Windows Zabbix agent

Panoramica

Gli item dell'agent Zabbix per Windows sono presentati in due elenchi:

• Item condivisi - le chiavi item condivise con l'agent Zabbix per UNIX;
• Item specifici di Windows - le chiavi item supportate solo su Windows.

Si noti che tutte le chiavi item supportate dall'agent Zabbix su Windows sono supportate anche dall'agent Zabbix 2 di nuova generazione. Vedere anche le chiavi item aggiuntive che possono essere utilizzate solo con agent 2.

Vedere anche: Permessi minimi per gli item Windows

Shared items

La tabella seguente elenca gli item di Zabbix agent supportati su Windows e condivisi con Zabbix agent UNIX:

• La chiave dell'item è un collegamento ai dettagli completi dell'item di Zabbix agent UNIX
• Sono inclusi i commenti sugli item rilevanti per Windows

Item specifici di Windows

La tabella fornisce dettagli sulle chiavi item supportate solo dallo Zabbix agent per Windows.

Gli item specifici di Windows talvolta sono una controparte approssimativa di un item agent simile; ad esempio, proc_info, supportato in Windows, corrisponde approssimativamente all'item proc.mem, non supportato in Windows.

La chiave item è un collegamento ai dettagli completi della chiave item.

Dettagli della chiave item

I parametri senza parentesi angolari sono obbligatori. I parametri contrassegnati con parentesi angolari < > sono facoltativi.

eventlog[name,<regexp>,<severity>,<source>,<eventid>,<maxlines>,<mode>]

Il monitoraggio del registro eventi.
Valore restituito: Log.

Parametri:

• name - il nome del canale del registro eventi (Log Name nell'interfaccia grafica di Event Viewer);
  
• regexp - una espressione regolare che descrive il pattern richiesto (sensibile alle maiuscole/minuscole);
  
• severity - un'espressione regolare che descrive la gravità (non sensibile alle maiuscole/minuscole). Questo parametro accetta un'espressione regolare basata sui seguenti valori: "Information", "Warning", "Error", "Critical", "Verbose" (in esecuzione su Windows Vista o versioni successive).
  
• source - un'espressione regolare che descrive l'identificatore della sorgente (non sensibile alle maiuscole/minuscole);
  
• eventid - un'espressione regolare che descrive l'identificatore o gli identificatori dell'evento (sensibile alle maiuscole/minuscole);
  
• maxlines - il numero massimo di nuove righe al secondo che l'agent invierà a Zabbix server o proxy. Questo parametro sostituisce il valore di MaxLinesPerSecond in zabbix_agentd.conf.
  
• mode - valori possibili:
  • all (predefinito);
  • skip - salta l'elaborazione dei dati più vecchi (influisce solo sugli item creati di recente).

Commenti:

• L'item deve essere configurato come controllo attivo;
• L'agent non è in grado di inviare eventi dal registro "Forwarded events";
• È supportato Windows Eventing 6.0;
• La selezione di un tipo di informazione diverso da Log per questo item comporterà la perdita del timestamp locale, così come delle informazioni sulla gravità e sulla sorgente del log;
• Vedere anche ulteriori informazioni sul monitoraggio dei log.

Esempi:

eventlog[Application]
eventlog[Microsoft-Windows-Application-Experience/Program-Compatibility-Assistant]
eventlog[Security,,"Failure Audit",,^(529|680)$]
eventlog[System,,"Warning|Error"]
eventlog[System,,,,^1$]
eventlog[Windows PowerShell,,,,,,skip]
eventlog[System,,,,@TWOSHORT] #here a custom regular expression named `TWOSHORT` is referenced (defined as a *Result is TRUE* type, the expression itself being `^1$|^70$`).

eventlog.count[name,<regexp>,<severity>,<source>,<eventid>,<maxproclines>,<mode>]

Il numero di righe nel registro eventi di Windows.
Valore restituito: Integer.

