2 Windows Zabbix Agent

Übersicht

Die Windows-Zabbix-Agent-Datenpunkte werden in zwei Listen dargestellt:

• Gemeinsame Datenpunkte - die Datenpunktschlüssel, die mit dem UNIX-Zabbix-Agent gemeinsam genutzt werden;
• Windows-spezifische Datenpunkte - die Datenpunktschlüssel, die nur unter Windows unterstützt werden.

Beachten Sie, dass alle vom Zabbix-Agent unter Windows unterstützten Datenpunktschlüssel auch vom Zabbix-Agent 2 der neuen Generation unterstützt werden. Siehe die zusätzlichen Datenpunktschlüssel, die Sie nur mit Agent 2 verwenden können.

Siehe auch: Mindestberechtigungen für Windows-Datenpunkte

Gemeinsame Datenpunkte

Die folgende Tabelle listet Zabbix-Agent-Datenpunkte auf, die unter Windows unterstützt werden und mit dem UNIX-Zabbix-Agent gemeinsam verwendet werden:

• Der Datenpunkt-Schlüssel ist ein Link zu den vollständigen Details des UNIX-Zabbix-Agent-Datenpunkts
• Windows-relevante Kommentare zu Datenpunkten sind enthalten

Windows-spezifische Datenpunkte

Die Tabelle enthält Details zu den Datenpunktschlüsseln, die nur vom Windows-Zabbix-Agent unterstützt werden.

Windows-spezifische Datenpunkte sind manchmal ein ungefähres Gegenstück zu einem ähnlichen Agent-Datenpunkt; zum Beispiel entspricht proc_info, das unter Windows unterstützt wird, in etwa dem Datenpunkt proc.mem, der unter Windows nicht unterstützt wird.

Der Datenpunktschlüssel ist ein Link zu den vollständigen Details des Datenpunktschlüssels.

Details zum Datenpunktschlüssel

Parameter ohne spitze Klammern sind obligatorisch. Parameter, die mit spitzen Klammern < > gekennzeichnet sind, sind optional.

eventlog[name,<regexp>,<severity>,<source>,<eventid>,<maxlines>,<mode>]

Die Überwachung des Ereignisprotokolls.
Rückgabewert: Log.

Parameter:

• name - der Name des Ereignisprotokoll-Kanals (Log Name in der GUI des Event Viewers);
  
• regexp - ein regulärer Ausdruck, der das erforderliche Muster beschreibt (Groß-/Kleinschreibung wird beachtet);
  
• severity - ein regulärer Ausdruck, der den Schweregrad beschreibt (Groß-/Kleinschreibung wird nicht beachtet). Dieser Parameter akzeptiert einen regulären Ausdruck auf Basis der folgenden Werte: "Information", "Warning", "Error", "Critical", "Verbose" (unter Windows Vista oder neuer).
  
• source - ein regulärer Ausdruck, der die Quellkennung beschreibt (Groß-/Kleinschreibung wird nicht beachtet);
  
• eventid - ein regulärer Ausdruck, der die Ereigniskennung(en) beschreibt (Groß-/Kleinschreibung wird beachtet);
  
• maxlines - die maximale Anzahl neuer Zeilen pro Sekunde, die der Agent an den Zabbix Server oder Proxy sendet. Dieser Parameter überschreibt den Wert von MaxLinesPerSecond in zabbix_agentd.conf.
  
• mode - mögliche Werte:
  • all (Standard);
  • skip - die Verarbeitung älterer Daten überspringen (wirkt sich nur auf neu erstellte Datenpunkte aus).

Kommentare:

• Der Datenpunkt muss als aktiver Check konfiguriert sein;
• Der Agent kann keine Ereignisse aus dem Protokoll "Forwarded events" senden;
• Windows Eventing 6.0 wird unterstützt;
• Wenn für diesen Datenpunkt ein anderer Informationstyp als Log ausgewählt wird, gehen der lokale Zeitstempel sowie die Informationen zu Protokollschweregrad und Quelle verloren;
• Siehe auch zusätzliche Informationen zur Protokollüberwachung.

