Globalna korelacja zdarzeń
Przegląd
Ta funkcja jest przestarzała i może zostać usunięta w przyszłych wydaniach. Zobacz Złożone przetwarzanie zdarzeń, aby zapoznać się ze zaktualizowanymi funkcjami korelacji zdarzeń.
Globalna korelacja zdarzeń umożliwia objęcie korelacją wszystkich metryk monitorowanych przez Zabbix.
Możliwe jest korelowanie zdarzeń utworzonych przez całkowicie różne wyzwalacze i stosowanie do nich wszystkich tych samych operacji. Tworząc inteligentne reguły korelacji, można uniknąć tysięcy powtarzających się powiadomień i skupić się na przyczynach źródłowych problemu!
Globalna korelacja zdarzeń to zaawansowany mechanizm, który pozwala uniezależnić się od logiki problemów i ich rozwiązywania opartej na jednym wyzwalaczu. Dotychczas pojedyncze zdarzenie problemu było tworzone przez jeden wyzwalacz i byliśmy zależni od tego samego wyzwalacza przy rozwiązywaniu problemu. Nie mogliśmy rozwiązać problemu utworzonego przez jeden wyzwalacz za pomocą innego wyzwalacza. Jednak dzięki korelacji zdarzeń opartej na tagowaniu zdarzeń jest to możliwe.
Na przykład wyzwalacz dziennika może zgłaszać problemy aplikacji, podczas gdy wyzwalacz odpytywania może zgłaszać, że aplikacja działa. Wykorzystując tagi zdarzeń, można oznaczyć wyzwalacz dziennika jako status:down, a wyzwalacz odpytywania jako status:up. Następnie w globalnej regule korelacji można powiązać te wyzwalacze i przypisać do tej korelacji odpowiednią operację, taką jak zamknięcie starych zdarzeń.
W innym zastosowaniu globalna korelacja może identyfikować podobne wyzwalacze i stosować do nich tę samą operację. Co by było, gdyby można było otrzymywać tylko jeden raport o problemie dla każdego problemu z portem sieciowym? Nie ma potrzeby zgłaszania ich wszystkich. Jest to również możliwe dzięki globalnej korelacji zdarzeń.
Globalną korelację zdarzeń konfiguruje się w regułach korelacji. Reguła korelacji definiuje sposób parowania nowych zdarzeń problemu z istniejącymi zdarzeniami problemu oraz określa, co należy zrobić w przypadku dopasowania (zamknąć nowe zdarzenie, zamknąć dopasowane stare zdarzenia, generując odpowiednie zdarzenia OK). Jeśli problem zostanie zamknięty przez globalną korelację, informacja o tym jest wyświetlana w kolumnie Info w sekcji Monitoring > Problems.
Konfigurowanie globalnych reguł korelacji jest dostępne wyłącznie dla użytkowników na poziomie Super Admin.
Korelację zdarzeń należy konfigurować bardzo ostrożnie, ponieważ może ona negatywnie wpłynąć na wydajność przetwarzania zdarzeń lub, jeśli zostanie skonfigurowana nieprawidłowo, zamknąć więcej zdarzeń, niż zamierzano (w najgorszym przypadku mogą zostać zamknięte nawet wszystkie zdarzenia problemu).
Aby bezpiecznie skonfigurować globalną korelację, należy przestrzegać następujących ważnych wskazówek:
- Ogranicz zakres korelacji. Zawsze ustawiaj unikatowy tag dla nowego zdarzenia, które jest parowane ze starymi zdarzeniami, i używaj warunku korelacji New event tag name.
- Dodaj jawny warunek dotyczący starego zdarzenia podczas używania opcji Close old events. Zawsze dodawaj co najmniej jeden warunek Old event (na przykład Old event tag name, Old event tag value lub Event tag pair) podczas wybierania opcji Close old events; w przeciwnym razie reguła może dopasować i zamknąć niepowiązane istniejące zdarzenia problemu (w najgorszym przypadku wszystkie problemy). Preferuj Event tag pair do dopasowywania wartości uzyskiwanych w czasie działania (host:port, identyfikator sesji itp.) i, jeśli to możliwe, dodatkowo zawężaj dopasowanie według hosta lub grupy hostów.
- Unikaj używania typowych nazw tagów, które mogą ostatecznie zostać użyte przez różne konfiguracje korelacji.
- Ogranicz liczbę reguł korelacji do tych, których rzeczywiście potrzebujesz.
Zobacz także: znane problemy.
Konfiguracja
Aby skonfigurować globalnie reguły korelacji zdarzeń:
- Przejdź do Gromadzenie danych > Przetwarzanie zdarzeń.
- Kliknij po prawej stronie opcję Utwórz korelację zdarzeń (lub nazwę korelacji, aby edytować istniejącą regułę).
- Wprowadź parametry reguły korelacji w formularzu.
