Monitorização de ficheiros de registo do Linux no System Center Operations Manager

Nota

O System Center Operations Manager não suportará a monitorização de ficheiros de registo baseado em FluentD após a descontinuação do agente do OMS, que está prevista para agosto de 2024.

O System Center Operations Manager tem agora capacidades avançadas de monitorização de ficheiros de registo para servidores Linux com a versão mais recente do agente que utiliza Fluentd. Esta atualização fornece as seguintes melhorias na monitorização de ficheiros de registo anterior:

• Carateres de wild card no nome e caminho do ficheiro de registo.
• Novos padrões de correspondência para pesquisa de registo personalizável, como correspondência simples, correspondência exclusiva, correspondência correlacionada, correlação repetida e correlação exclusiva.
• Suporte para plug-ins Fluentd genéricos publicados pela comunidade Fluentd.

Operação básica

A operação básica de monitorização de ficheiros de registo no Linux inclui os seguintes passos:

1. O registo é escrito num registo num agente Linux.
2. Fluentd recolhe o registo e cria um evento na correspondência de padrão.
3. O evento é enviado para o serviço OMED no servidor de gestão e registado no Registo de Eventos do Serviço OMED do System Center no servidor de gestão. (O Registo de Eventos do Serviço OMED do System Center só é criado quando um Evento foi enviado com êxito a partir de um Agente Fluentd)
4. As regras e monitores num pacote de gestão personalizado recolhem eventos e criam alertas no Operations Manager.

Descrição geral da configuração

A monitorização de ficheiros de registo requer os seguintes passos. As informações detalhadas são fornecidas nas secções seguintes:

1. Importe o pacote de gestão mais recente do System Center Operations Manager 2022 Linux.
2. Instale a versão mais recente do agente Linux em cada computador Linux a monitorizar.
3. Instale o OMSAgent mais recente em cada computador Linux a monitorizar.
4. Crie um ficheiro de configuração Fluentd para recolher registos.
5. Copie o ficheiro de configuração para agentes linux.
6. Crie regras e monitores com o pacote de gestão de exemplo para recolher eventos do registo e criar alertas.

Instalar o pacote de gestão de monitorização de registos

Instale o pacote de gestão Microsoft.Linux.Log.Monitoring para ativar a monitorização de ficheiros de registo do Linux.

Nota

Se tiver o agente OMS configurado e tentar desinstalar o agente UNIX e LINUX da consola, o componente OMS não será desinstalado do agente.

Configurar a monitorização de ficheiros de registo do Linux

Para configurar a monitorização de ficheiros de registo do Linux, execute os seguintes passos:

1. Importe o pacote de gestão mais recente do System Center Operations Manager 2022 Linux com o processo padrão para instalar um pacote de gestão.

2. Instale o novo agente Linux nos servidores Linux manualmente ou através do [assistente de deteção](/system-center/System Center Operations Manager/manage-deploy-crossplat-agent-console).

3. Instale o OMSAgent mais recente em cada computador Linux que pretende monitorizar. Utilize os seguintes comandos:

   # Download latest OMS Agent from GitHub
   wget https://raw.githubusercontent.com/Microsoft/OMS-Agent-for-Linux/master/installer/scripts/onboard_agent.sh
   
   # Run onboarding script
   sh onboard_agent.sh
   

   Execute os seguintes passos no agente Linux:

4. Crie as pastas nos seguintes caminhos com os comandos abaixo:

   # Create omsagent.d folder
   mkdir -p /etc/opt/microsoft/omsagent/scom/conf/omsagent.d
   
   # Create certs folder
   mkdir /etc/opt/microsoft/omsagent/scom/certs
   
   # Create log folder
   mkdir -p /var/opt/microsoft/omsagent/scom/log
   
   # Create run folder
   mkdir /var/opt/microsoft/omsagent/scom/run
   
   # Create state folder
   mkdir /var/opt/microsoft/omsagent/scom/state
   
   # Create tmp folder
   mkdir /var/opt/microsoft/omsagent/scom/tmp
   
   # Create fluent-logging folder (used for log file position file, this location is flexible)
   mkdir -p /home/omsagent/fluent-logging
   

5. Defina a propriedade em cada uma das pastas acima como omsagent:omiusers:

   # Change owner of System Center Operations Manager folder
   chown omsagent:omiusers /etc/opt/microsoft/omsagent/scom
   
   # Change owner of log folder
   chown omsagent:omiusers /var/opt/microsoft/omsagent/scom/log
   
   # Change owner of run folder
   chown omsagent:omiusers /var/opt/microsoft/omsagent/scom/run
   
   # Change owner of state folder
   chown omsagent:omiusers /var/opt/microsoft/omsagent/scom/state
   
   # Change owner of tmp folder
   chown omsagent:omiusers /var/opt/microsoft/omsagent/scom/tmp
   
   # Change owner of fluent-logging folder (used for log file position file, this location is flexible)
   chown omsagent:omiusers /home/omsagent/fluent-logging
   

