Corrélation globale des événements
Vue d’ensemble
Cette fonctionnalité est obsolète et pourrait être supprimée dans de futures versions. Consultez la page Traitement complexe des événements pour connaître les fonctionnalités mises à jour de corrélation des événements.
La corrélation globale des événements permet d’examiner toutes les métriques surveillées par Zabbix et de créer des corrélations.
Il est possible de corréler des événements créés par des déclencheurs complètement différents et de leur appliquer à tous les mêmes opérations. En créant des règles de corrélation intelligentes, il est réellement possible de se débarrasser de milliers de notifications répétitives et de se concentrer sur les causes profondes d’un problème !
La corrélation globale des événements est un mécanisme puissant qui permet de ne plus dépendre d’une logique de problème et de résolution basée sur un seul déclencheur. Jusqu’à présent, un seul événement de problème était créé par un déclencheur et nous dépendions de ce même déclencheur pour résoudre le problème. Nous ne pouvions pas résoudre avec un autre déclencheur un problème créé par un déclencheur. Mais grâce à la corrélation des événements basée sur l’étiquetage des événements, c’est désormais possible.
Par exemple, un déclencheur de journal peut signaler des problèmes liés à une application, tandis qu’un déclencheur d’interrogation peut signaler que l’application est opérationnelle. En utilisant les étiquettes d’événement, vous pouvez étiqueter le déclencheur de journal avec status:down et le déclencheur d’interrogation avec status:up. Ensuite, dans une règle de corrélation globale, vous pouvez associer ces déclencheurs et attribuer à cette corrélation une opération appropriée, comme la fermeture des anciens événements.
Dans un autre cas d’utilisation, la corrélation globale peut identifier des déclencheurs similaires et leur appliquer la même opération. Et si nous pouvions obtenir un seul rapport de problème par problème de port réseau ? Il ne serait pas nécessaire de tous les signaler. Cela est également possible avec la corrélation globale des événements.
La corrélation globale des événements est configurée dans les règles de corrélation. Une règle de corrélation définit comment les nouveaux événements de problème sont associés aux événements de problème existants et quoi faire en cas de correspondance (fermer le nouvel événement, fermer les anciens événements correspondants en générant les événements OK correspondants). Si un problème est fermé par la corrélation globale, cela est indiqué dans la colonne Info de Surveillance > Problèmes.
La configuration des règles de corrélation globale est uniquement disponible pour les utilisateurs disposant du niveau Super administrateur.
La corrélation des événements doit être configurée avec beaucoup de précautions, car elle peut affecter négativement les performances du traitement des événements ou, si elle est mal configurée, fermer davantage d’événements que prévu (dans le pire des cas, tous les événements de problème pourraient être fermés).
Pour configurer la corrélation globale en toute sécurité, suivez les conseils importants suivants :
- Réduisez la portée de la corrélation. Définissez toujours une étiquette unique pour le nouvel événement associé aux anciens événements et utilisez la condition de corrélation Nom de l’étiquette du nouvel événement.
- Ajoutez une condition explicite concernant les anciens événements lors de l’utilisation de Fermer les anciens événements. Ajoutez toujours au moins une condition Ancien événement (par exemple, Nom de l’étiquette de l’ancien événement, Valeur de l’étiquette de l’ancien événement ou Paire d’étiquettes d’événement) lorsque vous sélectionnez Fermer les anciens événements ; sinon, la règle peut correspondre à des événements de problème existants sans rapport et les fermer (dans le pire des cas, tous les problèmes). Préférez Paire d’étiquettes d’événement pour faire correspondre les valeurs d’exécution (hôte:port, identifiant de session, etc.) et réduisez davantage la correspondance à l’aide de l’hôte ou du groupe d’hôtes lorsque cela est possible.
- Évitez d’utiliser des noms d’étiquettes courants qui pourraient finir par être utilisés par différentes configurations de corrélation.
- Limitez le nombre de règles de corrélation à celles dont vous avez réellement besoin.
Voir également : problèmes connus.
Configuration
Pour configurer globalement les règles de corrélation des événements :
- Accédez à Collecte de données > Traitement des événements.
- Cliquez sur Créer une corrélation à droite (ou sur le nom de la corrélation pour modifier une règle existante).
- Saisissez les paramètres de la règle de corrélation dans le formulaire.
Tous les champs de saisie obligatoires sont signalés par un astérisque rouge.
