こんにちは、日本マイクロソフト システムセンターサポートの新木です。
今日は、System Center Operations Manager 2012 R2 (以下 SCOM) において、監視対象コンピューター上で記録されたイベント ログを監視する場合の「アラート生成ルール」作成に対する考え方をまとめます。
以下 (A) から (D) のシナリオをもとに説明したいと思います。
(A) 特定のソースとID をもつイベントを監視したい場合
(B) 特定のソースとID をもつイベントにおいて、説明に特定の文字列が出力されたときのみを監視したい場合
(C) 特定のソースの中で、複数のイベントID を範囲指定して監視したい場合
(D) 特定のソースにて、イベントのレベルが「エラー」であるものをすべて監視したい場合
*********************************************************************
(A) 特定のソースとID をもつイベントを監視したい場合
*********************************************************************
例えば Hyper-V 環境において、ゲスト OS の再起動やリセットを検知する際に記録されるイベントをトリガにしてアラートを検知したい場合を例に手順を説明します。
このイベントの種類は "Microsoft-Windows-Hyper-V-Worker-Admin"、ソースは "Microsoft-Windows-Hyper-V-Worker"、イベント ID は"18514" となります。
ソース： "Microsoft-Windows-Hyper-V-Worker" かつ イベント ID ："18514" の監視をするルールの作成手順は以下のとおりです。
1. SCOM 管理コンソールの [作成] タブを開きます。
2. [管理パックオブジェクト] - [ルール] を右クリックし、[新しいルールの作成]をクリックします。
3. [ルールの作成ウィザード] ウインドウで、[アラート生成ルール] - [イベント ベース] - [NT イベント ログ(アラート)] を選択します。
4. ルールを保存する管理パックを指定し、[次へ] をクリックします。
5. "全般" ページでは、以下のとおり設定します。
ルール名：任意のルール名を設定します。
説明 ： 必要に応じて、ルールの説明を入力します。
ルール カテゴリ："アラート" を選択します。
ルールのターゲット："Hyper-V ホスト" を選択します。
ルールを有効にする：チェックを付けます。
6. [次へ] をクリックします。
7. "イベント ログの種類" ページにて、ログ名に "Microsoft-Windows-Hyper-V-Worker-Admin" を 入力し、[次へ] をクリックします。
※この設定は、[...] ボタンからイベントログの種類を指定することもできますし、手入力でログ名を入力しても構いません。
8. "イベントの式の作成" ページにて、以下のように設定します。
|パラメーター名 | 演算子 | 値
|
|イベント ID | 次の値と等しい | 18514
|
|イベント ソース| 次の値と等しい | Microsoft-Windows-Hyper-V-Worker|
9. [次へ] をクリックします。
10. "アラートの構成" ページにて、以下のように設定し、[作成] をクリックします。
アラート名：任意のアラート名を入力します。
アラートの説明：任意の説明を設定します。
優先順位：任意の優先順位を選択します。
重要度：任意の重要度を選択します。
アラートの抑制：重複したアラートの検知を抑制したい場合のみ設定します。今回は、[イベント ID] と [イベント ソース] がアラート検知の条件となっていますので、この 2 つのフィールドをチェックし、[OK] をクリックします。
【アラート抑制についての補足】
アラートの抑制が有効になっていると、最初のアラートだけが送信され、そのアラートが未解決状態で追加のアラートが作成された場合、そのアラートは抑制されます。抑制されたアラートは SCOM コンソールには表示されません。そのかわり、アラートの繰り返し回数が増加します。アラートの抑制では、アラートを一意に識別する最小数のフィールドを指定すべきです。重複アラートとして抑制するためには、抑制条件に明記されたフィールドが完全に同一でなければなりません。同じルールによって作成されたアラートで、かつ解決されないアラートでなければ、重複アラートとは見なされません。
イベントログを監視する場合の「アラート生成ルール」作成手順は、基本的には上記 (A) の手順通りです。
以下に (B) (C) (D) のルールの作成方法をお伝えしますが、上記手順のステップ 8 がポイントとなります。あとの手順については、(A) と同じですので割愛します。
(B) 特定のソースとID をもつイベントにおいて、説明に特定の文字列が出力されたときのみを監視したい場合
(C) 特定のソースの中で、複数のイベントID を範囲指定して監視したい場合
(D) 特定のソースにて、イベントのレベルが「エラー」であるものをすべて監視したい場合
