跳转到主要内容
通过 Sublime Security 的 Webhook Action，将被检测规则标记的邮件同步到 Flashduty On-call。同一封邮件（同一个邮件组）只对应一条告警，告警标题为严重程度最高的规则名称。 Sublime 只在邮件被标记时推送，没有解决或恢复通知，因此 Flashduty 告警不会自动恢复。

在 Flashduty On-call

您可通过以下两种方式获取集成推送地址，任选其一即可。

使用专属集成

  1. 进入 Flashduty 控制台，选择 协作空间，打开一个协作空间
  2. 选择 配置 → 集成数据 → 专属集成，点击 新增集成
  3. 选择 Sublime Security，点击 保存
  4. 打开生成的集成卡片，复制 推送地址

使用共享集成

  1. 进入 Flashduty 控制台，选择 集成中心 → 告警事件
  2. 选择 Sublime Security，填写集成名称
  3. 配置默认路由并选择协作空间；创建后可在 路由 中增加更多规则
  4. 点击 保存，复制生成的 推送地址

在 Sublime Security 中配置

1

在 Sublime 中创建 Webhook Action

操作路径：Sublime 控制台 › Actions › New Action › Webhook点击 Save。保存后 Sublime 会弹出 Attach to Rules 对话框，可直接勾选现有规则并点击 Attach selected rules。Sublime 要求接收端在 10 秒内返回 2xx 响应，Flashduty 满足该要求。Sublime 只在邮件被标记时推送，没有单独的恢复设置，Flashduty 告警不会自动恢复，见下方「事件和恢复」。
2

将 Action 关联到检测规则

操作路径：Sublime 控制台 › Detection Rules（或 Automations） › 规则详情页 › Edit › Actions在 Actions 下拉框中选择上一步的 Webhook Action，点击 Save Rule。新账号中 Sublime 官方规则库的规则默认未启用，需要先启用至少一条规则，Webhook 才会触发。
3

在 Sublime 中触发一封被标记的邮件并验证

操作路径：Sublime 控制台 › Detection Rules（或 Automations） › 规则详情页Sublime 文档没有描述 Webhook 的测试推送按钮，无法从控制台手动发送测试事件。请在有邮件被已关联的规则标记后，确认 Flashduty 中出现告警。

事件和恢复

Sublime 不推送解决通知，请在协作空间中开启超时自动关闭，建议 7 天；也可以在处理完邮件后手动关闭告警。

Alert Key

Alert Key 取 data.message.canonical_id，没有时取 data.message.id。Sublime 文档说明 canonical_id 是邮件所属邮件组的标识，同一封邮件投递到多个邮箱时共用。标识、分类、规则名称和严重程度的变化不会改变 Alert Key。两个字段都缺失的推送会被拒绝，错误信息指出字段名。

状态和告警等级

取 flagged_rules 中严重程度最高的一条：

标签

推送中不包含邮件主题和正文，需要详情时用 message_id 在 Sublime 中查看。Flashduty 不保存 actor 中的用户邮箱。

签名头

Sublime 会为每次推送附带 X-Sublime-Signature 请求头，格式为 t=<Unix 时间戳>,v0=<HMAC 签名>。Flashduty 推送地址通过 integration_key 鉴权，不校验该签名头，无需额外配置。

排查问题

  • 没有收到告警：确认 Action 已关联到规则，并检查 Action 的邮件组范围设置
  • Flashduty 返回参数错误：推送缺少 data.message.canonical_id 和 data.message.id，手动触发且未选中邮件时会出现这种情况
  • 告警一直未关闭：Sublime 没有恢复通知，请开启协作空间的超时自动关闭
更多字段含义请参阅 Sublime Webhook 文档。