Globale Ereigniskorrelation
Übersicht
Diese Funktion ist veraltet und wird möglicherweise in zukünftigen Versionen entfernt. Weitere Informationen zu aktualisierten Funktionen für die Ereigniskorrelation finden Sie unter Komplexe Ereignisverarbeitung.
Die globale Ereigniskorrelation ermöglicht es, alle von Zabbix überwachten Metriken einzubeziehen und Korrelationen zu erstellen.
Ereignisse, die von völlig unterschiedlichen Auslösern erstellt wurden, können korreliert und auf alle dieselben Vorgänge angewendet werden. Durch das Erstellen intelligenter Korrelationsregeln können Sie sich tatsächlich vor Tausenden sich wiederholender Benachrichtigungen schützen und sich auf die Grundursachen eines Problems konzentrieren!
Die globale Ereigniskorrelation ist ein leistungsfähiger Mechanismus, mit dem Sie sich von einer auf einem einzelnen Auslöser basierenden Logik für Probleme und deren Behebung lösen können. Bisher wurde ein einzelnes Problemereignis von einem Auslöser erstellt, und für die Behebung des Problems waren wir von demselben Auslöser abhängig. Ein von einem Auslöser erstelltes Problem konnte nicht mit einem anderen Auslöser behoben werden. Mit einer auf Ereignis-Tags basierenden Ereigniskorrelation ist dies jedoch möglich.
Beispielsweise kann ein Protokollauslöser Anwendungsprobleme melden, während ein Abfrageauslöser melden kann, dass die Anwendung verfügbar und betriebsbereit ist. Mithilfe von Ereignis-Tags können Sie den Protokollauslöser mit status:down und den Abfrageauslöser mit status:up taggen. Anschließend können Sie diese Auslöser in einer globalen Korrelationsregel miteinander verknüpfen und dieser Korrelation einen geeigneten Vorgang zuweisen, beispielsweise das Schließen der alten Ereignisse.
In einem anderen Anwendungsfall kann die globale Ereigniskorrelation ähnliche Auslöser identifizieren und auf sie denselben Vorgang anwenden. Was wäre, wenn wir pro Problem mit einem Netzwerkport nur einen einzigen Problembericht erhalten könnten? Es wäre nicht nötig, alle zu melden. Auch das ist mit der globalen Ereigniskorrelation möglich.
Die globale Ereigniskorrelation wird in Korrelationsregeln konfiguriert. Eine Korrelationsregel definiert, wie neue Problemereignisse mit vorhandenen Problemereignissen verknüpft werden und was im Fall einer Übereinstimmung geschehen soll (das neue Ereignis schließen oder übereinstimmende alte Ereignisse durch die Generierung entsprechender OK-Ereignisse schließen). Wenn ein Problem durch die globale Korrelation geschlossen wird, wird dies in der Spalte Info unter Überwachung > Probleme angezeigt.
Die Konfiguration globaler Korrelationsregeln ist nur Benutzern mit der Berechtigungsstufe Super Admin möglich.
Die Ereigniskorrelation muss sehr sorgfältig konfiguriert werden, da sie die Leistung der Ereignisverarbeitung negativ beeinflussen oder bei einer fehlerhaften Konfiguration mehr Ereignisse als beabsichtigt schließen kann (im schlimmsten Fall könnten sogar alle Problemereignisse geschlossen werden).
Um globale Korrelationen sicher zu konfigurieren, beachten Sie die folgenden wichtigen Hinweise:
- Den Korrelationsbereich einschränken. Legen Sie für das neue Ereignis, das mit alten Ereignissen verknüpft wird, immer ein eindeutiges Tag fest und verwenden Sie die Korrelationsbedingung Name des Tags des neuen Ereignisses.
