2. Zabbix агент для Windows

Обзор

Элементы данных агента Zabbix для Windows представлены в двух списках:

• Общие элементы данных — ключи элементов данных, которые являются общими с агентом Zabbix для UNIX;
• Элементы данных, специфичные для Windows — ключи элементов данных, которые поддерживаются только в Windows.

Обратите внимание, что все ключи элементов данных, поддерживаемые агентом Zabbix для Windows, также поддерживаются новым поколением Zabbix агента 2. Смотрите дополнительные ключи элементов данных, которые можно использовать только с агентом 2.

Смотрите также: Минимальные разрешения для элементов данных Windows.

Общие элементы данных

В таблице ниже перечислены элементы данных агента Zabbix, которые поддерживаются в Windows и являются общими с агентом Zabbix для UNIX:

• Ключ элемента данных является ссылкой на полные сведения об элементе данных агента Zabbix для UNIX
• Включены комментарии к элементам данных, относящиеся к Windows

Элементы данных, специфичные для Windows

В таблице приведены сведения о ключах элементов данных, которые поддерживаются только Zabbix агентом для Windows.

Элементы данных, специфичные для Windows, иногда являются приблизительным аналогом аналогичного элемента данных агента; например, proc_info, поддерживаемый в Windows, примерно соответствует элементу данных proc.mem, который в Windows не поддерживается.

Ключ элемента данных является ссылкой на полную информацию о нём.

Подробности ключей элементов данных

Параметры без угловых скобок обязательны. Параметры, обозначенные угловыми скобками < >, опциональны.

eventlog[name,<regexp>,<severity>,<source>,<eventid>,<maxlines>,<mode>]

Мониторинг журнала событий.
Возвращаемое значение: Log.

Параметры:

• name - имя канала журнала событий (Log Name в графическом интерфейсе Event Viewer);
  
• regexp - регулярное выражение, описывающее требуемый шаблон (с учетом регистра);
  
• severity - регулярное выражение, описывающее уровень серьезности (без учета регистра). Этот параметр принимает регулярное выражение на основе следующих значений: "Information", "Warning", "Error", "Critical", "Verbose" (при работе в Windows Vista или новее).
  
• source - регулярное выражение, описывающее идентификатор источника (без учета регистра);
  
• eventid - регулярное выражение, описывающее идентификатор(ы) события (с учетом регистра);
  
• maxlines - максимальное число новых строк в секунду, которое агент будет отправлять на сервер Zabbix или прокси. Этот параметр переопределяет значение MaxLinesPerSecond в zabbix_agentd.conf.
  
• mode - возможные значения:
  • all (по умолчанию);
  • skip - пропустить обработку более старых данных (влияет только на вновь созданные элементы данных).

Комментарии:

• Элемент данных должен быть настроен как активная проверка;
• Агент не может отправлять события из журнала "Forwarded events";
• Поддерживается Windows Eventing 6.0;
• Выбор для этого элемента данных не-Log типа информации приведет к потере локальной метки времени, а также сведений об уровне серьезности и источнике журнала;
• См. также дополнительную информацию о мониторинге журналов.

Примеры:

eventlog[Application]
eventlog[Microsoft-Windows-Application-Experience/Program-Compatibility-Assistant]
eventlog[Security,,"Failure Audit",,^(529|680)$]
eventlog[System,,"Warning|Error"]
eventlog[System,,,,^1$]
eventlog[Windows PowerShell,,,,,,skip]
eventlog[System,,,,@TWOSHORT] #здесь используется пользовательское регулярное выражение с именем `TWOSHORT` (определено как тип *Result is TRUE*, само выражение: `^1$|^70$`).

eventlog.count[name,<regexp>,<severity>,<source>,<eventid>,<maxproclines>,<mode>]

Количество строк в журнале событий Windows.
Возвращаемое значение: Integer.

