Aprimorar automação

O aprimoramento de alertas envolve transformar eventos brutos de ferramentas de monitoramento em um formato padrão, auxiliando no agrupamento e na resposta automatizados. Isso inclui extrair campos de cargas de alertas longas ou compondê-los em um formato padronizado. Além disso, você pode criar marcadores, que são metadados adicionados aos alertas para facilitar a filtragem e o agrupamento.

Antes de Iniciar

Função necessária: evt_mgmt_admin, evt_team_operator ou srm_responder

Por Que e Quando Desempenhar Esta Tarefa

Extrair usa valores de campos de carga de evento e os coloca em campos de saída de alerta, enquanto a composição combina vários campos de alerta em um. Para obter mais informações, consulte Extraindo e compondo campos de alerta.

Para usuários familiarizados com o clássico Gestão de eventos enrich automações crie regras de evento, mas com uma interface mais fácil e com melhor suporte para equipes. As regras de evento oferecem alguns recursos avançados, como limites e identificação de IC usando IRE, que ainda não estão disponíveis nas automações de aprimoramento. Os administradores também podem enriquecer alertas com regras de mapeamento de campo de evento. Alterar valores de alerta cria uma regra de mapeamento de campo de evento com o tipo de mapeamento Mapear campo e valor de transformação (campo único) . Esta regra está vinculada à regra de evento e é executada simultaneamente, permitindo o mapeamento simplificado e a transformação de dados de evento para enriquecer os alertas.

Procedimento

1. Navegar até Espaços > Espaço de operações de serviços.
2. Na parte inferior do painel de navegação, selecione o ícone da central de configuração de AIOps .
   . ITOM A página do centro de configuração de AIOps é exibida. O centro de configuração é um espaço centralizado. Use-o para configurar e gerenciar recursos de AIOps a partir de um único local.
3. Na página do centro de configuração de AIOps do ITOM, na seção Otimizar, selecione Aprimorar alertas .
   A página Enriquecer alertas é exibida.

   

4. Selecione Criar automação .
   Por padrão, o Ativo a caixa de seleção está marcada.
5. Em Nome da automação , insira o nome da automação para aprimorar alertas.
6. Em Se essas condições forem atendidas configure critérios de filtro para identificar os alertas que você deseja aprimorar.

   A condição é avaliada em relação ao evento bruto recebido do sistema de monitoramento de origem e não considera os campos aprimorados.

   1. Em Grupo de atribuição menu de campo, selecione o grupo de atribuição para determinar quais alertas da equipe acionarão a automação.

      . Grupo de atribuição representa uma equipe específica responsável por lidar com determinados alertas. Ao selecionar um grupo de atribuição, você garante que somente os alertas atribuídos a essa equipe específica acionem a automação. Dessa forma, a automação é direcionada e ativa somente para alertas relevantes associados à equipe selecionada.

      Nota:

      • Se você estiver conectado à instância com uma função de administrador (evt_mgmt_admin), todos os grupos de atribuição estarão disponíveis. Você também pode selecionar Todos os grupos para habilitar a geração de alertas para qualquer um dos grupos disponíveis.
      • Se você for um operador de equipe, somente os grupos dos quais você é membro estarão disponíveis.
      • Somente membros do grupo selecionado ou administradores podem atualizar ou excluir a automação.
   2. Em Origem menu de campo, selecione a ferramenta de monitoramento de onde o alerta é gerado.
   3. Defina as condições selecionando o campo, o operador e o valor do campo. Em seguida, adicione mais condições usando os operadores OR ou AND.
      Para adicionar outro conjunto de condições, selecione Novo conjunto de condições . Você também pode adicionar manualmente um campo de informações adicional se não o vir na lista suspensa.

      Nota:

      Selecione Carregar eventos anteriores para exibir eventos anteriores ao criar a automação.

      

7. Em Em seguida, aplique as ações a seguir selecione as ações de automação que serão acionadas por esta automação.
   Você deve selecionar pelo menos uma ação.

   • Extrair campos de alerta : Recupera valores do campo de alerta da carga do evento e os coloca em um campo de saída de alerta.
   • Campos de cópia ou composição : Mescla vários campos de alerta, marcadores e texto para gerar uma saída de alerta composta.
   • Valores de alerta de mudança Mapeia o valor atual dos campos de alerta para os novos valores especificados.
   • Melhorar a identificação do item de configuração (IC) Identifica ICs que não sejam um host para melhor agrupamento de alertas, atribuição de equipe e integridade do serviço.

