「Windows Event Log」サービス停止を検知できない
お世話になります。
下記環境にて「Windows Event Log」サービス停止を検知しようとしているのですが、失敗してしまいます。
もしどなたか、追加の確認項目があれば、教えて頂けないでしょうか
●監視対象サーバ
- ZabbixaAgentのバージョン：3.4.6
- WindowsServer2016
●Zabbixサーバ
- Zabbix3.4.9
- RHEL 7.5
●監視設定
アイテム：{<ホスト名>:service.info[EventLog,state].min(#3)}<>0
トリガー：service_state[Windows Event Log]
●試行内容
・監視対象サーバ→「コンピュータの管理」→「サービス」において、「Windows Event Log」を停止後、5分待ったが検知できず
・監視対象サーバ上で下記コマンドを試したが0=動作中
> <パス>\zabbix_agentd.exe -t service.info[EventLog]
> service.info[EventLog] [u|0]
・Zabbixサーバ側で下記コマンドにて確認したが、動作中となっている
> zabbix_get -s <ホストのIP> -k service.info[EventLog]
> 0
・別のサービスで停止を試したところ検知可能
> zabbix_get -s <ホストのIP> -k service.info[vds]
> 6
> zabbix_get -s <ホストのIP> -k service.info[wudfsvc]
> 6
・エージェントのログ（zabbix_agentd.log）を確認したが、本件に関する記載なし
・Zabbixサーバのログ（/var/log/zabbix/zabbix_server.log）を確認したが、本件に関する記載なし（IPorホスト名でgrep）
もし追加で確認すべき事項やアイデアがありましたら、どなたかご教示頂けないでしょうか。
どうぞよろしくお願いします。
kasugai - 投稿数: 72
監視対象と同じホストが無いので動作確認はできないのですが、
まず、設定されたアイテムは値が取れているでしょうか。
あまりWindowsの監視設定をしていないので詳しくないですが、たぶん取れていないのではないかと思いますが、
次に、アイテムの更新間隔はどのようになっていますでしょうか。
※記載頂いているアイテムとトリガーですが、逆ですよね？
kasugai - 投稿数: 72
すみません。
存在しないサービスの時は値取れないと思っていたら「No such service (255)」になっていました。失礼いたしました。
kaeru - 投稿数: 263
eggplant様
アイテムキー（service.info[EventLog,state]）と、
トリガーの記載のアイテムキー（ervice_state[Windows Event Log]）が異なっていますが正しいでしょうか？
またkasugai様の指摘にある通り、アイテムとトリガーが逆のようです。
当方の手元だとWindows7、Windows8.1しかなくSever環境が無い中で恐縮ですが
試そうとしたところアクセスが拒否された旨のメッセージが表示され、
Windows Event Logが停止できませんでした。
初歩的なことで申し訳ありませんが、
「コンピュータの管理」→「サービス」において本当にWindows Event Logが停止しているか、
タスクマネージャーの"サービス"タブにおいて、"eventlog"が動作していないかご確認をお願いします。
egp - 投稿数: 6
kasugai様、kaeru様
ご回答ありがとうございます。
ご指摘の通り、記載ミスでアイテムとトリガーが逆となっていました。失礼しました…。
＞「コンピュータの管理」→「サービス」において本当にWindows Event Logが停止しているか、
＞タスクマネージャーの"サービス"タブにおいて、"eventlog"が動作していないかご確認をお願いします。
「サービス」上では停止していたのですが、「sc query」コマンドで確認したところ「running」のままでした。
調べてみると、仕様上止めれないようで、Zabbixとしては正しく監視できていたことになります。
本当にeventlogが動作してないかというご指摘をヒントに解決に至りました。
ご協力ありがとうございました！