elk7.11.2开启告警和操作功能

elk7.11.2版本开启告警和操作流程

elk使用的是7.11.2版本，结构是filebeat——kafka（3台组成集群）——logstash（3台组成集群）——es（6台组成集群），es集群开启了集群内证书加密，也配置了账号密码，现在需要开启告警和操作功能
已做的操作

xpack.security.transport.ssl.enabled: true
xpack.security.transport.ssl.verification_mode: certificate
xpack.security.transport.ssl.keystore.path: certs/elastic-certificates.p12
xpack.security.transport.ssl.truststore.path: certs/elastic-certificates.p12
配置账号的操作
bin/elasticsearch-setup-passwords interactive
kibana已做的操作
kibana-encryption-keys generate
xpack.encryptedSavedObjects.encryptionKey: encryptedSavedObjects12345678909876543210
xpack.security.encryptionKey: encryptionKeysecurity12345678909876543210
xpack.reporting.encryptionKey: encryptionKeyreporting12345678909876543210

开启告警后，kibana上出现了很多告警日志，集群倒是正常运行

error  [16:45:21.863] [error][client][connection] Error: 139900212533120:error:14094416:SSL routines:ssl3_read_bytes:sslv3 alert certificate unknown:../deps/openssl/openssl/ssl/record/rec_layer_s3.c:1544:SSL alert number 46

援引讯飞星火：
要给Elasticsearch集群整体加TLS，以开启Kibana自带的告警和操作功能，你需要按照以下步骤进行配置：

1. 生成证书和密钥：
   使用keytool工具（Java自带）生成证书和密钥。在命令行中执行以下命令：

   keytool -genkeypair -alias elasticsearch -keyalg RSA -keystore certs/elastic-certificates.p12 -validity 3650
   

   这将生成一个名为elasticsearch的别名，以及一个有效期为3650天的RSA密钥对。

2. 将证书和密钥分发到集群的各个节点：
   使用scp或其他文件传输工具将生成的证书和密钥分发到filebeat、kafka、logstash和es集群的所有节点上。

3. 配置Elasticsearch集群：
   在每个Elasticsearch节点的配置文件（elasticsearch.yml）中添加以下内容：

   xpack.security.transport.ssl.enabled: true
   xpack.security.transport.ssl.verification_mode: certificate
   xpack.security.transport.ssl.keystore.path: /path/to/certs/elastic-certificates.p12
   xpack.security.transport.ssl.truststore.path: /path/to/certs/elastic-certificates.p12
   

   注意将/path/to/certs/替换为实际证书文件所在的路径。

4. 配置Kibana：
   在Kibana的配置文件（kibana.yml）中添加以下内容：

   elasticsearch.username: "your_username"
   elasticsearch.password: "your_password"
   

   将your_username和your_password替换为实际的Elasticsearch用户名和密码。

5. 重启集群：
   重启filebeat、kafka、logstash和es集群，使配置生效。

完成以上步骤后，你的Elasticsearch集群应该已经启用了TLS，并可以使用Kibana的告警和操作功能。

该回答通过自己思路及引用到GPTᴼᴾᴱᴺᴬᴵ搜索,得到内容具体如下：
要为ELK 7.11.2集群启用告警和操作功能，并为整个集群添加TLS加密，您需要执行以下步骤：

1. 为Elasticsearch集群启用TLS加密：

   • 将以下配置添加到每个Elasticsearch节点的elasticsearch.yml文件中：

     xpack.security.transport.ssl.enabled: true
     xpack.security.transport.ssl.verification_mode: certificate
     xpack.security.transport.ssl.keystore.path: certs/elastic-certificates.p12
     xpack.security.transport.ssl.truststore.path: certs/elastic-certificates.p12
     

   • 替换certs/elastic-certificates.p12为您的TLS证书路径。

2. 为Elasticsearch集群配置安全账号密码：

   • 执行以下命令以交互方式设置账号密码：

     bin/elasticsearch-setup-passwords interactive
     

   • 按照提示设置超级用户（elastic用户）的密码和其他内置用户的密码。

3. 为Kibana启用TLS加密和告警功能：

   • 将以下配置添加到Kibana配置文件（kibana.yml）中：

     xpack.security.encryptionKey: encryptionKeysecurity12345678909876543210
     xpack.reporting.encryptionKey: encryptionKeyreporting12345678909876543210
     

