Konfigurieren von Metrikwarnungen

Metrikwarnungen sind Warnmeldungen, die auf Berechnungen von Metriken basieren, die von IBM® Cloud Logs mit Event2Metrics aufgezeichnet wurden.

Metrikwarnungen sind Benachrichtigungen, die durch Erreichen oder Überschreiten vordefinierter Schwellenwerte für bestimmte Metriken in Ihrem IBM Cloud Logs Dashboard ausgelöst werden.

Metrische Alarme dienen der Überwachung kritischer Leistungsindikatoren im Bereich der Infrastruktur und anderer Metriken. Wenn bestimmte Schwellenwerte oder Bedingungen überschritten werden, fungieren diese Warnungen als Frühwarnsystem, das die Teams auf potenzielle Probleme aufmerksam macht, die sofortige Aufmerksamkeit erfordern. Sie helfen beispielsweise bei der Überwachung von Server-CPU-Auslastung, Antwortzeiten, Fehlerraten und Ressourcenauslastung in Cloud-Umgebungen.

Voraussetzungen

  • Erfahren Sie mehr über Warnmeldungen in IBM Cloud Logs. Weitere Informationen finden Sie unter Alarmierung.
  • Überprüfen Sie, ob Sie eine Event Notifications Instanz haben, die sich im selben Konto befindet wie Ihre IBM Cloud Logs Instanz und ob Sie die Erlaubnis haben, Ressourcen in der Event Notifications Instanz zu konfigurieren.
  • Überprüfen Sie, ob die ausgehende Integration zwischen der Instanz IBM Cloud Logs und der Instanz Event Notifications konfiguriert ist. Weitere Informationen finden Sie unter Konfigurieren einer ausgehenden Integration für die Verbindung.

Verwaltung von Warnmeldungen starten

Führen Sie die folgenden Schritte aus:

  1. Klicken Sie in der Konsole auf das Navigationsmenü-Symbol Navigationsmenü-Symbol > Ressourcenliste.
  2. Wählen Sie Ihre Instanz von IBM Cloud Logs aus.
  3. Klicken Sie in der IBM Cloud Logs Navigation auf das Warnungen Symbol > Verwaltung von Warnungen.
  4. Klicken Sie auf Neuer Alarm.

Wählen Sie die Art der zu konfigurierenden Meldung

Führen Sie die folgenden Schritte aus:

  1. Wählen Sie den Alarmtyp. Weitere Informationen finden Sie unter Warntypen.

  2. Führen Sie im Abschnitt Details die folgenden Schritte aus:

    1. Geben Sie einen Namen ein.

      • Die maximale Länge des Namens beträgt 4096 Zeichen.

    2. [Optional] Geben Sie eine Beschreibung ein.

      • Die maximale Länge der Beschreibung beträgt 4096 Zeichen.

    3. [Optional] Fügen Sie eine oder mehrere Beschriftungen hinzu.

      Labels sind Schlüssel:Wert-Paare, die Sie später für eine schnelle Suche verwenden können.

Geben Sie eine Metrikabfrage an

Geben Sie mit PromQL, eine Abfrage zu den in Ihrer IBM® Cloud Logs-Instanz gespeicherten Metriken ein.

Wenn Sie Ihre PromQL Abfrage eingeben, erhalten Sie Vorschläge zur automatischen Vervollständigung.

Aggregieren Sie die Metriken mit einem Wert Ihrer Wahl, z. B. Anwendung, Subsystem, Rechner-ID oder andere Daten. Sie könnten zum Beispiel die Gesamtzahl der Ausnahmen mit einer einzigen Metrik für alle Anwendungen verfolgen und Metrikbeschriftungen zur Darstellung neuer Codebereiche hinzufügen. Wenn der Ausnahmezähler application_error_count heißt und den Codebereich x abdeckt, können Sie eine entsprechende metrische Bezeichnung hinzufügen.

application_error_count{area="x"}

Verwenden Sie den Aggregationsoperator by, um auszuwählen, welche Dimensionen (metrische Bezeichnungen) für die Aggregation verwendet werden sollen und wie Sie Ihre Warnmeldungsgruppen aufteilen. Die Abfrage sum by(instance) (node_filesystem_size_bytes) gibt zum Beispiel die Gesamtzahl der node_filesystem_size_bytes für jede Instanz zurück.

