Correlazione globale degli eventi
Panoramica
Questa funzionalità è deprecata e potrebbe essere rimossa nelle versioni future. Per informazioni aggiornate sulle funzionalità di correlazione degli eventi, vedere Elaborazione complessa degli eventi.
La correlazione globale degli eventi consente di operare su tutte le metriche monitorate da Zabbix e di creare correlazioni.
È possibile correlare eventi creati da trigger completamente diversi e applicare le stesse operazioni a tutti. Creando regole di correlazione intelligenti, è possibile evitare migliaia di notifiche ripetitive e concentrarsi sulle cause principali di un problema.
La correlazione globale degli eventi è un meccanismo potente che consente di svincolarsi dalla logica di problema e risoluzione basata su un singolo trigger. Finora, un singolo evento di problema veniva creato da un trigger e la risoluzione del problema dipendeva dallo stesso trigger. Non era possibile risolvere con un trigger un problema creato da un altro trigger. Con la correlazione degli eventi basata sui tag degli eventi, invece, è possibile.
Ad esempio, un trigger di log può segnalare problemi dell'applicazione, mentre un trigger di polling può segnalare che l'applicazione è attiva e funzionante. Utilizzando i tag degli eventi, è possibile assegnare al trigger di log il tag status:down e al trigger di polling il tag status:up. Successivamente, in una regola di correlazione globale, è possibile mettere in relazione questi trigger e assegnare a questa correlazione un'operazione appropriata, come la chiusura degli eventi precedenti.
In un altro caso d'uso, la correlazione globale può identificare trigger simili e applicare la stessa operazione a tutti. E se fosse possibile ricevere un solo report di problema per ogni problema relativo a una porta di rete? Non sarebbe necessario segnalarli tutti. Anche questo è possibile con la correlazione globale degli eventi.
La correlazione globale degli eventi viene configurata nelle regole di correlazione. Una regola di correlazione definisce come i nuovi eventi di problema vengono associati agli eventi di problema esistenti e cosa fare in caso di corrispondenza (chiudere il nuovo evento, chiudere i vecchi eventi corrispondenti generando i relativi eventi OK). Se un problema viene chiuso dalla correlazione globale, ciò viene indicato nella colonna Info di Monitoraggio > Problemi.
La configurazione delle regole di correlazione globale è disponibile solo per gli utenti con livello Super Admin.
La correlazione degli eventi deve essere configurata con molta attenzione, poiché può influire negativamente sulle prestazioni dell'elaborazione degli eventi o, se configurata in modo errato, chiudere più eventi del previsto (nel peggiore dei casi, potrebbero essere chiusi tutti gli eventi di problema).
Per configurare le regole di correlazione globale in modo sicuro, osservare i seguenti suggerimenti importanti:
- Ridurre l'ambito della correlazione. Impostare sempre un tag univoco per il nuovo evento associato agli eventi precedenti e utilizzare la condizione di correlazione Nome del tag del nuovo evento.
- Aggiungere una condizione esplicita per gli eventi precedenti quando si utilizza Chiudi vecchi eventi. Aggiungere sempre almeno una condizione Evento precedente (ad esempio, Nome del tag del vecchio evento, Valore del tag del vecchio evento o Coppia di tag dell'evento) quando si seleziona Chiudi vecchi eventi; in caso contrario, la regola potrebbe trovare corrispondenze e chiudere eventi di problema esistenti non correlati (nel peggiore dei casi, tutti i problemi). Preferire Coppia di tag dell'evento per la corrispondenza dei valori runtime (host:port, ID di sessione e così via) e restringere ulteriormente la corrispondenza in base al host o al gruppo di host, quando possibile.
- Evitare di utilizzare nomi di tag comuni che potrebbero finire per essere usati da diverse configurazioni di correlazione.
- Limitare il numero di regole di correlazione a quelle realmente necessarie.
Vedere anche: problemi noti.
Configurazione
Per configurare globalmente le regole di correlazione degli eventi:
- Andare su Raccolta dati > Elaborazione degli eventi.
- Fare clic su Crea correlazione eventi a destra (oppure sul nome della correlazione per modificare una regola esistente).
- Inserire i parametri della regola di correlazione nel modulo.
Tutti i campi di input obbligatori sono contrassegnati da un asterisco rosso.
