2 Windows Zabbix agent

概述

Windows Zabbix agent 的监控项分为两个列表：

• 共享监控项 - 与 UNIX Zabbix agent 共享的监控项键值；
• Windows 特有监控项 - 仅 在 Windows 上受支持的监控项键值。

请注意，Windows 上的 Zabbix agent 支持的所有监控项键值，同样也受新一代 Zabbix agent 2 支持。 另请参见附加监控项键值，这些键值仅可用于 agent 2。

另请参见：Windows 监控项的最低权限要求

共享监控项

下表列出了 Windows 上受支持并与 UNIX Zabbix agent 共享的 Zabbix agent 监控项：

• 监控项键是指向 UNIX Zabbix agent 监控项完整说明的链接
• 包含了与 Windows 相关的监控项注释

仅适用于Windows的监控项

该表提供了仅适用于Windows Zabbix agent的监控项键的详细信息。

仅适用于Windows的监控项有时是类似代理监控项的近似对应物，例如，在Windows上支持的proc_info大致对应于在Windows上不支持的proc.mem监控项。

监控项键是到完整监控项键详细信息的链接。

监控项键值详情

不带尖括号的参数为必填参数。
带有尖括号 < > 标记的参数为可选参数。

eventlog[name,<regexp>,<severity>,<source>,<eventid>,<maxlines>,<mode>]

事件日志监控。
返回值：Log。

参数：

• name - 事件日志通道的名称（事件查看器 GUI 中的 Log Name）；
  
• regexp - 描述所需模式的正则表达式（区分大小写）；
  
• severity - 描述严重性的正则表达式（不区分大小写）。 此参数接受基于以下值的正则表达式："Information"、"Warning"、"Error"、"Critical"、"Verbose"（在 Windows Vista 或更新版本上运行时）。
  
• source - 描述源标识符的正则表达式（不区分大小写）；
  
• eventid - 描述事件标识符的正则表达式（区分大小写）；
  
• maxlines - agent 每秒发送到 Zabbix 服务器或 proxy 的最大新行数。 此参数会覆盖 zabbix_agentd.conf 中的“MaxLinesPerSecond”值。
  
• mode - 可选值：all（默认）或 skip - 跳过对较旧数据的处理（仅影响新创建的监控项）。

说明：

• 该监控项必须配置为主动检查；
• agent 无法发送来自“Forwarded events”日志中的事件；
• 支持 Windows Eventing 6.0；
• 为此监控项选择非 Log 的信息类型将导致本地时间戳以及日志严重性和源信息丢失；
• 另请参见有关日志监控的更多信息。

示例：

eventlog[Application]
eventlog[Microsoft-Windows-Application-Experience/Program-Compatibility-Assistant]
eventlog[Security,,"Failure Audit",,^(529|680)$]
eventlog[System,,"Warning|Error"]
eventlog[System,,,,^1$]
eventlog[Windows PowerShell,,,,,,skip]
eventlog[System,,,,@TWOSHORT] #此处引用了名为 `TWOSHORT` 的自定义正则表达式（定义为 *Result is TRUE* 类型，表达式本身为 `^1$|^70$`）。

eventlog.count[name,<regexp>,<severity>,<source>,<eventid>,<maxproclines>,<mode>]

Windows 事件日志中的行数。
返回值：Integer。

参数：

• name - 事件日志通道的名称（事件查看器 GUI 中的 Log Name）；
  
• regexp - 描述所需模式的常规表达式（区分大小写）；
  
• severity - 描述严重性的正则表达式（不区分大小写）。 此参数接受基于以下值的正则表达式："Information"、"Warning"、"Error"、"Critical"、"Verbose"（在 Windows Vista 或更高版本上运行时）。
  
• source - 描述源标识符的正则表达式（不区分大小写）；
  
• eventid - 描述事件标识符的正则表达式（区分大小写）；
  
• maxproclines - agent 每秒将分析的新行最大数量（不能超过 10000）。 默认值为 zabbix_agentd.conf 中 10*'MaxLinesPerSecond'。
  
