Ereignisse und Reaktion

Übersicht

In Zabbix werden mehrere Arten von Ereignissen erzeugt:

  • Auslöserereignisse - immer dann, wenn ein Auslöser seinen Status ändert (OK→PROBLEM→OK)
  • Serviceereignisse - immer dann, wenn ein Service seinen Status ändert (OK→PROBLEM→OK)
  • Erkennungsereignisse - wenn Hosts oder Services erkannt werden
  • Autoregistrierungsereignisse - wenn aktive Agenten vom Server automatisch registriert werden
  • interne Ereignisse - wenn ein Datenpunkt/eine Low-Level-Discovery-Regel nicht mehr unterstützt wird oder ein Auslöser in einen unbekannten Zustand wechselt

Ereignisse sind mit Zeitstempeln versehen und können die Grundlage für Aktionen wie das Senden von Benachrichtigungs-E-Mails, das Erstellen von Tickets oder das Ausführen von Remote-Befehlen sein.

Um Ereignisdetails im Frontend anzuzeigen, gehen Sie zu Monitoring > Problems. Dort können Sie auf Datum und Uhrzeit des Ereignisses klicken, um die Seite mit den Ereignisdetails zu öffnen. Dort sehen Sie zusätzliche Informationen zum Ereignis, einschließlich der Information, ob es aufgrund von Wartung unterdrückt oder von einem Benutzer manuell unterdrückt wurde.

Problem resolution

Problem events created by triggers are resolved automatically, if the condition that caused the problem no longer exists.

To add flexibility and convenience to problem event management, the following options exist:

Auslöser-Ereignisse

Änderungen des Auslöserzustands sind die häufigste und wichtigste Quelle von Ereignissen. Jedes Mal, wenn der Auslöser seinen Zustand ändert, wird ein Ereignis erzeugt. Das Ereignis enthält Details zur Änderung des Auslöserzustands - wann sie aufgetreten ist und wie der neue Zustand lautet.

Von Auslösern werden zwei Arten von Ereignissen erstellt - Problem und OK.

Problemereignisse

Ein Problemereignis wird erstellt:

  • wenn ein Auslöserausdruck zu TRUE ausgewertet wird, wenn sich der Auslöser im OK-Zustand befindet;
  • jedes Mal, wenn ein Auslöserausdruck zu TRUE ausgewertet wird, wenn die Generierung mehrerer Problemereignisse für den Auslöser aktiviert ist.
OK-Ereignisse

Ein OK-Ereignis schließt die zugehörigen Problemereignisse und kann von 3 Komponenten erstellt werden:

  • Auslöser - basierend auf den Einstellungen "OK event generation" und "OK event closes";
  • Ereigniskorrelation
  • Task-Manager - wenn ein Ereignis manuell geschlossen wird

Auslöser verfügen über die Einstellung „OK-Ereignisgenerierung“, die steuert, wie OK-Ereignisse generiert werden:

  • Expression - Ein OK-Ereignis wird für einen Auslöser im Problemzustand generiert, wenn sein Ausdruck zu FALSE ausgewertet wird. Dies ist die einfachste Einstellung und standardmäßig aktiviert.
  • Recovery expression - Ein OK-Ereignis wird für einen Auslöser im Problemzustand generiert, wenn sein Ausdruck zu FALSE ausgewertet wird und der Wiederherstellungsausdruck zu TRUE ausgewertet wird. Dies kann verwendet werden, wenn die Wiederherstellungskriterien des Auslösers von den Problemkriterien abweichen.
  • None - Ein OK-Ereignis wird niemals generiert. Dies kann in Verbindung mit der Generierung mehrerer Problemereignisse verwendet werden, um einfach eine Benachrichtigung zu senden, wenn etwas passiert.

Zusätzlich verfügen Auslöser über die Einstellung „OK-Ereignis schließt“, die steuert, welche Problemereignisse geschlossen werden:

  • All problems - Ein OK-Ereignis schließt alle offenen Probleme, die vom Auslöser erstellt wurden
  • All problems if tag values match - Ein OK-Ereignis schließt offene Probleme, die vom Auslöser erstellt wurden und mindestens einen übereinstimmenden Tag-Wert haben. Der Tag wird durch die Auslöser-Einstellung „Tag for matching“ definiert. Wenn keine Problemereignisse zum Schließen vorhanden sind, wird kein OK-Ereignis generiert. Dies wird oft als Ereigniskorrelation auf Auslöser-Ebene bezeichnet.
Ereigniskorrelation

Die Ereigniskorrelation (auch als globale Ereigniskorrelation bezeichnet) ist eine Möglichkeit, benutzerdefinierte Regeln zum Schließen von Ereignissen (wodurch OK-Ereignisse erzeugt werden) einzurichten.

Die Regeln definieren, wie neue Problemereignisse mit vorhandenen Problemereignissen verknüpft werden, und ermöglichen es, das neue Ereignis oder die zugeordneten Ereignisse durch Erzeugen entsprechender OK-Ereignisse zu schließen.

