2 Windows Zabbix agent

概述

Windows Zabbix agent 监控项 显示在两个列表中：

• 共享 监控项 - 与 UNIX Zabbix agent 共享的 监控项 键；
• Windows 特定的 监控项 - 仅在 Windows 上支持的 监控项 键。

请注意，Windows 上由 Zabbix agent 支持的所有 监控项 键也由新一代 Zabbix agent 2 支持。
请参阅 additional item keys，该功能只能与 agent 2 一起使用。

另请参阅：Minimum permissions for Windows items

共享监控项

下表列出了在 Windows 上支持并与 UNIX 的 Zabbix agent 共享的 Zabbix agent 监控项：

• 监控项 键是 UNIX Zabbix agent 监控项 的完整详细信息的链接
• 包含与 Windows 相关的 监控项 注释

Windows特定的监控项

下表提供了仅由 Windows Zabbix agent 支持的 监控项 键的详细信息。

Windows 特有的 监控项 有时是类似功能的近似对应项 agent 监控项，例如 proc_info，在 Windows 上受支持，大致对应 到 proc.mem 监控项，Windows 上不支持。

“监控项”键是完整“监控项”键详细信息的链接。

监控项 键详情

不带尖括号的参数是必填的。带有尖括号 < > 标记的参数是可选的。

eventlog[name,<regexp>,<severity>,<source>,<eventid>,<maxlines>,<mode>]

事件日志监控。
返回值：Log。

参数：

• name - 事件日志通道的名称（在事件查看器GUI中为“日志名称”）；
  
• regexp - 描述所需模式的正则表达式 概述（区分大小写）；
  
• severity - 描述严重级别的正则表达式（不区分大小写）。此参数接受基于以下值的正则表达式："Information"、"Warning"、"Error"、"Critical"、"Verbose"（仅限运行Windows Vista或更高版本的系统）；
  
• source - 描述源标识符的正则表达式（不区分大小写）；
  
• eventid - 描述事件标识符的正则表达式（区分大小写）；
  
• maxlines - 每秒该 agent 可发送到 Zabbix server 或 proxy 的最大新行数。此参数将覆盖 zabbix_agentd.conf 中的 'MaxLinesPerSecond' 值。
  
• mode - 可选值：all（默认）或 skip - 跳过旧数据的处理（仅影响新创建的 监控项）。

备注：

• 监控项 必须配置为 主动检查；
• agent 无法发送“转发事件”日志中的事件；
• 支持 Windows 事件 6.0；
• 为该 监控项 选择非日志 配置 将导致本地时间戳、日志严重级别和源信息的丢失；
• 另请参阅有关 log monitoring 的附加信息。

示例：

eventlog[Application]
       eventlog[Microsoft-Windows-Application-Experience/Program-Compatibility-Assistant]
       eventlog[Security,,"Failure Audit",,^(529|680)$]
       eventlog[System,,"Warning|Error"]
       eventlog[System,,,,^1$]
       eventlog[Windows PowerShell,,,,,,skip]
       eventlog[System,,,,@TWOSHORT] #此处引用了一个名为 `TWOSHORT` 的自定义正则表达式（定义为“结果为TRUE”类型，其表达式本身为 `^1$|^70$`）。

eventlog.count[name,<regexp>,<severity>,<source>,<eventid>,<maxproclines>,<mode>]

Windows事件日志中的行数。
返回值：integer。

参数：

• name - 事件日志通道的名称（在事件查看器GUI中为“日志名称”）；
  
• regexp - 描述所需模式的正则概述（区分大小写）；
  
• severity - 描述严重性的正则表达式（不区分大小写）。此参数接受基于以下值的正则表达式："Information"、"Warning"、"Error"、"Critical"、"Verbose"（仅适用于Windows Vista或更高版本）；
  
• source - 描述源标识符的正则表达式（不区分大小写）；
  
• eventid - 描述事件标识符的正则表达式（区分大小写）；
  
• maxproclines - 每秒agent分析的最大新行数（不能超过10000）。默认值为10中的'MaxLinesPerSecond' zabbix_agentd.conf；
  
