グループ化の自動化の作成

グループ化を自動化すると、類似のアラートをまとめて収集することで、より効果的にアラートを管理できます。これにより、パターンの確認、問題の迅速な特定、効率的な対応が容易になります。この方法でアラートを整理することで、アラートのノイズを減らし、根本原因を特定して、適切なチームにアサインすることができます。

始める前に

必要なロール：evt_mgmt_admin または srm_responder

このタスクについて

このメソッドのグループ化は、アラートがノードや場所などの共通のデータやタグを共有する場合に最も役立ちます。拡張自動化を介して入力されたフィールドまたはタグを使用できます。これは、CMDB またはサービスマップが未成熟な場合にアラートをグループ化する最適な方法です。これは、アラート相関ルール、CMDB、ML、テキストベースのグループ化など、他のグループ化アルゴリズムを補完するものです。アラートは最初の一致でグループ化されます。これらのアルゴリズムの優先順位をシステムプロパティを使用して制御できます。

アラートの自動化にはシミュレーション機能も備わっており、形成されるアラートグループの数、グループ化されないまま維持されるアラートグループの数、および圧縮率をテストできます。圧縮率が高いほど、チームの生産性が向上し、根本原因をより迅速に特定できる可能性があります。ただし、グループが正確で、運用上正しく、適切なチームにアサインされているかどうか検討を行ってください。満足のいくグループが得られるまで、グループ条件を調整できます。

クラシックイベント管理エクスペリエンスに慣れているユーザーのために、この機能では、タグベースのアラートクラスタリング定義を作成するためのチームサポートが改善された、より簡単なインターフェイスを提供しています。

手順

1. 移動先 ワークスペース > サービスオペレーションワークスペース.
2. プライマリナビゲーションで、[アラート自動化] アイコン () を選択します。
3. [アラートの自動化 (Alert automation)] ページの [自動化タイプ (Automation types)] で、[グループ] を選択します。
   [アラートのグループ化 (Group alerts)] ページが表示されます。

   

4. [自動化を作成 (Create automation)] を選択します。

   

5. [自動化名] フィールドに、アラートをグループ化するための自動化の名前を入力します。
6. [アクティブ] 切り替えスイッチを有効にして、自動化を有効にします。
7. [これらの条件が満たされている場合 (If these conditions are met)] セクションで、グループ化するアラートを識別するためのフィルター基準を設定します。
   1. [アサイン先グループ] フィールドメニューからアサイン先グループを選択して、どのチームのアラートが自動化をトリガーするかを決定します。

      [アサイン先グループ] は、特定のアラートの処理を担当する特定のチームを表します。アサイン先グループを選択することで、その特定のチームにアサインされたアラートのみが自動化をトリガーするようにします。この方法により自動化は、選択したチームに関連付けられている関連アラートが対象となり、これらの関連アラートに対してのみアクティブ化されます。

      注:

      • アドミニストレーターロール (evt_mgmt_admin) でインスタンスにログインしている場合は、すべてのアサイン先グループが利用可能です。さらに、[すべてのグループ] を選択して、利用可能な任意のグループのアラートの生成を有効にできます。
      • オペレーターの場合は、自分が属しているグループのみを利用できます。
      • 選択したグループのメンバーまたはアドミニストレーターのみが、自動化を更新または削除できます。
   2. フィールド、演算子、およびフィールド値を選択して、条件を設定します。次に、OR または AND 演算子を使用してさらに条件を追加します。アサイン先グループの他に、少なくとももう 1 つのフィルターを追加する必要があります。
      ヒント:

      パフォーマンスを向上させるために、より具体的なフィルターを選択します。

      別の条件セットを追加するには、[+ 新しい条件セット] を選択します。ドロップダウンリストに表示されていない場合は、追加情報フィールドを手動で追加することもできます。

8. [次に、次の基準でアラートをグループ化します (Then, group alerts by the following criteria)] セクションで、次の手順を実行します。

   