Beispiele:

eventlog[Application]
eventlog[Microsoft-Windows-Application-Experience/Program-Compatibility-Assistant]
eventlog[Security,,"Failure Audit",,^(529|680)$]
eventlog[System,,"Warning|Error"]
eventlog[System,,,,^1$]
eventlog[Windows PowerShell,,,,,,skip]
eventlog[System,,,,@TWOSHORT] #hier wird ein benutzerdefinierter regulärer Ausdruck mit dem Namen `TWOSHORT` referenziert (definiert als Typ *Result is TRUE*, wobei der Ausdruck selbst `^1$|^70$` ist).

eventlog.count[name,<regexp>,<severity>,<source>,<eventid>,<maxproclines>,<mode>]

Die Anzahl der Zeilen im Windows-Ereignisprotokoll.
Rückgabewert: Integer.

Parameter:

• name - der Name des Ereignisprotokollkanals (Log Name in der GUI des Event Viewers);
  
• regexp - ein regulärer Ausdruck, der das erforderliche Muster beschreibt (Groß-/Kleinschreibung wird beachtet);
  
• severity - ein regulärer Ausdruck, der den Schweregrad beschreibt (Groß-/Kleinschreibung wird nicht beachtet). Dieser Parameter akzeptiert einen regulären Ausdruck auf Basis der folgenden Werte: "Information", "Warning", "Error", "Critical", "Verbose" (unter Windows Vista oder neuer).
  
• source - ein regulärer Ausdruck, der den Quellbezeichner beschreibt (Groß-/Kleinschreibung wird nicht beachtet);
  
• eventid - ein regulärer Ausdruck, der die Ereignis-ID(s) beschreibt (Groß-/Kleinschreibung wird beachtet);
  
• maxproclines - die maximale Anzahl neuer Zeilen pro Sekunde, die der Agent analysiert (darf 10000 nicht überschreiten). Der Standardwert ist 10*'MaxLinesPerSecond' in zabbix_agentd.conf.
  
• mode - mögliche Werte:
  • all (Standard);
  • skip - die Verarbeitung älterer Daten überspringen (wirkt sich nur auf neu erstellte Datenpunkte aus).

Kommentare:

• Der Datenpunkt muss als aktiver Check konfiguriert sein;
• Der Agent kann keine Ereignisse aus dem Protokoll "Forwarded events" senden;
• Windows Eventing 6.0 wird unterstützt;
• Die Auswahl eines anderen Informationstyps als Log für diesen Datenpunkt führt zum Verlust des lokalen Zeitstempels sowie der Informationen zu Protokollschweregrad und Quelle;
• Siehe auch zusätzliche Informationen zur Protokollüberwachung.

Beispiele:

eventlog.count[System,,"Warning|Error"]
eventlog.count[Windows PowerShell,,,,,,skip]

net.if.list

Die Liste der Netzwerkschnittstellen (einschließlich Schnittstellentyp, Status, IPv4-Adresse, Beschreibung).
Rückgabewert: Text.

Kommentare:

• Schnittstellennamen mit mehreren Bytes werden unterstützt;
• Deaktivierte Schnittstellen werden nicht aufgelistet;
• Das Aktivieren/Deaktivieren einiger Komponenten kann ihre Reihenfolge im Windows-Schnittstellennamen ändern;
• Einige Windows-Versionen (zum Beispiel Server 2008) erfordern möglicherweise die Installation der neuesten Updates, um Nicht-ASCII-Zeichen in Schnittstellennamen zu unterstützen.

perf_counter[counter,<interval>]

Der Wert eines beliebigen Windows-Leistungsindikators.
Rückgabewert: Integer, float, string oder text (je nach Anfrage).

Parameter:

• counter - der Pfad zum Leistungsindikator;
  
• interval - die letzten N Sekunden zur Speicherung des Durchschnittswerts. Der Wert von interval muss zwischen 1 und 900 Sekunden liegen (einschließlich), und der Standardwert ist 1.