• mode - 可能值：all（默认）或skip - 跳过旧数据的处理（仅影响新创建的监控项）。

备注：

• 监控项必须配置为主动检查；
• agent无法发送“转发事件”日志中的事件；
• 支持Windows事件6.0；
• 为此监控项选择非日志配置将导致丢失本地时间戳，以及日志严重性和源信息；
• 另请参阅有关log monitoring的附加信息。

示例：

eventlog.count[System,,"Warning|Error"]
       eventlog.count[Windows PowerShell,,,,,,skip]

网络接口列表

网络接口列表（包括接口类型、状态、IPv4地址、描述）。
返回值：文本。

备注：

• 支持多字节接口名称；
• 不列出已禁用的接口；
• 启用/禁用某些组件可能会更改其在Windows接口名称中的顺序；
• 某些Windows版本（例如，Server 2008）可能需要安装最新的更新以支持接口名称中的非ASCII字符。

perf_counter[counter,<interval>]

任何 Windows 性能计数器的值。
返回值：integer、float、string 或 文本（取决于请求）。

参数：

• counter - 计数器的路径；
  
• interval - 存储平均值的最近 N 秒。interval 必须介于 1 和 900 秒之间（包含），默认值为 1。

备注：

• interval 用于需要多个样本的计数器（如 CPU 使用率），因此每次检查都会返回最近 "interval" 秒的平均值；
• 可以使用性能监视器获取可用计数器列表。
• 参见：Windows performance counters。

perf_counter_cn[counter,<interval>]

英文环境下任何Windows性能计数器的值。
返回值：integer、float、string 或 text（取决于请求）。

参数：

• counter - 英文环境下的计数器路径；
  
• interval - 存储平均值的最近N秒。interval 必须介于 1 和 900 秒之间（包含），默认值为 1。

备注：

• interval 用于需要多个样本的计数器（例如CPU使用率），因此该检查每次都会返回最近 "interval" 秒的平均值；
• 此 监控项 仅支持 Windows Server 2008/Vista 及以上版本；
• 您可以通过查看以下注册表项找到英文字符串列表： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Perflib\009。

perf_instance.discovery[object]

Windows性能计数器的object实例列表。用于low-level discovery。
返回值：JSON object。

参数：

• object - object名称（本地化）。

perf_instance_en.discovery[object]

使用英文的 object 名称发现的 Windows 性能计数器的 object 实例列表。用于 low-level discovery。
返回值：JSON object。

参数：

• object - object 名称（英文）。

proc_info[process,<attribute>,<type>]

关于特定进程（多个进程）的各种信息。
返回值：float。

参数：

• 进程 - 进程名称；
  
• 属性 - 请求的进程属性；
  
• 类型 - 表示类型（在存在多个同名进程时有意义）

备注：

• 支持以下 attributes：
  vmsize（默认） - 进程虚拟 memory 大小，单位为千字节（KB）
  wkset - 进程工作集大小（进程使用的物理 memory 量），单位为千字节（KB）
  pf - 页面错误数量
  ktime - 进程内核时间，单位为毫秒
  utime - 进程用户时间，单位为毫秒
  io_read_b - 进程在I/O操作中读取的字节数
  io_read_op - 进程执行的读取操作次数
  io_write_b - 进程在I/O操作中写入的字节数
  io_write_op - 进程执行的写入操作次数
  io_other_b - 进程在非读写操作期间传输的字节数
  io_other_op - 进程执行的非读写I/O操作次数
  gdiobj - 进程使用的GDI objects 数量
  userobj - 进程使用的USER objects 数量；
  
• 有效的 types 有：
  avg（默认） - 所有名为 <process> 的进程的平均值
  min - 所有名为 <process> 的进程中的最小值
  max - 所有名为 <process> 的进程中的最大值
  sum - 所有名为 <process> 的进程的值之和；
• 在 64 位系统上，此 监控项 要正常运行需要一个 64 位的 Zabbix agent。

示例：

proc_info[iexplore.exe,wkset,sum] #检索所有Internet Explorer进程占用的物理 memory 量
       proc_info[iexplore.exe,pf,avg] #检索Internet Explorer进程的平均页面错误数量