   Opção	Ação
   Extrair campos de alerta	Habilite o. Extrair campos chave de alternância. Em Extrair do campo , selecione um valor. O menu exibe os campos de evento padrão, informações adicionais e marcadores. O valor do campo é exibido. Você também pode inserir manualmente um nome de campo que não seja exibido e adicionar seu próprio valor. O painel de eventos de origem de exemplo exibe uma amostra de eventos recentes no seu sistema. Se nenhum evento for exibido, você poderá criar um evento, consulte Crie ou edite uma regra de evento. Em Expressão regular crie uma expressão regular para extrair o valor que você deseja extrair. Nota: Você pode compor texto usando convenções de formato de expressão regular (regex). Use um ou mais grupos de captura com parênteses para extrair partes da entrada. Os grupos de captura na expressão regular são atribuídos a saídas de alerta com base na ordem em que aparecem. O regex deve corresponder a toda a entrada, portanto, considere cercar seu regex com .* em cada extremidade Por exemplo, .acme.com.* captura o nome do host em um nome de domínio totalmente qualificado. O analisador do mecanismo regex é compatível com expressões regulares compatíveis com Perl (PCRE). Os dados JSON aninhados são pré-processados para remover aspas e substituir dois pontos por sinais de igual. Em Saída de alerta selecione um campo de alerta ou um marcador de alerta. Você também pode inserir manualmente um novo nome de campo. Para adicionar um marcador de alerta, selecione Definido como marcador caixa de seleção. Dica: Crie marcadores de alerta que podem ser compartilhados entre as origens para facilitar a filtragem e o agrupamento, como os marcadores prontos para uso. Selecione Visualize vários eventos para verificar se a expressão regular (regex) é de uso geral o suficiente para extrair valores corretamente em muitos exemplos. Nota: Esta opção está disponível somente quando eventos de origem de exemplo estão disponíveis e correspondem ao filtro regex. Para incluir campos adicionais para extração, selecione - Adicionar campos .
   Copiar ou redigir campos	Habilite o. Campos de cópia ou composição chave de alternância. Em Composição selecione campos de alerta e/ou marcadores de alerta, insira manualmente um nome de campo ou até mesmo adicione texto livre. Os campos de alerta são exibidos em (campo) formato de sintaxe. Em Saída para o campo , selecione um campo de alerta existente ou marcador de alerta ou insira manualmente um campo de alerta. Saída para o campo é um alerta aprimorado que contém os dados de alerta compostos. Para facilitar o agrupamento, você pode selecionar um marcador no menu. Se você quiser usar o novo nome de campo como marcador para agrupamento, selecione Definido como marcador caixa de seleção. Dica: Crie marcadores de alerta que podem ser compartilhados entre as origens para facilitar a filtragem e o agrupamento, como os marcadores prontos para uso. Para criar composições de dados de alerta adicionais, selecione - Adicionar campos .
   Mudar valores de alerta	Habilite o. Valores de alerta de mudança chave de alternância. Em Campo de alerta para o qual alterar valores campo, insira o campo no alerta para o qual você deseja mapear valores. Em Quando o valor é insira o valor original no campo de alerta que você deseja mudar. Em Mude para insira o novo valor que substituirá o valor original no campo de alerta. Para adicionar mais valores de campo, selecione Adicionar valor e para adicionar mais campos ao mapa, selecione Adicionar campo ao mapa .
   Aprimorar identificação de item de configuração (IC)	Esta opção permite que você mude como os alertas são vinculados ou vinculados a um Item de configuração (IC), garantindo que os alertas sejam associados aos componentes DE TI corretos para melhor visibilidade e resolução de problemas mais rápida. A maneira padrão e mais comum de vincular alertas a ICs é baseada em Nó campo. Pronto para uso, sem necessidade de configuração. Preencha Nó Seu alerta com o Nome do IC, Nome de domínio totalmente qualificado (FQDN), IP ou endereço MAC. Isso oferece suporte a ICs de host, incluindo Computadores, Sistemas Operacionais (SO), Switches, Roteadores ou qualquer tipo de IC ou qualquer classe que estenda a tabela [cmdb_ci_hardware]. Você pode habilitar esta ação para melhorar a identificação de IC para outros tipos de ICs, como processos ou instâncias de serviço. O sistema pesquisa um IC correspondente na tabela do CMDB apropriada com base no tipo de IC selecionado. Por exemplo, se você selecionar Instância de máquina virtual VMware como a classe de IC, o sistema pesquisará um registro correspondente na tabela [cmdb_ci_vmware_instance] usando detalhes do registro de regra de evento, especificamente o. Informações adicionais campos. Habilite o. Melhorar a identificação do item de configuração (IC) chave de alternância. Selecione qual classe de IC você deseja identificar : No Classe de IC Especifique a classe de IC para a qual o campo de nó do evento é avaliado durante a identificação de IC. Isso determina o tipo de IC que o sistema tenta identificar primeiro. Selecione Exibir itens Para ver a lista de ICs deste tipo e seus valores de atributo. Identifique o IC quando os seguintes campos de alerta corresponderem aos atributos de IC : Nesta seção, mapeie campos de alerta para atributos de IC para ajudar o sistema a encontrar o IC correto: Campo de alerta : Selecione o campo de alerta que contém informações de identificação. Atributo de IC : Selecione o atributo de IC para o qual o campo de alerta deve mapear. Use Opções avançadas para controlar como o sistema trata o campo de nó de alerta durante a identificação de IC. Comportamento do campo de nó: Escolha uma das seguintes opções: Considerar campo de nó: Usa o valor do nó do alerta durante a identificação do IC. Ignorar campo de nó: Ignora o valor do nó do alerta. Com base na classe de IC selecionada, o sistema recomenda se você deve considerar ou ignorar o campo de nó, mas você pode substituir esta recomendação, se necessário. Usar todos os campos de informações adicionais correspondentes: Marque esta caixa de seleção para usar todos os campos correspondentes das Informações adicionais do evento para identificação de IC em vez de mapear campos individuais. Adicionar fallback : Adicione mapeamentos de campo e classe de IC de fallback para definir a lógica de identificação alternativa. Se a configuração primária não identificar um IC, o sistema avaliará cada fallback em ordem até encontrar uma correspondência. Certifique-se de que Nó O campo no alerta é preenchido corretamente para identificar um IC de host. O IC que você está identificando deve ter um executado em Relacionamento com o IC do host ou BE mapeado para o host . Certifique-se de que pelo menos um atributo de IC esteja presente em Informações adicionais campo do alerta. Para obter instruções sobre como preencher esses campos, consulte Defina campos de informações adicionais para corresponder ao formato de atributo de IC. O sistema tenta corresponder os valores do Informações adicionais Campo do alerta com a tabela de IC. Se uma correspondência for encontrada, o alerta será vinculado ao IC correspondente. Selecione Identificação de IC de teste Para testar a identificação de IC em eventos de amostra. Após a identificação bem-sucedida do IC, o sistema exibe uma mensagem com os detalhes relevantes. Se a identificação de IC falhar, o sistema mostrará uma mensagem explicando os detalhes. Para obter mais informações sobre vinculação de IC, consulte Vinculando alertas a ICs.