Parametri:

• name - il nome del canale del registro eventi (Log Name nell'interfaccia grafica di Event Viewer);
  
• regexp - una espressione regolare che descrive il pattern richiesto (sensibile alle maiuscole/minuscole);
  
• severity - un'espressione regolare che descrive la severità (non sensibile alle maiuscole/minuscole). Questo parametro accetta un'espressione regolare basata sui seguenti valori: "Information", "Warning", "Error", "Critical", "Verbose" (in esecuzione su Windows Vista o versioni successive).
  
• source - un'espressione regolare che descrive l'identificatore della sorgente (non sensibile alle maiuscole/minuscole);
  
• eventid - un'espressione regolare che descrive l'identificatore o gli identificatori dell'evento (sensibile alle maiuscole/minuscole);
  
• maxproclines - il numero massimo di nuove righe al secondo che l'agent analizzerà (non può superare 10000). Il valore predefinito è 10*MaxLinesPerSecond in zabbix_agentd.conf.
  
• mode - valori possibili:
  • all (predefinito);
  • skip - salta l'elaborazione dei dati più vecchi (influisce solo sugli item creati di recente).

Commenti:

• L'item deve essere configurato come active check;
• L'agent non è in grado di inviare eventi dal registro "Forwarded events";
• È supportato Windows Eventing 6.0;
• La selezione di un tipo di informazione non Log per questo item comporterà la perdita del timestamp locale, nonché delle informazioni sulla severità del log e sulla sorgente;
• Vedere anche ulteriori informazioni sul monitoraggio dei log.

Esempi:

eventlog.count[System,,"Warning|Error"]
eventlog.count[Windows PowerShell,,,,,,skip]

net.if.list

L'elenco delle interfacce di rete (include tipo di interfaccia, stato, indirizzo IPv4, descrizione).
Valore restituito: Testo.

Commenti:

• Sono supportati i nomi delle interfacce multi-byte;
• Le interfacce disabilitate non sono elencate;
• L'abilitazione/disabilitazione di alcuni componenti può modificarne l'ordine nel nome dell'interfaccia di Windows;
• Alcune versioni di Windows (ad esempio, Server 2008) potrebbero richiedere l'installazione degli aggiornamenti più recenti per supportare i caratteri non ASCII nei nomi delle interfacce.

perf_counter[counter,<interval>]

Il valore di qualsiasi contatore delle prestazioni di Windows.
Valore restituito: Integer, float, string o text (a seconda della richiesta).

Parametri:

• counter - il percorso del contatore;
  
• interval - gli ultimi N secondi per memorizzare il valore medio. Il valore di interval deve essere compreso tra 1 e 900 secondi (inclusi) e il valore predefinito è 1.

Commenti:

• Questo item segue i percorsi UNC, che possono rappresentare un rischio per la sicurezza;
• interval viene usato per i contatori che richiedono più di un campione (come l'utilizzo della CPU), quindi il controllo restituisce ogni volta un valore medio degli ultimi "interval" secondi;
• Performance Monitor può essere usato per ottenere l'elenco dei contatori disponibili.
• Vedi anche: Windows performance counters.

perf_counter_en[counter,<interval>]

Il valore di qualsiasi contatore di prestazioni di Windows in inglese.
Valore restituito: Integer, float, string o text (a seconda della richiesta).

Parametri:

• counter - il percorso del contatore in inglese;
  
• interval - gli ultimi N secondi per memorizzare il valore medio. Il interval deve essere compreso tra 1 e 900 secondi (inclusi) e il valore predefinito è 1.

Commenti:

• Questo item segue i percorsi UNC, che possono rappresentare un rischio per la sicurezza;
• interval viene usato per i contatori che richiedono più di un campione (come l'utilizzo della CPU), quindi il controllo restituisce ogni volta un valore medio degli ultimi "interval" secondi;
• Questo item è supportato solo su Windows Server 2008/Vista e versioni successive;
• È possibile trovare l'elenco delle stringhe in inglese visualizzando la seguente chiave del registro: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Perflib\009.

perf_instance.discovery[object]

L'elenco delle istanze degli oggetti dei contatori delle prestazioni di Windows. Utilizzato per low-level discovery.
Valore restituito: oggetto JSON.