Geben Sie die Auslösebedingung an

Geben Sie die auslösende Bedingung an, die anhand der von Ihrer Abfrage zurückgegebenen Daten ausgewertet wird.

  • Für Ist geben Sie an, wann der Alarm ausgelöst werden soll. Zum Beispiel, wenn die metrische Abfrage mehr als üblich auftritt.

  • Für Wert geben Sie an, wie oft die Abfrage einen Treffer liefert, der die Warnung auslöst.

  • Geben Sie für „Für mehr als“ einen Prozentsatz der Zeit an, in der die Abfrage mit der in „Von“ angegebenen Zeit übereinstimmt.

Manchmal können Daten fehlende Werte enthalten. Wennn man fehlende Werte nicht durch Null ersetzt und sie leer lässt, werdenn die vorhandenen Daten als 100% der Daten betrachtet.

Nehmen wir an, dass Sie eine Abfrage für einen Zeitraum von 10 Minuten durchführen. 6 Datenpunkte haben Werte und 4 Datenpunkte haben keine Werte. Wenn Sie die fehlenden Werte nicht durch 0 ersetzt haben, werden die 6 Minuten mit Werten als 100 % des Zeitrahmens betrachtet. Dies kann zu falschen Auslösern führen.

In den erweiterten Einstellungen können Sie fehlende Werte durch 0 ersetzen.

Sie können die Empfindlichkeit der Alarmauslösung anpassen, indem Sie in den erweiterten Einstellungen den Prozentsatz für „Mindestens % des Zeitrahmens müssen Werte aufweisen, damit dieser Alarm ausgelöst wird“ anpassen.

  • Die Einstellung für die Prozentwerte dient dazu, die Warnung zu deaktivieren, wenn nicht genügend Datenpunkte vorhanden sind, um die Warnung als zuverlässig anzusehen. Wenn die Datenmenge unter dem festgelegten Prozentsatz liegt, wird die Warnmeldung nicht ausgelöst, unabhängig davon, ob der tatsächliche Wert der Metrik über oder unter einem Schwellenwert liegt.

  • Wenn der Prozentsatz auf 0 gesetzt ist und die Abfrage den Schwellenwert einmal überschreitet, wird ein Alert ausgelöst.

  • Wenn der Prozentsatz auf 100 gesetzt ist, bedeutet dies, dass alle Werte des Zeitfensters den Schwellenwert überschreiten sollten. Ist dies zu irgendeinem Zeitpunkt nicht der Fall, wird ein Alarm ausgelöst.

Die Einstellung für den Prozentwert wird nicht angezeigt, wenn die Option Fehlende Werte durch Nullen ersetzen ausgewählt ist. Sobald fehlende Werte durch Null ersetzt werden, besteht die Garantie, dass 100 % der Daten vorhanden sind.

Wenn Sie die Bedingung Kleiner als der Schwellenwert verwenden, haben Sie die Möglichkeit, nicht erkannte Werte zu verwalten.

Unerkannte Werte treten auf, wenn eine Permutation einer Weniger-als-Warnung nicht mehr gesendet wird, was zu einer mehrfachen Auslösung der Warnung führt (für jeden Zeitrahmen, in dem sie nicht gesendet wurde).

Wenn Sie ein Alert mit nicht erkannten Werten anzeigen, haben Sie die Möglichkeit, diese Werte manuell zu löschen oder einen Zeitraum auszuwählen, nach dem die nicht erkannten Werte automatisch gelöscht werden. Sie können auch die Auslösung bei nicht erkannten Werten deaktivieren, um das Senden von Warnmeldungen sofort zu beenden, wenn ein nicht erkannter Wert auftritt.