Wszystkie wymagane pola wejściowe są oznaczone czerwoną gwiazdką.
| Parametr | Opis |
|---|---|
| Nazwa | Unikalna nazwa reguły korelacji. |
| Typ obliczeń | Dostępne są następujące opcje obliczania warunków: And - wszystkie warunki muszą być spełnione Or - wystarczy spełnienie jednego warunku And/Or - AND dla różnych typów warunków oraz OR dla warunków tego samego typu Wyrażenie niestandardowe - zdefiniowana przez użytkownika formuła obliczeniowa służąca do oceny warunków akcji. Musi zawierać wszystkie warunki (reprezentowane wielkimi literami A, B, C, ...) i może zawierać spacje, tabulatory, nawiasy ( ), and (z uwzględnieniem wielkości liter), or (z uwzględnieniem wielkości liter), not (z uwzględnieniem wielkości liter). |
| Warunki | Lista warunków. Szczegółowe informacje dotyczące konfigurowania warunku znajdują się poniżej. |
| Opis | Opis reguły korelacji. |
| Operacje | Zaznacz pole wyboru operacji, która ma zostać wykonana po skorelowaniu zdarzenia. Dostępne są następujące operacje: Zamknij stare zdarzenia - zamyka stare zdarzenia po wystąpieniu nowego zdarzenia. Podczas korzystania z operacji Zamknij stare zdarzenia zawsze dodaj warunek oparty na starym zdarzeniu, w przeciwnym razie wszystkie istniejące problemy mogą zostać zamknięte. Zamknij nowe zdarzenie - zamyka nowe zdarzenie po jego wystąpieniu. Ostrzeżenie! Nie pozostawiaj pustych warunków starego/nowego zdarzenia podczas korzystania z opcji Zamknij stare zdarzenia/Zamknij nowe zdarzenie.Jeśli wybierzesz operację Zamknij stare zdarzenia bez dodania warunku pasującego do starego zdarzenia, Zabbix może dopasować wszystkie istniejące stare zdarzenia i je zamknąć.Zawsze dodawaj jawny warunek starego zdarzenia (na przykład Nazwa znacznika starego zdarzenia lub Para znaczników zdarzenia) podczas korzystania z opcji Zamknij stare zdarzenia. Na przykład reguła, która używa tylko Warunku nowego zdarzenia i operacji Zamknij stare zdarzenia, dopasuje wszystkie stare zdarzenia spełniające (brakujące) kryteria starego zdarzenia, skutecznie zamykając stare problemy. |
| Włączone | Jeśli zaznaczysz to pole wyboru, reguła korelacji zostanie włączona. |
Aby skonfigurować szczegóły nowego warunku, kliknij 
w bloku Warunki.
Otworzy się wyskakujące okno, w którym można edytować szczegóły warunku.
| Parametr | Opis |
|---|---|
| Nowy warunek | Wybierz warunek korelowania zdarzeń. Uwaga: jeśli nie określono warunku starego zdarzenia, wszystkie stare zdarzenia mogą zostać dopasowane i zamknięte. Podobnie, jeśli nie określono warunku nowego zdarzenia, wszystkie nowe zdarzenia mogą zostać dopasowane i zamknięte. Dostępne są następujące warunki: Nazwa znacznika starego zdarzenia - określ nazwę znacznika starego zdarzenia do dopasowania. Nazwa znacznika nowego zdarzenia - określ nazwę znacznika nowego zdarzenia do dopasowania. Grupa hostów nowego zdarzenia - określ grupę hostów nowego zdarzenia do dopasowania. Para znaczników zdarzenia - określ nazwę znacznika nowego zdarzenia i nazwę znacznika starego zdarzenia do dopasowania. W tym przypadku dopasowanie nastąpi, jeśli wartości znaczników w obu zdarzeniach będą zgodne. Nazwy znaczników nie muszą być zgodne. Ta opcja jest przydatna do dopasowywania wartości czasu wykonania, które mogą nie być znane w momencie konfiguracji (zobacz także Przykład). Wartość znacznika starego zdarzenia - określ nazwę i wartość znacznika starego zdarzenia do dopasowania, używając następujących operatorów: równa się - ma wartość znacznika starego zdarzenia nie równa się - nie ma wartości znacznika starego zdarzenia zawiera - zawiera ciąg znaków w wartości znacznika starego zdarzenia nie zawiera - nie zawiera ciągu znaków w wartości znacznika starego zdarzenia Wartość znacznika nowego zdarzenia - określ nazwę i wartość znacznika nowego zdarzenia do dopasowania, używając następujących operatorów: równa się - ma wartość znacznika nowego zdarzenia nie równa się - nie ma wartości znacznika nowego zdarzenia zawiera - zawiera ciąg znaków w wartości znacznika nowego zdarzenia nie zawiera - nie zawiera ciągu znaków w wartości znacznika nowego zdarzenia |
Ze względu na możliwość nieprawidłowej konfiguracji, gdy podobne znaczniki zdarzeń mogą być tworzone dla niepowiązanych problemów, przejrzyj opisane poniżej przypadki!
- Rzeczywiste znaczniki i wartości znaczników stają się widoczne dopiero po uruchomieniu wyzwalacza. Jeśli użyte wyrażenie regularne jest nieprawidłowe, zostaje po cichu zastąpione ciągiem *UNKNOWN*. Jeśli początkowe zdarzenie problemu z wartością znacznika *UNKNOWN* zostanie pominięte, mogą pojawić się kolejne zdarzenia OK z tą samą wartością znacznika *UNKNOWN*, które mogą zamknąć zdarzenia problemu, których nie powinny zamykać.
- Jeśli użytkownik użyje makra {ITEM.VALUE} bez funkcji makra jako wartości znacznika, obowiązuje ograniczenie do 255 znaków. Gdy komunikaty dziennika są długie, a pierwsze 255 znaków nie zawiera informacji specyficznych, może to również skutkować podobnymi znacznikami zdarzeń dla niepowiązanych problemów.
Przykład
Zatrzymaj powtarzające się zdarzenia problemów z tego samego portu sieciowego.
Ta globalna reguła korelacji skoreluje problemy, jeśli na wyzwalaczu istnieją wartości tagów host i port oraz są one takie same w zdarzeniu pierwotnym i nowym.
Operacja zamknie nowe zdarzenia problemów na tym samym porcie sieciowym, pozostawiając otwarte tylko pierwotne zdarzenie problemu.