Tình trạng hiện tại

Vì vậy, bạn đã đi sâu vào bộ truyện, tốt đẹp. Bạn có cụm Elasticsearch của mình, các nhịp gửi dữ liệu và bạn đã thiết lập Kibana với các bảng điều khiển đẹp mắt. Đó là tốt và đẹp nhưng một đêm thứ bảy và một bản cập nhật hệ thống không tốt đã làm hỏng một trong các nút của bạn và hai nút kia hầu như không xử lý được tải.

Một số nền đầu tiên

ODFE đi kèm với plugin cảnh báo được cài đặt sẵn. Điều này cho phép chúng tôi thiết lập cảnh báo khi đáp ứng các điều kiện nhất định.

Có ba cách để thiết lập cảnh báo trong ODFE: Biểu đồ trực quan, Truy vấn trích xuất và trình phát hiện bất thường.

Cách đầu tiên khá dễ hiểu vì vậy chúng tôi sẽ tập trung vào các truy vấn Trích xuất. Máy dò dị thường là một chủ đề thú vị nhưng nằm ngoài phạm vi của loạt bài này.

Cảnh báo có ba phần quan trọng: màn hình, trình kích hoạt và hành động. Màn hình là một truy vấn được chạy trong khoảng thời gian nhất định, mỗi màn hình có một số trình kích hoạt. Trình kích hoạt là một điều kiện được đánh giá dựa trên phản hồi của truy vấn trích xuất của màn hình. Khi một điều kiện kích hoạt đánh giá là true, một số hành động sẽ được thực hiện.

Nói một cách dễ hiểu:

• Theo dõi: Tôi có bao nhiêu email chưa đọc?
• Kích hoạt: Email> 5
• Hành động: Gửi tin nhắn chậm

Trước khi bắt đầu, chúng ta cần thiết lập điểm đến cho các thông báo. Trong phần Thông tin hữu ích khác, bạn sẽ tìm thấy liên kết để thêm ứng dụng Incoming Webhook vào Slack. Lưu ý về url webhook.

Vào phần Cảnh báo, chuyển đến tab Điểm đến và nhấp vào “Thêm điểm đến”. Đặt tên cho nó, chọn loại “Slack” và dán url webhook của bạn vào đó.

ODFE gần đây đã phát hành thông báo qua email và nó cũng hỗ trợ các webook tùy chỉnh cho các ứng dụng nhắn tin khác như nhóm.

Khi bạn đã hoàn tất, hãy nhấp vào “Tạo”.

Thiết lập màn hình

Để bắt đầu với các cảnh báo, chúng tôi cần một truy vấn. Truy vấn Elastcsearch cơ bản trông giống như sau:

May mắn thay, bạn không cần phải viết tất cả những điều này cho mọi truy vấn. Phần trực quan hóa về cơ bản là một trình soạn thảo truy vấn trực quan.

Vì những gì chúng tôi muốn là một số đơn giản, chúng tôi có thể sử dụng hình ảnh hóa số liệu. Thay đổi tổng hợp thành “trung bình”, chọn “system.memory.actual.used.pct” làm trường, nhấp vào cập nhật và về cơ bản bạn đã hoàn tất.

Bây giờ chúng ta cần truy vấn. Gần nút “Lưu”, sẽ có nút “kiểm tra”. Nhấp vào nó và thay đổi tùy chọn trên cùng bên phải có tên “Xem: Dữ liệu” thành “Xem: Yêu cầu” bằng cách nhấp vào nó và chọn tùy chọn từ trình đơn thả xuống. Kibana sẽ hiển thị cho bạn ba tab: Thống kê (rất hữu ích để đo lường hiệu suất truy vấn), Yêu cầu và Phản hồi. Nhấp vào Yêu cầu và sau đó nhấp vào biểu tượng sao chép ở phần trên cùng bên phải của tab yêu cầu.

Tiếp tục dán truy vấn đó vào trình soạn thảo mã yêu thích của bạn.

Bây giờ chúng ta có thể xử lý với việc tạo một cảnh báo. Chuyển đến phần Cảnh báo và nhấp vào tab Màn hình. Nhấp vào tạo màn hình, đặt tên cho màn hình và chọn “Xác định bằng cách sử dụng truy vấn trích xuất” từ menu thả xuống “Phương pháp định nghĩa”.