Erkennung von Anomalien anpassen

Die Erkennung von Anomalien analysiert die eingehenden Metriken. Anhand der Daten der letzten 24 Stunden prognostiziert IBM Cloud Logs das erwartete Verhalten in den nächsten 24 Stunden. Das Vorhersagemodell legt obere und untere Schwellenwerte für das zu erwartende Verhalten fest und setzt diese Schwellenwerte als Grenzen. Wenn die Daten diese Schwellenwerte überschreiten, wird ein Alarm ausgelöst. Zwischen dem durchschnittlichen Verhalten und jedem Schwellenwert wird eine Basislinie berechnet. Sie können eine prozentuale Abweichung von dieser Basislinie angeben, um die Empfindlichkeit der Alarmauslösung anzupassen.

Wenn Sie eine Bedingung "Mehr als üblich" oder "Weniger als üblich" festlegen, können Sie eine erweiterte Einstellung konfigurieren, die nur dann einen Alarm auslöst, wenn die prozentuale Abweichung um diesen Prozentsatz überschritten wird.

Wenn beispielsweise die Basislinie 50 und der obere Schwellenwert 150 beträgt und die prozentuale Abweichung 10 % beträgt, wird der Alarm nur ausgelöst, wenn der Wert 155 überschreitet.

Beispiele

Sie können z. B. wählen, ob Ihr Alarm ausgelöst werden soll, wenn er kleiner als, kleiner als oder gleich, größer als, größer als oder gleich einem bestimmten Wert oder größer als üblich oder kleiner als üblich für einen Mindestwert ist. Wenn die Abfrage den für die Bedingungen festgelegten Wert oder Schwellenwert überschreitet, wird der Alarm ausgelöst.

Durch Angabe eines Prozentsatzes (für über x % ) und eines Zeitrahmens (der letzten x Minuten ) wird festgelegt, wie viel des Zeitrahmens den Schwellenwert überschreiten muss, damit der Alarm ausgelöst wird. Wählen Sie den Prozentsatz (mindestens x % ) des Zeitrahmens, für den Werte erforderlich sind, damit der Alarm ausgelöst wird.

Sie stellen zum Beispiel fest, dass mehr als 50 % meines 10-Minuten-Zeitfensters den festgelegten Wert aufweisen müssen, damit der Alarm ausgelöst wird. Wenn ich den Wert für 5 der 10 Datenpunkte erreiche, reicht das nicht aus, um eine Warnung auszulösen, da er nicht über 50 % liegt. Wenn ich den Wert für 6 der 10 Datenpunkte erreiche, wird ein Alarm ausgelöst.

Unter Gruppieren nach können Sie bis zu 2 JSON-Felder konfigurieren, deren Werte aggregiert werden und bestimmen, wann ein Alarm ausgelöst wird.

  • Eine Warnung wird ausgelöst, wenn einer der aggregierten Werte innerhalb des angegebenen Zeitraums über dem im Abschnitt Filterbedingungen konfigurierten Schwellenwert liegt.

  • Ein Alert wird ausgelöst, wenn die Bedingungsschwelle für einen bestimmten aggregierten Wert innerhalb des angegebenen Zeitrahmens erreicht wird.

  • Wenn Sie 2 Werte konfigurieren, werden übereinstimmende Protokolle zuerst nach dem übergeordneten Feld und dann nach dem untergeordneten Feld aggregiert. Eine Warnung wird ausgelöst, wenn der Schwellenwert die eindeutige Kombination aus übergeordnetem und untergeordnetem Merkmal erfüllt.

Konfigurieren Sie die Benachrichtigungsdetails

Führen Sie die folgenden Schritte aus:

  1. Konfigurieren Sie Benachrichtigung alle, um festzulegen, wie oft Sie ein Ereignis erhalten möchten, sobald der Alarm ausgelöst wurde. Standardmäßig ist sie auf 0 Stunden und 10 Minuten eingestellt.

  2. Aktivieren Sie Automatisch auflösen, um ein Ereignis zu erhalten, wenn das Ereignis aufgelöst wurde.

    Wenn die Bedingung der Warnmeldung keine Ereignisse mehr auslöst, wird das ursprünglich ausgelöste Ereignis als gelöst markiert.

  3. Aktivieren Aktivieren Sie den Phantom-Modus, um anzuzeigen, dass es sich bei dieser Meldung um eine Phantom-Meldung handelt.