8. Em E, finalmente para continuar executando outras automações de aprimoramento com as mesmas condições de filtro depois que esta automação for executada, selecione Execute outras automações de alerta de aprimoramento .

   

   Se você selecionar Não execute outras automações de alerta de aprimoramento automações adicionais deste tipo serão interrompidas depois que esta automação for executada uma vez. Se a automação for gerenciada por um administrador, ela interromperá a execução de automações de propriedade do administrador, mas continuará a executar automações de propriedade de outros grupos de atribuição.

9. Em Detalhes da automação forneça uma descrição de pedido e automação.

   

   1. Em Pedido insira o pedido de automação.
      Nota:

      As automações são executadas na ordem da mais baixa para a mais alta. Certifique-se de que não haja automações de aprimoramento com um número de pedido inferior que tenham condições correspondentes e tenham Aplique automações adicionais deste tipo definido como falso. Caso contrário, isso pode impedir a execução de automações subsequentes.

      Durante o processamento de alertas, as automações de aprimoramento atribuídas a equipes específicas são aplicadas primeiro, com base em Pedido campo. Depois que elas forem avaliadas, as automações de aprimoramento atribuídas a. Global/Todos os grupos são aplicados. Se várias automações corresponderem, a automação com o valor de pedido mais alto será selecionada para melhorar a identificação de IC.

      . A automação é gerenciada por o campo exibe a equipe ou o grupo de atribuição que possui, edita e pode excluir esta automação. O grupo de atribuição é o mesmo definido no Se essas condições forem atendidas seção.

   2. Em Descrição da automação insira uma breve descrição da automação.
10. Selecione Salvar automação .
    Uma notificação é exibida quando a automação é salva com sucesso. Caso contrário, uma mensagem de erro será exibida. A automação de aprimoramento que você criou aparece na página Alertas de aprimoramento, onde você pode exibir, editar ou excluir a automação existente.

O que Fazer Depois

Você pode gerenciar alertas de forma mais eficaz agrupando alertas semelhantes com a ajuda de Criar automação de grupo.

Conceitos relacionados

• Extraindo e compondo campos de alerta