Trong danh mục thả xuống, nhập “metricbeat- *” và nhấn enter. Điều này sẽ chia không gian bên dưới thành hai. Ở bên trái, bạn sẽ xác định một truy vấn và ở bên phải, bạn sẽ thấy phản hồi sau khi nhấp vào “Chạy”.

Thay thế truy vấn hiện có bằng truy vấn bạn nhận được từ hình ảnh hóa và nhấp vào nút “Chạy” ở góc trên cùng bên phải.

Câu trả lời của bạn sẽ giống như sau:

Vấn đề với điều này là nếu bạn chạy nó một giờ kể từ bây giờ, kết quả sẽ giống nhau. Điều này là do trong truy vấn trích xuất của chúng tôi, ngày tháng là tĩnh.

Đây là vấn đề của chúng tôi:

Để khắc phục điều này, hãy sửa đổi truy vấn để trông giống như sau:

Vì vậy, nếu bạn nhấn nút “Run” nhiều lần, bạn sẽ thấy rằng giá trị thay đổi.

Cuộn xuống và nhấp vào “Tạo”, thao tác này sẽ đưa bạn đến màn hình “Tạo trình kích hoạt”.

Tạo một trình kích hoạt

Để bắt đầu, hãy đặt tên trình kích hoạt và chọn Mức độ nghiêm trọng (điều này là tùy ý). Bên dưới, bạn sẽ thấy phản hồi cho truy vấn Màn hình và ngay dưới phản hồi, bạn sẽ có Điều kiện kích hoạt . Theo mặc định, điều kiện kích hoạt sẽ là “ctx.results [0] .hits.total.value> 0”.

Hiện tại, chúng tôi sẽ tập trung vào mọi thứ sau “ctx.results [0]”. Truy vấn mặc định đánh giá nếu số lượng tài liệu mà truy vấn đọc lớn hơn 0. Điều này không có ích cho chúng tôi, chúng tôi cần sử dụng bộ nhớ. Như bạn có thể thấy câu trả lời của chúng tôi có tổng hợp trường. 1. Giá trị là những gì chúng tôi muốn, vì vậy hãy thay đổi điều kiện kích hoạt của bạn thành điều này:

“Ctx.results [0] .aggregations.1.value> 0”

Cuộn xuống một chút và nhấp vào nút “Run” và xem phản hồi của điều kiện Trigger thay đổi thành “true”. Bây giờ đặt giá trị sau dấu “>” thành 0,8 cho 80%, vì bộ nhớ sẽ luôn trên 0%.

Thiết lập một Hành động

Bên dưới nút “Chạy”, bạn sẽ có thể định cấu hình các hành động. Tại đây bạn có thể thông báo cho Điểm đến bằng tin nhắn.

Đầu tiên, đặt tên cho hành động và chọn điểm đến mà bạn đã tạo trước đó. Nhập chủ đề cho thư và cuộn xuống một chút. Tại đây bạn sẽ thấy bản xem trước tin nhắn.

Chúng tôi muốn bao gồm các biến trong thư của mình, vì vậy chúng tôi không cần tạo trình kích hoạt cho mọi máy chủ mà chúng tôi có. Để bao gồm một biến từ phản hồi trong thông báo, hãy sử dụng mẫu sau:

Ở phía bên phải của màn hình có nút “Gửi tin nhắn kiểm tra” để kiểm tra điểm đến của bạn.

Cuối cùng, để tránh lũ lụt thông báo khi có sự cố, hãy nhấp vào hộp kiểm “Bật điều chỉnh hành động” và nhập số phút hợp lý để đợi trước khi gửi một thông báo khác.

Để kết thúc, hãy nhấp vào tạo.

Bước tiếp theo

Trong phần tiếp theo và phần cuối cùng của loạt bài này, chúng tôi sẽ xem xét một số cài đặt hiệu suất và tính khả dụng và tôi sẽ chia sẻ một số điều tôi đã học được một cách khó khăn.

Xem các bài viết liên quan khác .

Thông tin hữu ích khác

Slack đến webhooks