Documentation
Table of Contents
2 Corrélation globale des événements
Aperçu
La corrélation globale des événements permet d'atteindre toutes les métriques surveillées par Zabbix et de créer des corrélations.
Il est possible de corréler des événements créés par des déclencheurs complètement différents et de leur appliquer les mêmes opérations à tous. En créant des règles de corrélation intelligentes, il est en fait possible de s'épargner des milliers de notifications répétitives et de se concentrer sur les causes profondes d'un problème !
La corrélation globale des événements est un mécanisme puissant qui vous permet de vous détacher d'un problème basé sur un déclencheur et d'une logique de résolution. Jusqu'à présent, un seul événement de problème était créé par un déclencheur et nous dépendions de ce même déclencheur pour la résolution du problème. Nous ne pouvions pas résoudre un problème créé par un déclencheur avec un autre déclencheur. Mais avec la corrélation d'événements basée sur le balisage d'événements, c'est possible.
Par exemple, un déclencheur de journal peut signaler des problèmes d'application, tandis qu'un déclencheur d'interrogation peut signaler que l'application est opérationnelle. En tirant parti des tags d'événement, vous pouvez tagger le déclencheur de journal en tant que Status : Down tout en étiquetant le déclencheur d'interrogation en tant que Status : Up. Ensuite, dans une règle de corrélation globale, vous pouvez relier ces déclencheurs et affecter une opération appropriée à cette corrélation, telle que la fermeture des anciens événements.
Dans une autre utilisation, la corrélation globale peut identifier des déclencheurs similaires et leur appliquer la même opération. Et si nous pouvions obtenir un seul rapport de problème par problème de port réseau ? Inutile de tous les déclarer. Cela est également possible avec la corrélation globale des événements.
La corrélation globale des événements est configurée dans les règles de corrélation. Une règle de corrélation définit la manière dont les nouveaux événements problématiques sont appariés avec les événements problématiques existants et ce qu'il faut faire en cas de correspondance (fermer le nouvel événement, fermer les anciens événements correspondants en générant des événements OK correspondants). Si un problème est clos par corrélation globale, il est signalé dans la colonne Info de Surveillance → Problèmes.
La configuration des règles de corrélation globales est disponible uniquement pour les utilisateurs de niveau super administrateur.
La corrélation d'événements doit être configurée très soigneusement, car elle peut affecter négativement les performances de traitement des événements ou, si elle est mal configurée, fermer plus d'événements que prévu (dans le pire des cas, même tous les événements problématiques pourraient être fermés).
Pour configurer la corrélation globale en toute sécurité, suivez les conseils importants suivants :
- Réduisez la portée de la corrélation. Définissez toujours une balise unique pour le nouvel événement associé aux anciens événements et utilisez la condition de corrélation Nouvelle balise d'événement ;
- Ajoutez une condition basée sur l'ancien événement lors de l'utilisation de l'opération Fermer l'ancien événement (sinon tous les problèmes existants pourraient être fermés) ;
- Évitez d'utiliser des noms de tag communs susceptibles d'être utilisés par différentes configurations de corrélation ;
- Limitez le nombre de règles de corrélation à celles dont vous avez vraiment besoin.
Voir aussi : problèmes connus.
Configuration
Pour configurer globalement les règles de corrélation d'événements :
- Allez dans Configuration → Corrélation d'événement
- Cliquez sur Créer une corrélation à droite (ou sur le nom de la corrélation pour modifier une règle existante)
- Entrez les paramètres de la règle de corrélation dans le formulaire
Tous les champs de saisie obligatoires sont marqués d'un astérisque rouge.