Parametro:

• object - il nome dell'oggetto (localizzato).

perf_instance_en.discovery[object]

L'elenco delle istanze degli oggetti dei contatori delle prestazioni di Windows, individuate utilizzando i nomi degli oggetti in inglese. Utilizzato per low-level discovery.
Valore restituito: oggetto JSON.

Parametro:

• object - il nome dell'oggetto (in inglese).

proc_info[process,<attribute>,<type>]

Varie informazioni su uno o più processi specifici.
Valore restituito: Float.

Parametri:

• process - il nome del processo;
  
• attribute - l'attributo del processo richiesto;
  
• type - il tipo di rappresentazione (significativo quando esiste più di un processo con lo stesso nome)

Commenti:

• Sono supportati i seguenti attributes:
  • vmsize (predefinito) - dimensione della memoria virtuale del processo in Kbyte;
  • wkset - dimensione del working set del processo (quantità di memoria fisica usata dal processo) in Kbyte;
  • pf - numero di page fault;
  • ktime - tempo kernel del processo in millisecondi;
  • utime - tempo utente del processo in millisecondi;
  • io_read_b - numero di byte letti dal processo durante le operazioni di I/O;
  • io_read_op - numero di operazioni di lettura eseguite dal processo;
  • io_write_b - numero di byte scritti dal processo durante le operazioni di I/O;
  • io_write_op - numero di operazioni di scrittura eseguite dal processo;
  • io_other_b - numero di byte trasferiti dal processo durante operazioni diverse da quelle di lettura e scrittura;
  • io_other_op - numero di operazioni di I/O eseguite dal processo, diverse da quelle di lettura e scrittura;
  • gdiobj - numero di oggetti GDI usati dal processo;
  • userobj - numero di oggetti USER usati dal processo.
    
• I types validi sono:
  • avg (predefinito) - valore medio per tutti i processi denominati <process>;
  • min - valore minimo tra tutti i processi denominati <process>;
  • max - valore massimo tra tutti i processi denominati <process>;
  • sum - somma dei valori per tutti i processi denominati <process>.
• Su un sistema a 64 bit, per il corretto funzionamento di questo item è necessario un agent Zabbix a 64 bit.
  

Esempi:

proc_info[iexplore.exe,wkset,sum] #recupera la quantità di memoria fisica utilizzata da tutti i processi di Internet Explorer
proc_info[iexplore.exe,pf,avg] #recupera il numero medio di page fault per i processi di Internet Explorer

registry.data[key,<value name>]

Restituisce i dati per il nome valore specificato nella chiave del Registro di Windows.
Valore restituito: Integer, string o text (a seconda del tipo di valore)

Parametri:

• key - la chiave del Registro, inclusa la chiave radice; sono consentite le abbreviazioni della chiave radice (ad esempio HKLM);
• value name - il nome del valore del Registro nella chiave (stringa vuota "" per impostazione predefinita). Il valore predefinito viene restituito se il nome del valore non viene specificato.

Commenti:

• Abbreviazioni della chiave radice supportate:

  • HKCR - HKEY_CLASSES_ROOT
  • HKCC - HKEY_CURRENT_CONFIG
  • HKCU - HKEY_CURRENT_USER
  • HKCULS - HKEY_CURRENT_USER_LOCAL_SETTINGS
  • HKLM - HKEY_LOCAL_MACHINE
  • HKPD - HKEY_PERFORMANCE_DATA
  • HKPN - HKEY_PERFORMANCE_NLSTEXT
  • HKPT - HKEY_PERFORMANCE_TEXT
  • HKU - HKEY_USERS

• Le chiavi con spazi devono essere racchiuse tra virgolette doppie.

Esempi:

registry.data["HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Windows Error Reporting"] #restituisce i dati del valore predefinito di questa chiave
registry.data["HKLM\SOFTWARE\Microsoft\Windows\Windows Error Reporting","EnableZip"] #restituisce i dati del valore denominato "Enable Zip" in questa chiave

registry.get[key,<mode>,<name regexp>]

L'elenco dei valori o delle chiavi del Registro di Windows situati nella chiave specificata.
Valore restituito: oggetto JSON.