注册表数据[key,<值名称>]

返回 Windows 注册表项中指定值名称的数据。
返回值：integer、string 或 文本（取决于值类型）

参数：

• 项 - 包含根项的注册表项；允许使用根项缩写（例如 HKLM）；
• 值名称 - 项中的注册表值名称（默认为空 string ""）。如果不提供值名称，则返回默认值。

备注：

• 支持的根项缩写：
  HKCR - HKEY_CLASSES_ROOT
  HKCC - HKEY_CURRENT_CONFIG
  HKCU - HKEY_CURRENT_USER
  HKCULS - HKEY_CURRENT_USER_LOCAL_SETTINGS
  HKLM - HKEY_LOCAL_MACHINE
  HKPD - HKEY_PERFORMANCE_DATA
  HKPN - HKEY_PERFORMANCE_NLSTEXT
  HKPT - HKEY_PERFORMANCE_TEXT
  HKU - HKEY_USERS
  
• 包含空格的项名必须用双引号括起。

示例：

registry.data["HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Windows Error Reporting"] # 返回此键的默认值数据
       registry.data["HKLM\SOFTWARE\Microsoft\Windows\Windows Error Reporting","EnableZip"] # 返回此键中名为 "Enable Zip" 的值数据

registry.get[key,<mode>,<name regexp>]

位于给定注册表项下的 Windows 注册表值或键的列表。
返回值：JSON object。

参数：

• key - 注册表键，包含根键；允许使用根键缩写（例如 HKLM）（有关完整缩写列表，请参见 registry.data[] 的注释）；
  
• mode - 可能的值：
  values（默认）或 keys；
  
• name regexp - 仅发现名称匹配正则表达式的值（默认 - 发现所有值）。仅当 mode 为 values 时允许使用此参数。

包含空格的键名必须使用双引号括起。

示例：

registry.get[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall,values,"^DisplayName|DisplayVersion$"] #返回此键中名为 "DisplayName" 或 "DisplayValue" 的值的数据。JSON 将包含键、最后的子键、值名称、值类型和值数据的详细信息。
       registry.get[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall,values] #返回此键中所有值的数据。JSON 将包含键、最后的子键、值名称、值类型和值数据的详细信息。
       registry.get[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall,keys] #返回此键的所有子键。JSON 将包含键和最后的子键的详细信息。

服务发现

Windows服务列表。用于low-level discovery。
返回值：JSON object。

service.info[服务,<参数>]

服务的信息。
返回值：integer - 包含 param 作为 state、startup；string - 包含 param 作为 displayname、path、user；Text - 包含 param 作为 description
对于 state 特别说明：0 - 正在运行，1 - 已暂停，2 - 启动挂起，3 - 暂停挂起，4 - 继续挂起，5 - 停止挂起，6 - 已停止，7 - 未知，255 - 无此服务
对于 startup 特别说明：0 - 自动，1 - 自动延迟，2 - 手动，3 - 禁用，4 - 未知，5 - 自动触发启动，6 - 自动延迟触发启动，7 - 手动触发启动

参数：

• service - 实际服务名称或其显示名称（在 MMC 服务管理单元中可见）；
• param - state（默认）、displayname、path、user、startup 或 description。

备注：

• 监控项 如 service.info[service,state] 和 service.info[service] 将返回相同的信息；
• 仅当 param 为 state 时，此 监控项 才会为不存在的服务返回值（255）。

示例：

service.info[SNMPTRAP] - SNMPTRAP 服务的状态；
       service.info[SNMP Trap] - 同一服务的状态，但指定了显示名称；
       service.info[EventLog,startup] - EventLog 服务的启动类型

services[<type>,<state>,<exclude>]

服务列表。
返回值：0 - 如果为空；文本 - 以换行符分隔的服务列表。

参数：

• type - 所有（默认）、自动、手动 或 已禁用；
• state - 所有（默认）、已停止、已启动、启动中、停止中、运行中、继续中、暂停中 或 已暂停；
• exclude - 要从结果中排除的服务。被排除的服务应使用双引号括起，以逗号分隔，不包含空格。

