Globale Ereigniskorrelation
Übersicht
Die globale Ereigniskorrelation ermöglicht es, über alle von Zabbix überwachten Metriken hinweg zu arbeiten und Korrelationen zu erstellen.
Es ist möglich, Ereignisse zu korrelieren, die von völlig unterschiedlichen Auslösern erzeugt wurden, und auf alle dieselben Operationen anzuwenden. Durch das Erstellen intelligenter Korrelationsregeln können Sie sich tatsächlich Tausende wiederholter Benachrichtigungen ersparen und sich auf die eigentlichen Ursachen eines Problems konzentrieren!
Die globale Ereigniskorrelation ist ein leistungsstarker Mechanismus, der es Ihnen ermöglicht, sich von einer auf einem einzelnen Auslöser basierenden Problem- und Auflösungslogik zu lösen. Bisher wurde ein einzelnes Problemereignis von einem Auslöser erzeugt, und wir waren für die Problembehebung von genau diesem Auslöser abhängig. Wir konnten ein von einem Auslöser erzeugtes Problem nicht mit einem anderen Auslöser beheben. Mit der auf Ereignis-Tagging basierenden Ereigniskorrelation können wir das jedoch.
Ein Log-Auslöser kann beispielsweise Anwendungsprobleme melden, während ein Polling-Auslöser meldet, dass die Anwendung läuft. Mithilfe von Ereignis-Tags können Sie den Log-Auslöser mit status:down und den Polling-Auslöser mit status:up kennzeichnen. Anschließend können Sie in einer globalen Korrelationsregel diese Auslöser miteinander verknüpfen und der Korrelation eine passende Operation zuweisen, etwa das Schließen der alten Ereignisse.
In einem anderen Anwendungsfall kann die globale Korrelation ähnliche Auslöser identifizieren und auf sie dieselbe Operation anwenden. Was wäre, wenn wir nur einen einzigen Problembericht pro Netzwerkport-Problem erhalten könnten? Dann müssten nicht alle gemeldet werden. Auch das ist mit der globalen Ereigniskorrelation möglich.
Die globale Ereigniskorrelation wird in Korrelationsregeln konfiguriert. Eine Korrelationsregel definiert, wie neue Problemereignisse mit vorhandenen Problemereignissen gepaart werden und was im Falle einer Übereinstimmung zu tun ist (das neue Ereignis schließen, übereinstimmende alte Ereignisse durch Erzeugen entsprechender OK-Ereignisse schließen). Wenn ein Problem durch globale Korrelation geschlossen wird, wird dies in der Spalte Info unter Überwachung > Probleme angezeigt.
Das Konfigurieren globaler Korrelationsregeln ist nur für Benutzer mit Super-Admin-Rechten verfügbar.
Die Ereigniskorrelation muss sehr sorgfältig konfiguriert werden, da sie die Leistung der Ereignisverarbeitung negativ beeinflussen kann oder bei fehlerhafter Konfiguration mehr Ereignisse schließen kann als beabsichtigt (im schlimmsten Fall könnten sogar alle Problemereignisse geschlossen werden).
Beachten Sie zur sicheren Konfiguration der globalen Korrelation die folgenden wichtigen Hinweise:
- Reduzieren Sie den Korrelationsumfang. Vergeben Sie für das neue Ereignis, das mit alten Ereignissen gepaart wird, immer ein eindeutiges Tag und verwenden Sie die Korrelationsbedingung Neuer Ereignis-Tagname.
- Fügen Sie bei Verwendung von Alte Ereignisse schließen eine explizite Bedingung für alte Ereignisse hinzu. Fügen Sie beim Auswählen von Alte Ereignisse schließen immer mindestens eine Altes Ereignis-Bedingung hinzu (zum Beispiel Alter Ereignis-Tagname, Alter Ereignis-Tagwert oder Ereignis-Tag-Paar) — andernfalls kann die Regel übereinstimmen und nicht zusammenhängende vorhandene Problemereignisse schließen (im schlimmsten Fall alle Probleme). Bevorzugen Sie Ereignis-Tag-Paar für den Abgleich von Laufzeitwerten (Host:Port, Sitzungs-ID usw.) und schränken Sie die Übereinstimmung nach Möglichkeit zusätzlich über Host oder Host-Gruppe ein.
- Vermeiden Sie die Verwendung allgemeiner Tagnamen, die möglicherweise von verschiedenen Korrelationskonfigurationen verwendet werden.
- Halten Sie die Anzahl der Korrelationsregeln auf die wirklich benötigten Regeln begrenzt.
Siehe auch: bekannte Probleme.
Konfiguration
So konfigurieren Sie globale Regeln für die Ereigniskorrelation:
- Gehen Sie zu Data collection > Event correlation.
- Klicken Sie rechts auf Create event correlation (oder auf den Korrelationsnamen, um eine vorhandene Regel zu bearbeiten).
- Geben Sie die Parameter der Korrelationsregel im Formular ein.