Parametri:

• key - la chiave del Registro, inclusa la chiave radice; sono consentite le abbreviazioni della chiave radice (ad esempio HKLM) (vedere i commenti di registry.data[] per l'elenco completo delle abbreviazioni);
  
• mode - valori possibili:
  values (predefinito) oppure keys;
  
• name regexp - scopre solo i valori i cui nomi corrispondono alla regexp (predefinito - scopre tutti i valori). Consentito solo con values come mode.

Le chiavi con spazi devono essere racchiuse tra virgolette doppie.

Esempi:

registry.get[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall,values,"^DisplayName|DisplayVersion$"] #restituisce i dati dei valori denominati "DisplayName" o "DisplayValue" in questa chiave.
Il JSON includerà i dettagli della chiave, dell'ultima sottochiave, del nome del valore, del tipo di valore e dei dati del valore.
registry.get[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall,values] #restituisce i dati di tutti i valori in questa chiave.
Il JSON includerà i dettagli della chiave, dell'ultima sottochiave, del nome del valore, del tipo di valore e dei dati del valore.
registry.get[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall,keys] #restituisce tutte le sottochiavi di questa chiave.
Il JSON includerà i dettagli della chiave e dell'ultima sottochiave.

service.discovery

L'elenco dei servizi Windows. Utilizzato per low-level discovery.
Valore restituito: oggetto JSON.

service.info[service,<param>]

Informazioni su un servizio.
Valore restituito:

• Integer - con param come state, startup;
  
  In particolare per state:
  • 0 - in esecuzione
  • 1 - in pausa
  • 2 - avvio in sospeso
  • 3 - pausa in sospeso
  • 4 - ripresa in sospeso
  • 5 - arresto in sospeso
  • 6 - arrestato
  • 7 - sconosciuto
  • 255 - servizio inesistente
    
    In particolare per startup:
  • 0 - automatico
  • 1 - automatico ritardato
  • 2 - manuale
  • 3 - disabilitato
  • 4 - sconosciuto
  • 5 - avvio automatico con trigger
  • 6 - avvio automatico ritardato con trigger
  • 7 - avvio manuale con trigger
• String - con param come displayname, path, user;
• Text - con param come description.

Parametri:

• service - un nome di servizio reale o il relativo nome visualizzato come appare nello snap-in Servizi di MMC;
• param - state (predefinito), displayname, path, user, startup o description.

Commenti:

• Elementi come service.info[service,state] e service.info[service] restituiranno le stesse informazioni;
• Solo con param impostato su state questo item restituisce un valore per i servizi inesistenti (255).

Esempi:

service.info[SNMPTRAP] - stato del servizio SNMPTRAP;
service.info[SNMP Trap] - stato dello stesso servizio, ma con il nome visualizzato specificato;
service.info[EventLog,startup] - tipo di avvio del servizio EventLog

services[<type>,<state>,<exclude>]

L'elenco dei servizi.
Valore restituito: 0 - se vuoto; Text - l'elenco dei servizi separati da una nuova riga.

Parametri:

• type - all (predefinito), automatic, manual o disabled;
• state - all (predefinito), stopped, started, start_pending, stop_pending, running, continue_pending, pause_pending o paused;
• exclude - i servizi da escludere dal risultato. I servizi esclusi devono essere elencati tra virgolette doppie, separati da virgole, senza spazi.

Esempi:

services[,started] #restituisce l'elenco dei servizi avviati;
services[automatic, stopped] #restituisce l'elenco dei servizi arrestati che dovrebbero essere in esecuzione;
services[automatic, stopped, "service1,service2,service3"] #restituisce l'elenco dei servizi arrestati che dovrebbero essere in esecuzione, escludendo i servizi denominati "service1", "service2" e "service3"

vm.vmemory.size[<type>]

La dimensione della memoria virtuale in byte o in percentuale del totale.
Valore restituito: Integer - per i byte; float - per la percentuale.

