設定唯一計數警示

隨著資料量的成長，以及日誌、度量衡和安全系統產生的警示數量呈指數級增加，警示重要性的最有力指標之一就是受警示影響的元素數量。 範例可包括：在呼叫 API 時遇到 5XX 錯誤的使用者數量、傳回錯誤的 Kafka 消費者群組數量、目前載入您網站超過 3 秒的 CDN 位置數量，或單一使用者嘗試登入您雲端服務主控台的不同密碼數量。

唯一值計數警示會根據符合查詢條件的記錄中與指定關鍵相關的唯一值數量觸發。

此類警示可協助您瞭解潛在問題的嚴重性或廣度，而無需分析資料或儀表板。

先決條件

  • 了解IBM Cloud Logs中的警報。 有關更多信息，請參閱 警報。
  • 檢查您是否擁有與您的 Event Notifications實例位於同一帳戶中的IBM Cloud Logs實例，以及在Event Notifications
  • 檢查是否配置了IBM Cloud Logs實例和Event Notifications實例之間的出站整合。 有關更多信息，請參閱 配置出站整合以進行連接。

啟動警報管理

請完成下列步驟：

  1. 在控制台中，按一下導航功能表圖示導覽功能表圖示> 資源清單。
  2. 選擇您的IBM Cloud Logs實例。
  3. 在IBM Cloud Logs導覽中，按一下警報圖示警報圖示>警報管理。
  4. 點擊新警報。

選擇要設定的警報類型

請完成下列步驟：

  1. 選擇警報類型。 有關詳細信息，請參閱 警報類型。

  2. 在詳細資料部分，完成下列步驟：

    1. 輸入名稱。

      • 名稱的最大長度為 4096 個字元。

    2. [選項]輸入說明。

      • 說明的最大長度為 4096 個字元。

    3. [選項]加入一個或多個標籤。

      標籤是鍵：值對，您可以稍後使用它們進行快速搜尋。

指定將根據過濾條件進行分析的日誌

完成以下步驟以指定將根據過濾條件進行分析的日誌：

  1. 指定 Lucene 搜尋查詢，以指定將作為警報一部分傳回的記錄。

    您可以定義基於自由文字字串進行篩選的查詢。 例如，要在識別出回傳代碼為 403 的 POST 請求時觸發警報，您可以輸入 "POST 403" 作為搜尋查詢。 該查詢將尋找包含值 403 和 POST 的日誌。

    您可以定義一個查詢來過濾特定欄位與查詢中的值相符的日誌。 例如，您可以定義查詢，搜尋環境欄位中的生產值：environment:"production"

    您可以定義一個查詢，用於過濾特定欄位與使用 [START_VALUE TO END_VALUE] 格式的一系列數值相符的日誌。 例如，若要搜尋 2xx 狀態代碼欄位 RC 的日誌，您可以使用查詢：rc.numeric:[400 TO 499]

    您可以定義一個查詢來過濾特定欄位與正規表示式 ( RegEx ) 相符的日誌。 用 / 包裹RegEx表達式。 例如，您可以定義一個查詢來搜尋不同區域，例如在欄位區域中搜尋 west-europe-1, west-europe-2, west-us-1：region:/west-(europe|us)-[12]/

    您可以定義使用布林運算子 AND、OR 和 NOT 的複雜查詢。 例如，您可以定義查詢，例如 environment:"production" AND status.numeric:[400 TO 499] NOT region:/west-(europe|us)-[12]/

  2. 透過選擇 1 個或多個應用程式來新增額外的日誌過濾。

  3. 透過選擇 1 個或多個子系統來新增額外的日誌過濾。

  4. 透過選擇 1 個或多個日誌等級來新增額外的日誌過濾。

    有效值為：Debug、Verbose、Info、Warning、Error 和 Critical。

指定觸發條件

指定觸發條件，該條件會針對包含在此警報分析中的資料進行評估。

在條件部分，您必須設定 Unique count by key、Max unique values 和 In timeframe。

  1. 在 「按鍵的唯一計數」 中選擇要監控的按鍵。

  2. 對於 “最大唯一值”， 請指定在觸發警報之前，監控時間範圍內按鍵的唯一計數鍵的最大唯一值數。

  3. 為 In timeframe（時間範圍 ）選擇要監視唯一值的時間範圍。 時間間隔可從 1 minute 到 36 hours。

您也可以透過選擇按特定鍵對唯一計數進行分組，然後配置以下內容，將按****唯一計數指定的鍵的值按第二個鍵分組：

  1. 在 Group by key（依關鍵分組 ）中，選擇要用來依 Unique count by key（依關鍵唯一計數 ）中指定的關鍵值進行分組的關鍵。

  2. 使用「依關鍵群組的最大唯一值」滑桿，指出依關鍵群組的唯一值。 最大唯一計數值不得超過根據您的滑桿選擇計算出的值。 由於總體最大總數限制為 10000，因此最大唯一計數值不得超過顯示值乘以唯一值的值。

例如，如果唯一值為 663，則最大唯一計數值不應超過 15，因為 663 * 15 = 9945。 在這種情況下，最大唯一計數值不應超過 16，並且將大於允許的總體最大計數 10000。

當達到關鍵群組的最大唯一計數值不得超過臨界值時，就會觸發警報。

配置通知詳細信息

請完成下列步驟：

  1. 配置通知間隔以定義觸發警報後您希望取得事件的頻率。 預設為 0 小時 10 分鐘。

  2. 啟用「自動解決」，以在事件已解決時取得事件。

    當警報的條件不再觸發事件時，最初觸發的事件將標記為已解決。

  3. 啟用啟用幻像模式以指示此警報為幻象警報。

    虛擬警報充當流量警報的構建塊。

    虛擬警報不會觸發獨立的事件通知。

    當您啟用此選項時，通知部分將從警報定義中刪除。

  4. 添加集成。

    您必須定義出站整合才能新增整合。 有關更多信息，請參閱 配置與Event Notifications服務的整合。

設定時間表以及要包含的日誌內容

請完成下列步驟：

  1. 在*「計劃」*部分中，設定一個計劃來控制何時啟用此警報。 您可以選擇特定的日期和時間。

  2. 在*「通知內容」*部分中，定義是要包含範例日誌行還是僅在觸發的事件中包含某些欄位。

    選擇要包含在警報通知中的特定 JSON 鍵，或將此留空以在警報訊息中包含完整的日誌文字：

    • 選項 1：留空以包含與警報過濾條件相符的一條日誌行。

    • 選項 2：指定 JSON 鍵以包含鍵:值對格式的選定欄位。 請注意，為了能夠新增字段，您的日誌記錄必須採用 JSON 格式。

      名稱中包含 . 的 JSON 鍵不能用作選取欄位。

    • 選項 3：指定 JSON 路徑作為篩選器。

當警報觸發時，事件中包含的資料量是有限制的。 有關這些限制的更多信息，請參閱 資料大小。

儲存警報配置

請完成下列步驟：

  1. 驗證警報。

    按一下 「驗證」 以評估數據，以了解過去 24 小時內警報與條件相符的次數。

    驗證僅評估優先洞察管道中的資料。 如果您的警報配置為根據分析及警示管道中的可用資料觸發，請注意此功能不可用。

  2. 按一下建立警示。

驗證您的警報

觸發警報。 一旦觸發並處理警報，系統就會透過電子郵件、Slack、簡訊或整合事件管理平台等各種管道向指定使用者或團隊發送通知。 然後，您可以前往事件頁面以查看有關觸發的警報的資訊。 有關更多信息，請參閱 管理IBM Cloud Logs中觸發的警報。