   

6. Crie ficheiros omsagent e omsconfig:

   # Create omsadmin.conf file
   touch /etc/opt/microsoft/omsagent/scom/conf/omsadmin.conf
   
   # Create omsagent.conf file
   touch /etc/opt/microsoft/omsagent/scom/conf/omsagent.conf
   

7. Defina a propriedade em cada um dos ficheiros acima como omsagent:omiusers:

   # Change owner of omsadmin.conf file
   chown omsagent:omiusers /etc/opt/microsoft/omsagent/scom/conf/omsadmin.conf
   
   # Change owner of omsagent.conf file
   chown omsagent:omiusers /etc/opt/microsoft/omsagent/scom/conf/omsagent.conf
   

8. Edite o ficheiro /etc/opt/microsoft/omsagent/scom/conf/omsadmin.confe adicione as seguintes informações depois de alterar as informações realçadas.

   WORKSPACE_ID=scom
   System Center Operations Manager_ENDPOINT=https://<mark>\<MSFQDN\></mark>:8886
   MONITORING_ID={274F8D7B-DBCA-8FC3-1451-8DCD55092156}
   

9. Reinicie o OMSAgent:

   /opt/microsoft/omsagent/bin/service_control restart
   

10. Verifique o estado no registo omsagent:

    tail -100 /var/opt/microsoft/omsagent/scom/log/omsagent.log
    

Ativar o serviço OMED

Ative o serviço OMED em cada servidor de gestão no agrupamento de recursos, gerindo os agentes linux.

O serviço OMED recolhe eventos do Fluentd e converte-os em eventos do Operations Manager. Importa um pacote de gestão personalizado, que pode gerar alertas com base nos eventos recebidos dos servidores Linux.

Pode ativar o serviço OMED a partir da Consola de operações ou manualmente no servidor de gestão ou no servidor de gateway.

Ativar o serviço OMED a partir da Consola de operações

1. Na consola de Operações, aceda a Monitorização> doEstado dos Servidores de Gestão de Servidores> deGestãodo Operations Manager>.
2. Selecione o servidor de gestão no estado Servidores de Gestão.
3. Em Tarefas, selecione Tarefas> do Serviço de Estado de FuncionamentoAtivar Servidor OMED do System Center.

Ativar manualmente o serviço OMED

Tem duas opções para ativar manualmente o serviço OMED no servidor de gestão, automaticamente através do PowerShell ou manualmente.

Definir automaticamente com o PowerShell

Execute o seguinte comando do PowerShell como Administrador para definir o Serviço de Origem de Dados Externos do System Center Operations Manager para iniciar automaticamente e começar a executar:

Set-Service -Name OMED -StartupType Automatic -Status Running

Definir manualmente com services.msc

1. Selecione Iniciar na caixa Iniciar Pesquisa , introduza services.msc e, em seguida, prima Enter.
2. No painel de detalhes, clique com o botão direito do rato no serviço System Center Operations Manager External DataSource Service e selecione Propriedades.
3. Em Geral, em Tipo de arranque , selecione Automático e selecione OK.
4. No painel de detalhes, clique com o botão direito do rato em Serviço e selecione Iniciar.

Adicionar Regra de Firewall OMED

Para ativar a Regra de Firewall OMED, tem duas opções: adicione a porta (TCP/8886) automaticamente através do PowerShell ou manualmente.

Adicionar automaticamente a regra com o PowerShell

Siga estes passos para adicionar automaticamente a regra com o PowerShell:

O seguinte comando permite-lhe adicionar automaticamente a regra de firewall:

Set-NetFirewallRule -DisplayName "System Center Operations Manager External DataSource Service" -Direction Inbound -Action Allow -Protocol TCP -LocalPort 8886

Adicionar manualmente a regra com a Firewall do Windows

Siga estes passos para adicionar manualmente a regra com a Firewall do Windows:

1. Abra Windows Defender Firewall com Segurança Avançada.
   1. Clique com o botão direito do rato no ícone do Windows na barra de tarefas e selecione Executar.
   2. Introduza na caixa de execução: wf.msc e clique em OK.
2. Selecione Regras de Entrada.
3. Clique com o botão direito do rato em Regras de Entrada e selecione: Nova Regra...
4. Selecione Porta e clique em Seguinte.
5. Selecione TCP e selecione Portas locais específicas:. Introduza 8886.
6. Selecione Permitir a ligação e clique em Seguinte.
7. Selecione os Perfis Adequados para aplicar a Regra de Firewall (Domínio, Privado, Público).
8. Introduza System Center Operations Manager External DataSource Servicena caixa nome e selecione Concluir.