• mode - 可选值：all（默认）或 skip - 跳过对较旧数据的处理（仅影响新创建的监控项）。

注释：

• 该监控项必须配置为主动检查；
• agent 无法发送来自 "Forwarded events" 日志的事件；
• 支持 Windows Eventing 6.0；
• 为此监控项选择非日志型type of information将导致本地时间戳以及日志严重性和源信息丢失；
• 另请参见有关日志监控的更多信息。

示例：

eventlog.count[System,,"Warning|Error"]
eventlog.count[Windows PowerShell,,,,,,skip]

net.if.list

网络接口列表（包括接口类型、状态、IPv4地址、描述）。
返回值：文本。

注释：

• 支持多字节接口名称；
• 禁用的接口不会列出；
• 启用/禁用某些组件可能会更改它们在Windows接口名称中的顺序；
• 某些Windows版本（例如，Server 2008）可能需要安装最新更新才能支持接口名称中的非ASCII字符。

perf_counter[counter,<interval>]

任意 Windows 性能计数器的值。
返回值：Integer、float、string 或 text（取决于请求）。

参数：

• counter - 计数器的路径；
  
• interval - 用于存储平均值的最近 N 秒。 interval 必须介于 1 到 900 秒之间（含边界），默认值为 1。

注释：

• 此监控项遵循 UNC 路径，这可能带来安全风险；
• interval 用于需要多个样本的计数器（如 CPU 利用率），因此检查每次都会返回最近“interval”秒的平均值；
• 可以使用性能监视器获取可用计数器列表。
• 另请参见：Windows 性能计数器。

perf_counter_en[counter,<interval>]

任意 Windows 英文性能计数器的值。
返回值：Integer、float、string 或 text（取决于请求）。

参数：

• counter - 英文计数器的路径；
  
• interval - 用于存储平均值的最近 N 秒。 interval 必须介于 1 到 900 秒之间（含边界），默认值为 1。

说明：

• 此监控项遵循 UNC 路径，这可能带来安全风险；
• interval 用于需要多个样本的计数器（如 CPU 利用率），因此每次检查都会返回最近“interval”秒的平均值；
• 此监控项仅支持 Windows Server 2008/Vista 及以上版本；
• 您可以通过查看以下注册表键找到英文字符串列表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Perflib\009。

perf_instance.discovery[object]

Windows 性能计数器的对象实例列表。 用于低级别发现。
返回值：JSON 对象。

参数：

• object - 对象名称（本地化）。

perf_instance_en.discovery[object]

使用英文对象名称发现的 Windows 性能计数器对象实例列表。 用于低级别发现。
返回值：JSON 对象。

参数：

• object - 对象名称（英文）。

proc_info[process,<attribute>,<type>]

特定进程的各种信息。
返回值：Float。

参数：

• process - 进程名称；
  
• attribute - 请求的进程属性；
  
• type - 表示类型（当存在多个同名进程时有意义）

说明：

• 支持以下 attributes：
  vmsize（默认）- 进程虚拟内存大小，单位为 Kbytes
  wkset - 进程工作集大小（进程使用的物理内存量），单位为 Kbytes
  pf - 缺页错误次数
  ktime - 进程内核时间，单位为毫秒
  utime - 进程用户时间，单位为毫秒
  io_read_b - 进程在 I/O 操作期间读取的字节数
  io_read_op - 进程执行的读取操作次数
  io_write_b - 进程在 I/O 操作期间写入的字节数
  io_write_op - 进程执行的写入操作次数
  io_other_b - 进程在除读写操作之外的操作期间传输的字节数
  io_other_op - 进程执行的除读写操作之外的 I/O 操作次数
  gdiobj - 进程使用的 GDI 对象数量
  userobj - 进程使用的 USER 对象数量；
  
• 有效的 types 为：
  avg（默认）- 名为 <process> 的所有进程的平均值
  min - 名为 <process> 的所有进程中的最小值
  max - 名为 <process> 的所有进程中的最大值
  sum - 名为 <process> 的所有进程的值之和；
• 在 64 位系统上，需要使用 64 位 Zabbix agent，此监控项才能正常工作。
  