Параметры:

• name - имя канала журнала событий (Log Name в графическом интерфейсе Event Viewer);
  
• regexp - регулярное выражение, описывающее требуемый шаблон (с учетом регистра);
  
• severity - регулярное выражение, описывающее уровень серьезности (без учета регистра). Этот параметр принимает регулярное выражение на основе следующих значений: "Information", "Warning", "Error", "Critical", "Verbose" (при работе в Windows Vista или более новой версии).
  
• source - регулярное выражение, описывающее идентификатор источника (без учета регистра);
  
• eventid - регулярное выражение, описывающее идентификатор(ы) события (с учетом регистра);
  
• maxproclines - максимальное количество новых строк в секунду, которое агент будет анализировать (не может превышать 10000). Значение по умолчанию: 10*'MaxLinesPerSecond' в zabbix_agentd.conf.
  
• mode - возможные значения:
  • all (по умолчанию);
  • skip - пропустить обработку более старых данных (влияет только на вновь созданные элементы данных).

Комментарии:

• Элемент данных должен быть настроен как активная проверка;
• Агент не может отправлять события из журнала "Forwarded events";
• Поддерживается Windows Eventing 6.0;
• Выбор для этого элемента данных не типа Log приведет к потере локальной временной метки, а также сведений об уровне серьезности и источнике журнала;
• См. также дополнительную информацию о мониторинге журналов.

Примеры:

eventlog.count[System,,"Warning|Error"]
eventlog.count[Windows PowerShell,,,,,,skip]

net.if.list

Список сетевых интерфейсов (включая тип, состояние, IPv4 адрес, описание интерфейса).
Возвращаемое значение: Текст.

Комментарии:

• Поддерживаются мультибайтовые имена интерфейса;
• Отключённые интерфейсы не входят в список;
• Включение/отключение некоторых компонентов Windows может изменить порядок имён интерфейсов в Windows;
• В некоторых версиях Windows (к примеру, Server 2008) может потребоваться установка последних обновлений для поддержки не-ASCII символов в именах интерфейсов.

perf_counter[counter,<interval>]

Значение любого счетчика производительности Windows.
Возвращаемое значение: Integer, float, string или text (в зависимости от запроса).

Параметры:

• counter - путь к счетчику;
  
• interval - последние N секунд для хранения среднего значения. Значение interval должно быть от 1 до 900 секунд включительно, а значение по умолчанию — 1.

Комментарии:

• Этот элемент данных следует по UNC-путям, что может представлять риск безопасности;
• interval используется для счетчиков, которым требуется более одного измерения (например, загрузка CPU), поэтому проверка каждый раз возвращает среднее значение за последние "interval" секунд;
• Для получения списка доступных счетчиков можно использовать Performance Monitor.
• См. также: Счетчики производительности Windows.

perf_counter_en[counter,<interval>]

Значение любого счетчика производительности Windows на английском языке.
Возвращаемое значение: Integer, float, string или text (в зависимости от запроса).

Параметры:

• counter - путь к счетчику на английском языке;
  
• interval - последние N секунд для вычисления среднего значения. interval должен быть в диапазоне от 1 до 900 секунд включительно, значение по умолчанию — 1.

Комментарии:

• этот элемент данных следует по UNC-путям, что может представлять риск безопасности;
• interval используется для счетчиков, которым требуется более одного измерения (например, для загрузки CPU), поэтому при каждом опросе возвращается среднее значение за последние "interval" секунд;
• этот элемент данных поддерживается только в Windows Server 2008/Vista и более поздних версиях;
• список английских строк можно найти, просмотрев следующий раздел реестра: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Perflib\009.

perf_instance.discovery[объект]

Список экземпляров объекта счётчиков производительности Windows. Используется для низкоуровневого обнаружения.
Возвращаемое значение: Объект JSON.

