create-integration

创建集成

何时使用

在任务包含以下内容时使用此技能：

• 从头开始创建新的集成包
• 搭建数据流脚手架并应用脚手架搭建后的修改
• 了解包拓扑、文件放置方式和清单模式
• 运行端到端构建工作流（搭建脚手架 → 设置数据收集 → 管道 → 系统测试 → 审查）
• 解答有关包结构、布局或 manifest.yml 形式的问题

重要：加载参考资料

此技能有四个参考文件。根据任务加载相应文件：

创建完整集成（端到端）时： → 必须在开始前完整阅读 references/create-workflow.md。 其中包含完整的编排工作流、所有阶段、子 Agent 委派说明和防护措施。

向现有包添加数据流时： → 必须在开始前完整阅读 references/add-datastream-workflow.md。 其中介绍了验证包、搭建数据流脚手架，以及 CEL → 管道 → 系统测试的流程。

搭建包或数据流脚手架，或应用脚手架搭建后的修改时： → 阅读 references/scaffold-commands.md，了解脚手架命令、脚手架搭建后的检查清单和常见陷阱。

审查或了解包拓扑和文件布局时： → 阅读 references/package-layout.md，了解规范目录树、清单模式，以及集成包和输入包的审查清单。

创建集成时需要提供的信息

可任意组合提供以下信息：

输入	提供方式	示例
包名称	自由文本	my_vendor
产品 / 供应商	自由文本	“Acme Firewall 设备”
数据传输方式	自由文本	“支持分页的 REST API”、“通过 TCP/UDP 传输的 syslog”、“S3 存储桶”
API / 日志文档	粘贴 URL	https://docs.acme.com/api/v2
示例数据	使用 @ 提及文件	@samples/acme_event.json
研究概要	使用 @ 提及文件	@notes/acme-research-brief.md
约束条件	自由文本	“仅使用 CEL 输入”、“单个数据流”

调用示例

Create a new "acme_firewall" integration for Acme Firewall appliance.
  API docs: https://docs.acme.com/api/v2/events
  Auth: Bearer token header. Pagination: offset-based with total_count.
  @samples/acme_events.json. Single data stream "event" using cel input.

New syslog integration "my_appliance" with tcp,udp inputs.
  @notes/research-brief.md. Two streams: "log" (syslog) and "traffic" (syslog).

向现有包添加数据流时需要提供的信息

使用 @ 提及文件夹或文件，并在文本中直接粘贴链接。

输入	提供方式	示例
目标包	自由文本或使用 @ 提及	acme_firewall、@packages/acme_firewall
数据流名称	自由文本	audit、traffic、alert
数据流类型	自由文本	logs（默认）或 metrics
输入类型	自由文本	cel、tcp,udp、filestream、http_endpoint、aws-s3
API / 日志文档	粘贴 URL	https://docs.acme.com/api/audit
示例数据	使用 @ 提及文件	@samples/audit_event.json、@samples/traffic.log
研究概要	使用 @ 提及文件	@notes/acme-audit-brief.md
约束条件	自由文本	“复用包级别的身份验证变量”、“为每种事件类型分别设置管道”
验收标准	自由文本	“解析所有 syslog 字段，并映射到 ECS”

调用示例

Add "audit" stream to @packages/acme_firewall using cel input.
  API endpoint: /api/v2/audit_logs
  Pagination: timestamp cursor.
  @samples/acme_audit.json

Add "traffic" and "threat" streams to acme_firewall.
  Both use tcp,udp inputs (syslog).
  @samples/traffic.log @samples/threat.log

子 Agent 概览

请勿自行加载 CEL、pipeline、ECS 或字段映射技能。请委派给自行加载相应领域技能的子 Agent。

所有专业工作都委派给平台的通用 / 多用途子 Agent（Cursor：generalPurpose Task agent；Claude Code：general-purpose Task agent；或其他平台上的等效 Agent）。每个任务提示词都必须按路径指明相关的 *-subagent-guidance.md 文件，并要求子 Agent 在进行任何其他工作之前，从头到尾阅读该文件（以及该文件在“First steps”中列出的技能 SKILL.md）。请勿自行阅读指导文件，也不要将其内容粘贴到任务提示词中——这会使上下文成本翻倍。只需提供路径和任务专属上下文。子 Agent 会在自己的全新上下文中加载手册。完整的委派规则和各步骤详情见 references/create-workflow.md 和 references/add-datastream-workflow.md。

子 Agent 指导文件	使用时机
/research-integration 技能（负责协调自己的研究子 Agent）	构建之前的供应商 / API 研究，且未提供研究简报时
cel-programs/references/builder-subagent-guidance.md	每个 CEL 数据流——模拟 API、CEL 程序（增量 mito 构建）、cel.yml.hbs 模板、清单变量、初始字段映射
integration-testing/references/builder-setup-subagent-guidance.md	每个非 CEL 数据流——数据采集设置（docker-compose、示例日志、Agent 数据流模板、系统测试配置、清理清单变量）
ingest-pipelines/references/builder-subagent-guidance.md	每个数据流的 pipeline 和字段定义
integration-testing/references/builder-system-test-subagent-guidance.md	pipeline 工作完成后的系统测试执行，适用于任何可测试输入（CEL、tcp、udp、http_endpoint、logfile、kafka、pubsub）
review-integration/references/reviewer-subagent-guidance.md	构建完所有数据流后的质量审查——按领域对文件分类，通过 review-integration 技能加载相关领域技能和检查清单，并返回按严重程度排序、标记领域的审查发现

对于云存储输入（aws-s3、gcs、azure-blob-storage、azure-eventhub）：跳过数据采集设置和系统测试。脚手架会提供可用的模板；请精简变量以满足需求。详情见 references/create-workflow.md。

参考资料

• references/create-workflow.md — 创建新集成的完整阶段 1–8、子 Agent 指令、护栏、数据匿名化
• references/add-datastream-workflow.md — 为现有包添加数据流的阶段 1–4、CEL/pipeline/系统测试顺序
• references/scaffold-commands.md — 脚手架命令、脚手架生成后的编辑、base-fields.yml 格式
• references/package-layout.md — 集成和输入包拓扑、清单模式