示例：

proc_info[iexplore.exe,wkset,sum] #获取所有 Internet Explorer 进程占用的物理内存总量
proc_info[iexplore.exe,pf,avg] #获取 Internet Explorer 进程的平均缺页错误次数

registry.data[key,<value name>]

返回 Windows Registry 键中指定值名称的数据。
返回值：Integer、string 或 text（取决于值类型）

参数：

• key - 包含根键的注册表键；允许使用根键缩写（例如 HKLM）；
• value name - 键中的注册表值名称（默认为空字符串 ""）。 如果未提供值名称，则返回默认值。

注释：

• 支持的根键缩写：
  HKCR - HKEY_CLASSES_ROOT
  HKCC - HKEY_CURRENT_CONFIG
  HKCU - HKEY_CURRENT_USER
  HKCULS - HKEY_CURRENT_USER_LOCAL_SETTINGS
  HKLM - HKEY_LOCAL_MACHINE
  HKPD - HKEY_PERFORMANCE_DATA
  HKPN - HKEY_PERFORMANCE_NLSTEXT
  HKPT - HKEY_PERFORMANCE_TEXT
  HKU - HKEY_USERS
  
• 包含空格的键必须用双引号括起来。

示例：

registry.data["HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Windows Error Reporting"] #返回此键默认值的数据
registry.data["HKLM\SOFTWARE\Microsoft\Windows\Windows Error Reporting","EnableZip"] #返回此键中名为 "Enable Zip" 的值的数据

registry.get[key,<mode>,<name regexp>]

位于给定键中的 Windows 注册表值或键的列表。
返回值：JSON object。

参数：

• key - 包含根键的注册表键；允许使用根键缩写（例如 HKLM）（完整缩写列表请参见 registry.data[] 的注释）；
  
• mode - 可选值：
  values（默认）或 keys；
  
• name regexp - 仅发现名称匹配该正则表达式的值（默认 - 发现所有值）。 仅当 mode 为 values 时允许使用。

包含空格的键必须用双引号括起来。

示例：

registry.get[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall,values,"^DisplayName|DisplayVersion$"] #返回此键中名为 "DisplayName" 或 "DisplayValue" 的值的数据。
JSON 将包含该键、最后一个子键、值名称、值类型和值数据的详细信息。
registry.get[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall,values] #返回此键中所有值的数据。
JSON 将包含该键、最后一个子键、值名称、值类型和值数据的详细信息。
registry.get[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall,keys] #返回此键的所有子键。
JSON 将包含该键和最后一个子键的详细信息。

service.discovery

Windows 服务列表。
用于低级发现。
返回值：JSON object。

service.info[service,<param>]

有关服务的信息。
返回值：当 param 为 state、startup 时，返回 Integer；当 param 为 displayname、path、user 时，返回 String；当 param 为 description 时，返回 Text
对于 state：0 - 运行中，1 - 已暂停，2 - 正在启动，3 - 正在暂停，4 - 正在继续，5 - 正在停止，6 - 已停止，7 - 未知，255 - 无此服务
对于 startup：0 - 自动，1 - 自动（延迟启动），2 - 手动，3 - 已禁用，4 - 未知，5 - 自动触发启动，6 - 自动延迟触发启动，7 - 手动触发启动

参数：

• service - 实际服务名称，或 MMC 服务管理单元中显示的服务显示名称；
• param - state（默认）、displayname、path、user、startup 或 description。

注释：

• service.info[service,state] 和 service.info[service] 这类监控项将返回相同的信息；
• 仅当 param 为 state 时，此监控项才会对不存在的服务返回值（255）。

示例：

service.info[SNMPTRAP] - SNMPTRAP 服务的状态；
service.info[SNMP Trap] - 同一服务的状态，但指定的是显示名称；
service.info[EventLog,startup] - EventLog 服务的启动类型

services[<type>,<state>,<exclude>]

服务列表。
返回值：0 - 如果为空；Text - 以换行符分隔的服务列表。

参数：

• type - all（默认）、automatic、manual 或 disabled；
• state - all（默认）、stopped、started、start_pending、stop_pending、running、continue_pending、pause_pending 或 paused；
• exclude - 要从结果中排除的服务。 被排除的服务应使用双引号括起来，以逗号分隔，且不包含空格。