Alle Pflichtfelder sind mit einem roten Sternchen markiert.
| Parameter | Beschreibung |
|---|---|
| Name | Eindeutiger Name der Korrelationsregel. |
| Type of calculation | Die folgenden Optionen zur Berechnung von Bedingungen sind verfügbar: And - alle Bedingungen müssen erfüllt sein Or - es reicht aus, wenn eine Bedingung erfüllt ist And/Or - AND bei unterschiedlichen Bedingungstypen und OR bei demselben Bedingungstyp Custom expression - eine benutzerdefinierte Berechnungsformel zur Auswertung von Aktionsbedingungen. Sie muss alle Bedingungen enthalten (dargestellt durch Großbuchstaben A, B, C, ...) und darf Leerzeichen, Tabulatoren, Klammern ( ), and (Groß-/Kleinschreibung beachten), or (Groß-/Kleinschreibung beachten), not (Groß-/Kleinschreibung beachten) enthalten. |
| Conditions | Liste der Bedingungen. Weitere Details zur Konfiguration einer Bedingung siehe unten. |
| Description | Beschreibung der Korrelationsregel. |
| Operations | Aktivieren Sie das Kontrollkästchen der Operation, die ausgeführt werden soll, wenn ein Ereignis korreliert wird. Die folgenden Operationen sind verfügbar: Close old events - schließt alte Ereignisse, wenn ein neues Ereignis auftritt. Fügen Sie bei Verwendung der Operation Close old events immer eine Bedingung auf Basis des alten Ereignisses hinzu, da sonst alle vorhandenen Probleme geschlossen werden könnten. Close new event - schließt das neue Ereignis, wenn es auftritt. Warnung! Lassen Sie bei Verwendung von Close old events/Close new event die Bedingungen für alte/neue Ereignisse nicht leer. Wenn Sie die Operation Close old events ohne eine Bedingung auswählen, die dem alten Ereignis entspricht, kann Zabbix alle vorhandenen alten Ereignisse zuordnen und schließen. Fügen Sie bei Verwendung von Close old events immer eine explizite Bedingung für das alte Ereignis hinzu (z. B. Old event tag name oder Event tag pair). Eine Regel, die nur eine New event condition und die Operation Close old events verwendet, ordnet beispielsweise alle alten Ereignisse zu, die die (fehlenden) Kriterien für alte Ereignisse erfüllen - und schließt damit effektiv alte Probleme. |
| Enabled | Wenn Sie dieses Kontrollkästchen aktivieren, wird die Korrelationsregel aktiviert. |
Um Details zu einer neuen Bedingung zu konfigurieren, klicken Sie im Block Conditions auf 
.
Es öffnet sich ein Popup-Fenster, in dem Sie die Details der Bedingung bearbeiten können.
| Parameter | Beschreibung |
|---|---|
| New condition | Wählen Sie eine Bedingung für die Korrelation von Ereignissen aus. Hinweis: Wenn keine Bedingung für das alte Ereignis angegeben ist, können alle alten Ereignisse zugeordnet und geschlossen werden. Ebenso können alle neuen Ereignisse zugeordnet und geschlossen werden, wenn keine Bedingung für das neue Ereignis angegeben ist. Die folgenden Bedingungen sind verfügbar: Old event tag name - geben Sie den Tag-Namen des alten Ereignisses für die Zuordnung an. New event tag name - geben Sie den Tag-Namen des neuen Ereignisses für die Zuordnung an. New event host group - geben Sie die Hostgruppe des neuen Ereignisses für die Zuordnung an. Event tag pair - geben Sie den Tag-Namen des neuen Ereignisses und den Tag-Namen des alten Ereignisses für die Zuordnung an. In diesem Fall liegt eine Übereinstimmung vor, wenn die Werte der Tags in beiden Ereignissen übereinstimmen. Die Tag-Namen müssen nicht übereinstimmen. Diese Option ist nützlich für die Zuordnung von Laufzeitwerten, die zum Zeitpunkt der Konfiguration möglicherweise noch nicht bekannt sind (siehe auch Beispiel). Old event tag value - geben Sie den Tag-Namen und den Wert des alten Ereignisses für die Zuordnung an, unter Verwendung der folgenden Operatoren: equals - hat den Tag-Wert des alten Ereignisses does not equal - hat den Tag-Wert des alten Ereignisses nicht contains - enthält die Zeichenfolge im Tag-Wert des alten Ereignisses does not contain - enthält die Zeichenfolge im Tag-Wert des alten Ereignisses nicht New event tag value - geben Sie den Tag-Namen und den Wert des neuen Ereignisses für die Zuordnung an, unter Verwendung der folgenden Operatoren: equals - hat den Tag-Wert des neuen Ereignisses does not equal - hat den Tag-Wert des neuen Ereignisses nicht contains - enthält die Zeichenfolge im Tag-Wert des neuen Ereignisses does not contain - enthält die Zeichenfolge im Tag-Wert des neuen Ereignisses nicht |
Da Fehlkonfigurationen möglich sind, prüfen Sie bitte die unten beschriebenen Fälle, wenn ähnliche Ereignis-Tags für nicht zusammenhängende Probleme erstellt werden können!
- Tatsächliche Tags und Tag-Werte werden erst sichtbar, wenn ein Auslöser auslöst. Wenn der verwendete reguläre Ausdruck ungültig ist, wird er stillschweigend durch eine *UNKNOWN*-Zeichenfolge ersetzt. Wenn das erste Problemereignis mit einem *UNKNOWN*-Tag-Wert übersehen wird, können anschließend OK-Ereignisse mit demselben *UNKNOWN*-Tag-Wert auftreten, die Problemereignisse schließen, die sie nicht hätten schließen sollen.
- Wenn ein Benutzer das Makro {ITEM.VALUE} ohne Makrofunktionen als Tag-Wert verwendet, gilt die Begrenzung auf 255 Zeichen. Wenn Protokollmeldungen lang sind und die ersten 255 Zeichen nicht spezifisch sind, kann dies ebenfalls zu ähnlichen Ereignis-Tags für nicht zusammenhängende Probleme führen.
Beispiel
Verhindern Sie wiederholte Problemereignisse vom selben Netzwerkport.
Diese globale Korrelationsregel korreliert Probleme, wenn auf dem Auslöser die Tag-Werte host und port vorhanden sind und sie im ursprünglichen Ereignis und im neuen Ereignis identisch sind.
Die Operation schließt neue Problemereignisse am selben Netzwerkport und lässt nur das ursprüngliche Problem offen.