Параметр:

• объект — имя объекта (локализованное).

perf_instance_en.discovery[объект]

Список экземпляров объекта счётчиков производительности Windows, обнаруженных с использованием имён объектов на английском языке. Используется для низкоуровневого обнаружения.
Возвращаемое значение: Объект JSON.

Параметр:

• объект — имя объекта (на английском языке).

proc_info[process,<attribute>,<type>]

Различная информация о конкретном процессе(ах).
Возвращаемое значение: Float.

Параметры:

• process - имя процесса;
  
• attribute - запрашиваемый атрибут процесса;
  
• type - тип представления (имеет значение, когда существует более одного процесса с одинаковым именем)

Комментарии:

• Поддерживаются следующие attributes:
  • vmsize - размер виртуальной памяти процесса в Kbytes (по умолчанию);
  • wkset - размер рабочего набора процесса (объем физической памяти, используемой процессом) в Kbytes;
  • pf - количество page faults;
  • ktime - время ядра процесса в миллисекундах;
  • utime - пользовательское время процесса в миллисекундах;
  • io_read_b - количество байтов, прочитанных процессом во время операций ввода-вывода;
  • io_read_op - количество операций чтения, выполненных процессом;
  • io_write_b - количество байтов, записанных процессом во время операций ввода-вывода;
  • io_write_op - количество операций записи, выполненных процессом;
  • io_other_b - количество байтов, переданных процессом во время операций, отличных от операций чтения и записи;
  • io_other_op - количество операций ввода-вывода, выполненных процессом, кроме операций чтения и записи;
  • gdiobj - количество объектов GDI, используемых процессом;
  • userobj - количество объектов USER, используемых процессом.
• Допустимые types:
  • avg - среднее значение для всех процессов с именем <process> (по умолчанию);
  • min - минимальное значение среди всех процессов с именем <process>;
  • max - максимальное значение среди всех процессов с именем <process>;
  • sum - сумма значений для всех процессов с именем <process>.
• На 64-разрядной системе для корректной работы этого элемента данных требуется 64-разрядный Zabbix агент.
  

Примеры:

proc_info[iexplore.exe,wkset,sum] #получить объем физической памяти, используемой всеми процессами Internet Explorer
proc_info[iexplore.exe,pf,avg] #получить среднее количество page faults для процессов Internet Explorer

registry.data[key,<value name>]

Возвращает данные для указанного имени значения в ключе реестра Windows.
Возвращаемое значение: Integer, string или text (в зависимости от типа значения)

Параметры:

• key - ключ реестра, включая корневой ключ; допускаются сокращения корневых ключей (например, HKLM);
• value name - имя значения реестра в ключе (по умолчанию пустая строка ""). Если имя значения не указано, возвращается значение по умолчанию.

Комментарии:

• Поддерживаемые сокращения корневых ключей:
  • HKCR - HKEY_CLASSES_ROOT
  • HKCC - HKEY_CURRENT_CONFIG
  • HKCU - HKEY_CURRENT_USER
  • HKCULS - HKEY_CURRENT_USER_LOCAL_SETTINGS
  • HKLM - HKEY_LOCAL_MACHINE
  • HKPD - HKEY_PERFORMANCE_DATA
  • HKPN - HKEY_PERFORMANCE_NLSTEXT
  • HKPT - HKEY_PERFORMANCE_TEXT
  • HKU - HKEY_USERS
• Ключи с пробелами должны быть заключены в двойные кавычки.

Примеры:

registry.data["HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Windows Error Reporting"] #return the data of the default value of this key
registry.data["HKLM\SOFTWARE\Microsoft\Windows\Windows Error Reporting","EnableZip"] #return the data of the value named "Enable Zip" in this key

registry.get[key,<mode>,<name regexp>]

Список значений или ключей реестра Windows, расположенных по указанному ключу.
Возвращаемое значение: JSON object.

