Application Real-Time Monitoring Service:Integrar Open-Falcon con ARMS

Paso 1: Crear una integración de Open-Falcon

1. Inicie sesión en la consola de ARMS. En el panel de navegación izquierdo, seleccione Alert Management > Integrations.

2. En la pestaña Alert Integration, haga clic en OpenFalcon.

3. En la página New OpenFalcon Integration, introduzca el nombre de la integración, la descripción y el tiempo de recuperación automática; a continuación, haga clic en Save.

   Nota

   Tiempo de recuperación automática tras agotamiento del tiempo de espera: si un evento de alerta no se activa de nuevo dentro del periodo especificado, el evento se borra automáticamente.

4. En la pestaña Alert Integration, utilice el cuadro de búsqueda para encontrar la integración de Open-Falcon que creó y copie la dirección de integración.

Paso 2: Configurar una plantilla de alertas de Open-Falcon

1. Instale y abra Open-Falcon. Puede descargar e instalar el complemento desde el sitio web oficial de Open-Falcon.

2. En la barra de navegación superior, haga clic en Templates.

3. En la esquina superior derecha de la página Templates, introduzca un nombre para la nueva plantilla de alertas y haga clic en el icono +.

4. En la página Configure Template, cree una regla de alerta en la sección Policies in the Template. Para obtener más información, consulte la documentación de Open-Falcon.

5. En la página de configuración de la plantilla, establezca la dirección de callback con la dirección de integración que obtuvo en Step 1 y, a continuación, haga clic en Save.

(Opcional) Paso 3: Modificar la integración

Alert Management proporciona asignaciones de campos predefinidas entre el origen de alertas de Open-Falcon y ARMS. También puede agregar o modificar las asignaciones de campos en la página Edit Integration según sea necesario.

{
    "name":"cpu alert",
    "endpoint":"test-host",
    "metric":"cpu.user",
    "status":"PROBLEM",
    "step":"1",
    "priority":2,
    "time":"2021-09-08 09:25:00",
    "tpl_id":1,
    "exp_id":2,
    "stra_id":1,
    "tags":""
}

1. En la pestaña Alert Integration, busque la integración que desea gestionar y haga clic en Edit en la columna Actions.

2. En la sección Event Mapping, haga clic en Send Test Data.

3. En el cuadro de diálogo Send Test Data, introduzca el contenido de alerta de un origen de alertas de terceros en formato JSON y haga clic en Send.

   Nota

   • Si aparece el mensaje Uploaded. No events are generated. Configure mappings based on the original data., significa que los campos del origen de alerta no están asignados a los campos de los eventos de alerta de ARMS. Los datos enviados se muestran en el cuadro izquierdo, lo que le permite seleccionar los campos de origen al configurar las asignaciones.

   • Si aparece el mensaje Uploaded., el contenido de la alerta se reporta en la página Alert Event History. Para obtener más información, consulte View alert event history.

4. En el cuadro de diálogo Send Test Data, haga clic en Disable.

5. En la parte izquierda de la sección Event Mapping, haga clic en los registros de datos para los que desea configurar asignaciones a fin de ver los detalles.

6. En la parte derecha de la sección Event Mapping, asigne los campos del origen de alerta a los campos de alerta de ARMS.

   1. Opcional:En la sección Select Root Node, especifique si desea habilitar el procesamiento por lotes.

      Si existe un nodo de matriz en los datos de alerta, puede especificar dicho nodo como nodo raíz. Los datos pertenecientes al nodo raíz se procesan por lotes.

      Después de seleccionar Use Batch Processing, seleccione el nodo de matriz que se procesará por lotes como nodo raíz.

      Nota

      Si existen varios nodos de matriz en los datos de alerta, solo puede seleccionar uno de ellos para el procesamiento por lotes.

   2. En la sección Map Source Fields to Target Fields, asigne los campos del origen de alerta a los campos de alerta de ARMS.

      Haga clic en el icono de asignación para cambiar el método de asignación de campos.

      • Directa: el campo especificado del origen de alerta se asigna directamente al campo de alerta de ARMS correspondiente.

      • Serie: puede usar delimitadores para concatenar varios campos del origen de alerta en un solo campo y luego asignar este campo al campo de alerta de ARMS especificado. Solo se pueden utilizar caracteres especiales como delimitadores.

      • Condicional: los campos del origen de alerta especificados se asignan a los campos de alerta de ARMS únicamente cuando los valores de los campos cumplen las condiciones establecidas.