Kommentare:

• Dieser Datenpunkt folgt UNC-Pfaden, was ein Sicherheitsrisiko darstellen kann;
• interval wird für Leistungsindikatoren verwendet, die mehr als eine Messprobe erfordern (z. B. CPU-Auslastung), sodass die Prüfung jedes Mal einen Durchschnittswert für die letzten "interval" Sekunden zurückgibt;
• Der Performance Monitor kann verwendet werden, um die Liste der verfügbaren Leistungsindikatoren zu erhalten.
• Siehe auch: Windows-Leistungsindikatoren.

perf_counter_en[counter,<interval>]

Der Wert eines beliebigen Windows-Leistungszählers in englischer Sprache.
Rückgabewert: Integer, float, string oder text (je nach Anfrage).

Parameter:

• counter - der Pfad zum Zähler in englischer Sprache;
  
• interval - die letzten N Sekunden zur Speicherung des Durchschnittswerts. Das interval muss zwischen 1 und 900 Sekunden (einschließlich) liegen, und der Standardwert ist 1.

Kommentare:

• Dieses Datenpunkt folgt UNC-Pfaden, was ein Sicherheitsrisiko darstellen kann;
• interval wird für Zähler verwendet, die mehr als eine Messung benötigen (wie die CPU-Auslastung), sodass die Prüfung jedes Mal einen Durchschnittswert für die letzten "interval" Sekunden zurückgibt;
• Dieses Datenpunkt wird nur unter Windows Server 2008/Vista und höher unterstützt;
• Die Liste der englischen Zeichenfolgen finden Sie, indem Sie den folgenden Registrierungsschlüssel anzeigen: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Perflib\009.

perf_instance.discovery[object]

Die Liste der Objektinstanzen von Windows-Leistungsindikatoren. Wird für Low-Level-Discovery verwendet.
Rückgabewert: JSON-Objekt.

Parameter:

• object - der Objektname (lokalisiert).

perf_instance_en.discovery[object]

Die Liste der Objektinstanzen von Windows-Leistungsindikatoren, die unter Verwendung der Objektnamen auf Englisch erkannt werden. Wird für Low-Level-Discovery verwendet.
Rückgabewert: JSON-Objekt.

Parameter:

• object - der Objektname (auf Englisch).

proc_info[process,<attribute>,<type>]

Verschiedene Informationen über bestimmte Prozesse.
Rückgabewert: Float.

Parameter:

• process - der Prozessname;
  
• attribute - das angeforderte Prozesse-Attribut;
  
• type - der Darstellungstyp (sinnvoll, wenn mehr als ein Prozess mit demselben Namen vorhanden ist)

Kommentare:

• Die folgenden attributes werden unterstützt:
  • vmsize - Größe des virtuellen Speichers des Prozesses in Kbytes (Standard);
  • wkset - Größe des Working Sets des Prozesses (Menge des vom Prozess verwendeten physischen Speichers) in Kbytes;
  • pf - Anzahl der Page Faults;
  • ktime - Kernelzeit des Prozesses in Millisekunden;
  • utime - Benutzerzeit des Prozesses in Millisekunden;
  • io_read_b - Anzahl der Bytes, die vom Prozess während I/O-Operationen gelesen wurden;
  • io_read_op - Anzahl der vom Prozess ausgeführten Leseoperationen;
  • io_write_b - Anzahl der Bytes, die vom Prozess während I/O-Operationen geschrieben wurden;
  • io_write_op - Anzahl der vom Prozess ausgeführten Schreiboperationen;
  • io_other_b - Anzahl der vom Prozess während anderer als Lese- und Schreiboperationen übertragenen Bytes;
  • io_other_op - Anzahl der vom Prozess ausgeführten I/O-Operationen, die keine Lese- oder Schreiboperationen sind;
  • gdiobj - Anzahl der vom Prozess verwendeten GDI-Objekte;
  • userobj - Anzahl der vom Prozess verwendeten USER-Objekte.
• Gültige types sind:
  • avg - Durchschnittswert für alle Prozesse mit dem Namen <process> (Standard);
  • min - Minimalwert unter allen Prozessen mit dem Namen <process>;
  • max - Maximalwert unter allen Prozessen mit dem Namen <process>;
  • sum - Summe der Werte aller Prozesse mit dem Namen <process>.
• Auf einem 64-Bit-System ist ein 64-Bit-Zabbix-Agent erforderlich, damit dieses Element korrekt funktioniert.
  