Atribuir um Certificado de Cliente para OMSAgent

Tem duas opções ao atribuir o certificado de cliente para OMSAgent.

1. Ligue ao certificado assinado a partir do Agente OMI.
2. Gerar um certificado de cliente manualmente para o Agente OMS.

Selecione o separador necessário para obter os passos para ligar ao certificado assinado a partir do Agente OMI ou gerar manualmente um certificado de cliente a partir do Agente OMS:

Ligar o Certificado do Agente OMI ao Agente OMS

1. Defina a propriedade no omi.pem ficheiro e omikey.pem como omsagent:omiusers:

   # Change owner of System Center Operations Manager-cert.pem file
   chown omsagent:omiusers /etc/opt/microsoft/omsagent/scom/certs/scom-cert.pem
   
   # Change owner of System Center Operations Manager-key.pem file
   chown omsagent:omiusers /etc/opt/microsoft/omsagent/scom/certs/scom-key.pem
   

2. Execute o seguinte comando no seu computador Linux para definir o Certificado de Cliente do Agente OMS para o Certificado OMI (Certificado de Agente linux do Operations Manager):

   # Link file omi.pem to System Center Operations Manager-cert.pem
   ln -s /etc/opt/omi/ssl/omi.pem /etc/opt/microsoft/omsagent/scom/certs/scom-cert.pem
   
   # Link file omikey.pem to System Center Operations Manager-key.pem
   ln -s /etc/opt/omi/ssl/omikey.pem /etc/opt/microsoft/omsagent/scom/certs/scom-key.pem
   

Gerar um Certificado de Cliente para o Agente OMS

Siga estes passos para gerar um certificado de cliente para o Agente OMS:

1. Gere o certificado e a chave para a pasta omsagent :

   # Generate Certificate to omsagent Folder
   /opt/microsoft/scx/bin/tools/scxsslconfig -c -g /etc/opt/microsoft/omsagent/scom/certs/
   

   Nota

   O novo certificado tem de ser assinado pelo Servidor de Gestão. Para tal, copie para o servidor de gestão, assine o certificado com scxcertconfig -signe copie-o novamente para o agente linux

2. Mude o nome do certificado gerado no lado do Linux:

   # Rename omi-host-server.domain.pem to scom-cert.pem
   mv omi-host-server.domain.pem scom-cert.pem
   
   # Rename omikey.pem to scom-key.pem
   mv omikey.pem scom-key.pem
   

3. Alterar a propriedade do ficheiro de certificado:

   # Change owner of the scom-cert file
   chown omsagent:omiusers /etc/opt/microsoft/omsagent/scom/certs/scom-cert.pem
   
   # Change owner of the scom-key file
   chown omsagent:omiusers /etc/opt/microsoft/omsagent/scom/certs/scom-key.pem
   

Criar ficheiro de configuração Fluentd

Pode configurar a operação Fluentd com um ficheiro de configuração. Para utilizar a monitorização de registos, tem de criar um ficheiro de configuração. O ficheiro de configuração inclui informações como o nome do ficheiro de registo de origem, caminho e filtros para definir os dados a recolher.

O ficheiro de configuração master Fluentd omsagent.conf está localizado em /etc/opt/microsoft/omsagent/scom/conf/. Pode adicionar a configuração de monitorização de ficheiros de registo diretamente a este ficheiro, mas deve criar um ficheiro de configuração separado para gerir melhor as diferentes definições. Em seguida, utilize uma @include diretiva no ficheiro principal para incluir o seu ficheiro personalizado.

Por exemplo, se tiver criado logmonitoring.conf no /etc/opt/microsoft/omsagent/scom/conf/omsagent.d, adicionaria uma das seguintes linhas ao ficheiro omsagent.d :

# Include all configuration files
@include omsagent.d/*.conf

ou

# Include single configuration file
@include omsagent.d/logmonitoring.conf

Para obter mais informações sobre ficheiros de configuração Fluentd, veja Sintaxe de ficheiros de Configuração Fluentd.

As secções seguintes descrevem as definições em diretivas diferentes do ficheiro de configuração que são exclusivas da monitorização de ficheiros de registo. Cada um inclui definições de exemplo que pode colar num ficheiro de configuração e modificar para os seus requisitos.

Está disponível um ficheiro de configuração de exemplo completo para monitorização de registos para rever e avaliar antes de criar o seu próprio.

