Windowsのイベントログ監視で、特定のソース＋イベントIDは除外する方法
Zabbix 2.2.10
Windowsのイベントログ監視で、特定のソース＋イベントIDは除外する設定が想定通り動作していません。
http://www.zabbix.jp/node/2590
こちらを参考にしたのですが、
アイテムへは登録されている為トリガー条件が間違っているのだと思うのですが、どのように設定すべきかがわかっていません。
除外設定はどういった条件式になるのかご教授いただけないでしょうか。
～～～～～
・アイテム
eventlog[System,,@Eventlog_Error]
（@Eventlog_Error は ERROR|[Ee]rror としています。）
・トリガー
以下の条件は除外して他のものを通知するよう条件を作りたいのですが、テストのログが全て通知されませんでした。
※②、③、⑥は通知される想定でした。
条件[1]ソース：TerminalServices-Printers & イベントID：100
条件[2]ソース：sys_test & イベントID：123 | 321
(({hostname:eventlog[System,,@Eventlog_Error].logsource(TerminalServices-Printers)}=0)&({hostname:eventlog[System,,@Eventlog_Error].logeventid(100)}=0))&(({hostname:eventlog[System,,@Eventlog_Error].logsource(sys_test)}=0)&({hostname:eventlog[System,,@Eventlog_Error].logeventid(^123$|^321$)}=0))
・テストログ
① eventcreate /ID 100 /L system /SO TerminalServices-Printers /T Error /D "テストメッセージ100Printers"
② eventcreate /ID 101 /L system /SO TerminalServices-Printers /T Error /D "テストメッセージ101Printers"
③ eventcreate /ID 234 /L system /SO sys_test /T Error /D "テストメッセージ234sys_test"
④ eventcreate /ID 123 /L system /SO sys_test /T Error /D "テストメッセージ123sys_test"
⑤ eventcreate /ID 321 /L system /SO sys_test /T Error /D "テストメッセージ321sys_test"
⑥ eventcreate /ID 312 /L system /SO sys_test /T Error /D "テストメッセージ312sys_test"
また、条件を[1]のみであれば、③－⑥は通知されました。
(({hostname:eventlog[System,,@Eventlog_Error].logsource(TerminalServices-Printers)}=0)&({hostname:eventlog[System,,@Eventlog_Error].logeventid(100)}=0))
また、下記条件でも①②は通知されませんでした。
(({hostname:eventlog[System,,@Eventlog_Error].logsource(TerminalServices-Printers)})=0&({hostname:eventlog[System,,@Eventlog_Error].logeventid("^100$")})=0)
～～～～～
heya - 投稿数: 319
一つ目と三つ目は、 & じゃなくて | じゃないですか？
not (A and B) = (not A) or (not B) なので、and/or/not で書くとこんな感じ。
(not (TerminalServices-Printers and 100)) and (not (sys_test and (123|321)))
= ((not TerminalServices-Printers) or (not 100)) and ((not sys_test) or (not (123|321)))
つまり、こう。
(({～.logsource(TerminalServices-Printers)}=0)|({～.logeventid(100)}=0))&(({～.logsource(sys_test)}=0)|({～.logeventid(^123$|^321$)}=0))
kasugai - 投稿数: 72
heya様
ご回答いただきありがとうございます。
ご指摘いただきました通りの設定で想定していた動作がされました。
ありがとうございました。
基本的な条件式の作り方が分かっていないようなのでもう少し別条件などで試そうと思います。
(({hostname:eventlog[System,,@Eventlog_Error].logsource(TerminalServices-Printers)}=0)|
({hostname:eventlog[System,,@Eventlog_Error].logeventid(^100$)}=0))&
(({hostname:eventlog[System,,@Eventlog_Error].logsource(sys_test)}=0)|
({hostname:eventlog[System,,@Eventlog_Error].logeventid(^123$|^321$)}=0))