| Paramètre | Description |
|---|---|
| Nom | Nom unique de la règle de corrélation. |
| Type de calcul | Les options suivantes de calcul des conditions sont disponibles : Et - toutes les conditions doivent être remplies Ou - assez si une condition est remplie ** Et/Ou** - ET avec différents types de condition et Ou avec le même type de condition Expression personnalisée - une formule de calcul définie par l'utilisateur pour évaluer les conditions d'action. Il doit inclure toutes les conditions (représentées par des lettres majuscules A, B, C, ...) et peut inclure des espaces, des tabulations, des parenthèses ( ), and (sensible à la casse), or (sensible à la casse) , not (sensible à la casse). |
| Conditions | Liste des conditions. Voir ci-dessous pour plus de détails sur la configuration d'une condition. |
| Description | Description de la règle de corrélation. |
| Opérations | Cochez la case de l'opération à effectuer lorsque l'événement est corrélé. Les opérations suivantes sont disponibles : Fermer les anciens événements : fermez les anciens événements lorsqu'un nouvel événement se produit. Ajoutez toujours une condition basée sur l'ancien événement lorsque vous utilisez l'opération Fermer les anciens événements ou tous les problèmes existants pourraient être fermés. Fermer le nouvel événement - fermer le nouvel événement lorsqu'il se produit |
| Activé | Si vous cochez cette case, la règle de corrélation sera activée. |
Pour configurer les détails d'une nouvelle condition, cliquez sur 
dans le bloc Conditions. Une fenêtre contextuelle s'ouvrira dans laquelle vous pourrez modifier les détails de la condition.
| Paramètre | Description |
|---|---|
| Nouvelle condition | Sélectionnez une condition pour corréler les événements. Notez que si aucune ancienne condition d'événement n'est spécifiée, tous les anciens événements peuvent être mis en correspondance et fermés. De même, si aucune nouvelle condition d'événement n'est spécifiée, tous les nouveaux événements peuvent être mis en correspondance et fermés. Les conditions suivantes sont disponibles : Nom de l'ancien tag d'événement : spécifiez l'ancien tag d'événement pour la correspondance. Nom du nouveau tag d'événement : spécifiez le nouveau tag d'événement pour la correspondance. Nouveau groupe d'hôte d'événement : spécifiez le nouveau groupe d'hôtes d'événements pour la correspondance. Paire de tags d'événement : spécifiez un nouvel événement tag et ancien tag d'événement pour la correspondance. Dans ce cas, il y aura correspondance si les valeurs des tags des deux événements correspondent. Les noms des tags ne doivent pas correspondre. Cette option est utile pour faire correspondre les valeurs d'exécution, qui peuvent ne pas être connues au moment de la configuration (voir aussi Exemple 1) . Ancienne valeur du tag d'événement : spécifiez le nom et la valeur de l'ancien tag d'événement pour la correspondance, à l'aide des opérateurs suivants : égal : a l'ancienne valeur de tag d'événement n'est pas égal - n'a pas l'ancienne valeur de tag d'événement contient - a la chaîne dans l'ancienne valeur de tag d'événement ne contient pas - n'a pas la chaîne dans l'ancienne valeur de tag d'événement ** Nouvelle valeur de tag d'événement** : spécifiez le nom et la valeur du nouveau tag d'événement pour la correspondance, à l'aide des opérateurs suivants : égal - a la nouvelle valeur de tag d'événement n'est pas égal - n'a pas le nouveau valeur du tag d'événement contient - contient la chaîne dans la nouvelle valeur du tag d'événement ne contient pas - ne contient pas la chaîne dans la nouvelle valeur du tag d'événement |
Étant donné qu'une mauvaise configuration est possible, lorsque des tags d'événement similaires peuvent être créées pour des problèmes non liés, veuillez examiner les cas décrits ci-dessous !
- Les tags réels et les valeurs de tag ne deviennent visibles que lorsqu'un déclencheur se déclenche. Si l'expression régulière utilisée n'est pas valide, elle est silencieusement remplacée par une chaîne *UNKNOWN*. Si l'événement de problème initial avec une valeur de tag *UNKNOWN* est manqué, des événements OK ultérieurs peuvent apparaître avec la même valeur de tag *UNKNOWN* qui peuvent fermer des événements de problème qu'ils n'auraient pas dû fermer.
- Si un utilisateur utilise la macro {ITEM.VALUE} sans fonctions de macro comme valeur de tag, la limite de 255 caractères s'applique. Lorsque les messages de journal sont longs et que les 255 premiers caractères ne sont pas spécifiques, cela peut également entraîner des tags d'événement similaires pour des problèmes sans rapport.
Exemple 1
Arrêtez les événements de problème répétitifs à partir du même port réseau.
Cette règle de corrélation globale corrélera les problèmes si les valeurs des tags Host et Port existent sur le déclencheur et qu'elles sont identiques dans l'événement d'origine et le nouveau.
L'opération fermera les nouveaux événements de problème sur le même port réseau, en gardant uniquement le problème d'origine ouvert.