Parametro:

• type - valori possibili: available (memoria virtuale disponibile), pavailable (memoria virtuale disponibile, in percentuale), pused (memoria virtuale utilizzata, in percentuale), total (memoria virtuale totale, predefinito) oppure used (memoria virtuale utilizzata)

Commenti:

• Il monitoraggio delle statistiche della memoria virtuale si basa su:
  
  • La memoria virtuale totale in Windows (memoria fisica totale + dimensione del file di paging);
    
  • La quantità massima di memoria che Zabbix agent può impegnare;
    
  • Il limite corrente di memoria impegnata per il sistema o per Zabbix agent, a seconda di quale sia inferiore.

Esempio:

vm.vmemory.size[pavailable] #restituisce la memoria virtuale disponibile, in percentuale

wmi.get[<namespace>,<query>]

Esegue una query WMI e restituisce il primo oggetto selezionato.
Valore restituito: Integer, float, string o text (a seconda della richiesta).

Parametri:

• namespace - lo spazio dei nomi WMI;
  
• query - la query WMI che restituisce un singolo oggetto.

Le query WMI vengono eseguite con WQL.

Esempio:

wmi.get[root\cimv2,select status from Win32_DiskDrive where Name like '%PHYSICALDRIVE0%'] #returns the status of the first physical disk

wmi.getall[<namespace>,<query>]

Esegue una query WMI e restituisce l'intera risposta. Può essere utilizzato per la low-level discovery.
Valore restituito: oggetto JSON

Parametri:

• namespace - lo spazio dei nomi WMI;
  
• query - la query WMI.

Commenti:

• Le query WMI vengono eseguite con WQL.
• Il preprocessing JSONPath può essere utilizzato per puntare a valori più specifici nel JSON restituito.

Esempio:

wmi.getall[root\cimv2,select * from Win32_DiskDrive where Name like '%PHYSICALDRIVE%'] #returns status information of physical disks

Monitoraggio dei servizi Windows

Questo tutorial fornisce istruzioni passo passo per configurare il monitoraggio dei servizi Windows. Si presuppone che Zabbix server e agent siano configurati e operativi.

Passo 1

Ottieni il nome del servizio.

Puoi ottenere il nome del servizio aprendo lo snap-in Servizi di MMC e visualizzando le proprietà del servizio. Nella scheda Generale dovresti vedere un campo chiamato Nome del servizio. Il valore che segue è il nome che utilizzerai quando configuri un item per il monitoraggio. Ad esempio, se volessi monitorare il servizio "workstation", il tuo servizio potrebbe essere: lanmanworkstation.

Passaggio 2

Configurare un item per monitorare il servizio.

L'item service.info[service,<param>] recupera informazioni su un determinato servizio. A seconda delle informazioni necessarie, specificare l'opzione param, che accetta i seguenti valori: displayname, state, path, user, startup oppure description. Il valore predefinito è state se param non è specificato (service.info[service]).

Il tipo di valore restituito dipende dal param scelto: integer per state e startup; character string per displayname, path e user; text per description.

Esempio:

• Chiave: service.info[lanmanworkstation]
• Tipo di informazione: Numerico (senza segno)

L'item service.info[lanmanworkstation] recupererà informazioni sullo stato del servizio come valore numerico. Per mappare un valore numerico a una rappresentazione testuale nel frontend ("0" come "Running", "1" come "Paused", ecc.), è possibile configurare una mappatura dei valori sull'host su cui è configurato l'item. Per farlo, collegare all'host il template Windows services by Zabbix agent oppure Windows services by Zabbix agent active, oppure configurare sull'host una nuova mappa dei valori basata sulla mappa dei valori Windows service state configurata nei template menzionati.

Si noti che entrambi i template menzionati hanno una regola di discovery configurata che rileverà automaticamente i servizi. Se non lo si desidera, è possibile disabilitare la regola di discovery a livello di host una volta che il template è stato collegato all'host.

Individuazione dei servizi Windows

La low-level discovery offre un modo per creare automaticamente item, trigger e grafici per diverse entità su un computer. Zabbix può iniziare automaticamente a monitorare i servizi Windows sulla tua macchina, senza la necessità di conoscere il nome esatto di un servizio o di creare manualmente item per ciascun servizio. È possibile utilizzare un filtro per generare item, trigger e grafici reali solo per i servizi di interesse.