（3854期）vmware-log-insight – VMware 日志智能检索分析

VMware 日志智能检索分析 社区开源的 VMware Aria Operations for Logs 只读查询工具，支持全文本搜索、聚合统计与异常检测，零写入风险助力运维排障。 使用说明 核心用法 vmware-log-insight 是一个面向 VMware Aria Operations for Logs（原 vRealize Log Insight）的只读日志查询技能，提供 7 个 MCP 工具实现日志检索与聚合分析。用户可通过 logsearch 进行基于时间窗口的全文本搜索，配合主机名、字段等过滤器精准定位 ESXi 主机、vCenter 或虚拟机的 syslog 内容；logaggregate 支持按时间分桶统计日志量并自动识别异常峰值（z-score 算法）；logfields 用于动态发现日志字段结构；alertlist/alertget/alerthistory 可查询已配置的告警规则及其历史状态。所有工具均返回标准化列表信封结构，支持分页提示与结果截断检测。 显著优点 极致安全设计：7 个工具全部为只读操作，零写入表面，从根本上杜绝误删、误改生产日志的风险，特别适合生产环境审计严格的场景。技能内置 @vmwaretool(risklevel="low") 注解，每次调用自动记录审计日志，支持基于环境标签（production/staging/lab）的策略管控。 精准排障能力：直接对接 VMware 官方日志中枢，可查询 vmkernel、vpxd、VM syslog 等原始日志行，解决"主机到底报了什么错"的终极问题。聚合功能自带异常检测，能快速定位日志风暴时间点，结合 vmware-debug 技能可构建完整根因时间线。 企业级运维体验：CLI 与 MCP 双模式支持，既适合人工命令行排查（vmware-log-insight search -q error -l 1h），也能无缝嵌入 Agent 自动化工作流。配置管理规范，支持多目标实例、LDAP/本地认证、TLS 强制验证，密码自动 base64 编码存储。 潜在缺点与局限性 依赖专有基础设施：必须预先部署 VMware Aria Operations for Logs 虚拟设备，无法独立采集或存储日志，无 Appliance 时完全不可用。对于采用 Splunk、ELK 等其他日志方案的企业无价值。 功能边界严格：纯读取技能，无法创建/修改/删除告警规则，也不能直接与其他 VMware 组件（如 vCenter 事件、性能指标）做跨源关联，需配合 vmware-monitor、vmware-aria、vmware-debug 等技能才能完成综合排障。 查询模型受限：仅支持 CONTAINS 文本匹配和时间范围过滤，无正则、无 SQL 级复杂查询，大数据量时存在截断风险（需关注 truncated: true 提示并手动优化过滤条件）。 社区维护属性：非 VMware 官方出品，虽 MIT 开源可审计，但企业用户需自行评估长期维护能力，遇到 Appliance API 变更可能存在适配延迟。 适合的目标群体 vSphere 运维工程师：需要深度排查 ESXi/VM 系统日志、定位硬件故障或存储问题的日常运维人员 SRE/值班团队：处理生产告警时快速检索相关日志片段、确认影响范围的一线响应人员 合规审计人员：只读特性满足"可看不可动"的审计要求，用于安全事件溯源与日志取证 VMware 技术顾问：为客户环境做健康检查、故障分析时标准化的日志查询工具 使用风险 性能风险：大规模时间窗口或宽松过滤条件可能返回巨量结果，虽客户端有 limit 截断，但 Appliance 侧查询仍消耗资源，生产环境建议始终限定合理时间范围并优先使用聚合工具做预分析。 依赖项风险：运行时依赖 VMWARELOGINSIGHT_CONFIG 环境变量及 ~/.vmware-log-insight/config.yaml 配置，多实例场景下环境变量管理复杂；uv 包管理器及 Python 版本需提前就绪。 连接与认证风险：默认 9543 端口易被防火墙拦截，易与 443 混淆；本地/AD/LDAP 认证配置错误（provider 字段）或密码过期会导致 401 错误，需熟悉 VMware 身份源体系。 数据解读风险：日志峰值检测基于统计 z-score，可能将正常业务高峰标记为异常，需结合业务上下文人工复核，避免误判引发不必要的紧急响应。 原始说明 Use this skill whenever the user needs to search, aggregate, or investigate centralized logs in VMware Aria Operations for Logs (formerly vRealize Log Insight) — the appliance that collects syslog from ESXi hosts, vCenter, and VMs. It is the log data source of the VMware family: full-text event search over a time window, aggregation with spike detection, field discovery, and alert queries. Always use this skill for "search the logs", "what did the host log", "find errors in Log Insight", "show me a log spike", "query vRealize Log Insight", "Aria Operations for Logs" when the context is explicitly VMware/vSphere/ESXi. It is strictly READ-ONLY — it never ingests, edits, or deletes anything. Do NOT use it for vCenter events/alarms (use vmware-monitor) or for performance metrics and anomalies (use vmware-aria). To correlate logs with events from other sources into one root-cause timeline, hand results to vmware-debug.