   • 替换encryptionKeysecurity12345678909876543210和encryptionKeyreporting12345678909876543210为您自己的加密密钥。

4. 为Kibana配置TLS加密连接到Elasticsearch集群：

   • 将以下配置添加到Kibana配置文件中：

     elasticsearch.hosts: ["https://your-elasticsearch-host:9200"]
     elasticsearch.username: "your-username"
     elasticsearch.password: "your-password"
     elasticsearch.ssl.certificateAuthorities: [ "/path/to/your/ca.crt" ]
     

   • 替换https://your-elasticsearch-host:9200为您Elasticsearch集群的地址。
   • 替换your-username和your-password为您设置的Elasticsearch账号密码。
   • 替换/path/to/your/ca.crt为您的CA证书路径。

5. 重启Elasticsearch和Kibana服务以使配置生效。

完成这些步骤后，您的ELK 7.11.2集群将启用TLS加密，并且Kibana将具备自带的告警和操作功能。请确保您根据实际情况替换配置中的路径、主机名和凭证信息。

如果以上回答对您有所帮助，点击一下采纳该答案～谢谢

设置日志告警规则：
在Logstash中，你可以使用一些插件来创建告警规则。一个常用的插件是elasticsearch-dead-letter-filter，它可以检测Elasticsearch中的特定错误并将其重定向到其他位置。

首先，你需要在Logstash的配置文件中添加这个插件，并配置它的过滤规则。例如，如果你想监控Elasticsearch的索引创建失败，你可以添加以下配置：

filter {  
  dead_letter_queue {  
    dead_letter_es_host => "es_dead_letter_queue_host"  
    dead_letter_es_port => 1234  
    dead_letter_es_index => "my_index"  
    dead_letter_es_cluster => "my_cluster"  
    dead_letter_es_username => "my_username"  
    dead_letter_es_password => "my_password"  
    queue_path => "/path/to/dead-letter-queue"  
    push_mode => "read"  
    push_interval => 5  
    push_if_no_errors => true  
    add_fields => { "some-field" => "value" }  
  }  
}

这个插件将捕获所有的错误并将其存储在一个单独的索引中。然后你可以使用另一个Logstash实例来定期检查这个索引，并在发现错误时发送告警。

设置告警：
你可以使用ELK堆栈中的许多工具来设置告警。例如，你可以使用Kibana的Alerts功能来创建告警。以下是一些可能的告警类型：

基于Elasticsearch查询的告警：你可以创建一个查询，当查询结果的数量超过某个阈值时触发告警。
基于时间的告警：你可以设置一个时间范围，当在这个时间范围内发生了特定事件时触发告警。
基于日志级别的告警：你可以设置一个日志级别，当某个日志消息的级别达到这个级别时触发告警。
发送告警：
一旦你的告警被触发，你需要一种方法来发送告警。这可以通过许多方式实现，例如发送电子邮件、发送Slack消息、发送PagerDuty通知等。你可以使用Logstash的output插件来实现这一点，例如使用Elasticsearch的output插件来将告警存储到Elasticsearch中，然后使用Kibana的Alerts功能来发送电子邮件

引用 皆我百晓生 小程序回复内容作答：
以下是在ELK 7.11.2版本中开启告警和操作功能的具体流程：

1. 为Elasticsearch集群配置TLS：

   • 在每个Elasticsearch节点上，确保以下参数已配置在elasticsearch.yml文件中：

     xpack.security.transport.ssl.enabled: true
     xpack.security.transport.ssl.verification_mode: certificate
     xpack.security.transport.ssl.keystore.path: certs/elastic-certificates.p12
     xpack.security.transport.ssl.truststore.path: certs/elastic-certificates.p12
     

   • 使用自己的证书替换certs/elastic-certificates.p12文件，确保证书是有效的。

2. 为Kibana配置加密密钥和TLS：

   • 生成加密密钥：

     ./bin/kibana-encryption-keys generate
     

   • 在kibana.yml文件中添加以下配置参数：

     xpack.encryptedSavedObjects.encryptionKey: <你的加密密钥>
     xpack.security.encryptionKey: <你的加密密钥>
     xpack.reporting.encryptionKey: <你的加密密钥>
     

   • 在kibana.yml文件中配置连接到Elasticsearch的TLS参数：

     elasticsearch.hosts: ["https://<你的Elasticsearch节点>:<端口号>"]
     elasticsearch.ssl.certificateAuthorities: [/path/to/your/ca.pem]
     elasticsearch.ssl.verificationMode: certificate
     