      • Tabla de asignación: la severidad del origen de alerta se asigna a la severidad de la alerta de ARMS. La tabla de asignación contiene únicamente el campo de severidad.

      La siguiente tabla describe los campos de alerta de ARMS.

      Campo de alerta	Descripción
      alertname	El nombre de la alerta personalizada.
      severity	El nivel de severidad de la alerta. Debe configurar asignaciones para este campo. El método de asignación debe establecerse en Directa.
      message	La descripción de la alerta. Esta descripción se utiliza como contenido del mensaje de alerta y no puede superar los 15,000 caracteres.
      value	El valor de muestra de una métrica.
      imageUrl	La URL del gráfico de líneas que contiene métricas de Grafana. Se utiliza para asignar el gráfico de líneas.
      check	El elemento de comprobación de la alerta. Ejemplos: CPU, JVM, Application Crash y Deployment.
      source	El origen de la alerta.
      class	El tipo de objeto que desencadena el evento de alerta; por ejemplo, host.
      service	El servicio de origen de la alerta. Ejemplo: Login Service.
      startat	La marca de tiempo que representa la hora de inicio del evento.
      endat	La marca de tiempo que representa la hora de finalización del evento.
      generatorUrl	La URL de los detalles del evento.

7. Configure la deduplicación de campos para los eventos de alerta.

   Para reducir datos duplicados, el sistema utiliza campos relevantes como base para la deduplicación. Alert Management de ARMS le permite previsualizar los resultados de agrupación por deduplicación de datos históricos de eventos que se muestran en la sección Event Mapping. Puede cambiar los campos que se van a deduplicar.

   Nota

   Solo puede configurar la deduplicación para eventos que no se han borrado.

   1. En la sección Event Deduplication de la página Integration Details, seleccione los campos que se utilizarán para la deduplicación.

      Si varios eventos tienen el mismo valor para un campo especificado, dichos eventos se fusionan en una sola notificación de alerta.

   2. Haga clic en Deduplication Test para previsualizar el grupo de alertas después de la deduplicación.

      Nota

      La prueba de deduplicación solo surte efecto en los últimos 10 registros de datos cargados en la parte izquierda de la sección Event Mapping.

8. Una vez configurados los ajustes, haga clic en Save.

Consultar los detalles de un evento de alerta

1. En el panel de navegación izquierdo de la consola de ARMS, seleccione Alert Management > Alert Event History.

2. En la página Alert Event History, haga clic en el nombre del evento de alerta para ver sus detalles. Para obtener más información, consulte View alert event history.

Gestionar la integración

En el panel de navegación izquierdo, seleccione Alert Management > Integrations. En la pestaña Alert Integration, puede realizar las siguientes operaciones en las integraciones que haya creado:

• Consultar los detalles de una integración: busque la integración y haga clic en la fila correspondiente. En la página Integration Details, consulte la información detallada de la integración.

• Actualizar clave: busque la integración deseada y seleccione More > Update Key en la columna Actions. Haga clic en Confirm en el cuadro de diálogo de confirmación.

  Importante

  Después de actualizar la clave, también debe actualizar la dirección de callback en la plantilla de alertas tal como se describe en Step 2: Configure an Open-Falcon alert template.

• Modificar una integración: busque la integración y haga clic en Edit en la columna Actions. En la página Integration Details, modifique la información de la integración y haga clic en Save.

• Habilitar o deshabilitar una integración: busque la integración y haga clic en Disable o Enable en la columna Actions.

• Eliminar una integración: busque la integración y haga clic en Delete en la columna Actions. En el mensaje que aparece, haga clic en OK.

• Agregar un flujo de procesamiento de eventos a una integración: busque la integración y haga clic en Add Event Processing Flow en la columna Actions. Para obtener más información, consulte Event processing flow.

• Crear una política de notificación: busque la integración para la que desea crear una política de notificación y haga clic en More en la columna Actions. En la lista que aparece, haga clic en Create Notification Policy. Para obtener más información, consulte Notification policies.

Siguientes pasos

Después de crear una política de notificación, el sistema genera alertas y envía notificaciones para los eventos reportados basándose en dicha política. Para obtener más información, consulte Notification policies. En la página Alert Sending History, puede consultar las alertas generadas según la política de notificación configurada. Para obtener más información, consulte View alert sending history.