Параметры:

• key - ключ реестра, включая корневой ключ; допускаются сокращения корневых ключей (например, HKLM) (см. комментарии к registry.data[], чтобы увидеть полный список сокращений);
  
• mode - возможные значения:
  values (по умолчанию) или keys;
  
• name regexp - обнаруживать только значения, имена которых соответствуют regexp (по умолчанию - обнаруживать все значения). Разрешено только при values в качестве mode.

Ключи с пробелами должны быть заключены в двойные кавычки.

Примеры:

registry.get[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall,values,"^DisplayName|DisplayVersion$"] #return the data of the values named "DisplayName" or "DisplayValue" in this key.
The JSON will include details of the key, last subkey, value name, value type and value data.
registry.get[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall,values] #return the data of the all values in this key.
The JSON will include details of the key, last subkey, value name, value type and value data.
registry.get[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall,keys] #return all subkeys of this key.
The JSON will include details of the key and last subkey.

service.discovery

Список служб Windows. Используется для низкоуровневого обнаружения.
Возвращаемое значение: объект JSON.

service.info[service,<param>]

Информация о службе.
Возвращаемое значение:

• Integer - при param = state, startup;
  В частности для state:
  • 0 - выполняется
  • 1 - приостановлена
  • 2 - ожидает запуска
  • 3 - ожидает приостановки
  • 4 - ожидает продолжения
  • 5 - ожидает остановки
  • 6 - остановлена
  • 7 - неизвестно
  • 255 - такой службы нет
    В частности для startup:
  • 0 - автоматический
  • 1 - автоматический с задержкой
  • 2 - вручную
  • 3 - отключено
  • 4 - неизвестно
  • 5 - автоматический запуск по триггеру
  • 6 - автоматический запуск по триггеру с задержкой
  • 7 - ручной запуск по триггеру
• String - при param = displayname, path, user;
• Text - при param = description.

Параметры:

• service - реальное имя службы или ее отображаемое имя, как оно отображается в оснастке MMC Services;
• param - state (по умолчанию), displayname, path, user, startup или description.

Комментарии:

• Элементы данных вида service.info[service,state] и service.info[service] возвращают одну и ту же информацию;
• Только при param = state этот элемент данных возвращает значение для несуществующих служб (255).

Примеры:

service.info[SNMPTRAP] - состояние службы SNMPTRAP;
service.info[SNMP Trap] - состояние той же службы, но с указанным отображаемым именем;
service.info[EventLog,startup] - тип запуска службы EventLog

services[<тип>,<состояние>,<исключения>]

Список служб.
Возвращаемое значение: 0 — если список служб пуст; Текст — список служб, разделенных новой строкой.

Параметры:

• тип — all (по умолчанию), automatic, manual или disabled;
• состояние — all (по умолчанию), stopped, started, start_pending, stop_pending, running, continue_pending, pause_pending или paused;
• исключения — список служб, исключаемых из результата. Исключаемые службы должны быть указаны в двойных кавычках, разделены запятой, без пробелов.

Примеры:

services[,started] #возвращает список запущенных служб;
services[automatic, stopped] #возвращает список остановленных служб, которые должны быть запущены;
services[automatic, stopped, "service1,service2,service3"] #возвращает список остановленных служб, которые должны быть запущены, за исключением служб с именами «service1»,«service2» и «service3»

vm.vmemory.size[<тип>]

Размер виртуальной памяти в байтах или в процентах от общего размера.
Возвращаемое значение: Целое число — для байт; Число с плавающей точкой — для процентов.

Параметр:

• тип — возможные значения: available (доступно виртуальной памяти), pavailable (доступно виртуальной памяти, в процентах), pused (использовано виртуальной памяти, в процентах), total (всего виртуальной памяти, по умолчанию) или used (использовано виртуальной памяти)

Комментарии:

• Мониторинг статистики виртуальной памяти основывается на:
  
  • Общем количестве виртуальной памяти в Windows (всего физической + размер файла подкачки);
    
  • Максимальном количестве памяти, которое может занять Zabbix агент;
    
  • Текущем лимите выделенной памяти системе или Zabbix агенту, смотря что меньше.