- Bei Verwendung von Alte Ereignisse schließen eine explizite Bedingung für alte Ereignisse hinzufügen. Fügen Sie bei Auswahl von Alte Ereignisse schließen immer mindestens eine Bedingung für Altes Ereignis hinzu (beispielsweise Name des Tags des alten Ereignisses, Wert des Tags des alten Ereignisses oder Ereignis-Tag-Paar). Andernfalls kann die Regel übereinstimmende, nicht zusammenhängende vorhandene Problemereignisse schließen (im schlimmsten Fall alle Probleme). Verwenden Sie für den Abgleich von Laufzeitwerten (Host:Port, Sitzungs-ID usw.) bevorzugt Ereignis-Tag-Paar und schränken Sie die Übereinstimmung nach Möglichkeit zusätzlich anhand des Hosts oder der Hostgruppe ein.
- Vermeiden Sie die Verwendung allgemeiner Tagnamen, die möglicherweise in verschiedenen Korrelationskonfigurationen verwendet werden.
- Beschränken Sie die Anzahl der Korrelationsregeln auf die Regeln, die Sie tatsächlich benötigen.
Siehe auch: bekannte Probleme.
Konfiguration
So konfigurieren Sie Ereigniskorrelationsregeln global:
- Gehen Sie zu Datensammlung > Ereignisverarbeitung.
- Klicken Sie rechts auf Ereigniskorrelation erstellen (oder auf den Korrelationsnamen, um eine vorhandene Regel zu bearbeiten).
- Geben Sie die Parameter der Korrelationsregel im Formular ein.
Alle Pflichtfelder sind mit einem roten Sternchen gekennzeichnet.
| Parameter | Beschreibung |
|---|---|
| Name | Eindeutiger Name der Korrelationsregel. |
| Berechnungstyp | Für die Berechnung der Bedingungen stehen folgende Optionen zur Verfügung: Und – alle Bedingungen müssen erfüllt sein Oder – eine erfüllte Bedingung ist ausreichend Und/Oder – AND bei unterschiedlichen Bedingungstypen und OR beim gleichen Bedingungstyp Benutzerdefinierter Ausdruck – eine benutzerdefinierte Berechnungsformel zur Auswertung der Aktionsbedingungen. Sie muss alle Bedingungen enthalten (dargestellt als Großbuchstaben A, B, C, ...) und darf Leerzeichen, Tabulatoren, Klammern ( ), and (Groß-/Kleinschreibung beachten), or (Groß-/Kleinschreibung beachten) und not (Groß-/Kleinschreibung beachten) enthalten. |
| Bedingungen | Liste der Bedingungen. Einzelheiten zur Konfiguration einer Bedingung finden Sie weiter unten. |
| Beschreibung | Beschreibung der Korrelationsregel. |
| Operationen | Aktivieren Sie das Kontrollkästchen der Operation, die ausgeführt werden soll, wenn Ereignisse korreliert werden. Folgende Operationen sind verfügbar: Alte Ereignisse schließen – alte Ereignisse schließen, wenn ein neues Ereignis auftritt. Fügen Sie bei Verwendung der Operation Alte Ereignisse schließen immer eine Bedingung hinzu, die auf dem alten Ereignis basiert, da andernfalls alle vorhandenen Probleme geschlossen werden könnten. Neues Ereignis schließen – das neue Ereignis schließen, sobald es auftritt. Warnung! Lassen Sie die Bedingungen für alte/neue Ereignisse bei Verwendung von Alte Ereignisse schließen/Neues Ereignis schließen nicht leer. Wenn Sie die Operation Alte Ereignisse schließen auswählen, ohne eine Bedingung hinzuzufügen, die auf das alte Ereignis zutrifft, kann Zabbix alle vorhandenen alten Ereignisse finden und schließen. Fügen Sie bei Verwendung von Alte Ereignisse schließen immer eine explizite Bedingung für das alte Ereignis hinzu (zum Beispiel Tagname des alten Ereignisses oder Ereignis-Tag-Paar). Eine Regel, die beispielsweise nur eine Bedingung für das neue Ereignis und die Operation Alte Ereignisse schließen verwendet, findet alle alten Ereignisse, die den (fehlenden) Kriterien für alte Ereignisse entsprechen – und schließt damit effektiv alte Probleme. |
| Aktiviert | Wenn Sie dieses Kontrollkästchen aktivieren, wird die Korrelationsregel aktiviert. |
Um Details einer neuen Bedingung zu konfigurieren, klicken Sie im Block „Bedingungen“ auf 
.
