Ккак сделать мониторинг логов в Zabbix и возврат триггера в OK?

[zar]

Есть куча серверов win2k8r2, мониторим event log на наличие Error
например создаем тригер
{Event User Log:eventlog[Security,,,,4767,,].logeventid(4767)}=1 and {Event User Log:eventlog[Security,,,,4767,,].nodata(10)}=0
задча закрывать возникшие ошибки руками или чтоб они висели хотяб 3 дня(выходные)
сейчас ошибка(как видно из тригера) висит 10 сек и переходит в РЕШЕНА и потом скрывается через 30 минут.
если увеличить на 3 дня (у нас опрос ошибок идет каждые 5 минут), закрываем руками и они тут же сыпяться еще раз...
item: eventlog[Security,,,,4726,,] опрос каждые 300сек
как правильно сделать опрос и закрытие логов?

[Kos]

На самом деле поднятая тема не такая простая, как кажется на первый взгляд. По крайней мере, это та область, в которой хороших решений от Zabbix-а для общего случая я не вижу. Есть лишь удовлетворительные для каких-то частных случаев.

1) формулировка:

задча закрывать возникшие ошибки руками или чтоб они висели хотяб 3 дня(выходные)

- это на самом деле два взаимоисключающих варианта. Потому как либо вы закрываете возникшие проблемы руками (и тогда выражение с триггерной функцией nodata() не нужно), либо вы хотите закрывать по таймеру (но тогда проблемы будут всплывать снова, поскольку таймер ещё не вышел).

2) если вам важно не пропустить ни одной записи в логе (например, отсылать уведомление админу на каждую новую запись), то в настройках триггера обязательно должен быть выставлен параметр "PROBLEM event generation mode = Multiple". Иначе новое событие в Zabbix-е не будет генерироваться до тех пор, пока триггер не вернётся из состояния ПРОБЛЕМА обратно в ОК. Но этот параметр вообще несовместим с триггерными временнЫми функциями (и nodata(), в частности), о чём я неоднократно писал в этом форуме.

3) в вашем случае я бы, наверное, предложил убрать из триггера фунцию nodata() и оставить лишь ручное закрытие, если такой вариант устраивает.

[zar]

Спасибо! я вообщем остановился на последнем варианте) оставил только ручное закрытие критических событий.
но вот на информационные события хотелось бы увеличить срок их отображения с возникновения новых евентов если таковые появились) я так понимаю тут вариант multiple и выставление таймера?

[zar]

Слушай, подскажи, пожалуйста, в прошлой теме https://www.zabbix.com/forum/in-russ...t-log-eventlog
ты упомнялу logseverity() при поиске eventlog
но я не могу понять в чем задача этой цункции
Поддерживаемые типы значений: log
Возвращает:
0 - важность по умолчанию
N - важность (целое число, полезно для журналов событий Windows: 1 - Уведомление, 2 - Предупреждение, 4 - Ошибка, 7 - Аудит отказов, 8 - Аудит успехов, 9 - Критическая ошибка, 10 - Детали).
Zabbix берет важность журнала из поля Информация журнала событий Windows.

но если нам надо ловить все ошибки статуса Критакал или Еррор мы же можем просто записать
{Windows eventID:eventlog[System,,"Critical",,,,].nodata(60)}=0
или что нам дает logseverity ? не могу описание нормальное найти...

и попутно можешь подсказать еще пожалуйста. как повешать Экшен на конкретный тригер. т.е. мне надо чтоб только при срабатывание одного определенного тригера на почту мне приходило уведомление.
я смог найти только как полностью на все тригеры важности High отправлять мне на почту ... а как сделать одиночный не могу найти....

[Kos]

Ответил на комментарий личным сообщением. Пожалуйста, не надо комментировать чужие сообщения, лучше отвечать отдельной репликой (тогда это видно всем, а не только автору комментируемого сообщения, и то, если он достаточно внимателен).