     注意替换<你的Elasticsearch节点>和<端口号>为正确的值，并提供正确的CA证书路径。

3. 启动Elasticsearch和Kibana服务，确保TLS配置生效。

4. 开启告警和操作功能：

   • 登录到Kibana控制台。
   • 在左侧导航栏中，转到 "Stack Management"（堆栈管理）。
   • 在下拉菜单中，选择 "Alerting & Actions"（告警和操作）。
   • 遵循界面上的步骤，根据需要创建告警规则和操作。

请确保你已按照上述步骤正确配置和启动Elasticsearch和Kibana，并完成了所有需要的TLS和加密设置。

生成证书和密钥配置到所有节点上，配置下用户名和密码 然后重启集群

Kibana：Alerting - 警报介绍_kibana告警_Elastic 中国社区官方博客的博客-CSDN博客 在我之前的很多文章中，我都介绍了 Alerting。你可以在 “Elastic：菜鸟上手指南” 中的 “通知及警报” 一节找到。在今天的文章中，我将使用最新的 7.13 版本来展示如何使用 rules 来检测复制条件下的 alerts。警报（alerting）允许你定义规则以检测不同 Kibana 应用程序中的复杂条件并在满足这些条件时触发操作。 警报与可观察性、安全性、地图和机器学习集成，可以从管理 UI 集中管理，并提供一组内置连接器和规则（称为堆栈规则）供你使用。重要提示：要确保你可以访_kibana告警 https://blog.csdn.net/UbuntuTouch/article/details/118519057

结合GPT给出回答如下请题主参考
开启告警：

1. 首先，在kibana界面中，点击左侧导航栏中的“Alerts and Actions”选项；
2. 点击“Create Rule”按钮，选择所需的告警条件类型，例如“Threshold”；
3. 填写告警条件相关的信息，例如告警名称、触发条件、通知方式等；
4. 点击保存规则，然后点击“Enable”按钮，使规则生效。

开启操作：

1. 在kibana界面中，点击左侧导航栏中的“Alerts and Actions”选项；
2. 点击“Create Connector”按钮，选择所需的操作类型，例如“Webhook”；
3. 填写操作相关的信息，例如操作名称、目标URL、使用的HTTP方法等；
4. 点击保存操作，然后将其与所需的告警规则关联。

以上是elk7.11.2版本开启告警和操作的流程，需要注意的是，告警和操作功能的具体实现还需要根据实际业务需求进行调整和优化，以便达到更好的效果。同时，在开启告警和操作功能之前，还需要对集群进行充分的测试和验证，以确保其可靠性和稳定性。

参考gpt4：
结合自己分析给你如下建议：
我猜测您想要开启告警和操作功能的原因可能是为了实现对ELK数据的实时监控和自动化处理。如果您想要开启告警和操作功能，您需要注意以下几点：
您需要为ELK集群整体开启TLS加密传输，以满足告警和操作功能的安全要求。这意味着您需要为Elasticsearch、Logstash、Kibana和Filebeat等组件都配置证书和密钥，并修改相应的配置文件中的SSL相关参数。
您需要为ELK集群启用基于角色的访问控制（RBAC），以管理不同用户对告警和操作功能的权限。这意味着您需要为Elasticsearch、Kibana等组件都创建用户和角色，并分配相应的权限。
您需要在Kibana中创建告警规则和操作连接器，以定义何时触发告警，以及如何执行操作。您可以在Kibana中使用内置的告警类型和连接器，或者自定义您自己的告警类型和连接器。