Ein Popup-Fenster wird geöffnet, in dem Sie die Bedingungsdetails bearbeiten können.
| Parameter | Beschreibung |
|---|---|
| Neue Bedingung | Wählen Sie eine Bedingung zur Korrelation von Ereignissen aus. Hinweis: Wenn keine Bedingung für ein altes Ereignis angegeben ist, können alle alten Ereignisse gefunden und geschlossen werden. Wenn keine Bedingung für ein neues Ereignis angegeben ist, können entsprechend alle neuen Ereignisse gefunden und geschlossen werden. Folgende Bedingungen sind verfügbar: Tagname des alten Ereignisses – geben Sie den Tagname des alten Ereignisses für die Zuordnung an. Tagname des neuen Ereignisses – geben Sie den Tagname des neuen Ereignisses für die Zuordnung an. Hostgruppe des neuen Ereignisses – geben Sie die Hostgruppe des neuen Ereignisses für die Zuordnung an. Ereignis-Tag-Paar – geben Sie den Tagname des neuen Ereignisses und den Tagname des alten Ereignisses für die Zuordnung an. In diesem Fall liegt eine Übereinstimmung vor, wenn die Werte der Tags in beiden Ereignissen übereinstimmen. Die Namen der Tags müssen nicht übereinstimmen. Diese Option ist nützlich für die Zuordnung von Laufzeitwerten, die zum Zeitpunkt der Konfiguration möglicherweise noch nicht bekannt sind (siehe auch Beispiel). Tagwert des alten Ereignisses – geben Sie den Tagname und den Wert des alten Ereignisses für die Zuordnung mithilfe der folgenden Operatoren an: ist gleich – der Tagwert des alten Ereignisses ist vorhanden ist nicht gleich – der Tagwert des alten Ereignisses ist nicht vorhanden enthält – der Tagwert des alten Ereignisses enthält die Zeichenfolge enthält nicht – der Tagwert des alten Ereignisses enthält die Zeichenfolge nicht Tagwert des neuen Ereignisses – geben Sie den Tagname und den Wert des neuen Ereignisses für die Zuordnung mithilfe der folgenden Operatoren an: ist gleich – der Tagwert des neuen Ereignisses ist vorhanden ist nicht gleich – der Tagwert des neuen Ereignisses ist nicht vorhanden enthält – der Tagwert des neuen Ereignisses enthält die Zeichenfolge enthält nicht – der Tagwert des neuen Ereignisses enthält die Zeichenfolge nicht |
Da eine Fehlkonfiguration möglich ist, wenn ähnliche Ereignis-Tags für nicht zusammenhängende Probleme erstellt werden können, überprüfen Sie bitte die unten beschriebenen Fälle!
- Die tatsächlichen Tags und Tagwerte werden erst sichtbar, wenn ein Auslöser ausgelöst wird. Wenn der verwendete reguläre Ausdruck ungültig ist, wird er stillschweigend durch die Zeichenfolge *UNKNOWN* ersetzt. Wenn das ursprüngliche Problemereignis mit einem Tagwert *UNKNOWN* verpasst wird, können anschließend OK-Ereignisse mit demselben Tagwert *UNKNOWN* auftreten. Diese können Problemereignisse schließen, die sie nicht hätten schließen dürfen.
- Wenn ein Benutzer das Makro {ITEM.VALUE} ohne Makrofunktionen als Tagwert verwendet, gilt die Beschränkung auf 255 Zeichen. Wenn Protokollmeldungen lang sind und die ersten 255 Zeichen nicht spezifisch sind, kann dies ebenfalls zu ähnlichen Ereignis-Tags für nicht zusammenhängende Probleme führen.
Beispiel
Verhindern Sie wiederholte Problemereignisse vom selben Netzwerkport.
Diese globale Korrelationsregel korreliert Probleme, wenn auf dem Auslöser die Tag-Werte host und port vorhanden sind und sie im ursprünglichen Ereignis und im neuen Ereignis identisch sind.
Die Operation schließt neue Problemereignisse am selben Netzwerkport und lässt nur das ursprüngliche Problem offen.