Может ли Агент кричать при обнаружении эв

[Dev_LC]

Есть Заббиксовый агент на ms сервачке, есть определенный id события в логах винды. Можно ли создать триггер на появление этого события ?

[zalex_ua]

Конечно. В документации есть примеры.

[Dev_LC]

Благодарю. Еще вопрос.

Создал эвент, собирающий нужные мне события (собирает нормально):

eventlog[System,,"Warning|Error","Storage Agents",1186|1187]


Вопрос как настроить триггер на это дело.


Триггер следующего плана отрабатывает, но не затыкается когда проблема уже устранена (т.к. logeventid сверяет инфу с последним собранным событием, которое не факт что поменяется). Т.е. можно ли настроить триггер так, чтобы он при обнаружении события с нужным ID светился скажем 3 часа.

(({Template_Windows:eventlog[System,,"Warning|Error","Storage Agents",1186|1187].logeventid(1186|1187)})#0)

[zalex_ua]

Ой, до глубокой боли известная проблема. Нет в заббиксе красивого решения этой проблемы. Первое наиболее подходящее это голосовать молится чтобы разрабы сделали этот запрос.
Все решают эту проблему с помощью nodata(30) - ищите примеры на форуме. Пример:

{Windows_Eventlog_Security:eventlog[Security,,"Success Audit",,644].logseverity(0)}=8 & {Windows_Eventlog_Security:eventlog[Security,,"Success Audit",,644].nodata(30)}=0

Но мне лично не нравиться этот подход, так как можно пропустить повторяющиеся события в эти 30 секунд. Если делать 3 часа - тогда этот фактор стает еще более влиятельным против использования функции nodata().
У меня есть одна оригинальная идея для красивого решения проблемы, но я еще ее не протестировал в связи с нехваткой времени.

[zalex_ua]

(({Template_Windows:eventlog[System,,"Warning|Error","Storage Agents",1186|1187].logeventid(1186|1187)})#0)

Кстати использовать в таком случае функцию триггера logeventid(1186|1187) както не совсем правильно (логично), так как у вас фильтрация по кодам id уже сделана ключем элемента данных со стороны агента.
Так можно и запутаться.