示例：

services[,started] #返回已启动服务的列表；
services[automatic, stopped] #返回应处于运行状态但当前已停止的服务列表；
services[automatic, stopped, "service1,service2,service3"] #返回应处于运行状态但当前已停止的服务列表，不包括名为 "service1"、"service2" 和 "service3" 的服务

vm.vmemory.size[<type>]

虚拟内存大小，以字节或占总量的百分比表示。
返回值：Integer - 用于字节；float - 用于百分比。

参数：

• type - 可选值：available（可用虚拟内存）、pavailable（可用虚拟内存，百分比）、pused（已用虚拟内存，百分比）、total（虚拟内存总量，默认值）或 used（已用虚拟内存）

注释：

• 虚拟内存统计信息的监控基于：
  
  • Windows 上的虚拟内存总量（物理内存总量 + 页面文件大小）；
    
  • Zabbix agent 可提交的最大内存量；
    
  • 系统或 Zabbix agent 当前的已提交内存限制，以较小者为准。

示例：

vm.vmemory.size[pavailable] #返回可用虚拟内存的百分比

wmi.get[<namespace>,<query>]

执行 WMI 查询并返回第一个选中的对象。
返回值：Integer、float、string 或 text（取决于请求）。

参数：

• namespace - WMI 命名空间；
  
• query - 返回单个对象的 WMI 查询。

WMI 查询使用 WQL 执行。

示例：

wmi.get[root\cimv2,select status from Win32_DiskDrive where Name like '%PHYSICALDRIVE0%'] #返回第一个物理磁盘的状态

wmi.getall[<namespace>,<query>]

执行 WMI 查询并返回完整响应。 可用于低级别发现。
返回值：JSON object

参数：

• namespace - WMI 命名空间；
  
• query - WMI 查询。

注释：

• WMI 查询使用 WQL 执行。
• 可以使用 JSONPath 预处理 来指向返回的 JSON 中更具体的值。

示例：

wmi.getall[root\cimv2,select * from Win32_DiskDrive where Name like '%PHYSICALDRIVE%'] #返回物理磁盘的状态信息

监控 Windows 服务

本教程提供了设置 Windows 服务监控的分步说明。
假定 Zabbix 服务器和 agent 已配置并正常运行。

步骤 1

获取服务名称。

您可以通过进入 MMC 服务管理单元并打开该服务的属性来获取服务名称。
在 常规 选项卡中，您应该会看到一个名为“Service name”的字段。
其后的值就是您在设置用于监控的监控项时要使用的名称。
例如，如果您想监控 “workstation” 服务，那么该服务名称可能是：lanmanworkstation。

第 2 步

为监控该服务，配置一个监控项。

监控项 service.info[service,<param>] 用于检索特定服务的信息。 根据所需信息，指定 param 选项，其可接受以下值：displayname、state、path、user、startup 或 description。 如果未指定 param（service.info[service]），则默认值为 state。

返回值类型取决于所选的 param：state 和 startup 返回 integer；displayname、path 和 user 返回字符串；description 返回文本。

示例：

• 键值： service.info[lanmanworkstation]
• 信息类型： Numeric (unsigned)

监控项 service.info[lanmanworkstation] 将以数值形式检索该服务的状态信息。 要在前端中将数值映射为文本表示形式（例如将“0”显示为“Running”、“1”显示为“Paused”等），可以在配置该监控项的主机上配置value mapping。 为此，可以将模板 Windows services by Zabbix agent 或 Windows services by Zabbix agent active 链接到主机，或者在主机上新建一个值映射，并基于上述模板中配置的 Windows service state 值映射进行设置。

请注意，上述两个模板都配置了发现规则，会自动发现服务。 如果不需要此功能，可在将模板链接到主机后，在主机级别禁用发现规则。

发现 Windows 服务

低级别发现 提供了一种为计算机上的不同实体自动创建监控项、触发器和图形的方法。
Zabbix 可以自动开始监控您机器上的 Windows 服务，而无需知道服务的确切名称，也无需为每个服务手动创建监控项。
可以使用过滤器仅为感兴趣的服务生成实际的监控项、触发器和图形。