Die Ereigniskorrelation muss jedoch sehr sorgfältig konfiguriert werden, da sie die Leistung der Ereignisverarbeitung negativ beeinflussen kann oder bei fehlerhafter Konfiguration mehr Ereignisse als beabsichtigt schließt (im schlimmsten Fall könnten sogar alle Problemereignisse geschlossen werden). Einige Konfigurationstipps:

  1. Reduzieren Sie immer den Korrelationsumfang, indem Sie für das Steuerereignis (das Ereignis, das mit alten Ereignissen verknüpft wird) ein eindeutiges Tag festlegen, und verwenden Sie die Korrelationsbedingung 'new event tag'
  2. Vergessen Sie nicht, beim Verwenden der Operation 'close old event' eine Bedingung auf Grundlage des alten Ereignisses hinzuzufügen, da sonst alle vorhandenen Probleme geschlossen werden könnten
  3. Vermeiden Sie die Verwendung allgemeiner Tag-Namen, die von verschiedenen Korrelationskonfigurationen verwendet werden
Task-Manager

Wenn die Einstellung 'Allow manual close' für den Auslöser aktiviert ist, können Problemereignisse, die vom Auslöser generiert wurden, manuell geschlossen werden. Dies geschieht im Frontend beim Aktualisieren eines Problems. Das Ereignis wird nicht direkt geschlossen - stattdessen wird eine Aufgabe 'close event' erstellt, die vom Task-Manager kurz darauf verarbeitet wird. Der Task-Manager erzeugt ein entsprechendes OK-Ereignis und das Problemereignis wird geschlossen.

Service-Ereignisse

Service-Ereignisse werden nur generiert, wenn Service-Aktionen für diese Ereignisse aktiviert sind. In diesem Fall erzeugt jede Änderung des Service-Status ein neues Ereignis:

  • Problem-Ereignis - wenn der Service-Status von OK zu Problem geändert wird
  • OK-Ereignis - wenn der Service-Status von Problem zu OK geändert wird

Das Ereignis enthält Details zur Änderung des Service-Status - wann sie aufgetreten ist und wie der neue Status lautet.

Discovery-Ereignisse

Zabbix durchsucht regelmäßig die in den Regeln zur Netzwerkerkennung definierten IP-Bereiche. Die Häufigkeit der Prüfung kann für jede Regel individuell konfiguriert werden. Sobald ein Host oder ein Dienst erkannt wird, wird ein Discovery-Ereignis (oder mehrere Ereignisse) generiert.

Zabbix generiert die folgenden Ereignisse:

Ereignis Wann generiert
Service Up Jedes Mal, wenn Zabbix einen aktiven Dienst erkennt.
Service Down Jedes Mal, wenn Zabbix den Dienst nicht erkennen kann.
Host Up Wenn mindestens einer der Dienste für die IP UP ist.
Host Down Wenn alle Dienste nicht antworten.
Service Discovered Wenn der Dienst nach einer Ausfallzeit wieder verfügbar ist oder zum ersten Mal erkannt wird.
Service Lost Wenn der Dienst nach zuvor erfolgreichem Betrieb verloren geht.
Host Discovered Wenn der Host nach einer Ausfallzeit wieder verfügbar ist oder zum ersten Mal erkannt wird.
Host Lost Wenn der Host nach zuvor erfolgreichem Betrieb verloren geht.

Ereignisse der automatischen Registrierung aktiver Agenten

Die automatische Registrierung aktiver Agenten erstellt Ereignisse in Zabbix.

Wenn sie konfiguriert ist, wird ein Ereignis der automatischen Registrierung aktiver Agenten erstellt, wenn ein zuvor unbekannter aktiver Agent nach Prüfungen fragt oder wenn sich die Host-Metadaten geändert haben. Der Server fügt einen neu automatisch registrierten Host hinzu und verwendet dabei die empfangene IP-Adresse und den Port des Agenten.

Weitere Informationen finden Sie auf der Seite zur automatischen Registrierung aktiver Agenten.

Interne Ereignisse

Interne Ereignisse treten auf, wenn:

  • ein Datenpunkt seinen Status von 'normal' zu 'unsupported' ändert
  • ein Datenpunkt seinen Status von 'unsupported' zu 'normal' ändert
  • eine Low-Level-Discovery-Regel ihren Status von 'normal' zu 'unsupported' ändert
  • eine Low-Level-Discovery-Regel ihren Status von 'unsupported' zu 'normal' ändert
  • ein Auslöser seinen Status von 'normal' zu 'unknown' ändert
  • ein Auslöser seinen Status von 'unknown' zu 'normal' ändert

Ziel der Einführung interner Ereignisse ist es, Benutzer zu benachrichtigen, wenn ein internes Ereignis eintritt, zum Beispiel wenn ein Datenpunkt nicht mehr unterstützt wird und keine Daten mehr erfasst.

Interne Ereignisse werden nur erstellt, wenn interne Aktionen für diese Ereignisse aktiviert sind. Um die Generierung interner Ereignisse zu stoppen (zum Beispiel, wenn Datenpunkte nicht mehr unterstützt werden), deaktivieren Sie alle Aktionen für interne Ereignisse unter Alerts > Actions > Internal actions.

Wenn interne Aktionen deaktiviert sind, wird für dieses Objekt dennoch ein Wiederherstellungsereignis erstellt, während sich das Objekt im Status 'unsupported' befindet.

Wenn interne Aktionen aktiviert sind, wird für dieses Objekt ein Wiederherstellungsereignis erstellt, während sich das Objekt im Status 'unsupported' befindet, auch wenn für das Objekt kein 'problem event' erstellt wurde.

Siehe auch: Benachrichtigung bei nicht unterstützten Datenpunkten empfangen