   1. [グループ化の期間 (Grouping timeframe)] フィールドで、アラートを収集してグループ化する必要がある期間 (分) を指定します。
   2. [ソース] フィールドメニューで、アラートをグループ化するソースを選択します。
   3. [グループ化の照合メソッド (Match method for grouping)] フィールドで、完全一致、あいまい一致、またはパターン一致に基づくアラートのグループ化オプションのいずれかを選択します。

      グループ化フィールドであいまい一致メソッドの値を選択すると、[類似性しきい値 (パーセンテージ) (Similarity threshold (percentage))] フィールドが表示されます。アラートは、類似性が編集距離に基づいて指定されたパーセンテージ以上の場合にグループ化されます。

      たとえば、米国、カリフォルニア州、および米国、ニューヨーク州からのアラートがあり、アラートを国別にグループ化する場合は、[ソース] フィールドを [米国] に設定します。[グループ化の照合メソッド (Match Method for Grouping)] があいまい一致で、[類似性しきい値 (パーセンテージ) (Similarity threshold (percentage))] が 50% の場合、アラートは 50% 以上の類似性がある場合にグループ化されるため、ここでは国「米国」を共通属性として共有することになります。

   4. グループ化フィールドでパターン一致メソッドの値を選択すると、パターン一致フィールドが表示されます。指定したパターンが一致すると、アラートがグループ化されます。詳細については、「Pattern matching」を参照してください。

      任意の数の文字と一致させる場合は検索文字列にアスタリスク (*) を使用し、任意の 1 文字と一致させる場合は疑問符 (?) を使用します。検索文字列内の他のすべてのものはそれ自体と一致します。たとえば、すべての HTTP 500 エラーと一致させるには、"HTTP Error 5??" を使用します。

      グループ化に追加のフィールドを含めるには、[+ フィールドを追加] を選択します。

9. [自動化の詳細 (Automation details)] セクションで、順序と自動化の説明を入力します。

   

   1. [順序] フィールドに、自動化の順序を入力します。

      アラートは、最初の一致に基づいてグループ化されます。[自動化の管理担当者 (Automation is managed by)] フィールドには、この自動化を所有、編集し、削除できるチームまたはアサイン先グループが表示されます。アサイン先グループは、[これらの条件が満たされている場合 (If these conditions are met)] セクションで定義されたものと同じです。

   2. [自動化の説明 (Automation description)] フィールドに、自動化の簡単な説明を入力します。
10. オプション: アラートのグループ化が正しく機能しているかどうかをテストするには、[過去のデータでこの自動化をシミュレートする (Simulate this automation on past data)] に移動し、ドロップダウンリストからシミュレーションの期間を選択して、[シミュレート] を選択します。

    シミュレーション中は、指定された期間のグループ化されたアラートとグループ化されていないアラートの両方が表示されます。グループ化されているアラートがある場合は、グループ化されているアラートの数が表示されます。この数を選択すると、グループ化されたアラートを表示できます。さらに、個々のアラートを選択すると、その特定のアラートの詳細が表示されます。また、アラートのグループ化条件またはフィールド値を変更し、[シミュレーションの再実行 (Re-run simulation)] を選択してプロセスを再度開始することもできます。

    シミュレーションでは、自動化がアクティブ化された場合に過去のアラートがどのようにグループ化されるかをテストできます。過去のアラートをグループ化されていない形式で取得し、受信したばかりのものとしてそれらをグループ化することを考慮します。現時点では、表示されている自動化のみが考慮され、CMDB ベースのグループ化などの他のグループ化の自動化やアルゴリズムは考慮されません。

    注:

    アラートのシミュレーションは、テストインスタンスと本番インスタンスで実行できます。
11. [自動化を保存 (Save automation)] を選択します。
    自動化が正常に保存されると、通知が表示されます。そうでない場合は、エラーメッセージが表示されます。作成したグループ自動化は、既存の自動化を表示、編集、または削除できる [アラートのグループ化 (Group alerts)] ページに表示されます。

次のタスク

応答の自動化を実装することで、チームまたは個人からのより迅速な応答が必要なアラートをエスカレーションできます。