示例：

services[,started] #返回已启动服务的列表；
       services[automatic, stopped] #返回应运行但已停止的服务列表；
       services[automatic, stopped, "service1,service2,service3"] #返回应运行但已停止的服务列表，并排除名为 "service1"、"service2" 和 "service3" 的服务

虚拟机内存大小[<类型>]

虚拟 memory 的大小，以字节或占总量的百分比表示。
返回值：integer - 表示字节；float - 表示百分比。

参数：

• type - 可选值：available（可用虚拟内存）、pavailable（可用虚拟内存，百分比）、pused（已用虚拟内存，百分比）、total（总虚拟内存，默认值）或 used（已用虚拟内存）

备注：

• 虚拟 memory 统计信息的监控基于以下内容：
  
  • Windows 上的总虚拟 memory（物理内存总量 + 页面 file 大小）；
    
  • Zabbix agent 可提交的最大 memory 数量；
    
  • 系统或 Zabbix agent 的当前已提交的 memory 限制，取较小值。

示例：

vm.vmemory.size[pavailable] # 返回可用虚拟内存，以百分比表示

wmi.get[<命名空间>,<query>]

执行一个WMI query 并返回第一个选定的 object。
返回值：integer、float、string 或 text（取决于请求）。

参数：

• namespace - WMI 命名空间；
  
• query - 返回单个 object 的 WMI query。

WMI queries 是通过 WQL 执行的。

示例：

wmi.get[root\cimv2,select status from Win32_DiskDrive where Name like '%PHYSICALDRIVE0%'] #返回第一个物理磁盘的状态

wmi.getall[<命名空间>,<query>]

执行一个WMI query 并返回整个响应。可用于 low-level discovery。
返回值：JSON object

参数：

• namespace - WMI命名空间；
  
• query - WMI query。

备注：

• WMI queries 是通过 WQL 执行的。
• 可以使用 JSONPath 监控项-值预处理 来指向返回JSON中的更具体值。

示例：

wmi.getall[root\cimv2,select * from Win32_DiskDrive where Name like '%PHYSICALDRIVE%'] #returns status information of physical disks

监控 Windows 服务

本教程提供了设置 Windows 服务监控的逐步说明。假设已配置并运行了 Zabbix server 和 agent。

步骤1

获取服务名称。

您可以get通过进入MMC服务管理单元并打开服务属性的方式来获取服务名称。在常规选项卡中，您应该会看到一个名为“服务名称”的字段。其后的值即为设置监控项监控时所使用的服务名称。
例如，如果您想要监控“工作站”服务，则对应的服务名称可能是：lanmanworkstation。

步骤 2

Configure an item 用于监控的 服务。

术语 监控项 service.info[service,<param>] 用于检索信息 关于特定服务的信息。根据您所需的信息， 指定接受以下值的 param 选项： displayname、state、path、user、startup 或 description。 默认值为 state，如果未指定 param service.info[service]

返回值类型取决于所选的 param：state 的 integer 和启动；字符 string 用于显示名称、路径和用户； 描述用的文本。

示例：

• 键名: service.info[lanmanworkstation]
• 数据类型: 数值型 (无符号)

术语 监控项 service.info[lanmanworkstation] 将以数值形式获取有关服务状态的信息。 要在前端将数值映射为文本表示形式（例如将"0"显示为"运行中"，将"1"显示为"已暂停"等），您可以在配置了监控项的主机上配置配置。 为此，请将 关联模板 Windows services by Zabbix agent 或 Windows services by Zabbix agent active 链接到 主机。 或在主机上配置一个新的值映射，该值映射基于在所述模板上配置的Windows服务状态值映射。

请注意，上述两个模板都配置了一个发现规则，该规则将自动发现服务。 如果您不希望这样，可以在将模板链接到主机后，在主机级别上disable the discovery rule。

Windows 服务发现

Low-level discovery 提供了一种自动为计算机上的不同实体创建 create 监控项、触发器和图形的方法。Zabbix 可以自动开始监控您机器上的 Windows 服务，而无需手动了解每个服务的确切名称或为每个服务配置 create 监控项。可以使用过滤器仅为感兴趣的服务创建实际的 generate 监控项、触发器和图形。