要开启Kibana自带的告警和操作功能，需要执行以下步骤：

1. 确保您的Elasticsearch和Kibana已经正确配置并能够互相通信。
2. 在Elasticsearch和Kibana之间启用TLS/SSL通信。

* 在Elasticsearch中生成证书和密钥：


```
bash`cd /etc/elasticsearch
openssl genpkey -out config/elasticsearch.key -algorithm RSA -pkeyopt rsa_keygen_bits:2048`
```
* 生成自签名证书：


```
bash`openssl req -x509 -new -nodes -key config/elasticsearch.key -days 3650 -out config/elasticsearch.crt -subj "/CN=localhost"`
```
* 在Kibana中生成证书和密钥：


```
bash`cd /etc/kibana
openssl genpkey -out config/kibana.key -algorithm RSA -pkeyopt rsa_keygen_bits:2048`
```
* 生成自签名证书：


```
bash`openssl req -x509 -new -nodes -key config/kibana.key -days 3650 -out config/kibana.crt -subj "/CN=localhost"``

3. 将生成的证书和密钥文件复制到相应的配置目录中：

cp config/elasticsearch.crt /usr/share/elasticsearch/config/
cp config/elasticsearch.key /usr/share/elasticsearch/config/
cp config/kibana.crt /usr/share/kibana/config/
cp config/kibana.key /usr/share/kibana/config/

4. 在Elasticsearch的配置文件中添加以下内容：

xpack.security.ssl.enabled: true
xpack.security.ssl.keystore.path: /usr/share/elasticsearch/config/elasticsearch.key
xpack.security.ssl.truststore.path: /usr/share/elasticsearch/config/elasticsearch.crt

5. 在Kibana的配置文件中添加以下内容：

elasticsearch.ssl.certificate: /usr/share/kibana/config/kibana.crt
elasticsearch.ssl.key: /usr/share/kibana/config/kibana.key

6. 重新启动Elasticsearch和Kibana。
7. 在Kibana的仪表板上创建一个新的监控和警报面板。
8. 选择“警报”选项卡，然后单击“添加警报”按钮。
9. 在“添加警报”对话框中，选择您想要监控的指标类型（例如，CPU使用率或内存使用率），并配置相应的阈值和触发条件。
10. 单击“添加”按钮以创建警报。
11. 根据需要配置其他警报选项，例如通知方式或静音时间。
12. 单击“保存”按钮以保存警报配置。
13. 现在，当满足设置的条件时，Kibana将自动触发警报并发送通知，您可以根据需要采取相应的操作。

要给整个集群加上 TLS，需要在每个节点（包括 filebeat、kafka、logstash、elasticsearch 和 kibana）上进行以下步骤：

1. 生成证书和密钥
   使用工具（如 openssl）生成自签名证书和私钥，并将其复制到每个节点上。确保在生成证书时使用了正确的主机名或 IP 地址，以便在连接时进行验证。

2. 配置节点的 TLS 设置
   修改每个节点的配置文件，启用 TLS 并指定证书和密钥的路径：

# Elasticsearch
xpack.security.http.ssl.enabled: true
xpack.security.http.ssl.keystore.path: /path/to/keystore.p12
xpack.security.http.ssl.truststore.path: /path/to/truststore.p12

# Kibana
server.ssl.enabled: true
server.ssl.key: /path/to/server.key
server.ssl.certificate: /path/to/server.crt

# Logstash
http.host: "0.0.0.0"
xpack.monitoring.elasticsearch.ssl.certificate_authority: /path/to/ca.crt
xpack.monitoring.elasticsearch.ssl.certificate: /path/to/client.crt
xpack.monitoring.elasticsearch.ssl.key: /path/to/client.key

# Filebeat
output.elasticsearch.ssl.certificate_authorities: /path/to/ca.crt
output.elasticsearch.ssl.certificate: /path/to/client.crt
output.elasticsearch.ssl.key: /path/to/client.key

# Kafka
ssl.keystore.location=/path/to/keystore.jks
ssl.truststore.location=/path/to/truststore.jks
ssl.client.auth=required

3. 配置证书和密钥的访问权限
   确保每个节点上的证书和密钥文件只对相应的用户可读，对其他用户不可见，以确保安全性。

4. 使用新的证书重新启动集群
   使用新的证书和密钥文件重新启动每个节点，确保它们能够正确地使用 TLS 与其他节点进行通信。

完成以上步骤后，您可以在 Kibana 中配置告警和操作，如设置触发器和操作规则，以便在满足特定条件时发送警报或执行操作。同时，请确保为需要使用这些功能的用户分配适当的权限，以确保安全性。

配置Elasticsearch以使用TLS。你已经在你的配置中包括了一些TLS设置，确保证书路径和文件是正确的。

在 elasticsearch.yml 文件中配置 X-Pack 安全性设置。例如：

xpack.security.enabled: true
xpack.security.transport.ssl.enabled: true
xpack.security.transport.ssl.verification_mode: certificate
xpack.security.transport.ssl.keystore.path: /path/to/your/keystore.p12
xpack.security.transport.ssl.truststore.path: /path/to/your/truststore.p12

启动或重启Elasticsearch以应用这些配置。

