Correlación global de eventos
Descripción general
Esta funcionalidad está obsoleta y puede eliminarse en futuras versiones. Consulte Procesamiento complejo de eventos para conocer las funcionalidades actualizadas de correlación de eventos.
La correlación global de eventos permite abarcar todas las métricas supervisadas por Zabbix y crear correlaciones.
Es posible correlacionar eventos creados por triggers completamente diferentes y aplicarles las mismas operaciones a todos. Al crear reglas de correlación inteligentes, es posible evitar miles de notificaciones repetitivas y centrarse en las causas raíz de un problema.
La correlación global de eventos es un mecanismo potente que permite desvincularse de la lógica de problemas y resoluciones basada en un solo trigger. Hasta ahora, un único evento de problema era creado por un trigger y dependíamos de ese mismo trigger para resolver el problema. No podíamos resolver un problema creado por un trigger con otro trigger. Sin embargo, con la correlación de eventos basada en etiquetas de eventos, sí podemos hacerlo.
Por ejemplo, un trigger de registro puede informar de problemas de una aplicación, mientras que un trigger de sondeo puede informar de que la aplicación está activa y funcionando. Aprovechando las etiquetas de eventos, puede etiquetar el trigger de registro como status:down y el trigger de sondeo como status:up. A continuación, en una regla de correlación global, puede relacionar estos triggers y asignar una operación adecuada a esta correlación, como cerrar los eventos antiguos.
En otro caso de uso, la correlación global puede identificar triggers similares y aplicarles la misma operación. ¿Qué ocurriría si pudiéramos obtener un solo informe de problema por cada problema de puerto de red? No sería necesario informar de todos ellos. Esto también es posible con la correlación global de eventos.
La correlación global de eventos se configura mediante reglas de correlación. Una regla de correlación define cómo se emparejan los nuevos eventos de problema con los eventos de problema existentes y qué hacer en caso de coincidencia (cerrar el nuevo evento o cerrar los eventos antiguos coincidentes generando los eventos OK correspondientes). Si un problema se cierra mediante la correlación global, se informa de ello en la columna Info de Supervisión > Problemas.
La configuración de reglas de correlación global está disponible únicamente para usuarios con nivel de Superadministrador.
La correlación de eventos debe configurarse con mucho cuidado, ya que puede afectar negativamente al rendimiento del procesamiento de eventos o, si se configura incorrectamente, cerrar más eventos de los previstos (en el peor de los casos, podrían cerrarse todos los eventos de problema).
Para configurar la correlación global de forma segura, tenga en cuenta las siguientes recomendaciones importantes:
- Reduzca el ámbito de la correlación. Establezca siempre una etiqueta única para el nuevo evento que se empareja con eventos antiguos y utilice la condición de correlación Nombre de etiqueta del nuevo evento.
- Añada una condición explícita para el evento antiguo al utilizar Cerrar eventos antiguos. Añada siempre al menos una condición de Evento antiguo (por ejemplo, Nombre de etiqueta del evento antiguo, Valor de etiqueta del evento antiguo o Par de etiquetas de evento) al seleccionar Cerrar eventos antiguos; de lo contrario, la regla podría coincidir con eventos de problema existentes no relacionados y cerrarlos (en el peor de los casos, todos los problemas). Prefiera Par de etiquetas de evento para comparar valores en tiempo de ejecución (host:puerto, ID de sesión, etc.) y restrinja aún más la coincidencia por host o grupo de hosts cuando sea posible.
- Evite utilizar nombres de etiquetas comunes que puedan terminar utilizándose en diferentes configuraciones de correlación.
- Mantenga limitado el número de reglas de correlación a las que realmente necesite.
Consulte también: problemas conocidos.
Configuración
Para configurar reglas de correlación de eventos globalmente:
- Vaya a Recopilación de datos > Procesamiento de eventos.
- Haga clic en Crear correlación de eventos a la derecha (o en el nombre de la correlación para editar una regla existente).
- Introduzca los parámetros de la regla de correlación en el formulario.
Todos los campos de entrada obligatorios están marcados con un asterisco rojo.