Beispiele:

proc_info[iexplore.exe,wkset,sum] #ermittelt die Menge des physischen Speichers, die von allen Internet-Explorer-Prozessen belegt wird
proc_info[iexplore.exe,pf,avg] #ermittelt die durchschnittliche Anzahl der Page Faults für Internet-Explorer-Prozesse

registry.data[key,<value name>]

Gibt die Daten für den angegebenen Wertnamen im Windows-Registrierungsschlüssel zurück.
Rückgabewert: Integer, string oder text (je nach Werttyp)

Parameter:

• key - der Registrierungsschlüssel einschließlich des Stamm-Schlüssels; Stammabkürzungen (z. B. HKLM) sind zulässig;
• value name - der Name des Registrierungswerts im Schlüssel (standardmäßig leerer String ""). Der Standardwert wird zurückgegeben, wenn der Wertname nicht angegeben ist.

Kommentare:

• Unterstützte Stammabkürzungen:
  • HKCR - HKEY_CLASSES_ROOT
  • HKCC - HKEY_CURRENT_CONFIG
  • HKCU - HKEY_CURRENT_USER
  • HKCULS - HKEY_CURRENT_USER_LOCAL_SETTINGS
  • HKLM - HKEY_LOCAL_MACHINE
  • HKPD - HKEY_PERFORMANCE_DATA
  • HKPN - HKEY_PERFORMANCE_NLSTEXT
  • HKPT - HKEY_PERFORMANCE_TEXT
  • HKU - HKEY_USERS
• Schlüssel mit Leerzeichen müssen in doppelte Anführungszeichen gesetzt werden.

Beispiele:

registry.data["HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Windows Error Reporting"] #gibt die Daten des Standardwerts dieses Schlüssels zurück
registry.data["HKLM\SOFTWARE\Microsoft\Windows\Windows Error Reporting","EnableZip"] #gibt die Daten des in diesem Schlüssel mit "Enable Zip" benannten Werts zurück

registry.get[key,<mode>,<name regexp>]

Die Liste der Windows-Registrierungswerte oder -Schlüssel, die sich unter dem angegebenen Schlüssel befinden.
Rückgabewert: JSON object.

Parameter:

• key - der Registrierungs-Schlüssel einschließlich des Stamm-Schlüssels; Stammabkürzungen (z. B. HKLM) sind zulässig (siehe Kommentare zu registry.data[] für die vollständige Liste der Abkürzungen);
  
• mode - mögliche Werte:
  values (Standard) oder keys;
  
• name regexp - ermittelt nur Werte, deren Namen mit dem regulären Ausdruck übereinstimmen (Standard - alle Werte ermitteln). Nur mit values als mode zulässig.

Schlüssel mit Leerzeichen müssen in doppelte Anführungszeichen gesetzt werden.

Beispiele:

registry.get[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall,values,"^DisplayName|DisplayVersion$"] #gibt die Daten der Werte mit den Namen "DisplayName" oder "DisplayValue" in diesem Schlüssel zurück.
Das JSON enthält Details zum Schlüssel, zum letzten Unterschlüssel, zum Wertnamen, zum Werttyp und zu den Wertdaten.
registry.get[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall,values] #gibt die Daten aller Werte in diesem Schlüssel zurück.
Das JSON enthält Details zum Schlüssel, zum letzten Unterschlüssel, zum Wertnamen, zum Werttyp und zu den Wertdaten.
registry.get[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall,keys] #gibt alle Unterschlüssel dieses Schlüssels zurück.
Das JSON enthält Details zum Schlüssel und zum letzten Unterschlüssel.

service.discovery

Die Liste der Windows-Dienste. Wird für Low-Level-Discovery verwendet.
Rückgabewert: JSON-Objekt.

service.info[service,<param>]

Informationen zu einem Dienst.
Rückgabewert:

