ELK Watcher发送Teams消息失败：无效负载问题排查

你遇到的400错误是因为ELK Watcher动作配置格式错误，把专门的msteams_webhook动作和普通webhook动作的配置结构混在一起了，导致发送的请求不符合Teams入站webhook的要求。

错误原因 #

你当前的配置在msteams_webhook节点下嵌套了webhook字段，但ELK的msteams_webhook动作有自己的专属配置格式，不需要嵌套webhook层级，这种错误结构会导致请求payload被Teams识别为无效格式。

解决方案 #

根据需求选择以下两种正确配置方式：

方式1：使用ELK专门的msteams_webhook动作（推荐） #

这是ELK为Teams集成提供的专用动作，配置更简洁：

"msteams_webhook": {
  "url": "https://my.host.com/webhookb2/path",
  "message": {
    "text": "Found the following 4XX or 5XX errors in logs"
  }
}

方式2：使用普通webhook动作替代 #

如果你需要更灵活的自定义请求，可以改用普通webhook动作（注意去掉外层的msteams_webhook节点）：

"webhook": {
  "scheme": "https",
  "host": "my.host.com",
  "port": 443,
  "method": "post",
  "path": "/webhookb2/path",
  "headers": {
    "Content-Type": "application/json"
  },
  "body": {
    "text": "Found the following 4XX or 5XX errors in logs"
  }    
}

验证要点 #

• 确保Teams入站webhook的URL路径正确，没有拼写错误
• 如果需要发送复杂消息（如自适应卡片），将message替换为符合Teams卡片规范的JSON结构即可

内容的提问来源于stack exchange，提问作者runnerpaul