# Incident Triage

> >

- **Type:** Skill
- **Install:** `agentstack add skill-aws-samples-sample-aws-ops-skills-for-agents-incident-triage`
- **Verified:** Yes — security-reviewed for prompt injection and unsafe behavior
- **Seller:** [aws-samples](https://agentstack.voostack.com/s/aws-samples)
- **Installs:** 0
- **Category:** [Agent Skills](https://agentstack.voostack.com/c/agent-skills)
- **Latest version:** 0.1.0
- **License:** MIT-0
- **Upstream author:** [aws-samples](https://github.com/aws-samples)
- **Source:** https://github.com/aws-samples/sample-aws-ops-skills-for-agents/tree/main/incident-triage

## Install

```sh
agentstack add skill-aws-samples-sample-aws-ops-skills-for-agents-incident-triage
```

Requires the [AgentStack CLI](https://agentstack.voostack.com/docs/cli). Works with Claude Code, Cursor, and any MCP-compatible agent.

## About

# Incident Triage — 快速分诊

前 5 分钟的决策框架：分类 → 定界 → 路由。不做深度诊断。

## 和其他 skills 的关系

- **incident-triage** 是入口——快速判断后路由到具体 skill
- SEV1/2 诊断 → **aws-troubleshooting**（深度排查）
- 需要看日志 → **log-diagnosis**
- 需要全面巡检 → **health-check**

## 工作流程

### Step 1 — 收集信号（< 1 分钟）

MUST:
- 如果是告警触发：
  - 读告警详情：`aws cloudwatch describe-alarms --alarm-names {name} --region {region}`
  - 记录 metric, threshold, duration, current value
- 如果是用户报告：
  - 确认症状（什么不工作了）
  - 确认开始时间（什么时候开始的）
  - 确认影响范围（谁受影响）
- 快速查当前告警全景：
  - `aws cloudwatch describe-alarms --state-value ALARM --region {region}`
  - 对账号的主要 region 都查一遍
- 查最近 15 分钟的变更事件：
  - `aws cloudtrail lookup-events --lookup-attributes AttributeKey=ReadOnly,AttributeValue=false --start-time {T-15m} --region {region}`

SHOULD:
- 检查 AWS Health Dashboard：`aws health describe-events --filter '{"eventStatusCodes":["open","upcoming"]}' --region us-east-1`
- 如果有 dashboard，快速看关键指标趋势

### Step 2 — 判定 Severity

MUST:
- 读 `references/severity-matrix.md` 做分类
- 基于证据判断，不基于猜测

分类速查：
- **SEV1**：服务完全不可用 / 数据风险 → 立即行动
- **SEV2**：服务降级 / 部分受影响 → 15 分钟内行动
- **SEV3**：异常观察 / 不影响服务 → 1 小时内行动

### Step 3 — 定界影响范围

MUST:
- 判断 blast radius：单资源 → 单服务 → 单 AZ → 单 region → 跨 region
- 检查关联服务（参考 aws-troubleshooting/references/investigation-framework.md 的依赖链表）

SHOULD:
- 用 health-check 做快速全局巡检确认是否有连锁影响
- 检查是否是 AWS 侧事件（Health Dashboard）

### Step 4 — 路由 + 输出

MUST:
- 输出 incident report（`assets/incident-report-template.md` 格式）
- 包含：severity, blast radius, 信号摘要, 初步判断, 建议操作

路由规则：
- SEV1 → 路由到 aws-troubleshooting（实时查 aws-knowledge MCP + SSM Automation runbooks）
- SEV2 + 需要日志 → 路由到 log-diagnosis
- SEV2 + 需要指标 → 路由到 health-check
- SEV3 → 路由到 health-check 做全面巡检

SHOULD:
- 对 SEV1/2 提供具体的缓解命令（但标记 human-required，不自动执行）

## 查询参考

- Severity 分类规则：`references/severity-matrix.md`
- 跨服务依赖链：`../aws-troubleshooting/references/investigation-framework.md`
- 具体服务排查 SOP：aws-troubleshooting skill（实时查 aws-knowledge MCP）

## Automation Boundary

### auto-safe
- `aws cloudwatch describe-alarms`（查告警状态）
- `aws cloudtrail lookup-events`（查最近变更）
- `aws health describe-events`（查 AWS 侧事件）
- describe / list / get 类资源查询
- 生成 incident report

### human-required
- 所有缓解/修复操作（重启 pod、扩容、回滚、修改配置）
- 开 AWS Support Case
- 通知其他人

## Gotchas
- CloudTrail 事件有 ~5 分钟延迟，最近的变更可能还没出现
- `aws health` API 只在 us-east-1 有全局事件，其他 region 只有 region-specific 事件
- INSUFFICIENT_DATA 告警不一定是问题——可能是新创建的告警还没收到足够数据
- 部署期间（rolling update）的短暂告警是正常的，要看是否在部署窗口内
- 不要在 SEV1 上花超过 5 分钟做分析——如果 5 分钟内找不到根因，升级

## Source & license

This open-source skill is cataloged on AgentStack and links to its original source — we do not rehost the code.

- **Author:** [aws-samples](https://github.com/aws-samples)
- **Source:** [aws-samples/sample-aws-ops-skills-for-agents](https://github.com/aws-samples/sample-aws-ops-skills-for-agents)
- **License:** MIT-0

Install and usage instructions live in the source repository linked above.

## Pricing

- **Free** — Free

## Security capabilities

Automated source analysis of v0.1.0 — what this tool can access:

- **Network access:** no
- **Filesystem access:** no
- **Shell / process execution:** no
- **Environment & secrets:** no
- **Dynamic code execution:** no

*"Yes" means the capability is present in the source — more access means more to trust, not that it is unsafe.*


## Versions

- **0.1.0** — security scan: passed — Imported from the upstream source.

## Links

- Listing page: https://agentstack.voostack.com/l/skill-aws-samples-sample-aws-ops-skills-for-agents-incident-triage
- Seller: https://agentstack.voostack.com/s/aws-samples
- Browse the marketplace: https://agentstack.voostack.com/browse

---
Listed on AgentStack — the marketplace for AI agent skills and MCP servers. Every listing is security-reviewed. Creators keep 70%.