• Integer - mit param als state, startup;
  Speziell für state:
  • 0 - läuft
  • 1 - pausiert
  • 2 - Start ausstehend
  • 3 - Pause ausstehend
  • 4 - Fortsetzen ausstehend
  • 5 - Stopp ausstehend
  • 6 - gestoppt
  • 7 - unbekannt
  • 255 - kein solcher Dienst
    Speziell für startup:
  • 0 - automatisch
  • 1 - automatisch verzögert
  • 2 - manuell
  • 3 - deaktiviert
  • 4 - unbekannt
  • 5 - automatischer Trigger-Start
  • 6 - automatischer verzögerter Trigger-Start
  • 7 - manueller Trigger-Start
• String - mit param als displayname, path, user;
• Text - mit param als description.

Parameter:

• service - ein echter Dienstname oder sein Anzeigename, wie er im MMC-Snap-In "Dienste" angezeigt wird;
• param - state (Standard), displayname, path, user, startup oder description.

Kommentare:

• Elemente wie service.info[service,state] und service.info[service] geben dieselben Informationen zurück;
• Nur mit param als state gibt dieses Element einen Wert für nicht vorhandene Dienste zurück (255).

Beispiele:

service.info[SNMPTRAP] - Zustand des Dienstes SNMPTRAP;
service.info[SNMP Trap] - Zustand desselben Dienstes, aber mit angegebenem Anzeigenamen;
service.info[EventLog,startup] - der Starttyp des Dienstes EventLog

services[<type>,<state>,<exclude>]

Die Auflistung der Dienste.
Rückgabewert: 0 - wenn leer; Text - die durch einen Zeilenumbruch getrennte Liste der Dienste.

Parameter:

• type - all (Standard), automatic, manual oder disabled;
• state - all (Standard), stopped, started, start_pending, stop_pending, running, continue_pending, pause_pending oder paused;
• exclude - die Dienste, die vom Ergebnis ausgeschlossen werden sollen. Ausgeschlossene Dienste müssen in doppelten Anführungszeichen und durch Kommas ohne Leerzeichen getrennt aufgeführt werden.

Beispiele:

services[,started] #gibt die Liste der gestarteten Dienste zurück;
services[automatic, stopped] #gibt die Liste der gestoppten Dienste zurück, die ausgeführt werden sollten;
services[automatic, stopped, "service1,service2,service3"] #gibt die Liste der gestoppten Dienste zurück, die ausgeführt werden sollten, mit Ausnahme der Dienste "service1", "service2" und "service3"

vm.vmemory.size[<type>]

Die Größe des virtuellen Speichers in Byte oder als Prozentsatz der Gesamtsumme.
Rückgabewert: Integer - für Byte; float - für Prozentwerte.

Parameter:

• type - mögliche Werte: available (verfügbarer virtueller Speicher), pavailable (verfügbarer virtueller Speicher in Prozent), pused (genutzter virtueller Speicher in Prozent), total (gesamter virtueller Speicher, Standard) oder used (genutzter virtueller Speicher)

Kommentare:

• Die Überwachung der Statistiken zum virtuellen Speicher basiert auf:
  
  • dem gesamten virtuellen Speicher unter Windows (gesamter physischer Speicher + Größe der Auslagerungsdatei);
    
  • der maximalen Speichermenge, die der Zabbix Agent reservieren kann;
    
  • dem aktuellen Limit für reservierten Speicher des Systems oder des Zabbix Agent, je nachdem, welcher Wert kleiner ist.

Beispiel:

vm.vmemory.size[pavailable] #gibt den verfügbaren virtuellen Speicher in Prozent zurück

wmi.get[<namespace>,<query>]

Führen Sie eine WMI-Abfrage aus und geben Sie das erste ausgewählte Objekt zurück.
Rückgabewert: Integer, float, string oder text (abhängig von der Anfrage).

Parameter:

• namespace - der WMI-Namespace;
  
• query - die WMI-Abfrage, die ein einzelnes Objekt zurückgibt.

WMI-Abfragen werden mit WQL ausgeführt.