Пример:

vm.vmemory.size[pavailable] #вернуть доступную виртуальную память, в процентах

wmi.get[<пространство_имён>,<запрос>]

Выполнение WMI запроса и получение первого выбранного объекта.
Возвращаемое значение: Целое число, число с плавающей точкой, строка или текст (в зависимости от запроса).

Параметры:

• пространство_имён — название пространства имён WMI;
  
• запрос — WMI запрос, возвращающий один объект.

WMI запросы выполняются с использованием WQL [en].

Пример:

wmi.get[root\cimv2,select status from Win32_DiskDrive where Name like '%PHYSICALDRIVE0%'] #получение состояния первого физического диска

wmi.getall[<пространство_имён>,<запрос>]

Выполнение WMI запроса и получение полного ответа. Можно использовать для низкоуровневого обнаружения.
Возвращаемое значение: Объект JSON

Параметры:

• пространство_имён — название пространства имён WMI;
  
• запрос — WMI запрос.

Комментарии:

• Запросы WMI выполняются при помощи WQL [en].
• Можно использовать JSONPath предобработку при обращении к более конкретным значениям в полученном JSON.

Пример:

wmi.getall[root\cimv2,select * from Win32_DiskDrive where Name like '%PHYSICALDRIVE%'] #вернуть информацию о состоянии физических дисков

Мониторинг служб Windows

Это руководство содержит пошаговые инструкции по настройке мониторинга служб Windows. Предполагается, что Zabbix сервер и агент уже настроены и работают.

Шаг 1

Получите имя службы.

Вы можете узнать имя службы, открыв оснастку MMC Services и вызвав свойства службы. На вкладке General вы должны увидеть поле Service name. Значение, которое следует за ним, — это имя, которое вы будете использовать при настройке элемента данных для мониторинга. Например, если вы хотите отслеживать службу "workstation", то имя вашей службы может быть таким: lanmanworkstation.

Шаг 2

Настройте элемент данных для наблюдения за службой.

Элемент данных service.info[служба,<парам>] возвращает информацию о конкретной службе. В зависимости от требуемой вам информации, укажите опцию парам, которая принимает следующие значения: displayname, state, path, user, startup или description. Значением по умолчанию является state, если парам не указан (service.info[служба]).

Тип возвращаемого значения зависит от выбранного парам: целое число при state и startup; строка символов при displayname, path и user; текст при description.

Пример:

• Ключ: service.info[lanmanworkstation]
• Тип информации: Числовой (целое положительное)

Элемент данных service.info[lanmanworkstation] будет извлекать информацию о состоянии службы как числовое значение. Чтобы преобразовать числовое значение в текстовое представление в веб-интерфейсе («0» как «Running», «1» как «Paused» и т.д.), вы можете настроить преобразование значений на узле сети, на котором сконфигурирован элемент данных. Чтобы это сделать, либо присоедините шаблон Windows services by Zabbix agent или Windows services by Zabbix agent active к узлу сети, либо настройте на узле сети новое преобразование значений, основанное на преобразованиях значений Windows service state, уже настроенных в упомянутых шаблонах.

Обратите внимание, что оба упомянутых шаблона имеют правило обнаружения, настроенное для автоматического обнаружения служб. Если вы не хотите этого, вы можете деактивировать правило обнаружения на уровне узла сети после присоединения к нему шаблона.

Обнаружение служб Windows

Низкоуровневое обнаружение даёт возможность автоматического создания элементов данных, триггеров и графиков по различных объектам на компьютере. Zabbix может автоматически начать наблюдение за службами Windows на вашей машине, без необходимости знания точного имени службы или создания элементов данных по каждой службе вручную. Можно использовать фильтр для генерирования реальных элементов данных, триггеров и графиков только по интересующим службам.