设置内置用户的密码或创建自定义用户。你可以使用 bin/elasticsearch-setup-passwords interactive 命令为内置用户设置密码，或者使用 elasticsearch-users 工具创建自定义用户。
配置Kibana以使用TLS。在 kibana.yml 文件中包括以下设置：

server.ssl.enabled: true
server.ssl.certificate: /path/to/your/server.crt
server.ssl.key: /path/to/your/server.key

启动或重启Kibana以应用这些配置。
在 kibana.yml 文件中启用告警和操作功能：

xpack.actions.enabled: true
xpack.alerting.enabled: true

启动或重启Kibana以应用这些配置。
打开Kibana界面，在 "Management" 部分选择 "Alerts and Actions"。

配置告警和操作规则，例如告警规则、动作规则、连接到Elasticsearch集群等。

保存和激活你的规则。

esalert ELK告警 EsAlert入门
可以参考下

esalert ELK告警 EsAlert入门_es告警_yuezhilangniao的博客-CSDN博客 eslaert入门_es告警 https://blog.csdn.net/yuezhilangniao/article/details/127267453

ELK使用及elastalert告警设置配置实战_elk导出仪表设置_meijinmeng的博客-CSDN博客 1.系统部署 **1):部署过程略...** #readme```bash1.问题：ERROR: bootstrap checks failedmax file descriptors [4096] for elasticsearch process likely too low, increase to at least [65536]max number..._elk导出仪表设置 https://blog.csdn.net/meijinmeng/article/details/103876096

结合GPT给出回答如下请题主参考
ELK（Elasticsearch、Logstash、Kibana）常用于日志的收集、存储和分析。在ELK 7.11.2版本中，我们可以开启告警和操作功能。

一、开启告警功能

1. 配置Elasticsearch的SMTP设置

首先需要配置Elasticsearch的SMTP设置，以便可以发送告警邮件。修改Elasticsearch的config/elasticsearch.yml文件，添加如下配置：

xpack.notification.email.account:
  gmail_account:
    profile: gmail
    smtp:
      auth: true
      starttls.enable: true
      host: smtp.gmail.com
      port: 587
      user: <your_gmail_email>
      password: <your_gmail_password>

其中，<your_gmail_email>和<your_gmail_password>分别为你的Gmail邮箱账号和密码。注意，这里使用了Gmail SMTP服务器进行演示。

2. 配置Watcher

Watcher是ELK中的告警模块，可以实现基于查询结果的自动化动作。具体来说，Watcher会周期性地执行查询，如果查询的结果满足特定的条件，就会执行预定义的动作，比如发送邮件、Webhook等。

我们可以在Kibana中创建Watcher，也可以使用Watcher API通过命令行创建Watcher。这里我们采用命令行方式创建Watcher。首先，需要在Elasticsearch中设置用户名和密码，使得Watcher可以通过用户名和密码访问ES。

具体来说，编辑Elasticsearch的config/elasticsearch.yml文件，添加如下配置：

xpack.security.enabled: true
xpack.security.authc:
  realms:
    native:
      native1:
        order: 0
      file1:
        order: 1

上面的配置启用了X-Pack安全模块，并启用了本地身份验证(realms)。在native realm中，我们可以定义一个或多个用户，每个用户有一个用户名和密码。这里我们定义一个名为watcher_user的用户，密码为watcher_pass：

bin/elasticsearch-setup-passwords interactive

passwords:
  tamper_detection_admin: <password>
  apm_system: <password>
  kibana_system: <password>
  kibana: <password>
  beats_system: <password>
  remote_monitoring_user: <password>
  elastic: <password>
  logstash_system: <password>
  watcher_user: <password>

3. 创建Watcher

我们可以通过Watcher API创建Watcher。首先，需要定义一个查询，以查询所有日志级别为error的日志：

PUT _watcher/watch/log_error
{
  "trigger": {
    "schedule": {
      "interval": "5m"
    }
  },
  "input": {
    "search": {
      "request": {
        "indices": [
          "logstash-*"
        ],
        "body": {
          "query": {
            "bool": {
              "must": [
                {
                  "match": {
                    "log.level": "error"
                  }
                }
              ]
            }
          }
        }
      }
    }
  },
  "condition": {
    "compare": {
      "ctx.payload.hits.total.value": {
        "gt": 0
      }
    }
  },
  "actions": {
    "send_email": {
      "email": {
        "profile": "gmail_account",
        "to": "<your_email>",
        "subject": "Log Error",
        "body": {
          "text": "{{ctx.payload.hits.total.value}} errors found in the last 5 minutes"
        }
      }
    }
  }
}