    Ein Phantom Alert dient als Baustein für Flow Alerts.

    Ein Phantom-Alarm löst keine unabhängigen Ereignisbenachrichtigungen aus.

    Wenn Sie diese Option aktivieren, wird der Abschnitt Benachrichtigungen aus der Alarmdefinition entfernt.

  4. Fügen Sie eine Integration hinzu.

    Sie müssen eine ausgehende Integration definiert haben, um eine Integration hinzufügen zu können. Weitere Informationen finden Sie unter Konfigurieren der Integration mit dem Event Notifications.

Festlegen eines Zeitplans und der zu protokollierenden Inhalte

Führen Sie die folgenden Schritte aus:

  1. Legen Sie im Abschnitt Zeitplan einen Zeitplan fest, der steuert, wann dieser Alarm aktiviert wird. Sie können bestimmte Tage und Uhrzeiten auswählen.

  2. Legen Sie im Abschnitt Inhalt der Benachrichtigung fest, ob Sie eine Musterprotokollzeile oder nur einige Felder in das ausgelöste Ereignis aufnehmen möchten.

    Wählen Sie bestimmte JSON-Schlüssel aus, die in die Warnmeldung aufgenommen werden sollen, oder lassen Sie dieses Feld leer, um den vollständigen Protokolltext in die Warnmeldung aufzunehmen:

    • Option 1: Leer lassen, um eine Protokollzeile einzuschließen, die den Filterbedingungen des Alarms entspricht.

    • Option 2: Geben Sie JSON-Schlüssel an, um ausgewählte Felder im Format von Schlüssel:Wert-Paaren aufzunehmen. Beachten Sie, dass Ihre Protokolldatensätze im JSON-Format vorliegen müssen, damit Sie Felder hinzufügen können.

      JSON-Schlüssel, die ein . in ihrem Namen enthalten, können nicht als ausgewählte Felder verwendet werden.

    • Option 3: Geben Sie einen JSON-Pfad als Filter an.

Wenn eine Warnung ausgelöst wird, gibt es Beschränkungen für die Datenmenge, die in das Ereignis aufgenommen wird. Weitere Informationen zu diesen Einschränkungen finden Sie unter Datenumfang.

Speichern Sie die Alarmkonfiguration

Führen Sie die folgenden Schritte aus:

  1. Überprüfen Sie die Ausschreibung.

    Klicken Sie auf Überprüfen, um die Daten auszuwerten und herauszufinden, wie oft der Alarm in den letzten 24 Stunden die Kriterien erfüllt hat.

    Verify wertet nur die Daten in der Prioritätserkenntnisse aus. Wenn Ihr Alert so konfiguriert ist, dass er bei Daten ausgelöst wird, die in der Analysieren und per Alert warnen verfügbar sind, ist diese Funktion nicht verfügbar.

  2. Klicken Sie auf Alert erstellen.

Überprüfung der Ausschreibung

Lösen Sie einen Alarm aus. Sobald ein Alarm ausgelöst und verarbeitet wurde, sendet das System über verschiedene Kanäle wie E-Mail, Slack, SMS oder integrierte Incident-Management-Plattformen Benachrichtigungen an die entsprechenden Benutzer oder Teams. Sie können dann die Seite Vorfälle aufrufen, um Informationen über die ausgelösten Alarme zu erhalten. Weitere Informationen finden Sie unter Verwaltung ausgelöster Alarme in IBM Cloud Logs.

Dynamische Grenzwerte für Warnmeldungen

Eine dynamische Warnung ist eine Warnung mit einer Bedingung "Mehr als üblich" oder "Weniger als üblich". Jeder dynamischen Ausschreibung werden 500 Permutationen zugewiesen, wobei für jede Instanz von IBM Cloud Logs maximal 10.000 Permutationen zulässig sind.

Die Permutationsgrenze bedeutet, dass maximal 20 dynamische Warnmeldungen für eine Instanz von IBM Cloud Logs konfiguriert werden können.

Sie können auch dann noch weitere nicht-dynamische Warnmeldungen erstellen, wenn Sie das Limit von 20 dynamischen Warnmeldungen erreicht haben.