数据收集方法、API 文档、样本数据格式、字段模式和 ECS 映射候选。它会撰写一份结构化的研究简报，直接输入到 /create-integration 中。当你为之前没有使用过的产品构建集成时，请首先调用此功能。

• /create-integration：从头到尾构建一个新的 Elastic 集成包，或向现有集成添加数据流。它通过委托给带有嵌入式领域特定指导的通用子代理，处理包创建、数据流框架搭建、清单配置、CEL 程序构建、摄取管道创建、字段映射和系统测试。请先运行 /research-integration，然后使用研究简报作为输入，调用此技能以获得最高质量的输出。

这些技能共同为经验丰富的团队提供了结构化、可重复、由代理协助的工作流程，使集成开发从缓慢的、手动的工艺转变为快速、可靠的工程过程。

Elastic 与其它平台在自定义集成开发方面有何不同？

Elastic 9.4 是唯一一个在同一版本中同时提供无代码产品内集成构建器（Automatic Import）和一个开放、开发者级别的代理工具包（Integration Skills）的平台。

大多数供应商只选择一个方向。他们要么构建一个过于隐藏细节的漂亮用户界面，要么只提供原始 API，让开发者自行摸索。Elastic 拒绝做出选择。分析师和开发者都应享有顶级的体验，而 Elastic 9.4 正是如此。

在 9.4 中开始使用 Elasticsearch 自定义集成

Elastic 9.4 现已发布，现在是将你的数据导入并让它为你工作的最佳时机。如果你一直拥有自定义日志源，并在等待合适的时机构建那个集成，现在就是最好的时机。9.4 版本中的 Automatic Import 使这一过程比以往任何时候都更快、更容易。

如果你是希望深入探索、想要完整生命周期控制、LLM 无关的代理工作流程，以及一个按照 Elastic 集成生态系统标准构建的工具包的开发者，那么请查看 Integration Skills。克隆仓库，将其插入你选择的代理中，体验一下为真正专业的工程师构建的集成开发是什么样子。

常见问题

Elasticsearch 中的 Automatic Import 是什么？它有什么作用？Automatic Import 是 Elastic 中的一项功能，用于自动化创建自定义数据集成。你只需提供名称、描述和样本数据或索引，Elastic 就会自动处理 ECS 字段映射、数据流配置和 Fleet 安装。在 Elastic 9.4 中，它被扩展以支持多个数据流，并将日志采样从 100 提高到 1,000，以获得更全面的映射。

Automatic Import 支持多个数据流吗？是的。Elastic 9.4 在单个 Automatic Import 集成中增加了对多个数据流的支持。在初始集成安装后，你可以添加、查看和修改数据流，每次更改都会自动增加集成版本号。

什么是 Elasticsearch 的 Integration Skills？Integration Skills 是一个开放的仓库，其中包含用于构建和维护 Elastic 集成的智能代理工作流程。它与特定的大型语言模型无关，可以与任何 AI 驱动的编码环境配合使用，包括 Cursor、Claude Code 和 Codex。它包括用于研究供应商 API、搭建集成包、配置 CEL 程序、构建数据摄入管道以及将字段映射到 ECS 的技能。

我是否需要编写代码来构建自定义的 Elasticsearch 集成？不需要。Elastic 提供的自动导入功能提供了一条无需编码的路径：只需描述你的集成并上传示例日志或指向一个索引，该工具就会生成一个完整的 ECS 映射集成，并直接安装到 Fleet 中。从 Elastic 9.0 开始，支持无代码的自定义集成，并在 9.4 版本中进行了重大改进。

作为开发者，我如何构建自定义的 Elasticsearch 集成？开发者可以使用 Integration Skills —— 一个公开的 GitHub 仓库，其中包含为全生命周期集成开发设计的智能代理工作流程。克隆该仓库，将其连接到你偏好的 AI 编码环境，然后运行 /research-integration 来收集供应商 API 文档和字段模式，接着运行 /create-integration 来搭建完整的集成包。

Integration Skills 支持哪些 AI 工具？Integration Skills 的设计是与大型语言模型无关的。它可以与 Cursor、Claude Code、OpenAI Codex 以及任何其他 AI 驱动的编码环境配合使用。这些工作流程不绑定特定的模型或提供商，因此你可以使用团队已经使用的任何工具。

Elastic 的自定义集成方法与其他平台有何不同？Elastic 在同一版本中同时提供了一个经过优化的无代码、内置产品集成构建器（Automatic Import）和一个开放的、开发者级别的智能代理工具包（Integration Skills）。大多数可观测性和安全平台只提供其中一种。Elastic 9.4 同时提供这两种方式，同时面向安全分析师和高级开发者。

本文中所描述的任何功能或功能的发布和时间安排均由 Elastic 单独决定。任何目前不可用的功能可能无法按时交付，甚至可能根本不会交付。

在本文中，我们可能已经使用或提到了第三方生成式 AI 工具，这些工具由其各自的拥有者拥有和运营。Elastic 对第三方工具没有任何控制权，我们对这些工具的内容、操作或使用，以及由此可能产生的任何损失或损害均不承担责任或义务。在使用 AI 工具时，请务必谨慎，尤其是在处理个人、敏感或机密信息时。您提交的任何数据可能会用于 AI 训练或其他目的。无法保证您提供的信息将被安全或保密地保存。在使用任何生成式 AI 工具之前，请熟悉其隐私政策和使用条款。

Elastic、Elasticsearch 及相关标志是 elasticsearch B.V. 在美国和其他国家的商标、标志或注册商标。所有其他公司和产品名称均为其各自所有者的商标、标志或注册商标。

分享