| Parámetro | Descripción |
|---|---|
| Nombre | Nombre único de la regla de correlación. |
| Tipo de cálculo | Están disponibles las siguientes opciones para calcular las condiciones: And: deben cumplirse todas las condiciones Or: es suficiente con que se cumpla una condición And/Or: AND con diferentes tipos de condiciones y OR con el mismo tipo de condición Expresión personalizada: fórmula de cálculo definida por el usuario para evaluar las condiciones de la acción. Debe incluir todas las condiciones (representadas como letras mayúsculas A, B, C, ...) y puede incluir espacios, tabulaciones, paréntesis ( ), and (distingue entre mayúsculas y minúsculas), or (distingue entre mayúsculas y minúsculas) y not (distingue entre mayúsculas y minúsculas). |
| Condiciones | Lista de condiciones. Consulte a continuación los detalles sobre la configuración de una condición. |
| Descripción | Descripción de la regla de correlación. |
| Operaciones | Marque la casilla de la operación que se realizará cuando se correlacione el evento. Están disponibles las siguientes operaciones: Cerrar eventos antiguos: cierra los eventos antiguos cuando se produce un evento nuevo. Añada siempre una condición basada en el evento antiguo al utilizar la operación Cerrar eventos antiguos; de lo contrario, podrían cerrarse todos los problemas existentes. Cerrar evento nuevo: cierra el evento nuevo cuando se produce. ¡Advertencia! No deje vacías las condiciones del evento antiguo/nuevo al utilizar Cerrar eventos antiguos/Cerrar evento nuevo.Si selecciona la operación Cerrar eventos antiguos sin añadir una condición que coincida con el evento antiguo, Zabbix puede hacer coincidir todos los eventos antiguos existentes y cerrarlos.Añada siempre una condición explícita del evento antiguo (por ejemplo, Nombre de etiqueta del evento antiguo o Par de etiquetas de evento) al utilizar Cerrar eventos antiguos. Por ejemplo, una regla que utilice únicamente una Condición del evento nuevo y la operación Cerrar eventos antiguos coincidirá con todos los eventos antiguos que cumplan los criterios del evento antiguo (ausentes), cerrando de hecho los problemas antiguos. |
| Habilitado | Si marca esta casilla, la regla de correlación estará habilitada. |
Para configurar los detalles de una condición nueva, haga clic en 
en el bloque Condiciones.
Se abrirá una ventana emergente en la que podrá editar los detalles de la condición.
| Parámetro | Descripción |
|---|---|
| Condición nueva | Seleccione una condición para correlacionar eventos. Tenga en cuenta que, si no se especifica ninguna condición del evento antiguo, es posible que coincidan y se cierren todos los eventos antiguos. Del mismo modo, si no se especifica ninguna condición del evento nuevo, es posible que coincidan y se cierren todos los eventos nuevos. Están disponibles las siguientes condiciones: Nombre de etiqueta del evento antiguo: especifique el nombre de la etiqueta del evento antiguo que se utilizará para la coincidencia. Nombre de etiqueta del evento nuevo: especifique el nombre de la etiqueta del evento nuevo que se utilizará para la coincidencia. Grupo de hosts del evento nuevo: especifique el grupo de hosts del evento nuevo que se utilizará para la coincidencia. Par de etiquetas de evento: especifique el nombre de la etiqueta del evento nuevo y el nombre de la etiqueta del evento antiguo que se utilizarán para la coincidencia. En este caso, habrá una coincidencia si coinciden los valores de las etiquetas de ambos eventos. Los nombres de las etiquetas no tienen que coincidir. Esta opción resulta útil para hacer coincidir valores de tiempo de ejecución que pueden no conocerse en el momento de la configuración (consulte también Ejemplo). Valor de etiqueta del evento antiguo: especifique el nombre y el valor de la etiqueta del evento antiguo que se utilizarán para la coincidencia, mediante los siguientes operadores: es igual a: tiene el valor de etiqueta del evento antiguo no es igual a: no tiene el valor de etiqueta del evento antiguo contiene: contiene la cadena en el valor de etiqueta del evento antiguo no contiene: no contiene la cadena en el valor de etiqueta del evento antiguo Valor de etiqueta del evento nuevo: especifique el nombre y el valor de la etiqueta del evento nuevo que se utilizarán para la coincidencia, mediante los siguientes operadores: es igual a: tiene el valor de etiqueta del evento nuevo no es igual a: no tiene el valor de etiqueta del evento nuevo contiene: contiene la cadena en el valor de etiqueta del evento nuevo no contiene: no contiene la cadena en el valor de etiqueta del evento nuevo |
Debido a que es posible una configuración incorrecta y pueden crearse etiquetas de eventos similares para problemas no relacionados, revise los casos descritos a continuación.
- Las etiquetas y los valores de las etiquetas reales solo se hacen visibles cuando se activa un trigger. Si la expresión regular utilizada no es válida, se reemplaza silenciosamente por una cadena *UNKNOWN*. Si se omite el evento de problema inicial con un valor de etiqueta *UNKNOWN*, pueden aparecer posteriormente eventos OK con el mismo valor de etiqueta *UNKNOWN*, que podrían cerrar eventos de problema que no deberían haber cerrado.
- Si un usuario utiliza la macro {ITEM.VALUE} sin funciones de macro como valor de etiqueta, se aplica la limitación de 255 caracteres. Cuando los mensajes de registro son largos y los primeros 255 caracteres no son específicos, esto también puede dar lugar a etiquetas de eventos similares para problemas no relacionados.
Ejemplo
Evite eventos de problema repetitivos del mismo puerto de red.
Esta regla global de correlación correlacionará los problemas si existen valores de etiquetas host y port en el trigger y son iguales en el evento original y en el nuevo.
La operación cerrará los nuevos eventos de problema en el mismo puerto de red, manteniendo abierto solo el problema original.