上面的Watcher定义了一个定时任务，每5分钟执行一次查询。查询会在所有logstash-*的索引中查找所有日志级别为error的日志，并统计日志条数。如果有日志条数大于0，则触发动作。动作是发送邮件，内容包括错误日志条数。

我们可以通过ES的watcher API来创建这个Watcher：

PUT _watcher/watch/log_error
{
  "trigger": {
    "schedule": {
      "interval": "5m"
    }
  },
  "input": {
    "search": {
      "request": {
        "indices": [
          "logstash-*"
        ],
        "body": {
          "query": {
            "bool": {
              "must": [
                {
                  "match": {
                    "log.level": "error"
                  }
                }
              ]
            }
          }
        }
      }
    }
  },
  "condition": {
    "compare": {
      "ctx.payload.hits.total.value": {
        "gt": 0
      }
    }
  },
  "actions": {
    "send_email": {
      "email": {
        "profile": "gmail_account",
        "to": "<your_email>",
        "subject": "Log Error",
        "body": {
          "text": "{{ctx.payload.hits.total.value}} errors found in the last 5 minutes"
        }
      }
    }
  }
}

执行上述命令后，就创建了一个名为log_error的Watcher。Watcher会周期性地检查日志，如果发现有错误日志，则会发送邮件到指定的邮箱。

二、开启操作功能

操作是指Watcher等模块执行一些自动化任务，比如创建索引、删除文档、发送Webhook等。在ELK 7.11.2版本中，我们可以使用Action API来开启操作功能。具体来说，我们可以定义一个Action，然后把Action绑定到Watcher中，当Watcher满足特定条件时，Action就会执行。

以下是一个示例，我们定义了一个名为create_index的Action，它会创建一个名为test_index-{{ctx.trigger.scheduled_time}}的索引，其中scheduled_time是Watcher上次执行时间。

POST _actions/test_create_index
{
  "actions": {
    "create_index": {
      "index": "test_index-{{ctx.trigger.scheduled_time}}",
      "body": {
        "mappings" : {
          "properties" : {
            "timestamp" : { "type" : "date" }
          }
        }
      }
    }
  }
}

我们定义了一个名为create_index的Action，它指定了一个索引名为test_index-{{ctx.trigger.scheduled_time}}，其中scheduled_time是Watcher上次执行时间。Action会在Watcher满足特定条件时执行。

我们可以通过Watcher API绑定Action到Watcher上，使得Watcher满足条件时可以执行Action：

PUT _watcher/watch/log_error
{
  "trigger": {
    "schedule": {
      "interval": "5m"
    }
  },
  "input": {
    "search": {
      "request": {
        "indices": [
          "logstash-*"
        ],
        "body": {
          "query": {
            "bool": {
              "must": [
                {
                  "match": {
                    "log.level": "error"
                  }
                }
              ]
            }
          }
        }
      }
    }
  },
  "condition": {
    "compare": {
      "ctx.payload.hits.total.value": {
        "gt": 0
      }
    }
  },
  "actions": {
    "send_email": {
      "email": {
        "profile": "gmail_account",
        "to": "<your_email>",
        "subject": "Log Error",
        "body": {
          "text": "{{ctx.payload.hits.total.value}} errors found in the last 5 minutes"
        }
      }
    },
    "create_index": {
      "throttle_period": "5m",
      "index": "test_index-{{ctx.trigger.scheduled_time}}",
      "body": {
        "mappings": {
          "properties": {
            "timestamp": {
              "type": "date"
            }
          }
        }
      }
    }
  }
}

上面的Watcher绑定了两个Action，分别是send_email和create_index。如果Watcher检测到错误日志，则会先发送邮件，然后创建一个新的索引。其中scheduled_time是Watcher上次执行时间。

以上就是ELK 7.11.2版本开启告警和操作的流程。通过Watcher和Action，我们可以监控日志并执行自动化任务。

从你的错误日志来看，你遇到的问题似乎与SSL证书验证有关。具体来说，错误消息“ssl3_read_bytes:sslv3 alert certificate unknown”表明Elasticsearch在尝试读取SSL连接时遇到了问题，这可能是因为证书未知或者证书验证失败。