| Parametro | Descrizione |
|---|---|
| Nome | Nome univoco della regola di correlazione. |
| Tipo di calcolo | Sono disponibili le seguenti opzioni per il calcolo delle condizioni: And - tutte le condizioni devono essere soddisfatte Or - è sufficiente che una condizione sia soddisfatta And/Or - AND con tipi di condizione diversi e OR con lo stesso tipo di condizione Espressione personalizzata - formula di calcolo definita dall'utente per valutare le condizioni dell'azione. Deve includere tutte le condizioni (rappresentate da lettere maiuscole A, B, C, ...) e può includere spazi, tabulazioni, parentesi ( ), and (con distinzione tra maiuscole e minuscole), or (con distinzione tra maiuscole e minuscole), not (con distinzione tra maiuscole e minuscole). |
| Condizioni | Elenco delle condizioni. Per informazioni dettagliate sulla configurazione di una condizione, vedere di seguito. |
| Descrizione | Descrizione della regola di correlazione. |
| Operazioni | Selezionare la casella di controllo dell'operazione da eseguire quando l'evento viene correlato. Sono disponibili le seguenti operazioni: Chiudi vecchi eventi - chiude i vecchi eventi quando si verifica un nuovo evento. Quando si utilizza l'operazione Chiudi vecchi eventi, aggiungere sempre una condizione basata sul vecchio evento, altrimenti tutti i problemi esistenti potrebbero essere chiusi. Chiudi nuovo evento - chiude il nuovo evento quando si verifica. Attenzione! Non lasciare vuote le condizioni relative al vecchio/nuovo evento quando si utilizza Chiudi vecchi eventi/Chiudi nuovo evento.Se si seleziona l'operazione Chiudi vecchi eventi senza aggiungere una condizione che corrisponda al vecchio evento, Zabbix potrebbe trovare una corrispondenza con tutti i vecchi eventi esistenti e chiuderli.Aggiungere sempre una condizione esplicita per il vecchio evento (ad esempio, Nome del tag del vecchio evento o Coppia di tag dell'evento) quando si utilizza Chiudi vecchi eventi. Ad esempio, una regola che utilizza solo una Condizione del nuovo evento e l'operazione Chiudi vecchi eventi troverà una corrispondenza con tutti i vecchi eventi che soddisfano i criteri del vecchio evento (mancanti), chiudendo di fatto i vecchi problemi. |
| Abilitata | Se si seleziona questa casella di controllo, la regola di correlazione sarà abilitata. |
Per configurare i dettagli di una nuova condizione, fare clic su 
nel blocco Condizioni.
Si aprirà una finestra popup in cui è possibile modificare i dettagli della condizione.
| Parametro | Descrizione |
|---|---|
| Nuova condizione | Selezionare una condizione per correlare gli eventi. Nota che, se non viene specificata alcuna condizione per il vecchio evento, tutti i vecchi eventi potrebbero essere trovati e chiusi. Analogamente, se non viene specificata alcuna condizione per il nuovo evento, tutti i nuovi eventi potrebbero essere trovati e chiusi. Sono disponibili le seguenti condizioni: Nome del tag del vecchio evento - specificare il nome del tag del vecchio evento da utilizzare per la corrispondenza. Nome del tag del nuovo evento - specificare il nome del tag del nuovo evento da utilizzare per la corrispondenza. Gruppo di host del nuovo evento - specificare il gruppo di host del nuovo evento da utilizzare per la corrispondenza. Coppia di tag dell'evento - specificare il nome del tag del nuovo evento e il nome del tag del vecchio evento da utilizzare per la corrispondenza. In questo caso, si verifica una corrispondenza se i valori dei tag nei due eventi corrispondono. I nomi dei tag non devono necessariamente corrispondere. Questa opzione è utile per trovare corrispondenze con valori di runtime, che potrebbero non essere noti al momento della configurazione (vedere anche Esempio). Valore del tag del vecchio evento - specificare il nome e il valore del tag del vecchio evento da utilizzare per la corrispondenza, utilizzando i seguenti operatori: uguale a - il valore del tag del vecchio evento è presente diverso da - il valore del tag del vecchio evento non è presente contiene - il valore del tag del vecchio evento contiene la stringa non contiene - il valore del tag del vecchio evento non contiene la stringa Valore del tag del nuovo evento - specificare il nome e il valore del tag del nuovo evento da utilizzare per la corrispondenza, utilizzando i seguenti operatori: uguale a - il valore del tag del nuovo evento è presente diverso da - il valore del tag del nuovo evento non è presente contiene - il valore del tag del nuovo evento contiene la stringa non contiene - il valore del tag del nuovo evento non contiene la stringa |
Poiché è possibile una configurazione errata, quando possono essere creati tag di eventi simili per problemi non correlati, esaminare i casi descritti di seguito.
- I tag e i valori dei tag effettivi diventano visibili solo quando si attiva un trigger. Se l'espressione regolare utilizzata non è valida, viene sostituita silenziosamente con una stringa *UNKNOWN*. Se l'evento iniziale del problema con un valore del tag *UNKNOWN* viene perso, potrebbero comparire eventi OK successivi con lo stesso valore del tag *UNKNOWN*, che potrebbero chiudere eventi di problema che non avrebbero dovuto chiudere.
- Se un utente utilizza la macro {ITEM.VALUE} come valore del tag senza funzioni macro, si applica il limite di 255 caratteri. Quando i messaggi di log sono lunghi e i primi 255 caratteri non sono specifici, ciò può inoltre generare tag di eventi simili per problemi non correlati.
Esempio
Impedisci eventi di problema ripetitivi provenienti dalla stessa porta di rete.
Questa regola di correlazione globale correlerà i problemi se i valori dei tag host e port esistono nel trigger e sono uguali nell'evento originale e in quello nuovo.
L'operazione chiuderà i nuovi eventi di problema sulla stessa porta di rete, mantenendo aperto solo il problema originale.