| Parameter | Description |
|---|---|
| Nom | Nom unique de la règle de corrélation. |
| Type de calcul | Les options suivantes sont disponibles pour le calcul des conditions : Et - toutes les conditions doivent être remplies Ou - une seule condition remplie suffit Et/Ou - ET avec différents types de conditions et OU avec le même type de condition Expression personnalisée - formule de calcul définie par l'utilisateur pour évaluer les conditions de l'action. Elle doit inclure toutes les conditions (représentées par des lettres majuscules A, B, C, ...) et peut inclure des espaces, des tabulations, des parenthèses ( ), and (sensible à la casse), or (sensible à la casse), not (sensible à la casse). |
| Conditions | Liste des conditions. Voir ci-dessous pour plus de détails sur la configuration d'une condition. |
| Description | Description de la règle de corrélation. |
| Opérations | Cochez la case de l'opération à effectuer lorsqu'un événement est corrélé. Les opérations suivantes sont disponibles : Fermer les anciens événements - fermer les anciens événements lorsqu'un nouvel événement se produit. Ajoutez toujours une condition basée sur l'ancien événement lorsque vous utilisez l'opération Fermer les anciens événements, sinon tous les problèmes existants pourraient être fermés. Fermer le nouvel événement - fermer le nouvel événement lorsqu'il se produit. Attention ! Ne laissez pas les conditions de l'ancien/nouvel événement vides lorsque vous utilisez Fermer les anciens événements/Fermer le nouvel événement.Si vous sélectionnez l'opération Fermer les anciens événements sans ajouter de condition correspondant à l'ancien événement, Zabbix peut faire correspondre tous les anciens événements existants et les fermer.Ajoutez toujours une condition explicite concernant l'ancien événement (par exemple, Nom de l'étiquette de l'ancien événement ou Paire d'étiquettes d'événement) lorsque vous utilisez Fermer les anciens événements. Par exemple, une règle qui utilise uniquement une Condition du nouvel événement et l'opération Fermer les anciens événements fera correspondre tous les anciens événements qui satisfont les critères (manquants) de l'ancien événement, fermant ainsi effectivement les anciens problèmes. |
| Activée | Si vous cochez cette case, la règle de corrélation sera activée. |
Pour configurer les détails d'une nouvelle condition, cliquez sur 
dans le bloc Conditions.
Une fenêtre contextuelle s'ouvrira, dans laquelle vous pourrez modifier les détails de la condition.
| Parameter | Description |
|---|---|
| Nouvelle condition | Sélectionnez une condition pour corréler les événements. Notez que si aucune condition concernant l'ancien événement n'est spécifiée, tous les anciens événements peuvent être mis en correspondance et fermés. De même, si aucune condition concernant le nouvel événement n'est spécifiée, tous les nouveaux événements peuvent être mis en correspondance et fermés. Les conditions suivantes sont disponibles : Nom de l'étiquette de l'ancien événement - spécifiez le nom de l'étiquette de l'ancien événement à mettre en correspondance. Nom de l'étiquette du nouvel événement - spécifiez le nom de l'étiquette du nouvel événement à mettre en correspondance. Groupe de hôtes du nouvel événement - spécifiez le groupe de hôtes du nouvel événement à mettre en correspondance. Paire d'étiquettes d'événement - spécifiez le nom de l'étiquette du nouvel événement et le nom de l'étiquette de l'ancien événement à mettre en correspondance. Dans ce cas, il y aura correspondance si les valeurs des étiquettes des deux événements correspondent. Les noms des étiquettes ne doivent pas nécessairement correspondre. Cette option est utile pour faire correspondre des valeurs d'exécution qui peuvent ne pas être connues au moment de la configuration (voir également Exemple). Valeur de l'étiquette de l'ancien événement - spécifiez le nom et la valeur de l'étiquette de l'ancien événement à mettre en correspondance, à l'aide des opérateurs suivants : est égal à - possède la valeur de l'étiquette de l'ancien événement n'est pas égal à - ne possède pas la valeur de l'étiquette de l'ancien événement contient - contient la chaîne dans la valeur de l'étiquette de l'ancien événement ne contient pas - ne contient pas la chaîne dans la valeur de l'étiquette de l'ancien événement Valeur de l'étiquette du nouvel événement - spécifiez le nom et la valeur de l'étiquette du nouvel événement à mettre en correspondance, à l'aide des opérateurs suivants : est égal à - possède la valeur de l'étiquette du nouvel événement n'est pas égal à - ne possède pas la valeur de l'étiquette du nouvel événement contient - contient la chaîne dans la valeur de l'étiquette du nouvel événement ne contient pas - ne contient pas la chaîne dans la valeur de l'étiquette du nouvel événement |
En raison de la possibilité d'une mauvaise configuration, lorsque des étiquettes d'événement similaires peuvent être créées pour des problèmes sans rapport, veuillez examiner les cas décrits ci-dessous !
- Les étiquettes et les valeurs d'étiquette réelles ne deviennent visibles que lorsqu'un déclencheur se déclenche. Si l'expression régulière utilisée n'est pas valide, elle est silencieusement remplacée par une chaîne *UNKNOWN*. Si l'événement de problème initial avec une valeur d'étiquette *UNKNOWN* est manqué, des événements OK ultérieurs avec la même valeur d'étiquette *UNKNOWN* peuvent apparaître et fermer des événements de problème qu'ils n'auraient pas dû fermer.
- Si un utilisateur utilise la macro {ITEM.VALUE} sans fonctions de macro comme valeur d'étiquette, la limitation de 255 caractères s'applique. Lorsque les messages de journal sont longs et que leurs 255 premiers caractères ne sont pas spécifiques, cela peut également entraîner des étiquettes d'événement similaires pour des problèmes sans rapport.
Exemple
Empêchez les événements de problème répétitifs provenant du même port réseau.
Cette règle de corrélation globale associera les problèmes si les valeurs des balises host et port existent sur le déclencheur et si elles sont identiques dans l'événement d'origine et dans le nouveau.
L'opération fermera les nouveaux événements de problème sur le même port réseau, en ne laissant ouvert que le problème d'origine.