Beispiel:

wmi.get[root\cimv2,select status from Win32_DiskDrive where Name like '%PHYSICALDRIVE0%'] #gibt den Status des ersten physischen Datenträgers zurück

wmi.getall[<namespace>,<query>]

Führt eine WMI-Abfrage aus und gibt die gesamte Antwort zurück. Kann für die Low-Level-Discovery verwendet werden.
Rückgabewert: JSON-Objekt

Parameter:

• namespace - der WMI-Namespace;
  
• query - die WMI-Abfrage.

Kommentare:

• WMI-Abfragen werden mit WQL ausgeführt.
• Die JSONPath-Vorverarbeitung kann verwendet werden, um auf spezifischere Werte im zurückgegebenen JSON zu verweisen.

Beispiel:

wmi.getall[root\cimv2,select * from Win32_DiskDrive where Name like '%PHYSICALDRIVE%'] #gibt Statusinformationen zu physischen Festplatten zurück

Überwachung von Windows-Diensten

Dieses Tutorial enthält eine Schritt-für-Schritt-Anleitung zum Einrichten der Überwachung von Windows-Diensten. Es wird davon ausgegangen, dass Zabbix Server und Agent konfiguriert und betriebsbereit sind.

Schritt 1

Ermitteln Sie den Dienstnamen.

Sie können den Dienstnamen ermitteln, indem Sie das MMC-Snap-In "Dienste" öffnen und die Eigenschaften des Dienstes aufrufen. Auf der Registerkarte Allgemein sollte ein Feld mit der Bezeichnung Dienstname angezeigt werden. Der folgende Wert ist der Name, den Sie beim Einrichten eines Datenpunkts für die Überwachung verwenden. Wenn Sie beispielsweise den Dienst "workstation" überwachen möchten, könnte Ihr Dienstname lanmanworkstation lauten.

Schritt 2

Konfigurieren Sie einen Datenpunkt zur Überwachung des Dienstes.

Der Datenpunkt service.info[service,<param>] ruft Informationen über einen bestimmten Dienst ab. Geben Sie je nach den benötigten Informationen die Option param an, die die folgenden Werte akzeptiert: displayname, state, path, user, startup oder description. Der Standardwert ist state, wenn param nicht angegeben ist (service.info[service]).

Der Typ des Rückgabewerts hängt vom gewählten param ab: integer für state und startup; Zeichenkette für displayname, path und user; Text für description.

Beispiel:

• Schlüssel: service.info[lanmanworkstation]
• Informationstyp: Numerisch (ohne Vorzeichen)

Der Datenpunkt service.info[lanmanworkstation] ruft Informationen über den Status des Dienstes als numerischen Wert ab. Um einen numerischen Wert im Frontend einer Textdarstellung zuzuordnen („0“ als „Running“, „1“ als „Paused“ usw.), können Sie auf dem Host, auf dem der Datenpunkt konfiguriert ist, eine Wertzuordnung konfigurieren. Dazu verknüpfen Sie entweder die Vorlage Windows services by Zabbix agent oder Windows services by Zabbix agent active mit dem Host oder konfigurieren auf dem Host eine neue Wertzuordnung, die auf der Wertzuordnung Windows service state basiert, die in den genannten Vorlagen konfiguriert ist.

Beachten Sie, dass in beiden genannten Vorlagen eine Discovery-Regel konfiguriert ist, die Dienste automatisch erkennt. Wenn Sie dies nicht möchten, können Sie die Discovery-Regel deaktivieren auf Host-Ebene, nachdem die Vorlage mit dem Host verknüpft wurde.

Discovery von Windows-Diensten

Low-level discovery bietet eine Möglichkeit, automatisch Datenpunkte, Auslöser und Diagramme für verschiedene Entitäten auf einem Computer zu erstellen. Zabbix kann automatisch mit der Überwachung von Windows-Diensten auf Ihrem Rechner beginnen, ohne dass der genaue Name eines Dienstes bekannt sein muss oder für jeden Dienst manuell Datenpunkte erstellt werden müssen. Ein Filter kann verwendet werden, um echte Datenpunkte, Auslöser und Diagramme nur für Dienste von Interesse zu erzeugen.