Origem

A diretiva Origem define a origem dos dados que está a recolher, que é onde define os detalhes do seu ficheiro de registo. Fluentd recolhe cada registo escrito na origem e submete um evento para o mesmo no motor de encaminhamento da Fluentd. Especifique uma etiqueta aqui nesta diretiva. A etiqueta é uma cadeia que é utilizada como direções para o motor de encaminhamento interno da Fluentd para correlacionar diretivas diferentes.

O exemplo seguinte mostra os registos syslog recolhidos e etiquetados para processamento pelo Operations Manager.

<source>

    # Specifies input plugin. Tail is a fluentd input plugin - http://docs.fluentd.org/v0.12/articles/in\_tail
    type tail

    # Specify the log file path. Supports wild cards.
    path /var/log/syslog

    # Recommended so that Fluentd will record the position it last read into this file.
    pos_file /home/user1/fluent-test/demo_syslog.log.pos

    # Used to correlate the directives.
    tag System Center Operations Manager.log.syslog

    format /(?<message>.*)/

</source>

Filtro

A diretiva de filtro tem a mesma sintaxe que a Correspondência , mas permite filtrar mais complexamente os dados a processar. Os eventos recolhidos têm de corresponder aos critérios de todos os filtros a adicionar à saída.

Existem seis plug-ins de filtro para a monitorização de ficheiros de registo descritos aqui. Utilize um ou mais destes filtros para definir os eventos que pretende recolher do seu ficheiro de registo.

• Correspondência simples: Manager_simple_match de Operações do Filter_System Center
• Jogo exclusivo: filter_System Center Operations Manager_excl_match
• Correlação repetida: filter_System Center Operations Manager_repeated_cor
• Correspondência correlacionada: filter_System Center Operations Manager_cor_match
• Correlação exclusiva: Manager_excl_correlation de Operações do Filter_System Center
• Conversor do Operations Manager: Manager_converter de Operações do Filter_System Center

Selecione o separador necessário para copiar o código do respetivo plug-in de filtro:

Correspondência simples

Leva até 20 padrões de entrada. Envia um evento para o Operations Manager sempre que qualquer padrão for correspondido.

<filter tag>

    type filter_System Center Operations Manager_simple_match
    regexp1 <key> <pattern>
    event_id1 <event ID>
    regexp2 <key> <pattern>
    event_id2 <event ID>
    .
    .
    .
    regexp20 <key> <pattern>
    event_id20 <event ID>
</filter>

Correspondência exclusiva

Utiliza dois padrões de entrada. Envia um evento para o Operations Manager quando um único registo corresponde ao padrão 1, mas não corresponde ao padrão 2.

<filter tag>
    type filter_System Center Operations Manager_excl_match
    regexp1 <key> <pattern1>
    regexp2 <key> <pattern2>
    event_id <event ID>
</filter>

Correlação repetida

Utiliza três entradas: um padrão, um intervalo de tempo e o número de ocorrências. Quando é encontrada uma correspondência para o primeiro padrão, é iniciado um temporizador. Um evento é enviado para o Operations Manager se o padrão corresponder ao número especificado de vezes antes de o temporizador terminar.

<filter tag>
    type filter_System Center Operations Manager_repeated_cor
    regexp <key> <pattern>
    event_id <event ID>
    time_interval <interval in seconds>
    num_occurences <number of occurrences>
</filter>

Correspondência correlacionada

Utiliza três entradas: dois padrões e um intervalo de tempo. Quando é encontrada uma correspondência para o primeiro padrão, é iniciado um temporizador. Um evento é enviado para o Operations Manager se existir uma correspondência para o segundo padrão antes de o temporizador terminar.

<filter tag>
    type filter_System Center Operations Manager_cor_match
    regexp1 <key> <pattern1>
    regexp2 <key> <pattern2>
    event_id <event ID>
    time_interval <interval in seconds>
</filter>

Correlação exclusiva

Utiliza três entradas: dois padrões e um intervalo de tempo. Quando é encontrada uma correspondência para o primeiro padrão, é iniciado um temporizador. Um evento é enviado para o Operations Manager se não existir correspondência para o segundo padrão antes de o temporizador terminar.

<filter tag>
    type filter_System Center Operations Manager_excl_correlation
    regexp1 <key> <pattern1>
    regexp2 <key> <pattern2>
    event_id <event ID>
    time_interval <interval in seconds>
</filter>

Conversor do Operations Manager

Envia um evento para o Operations Manager para todos os registos recebidos. Envia o ID e a descrição do evento especificados como parte do evento.

<filter tag>
    type filter_System Center Operations Manager_converter
    event_id <event ID>
    event_desc <event description>
</filter>

Match

A diretiva match define como processar eventos recolhidos da origem com etiquetas correspondentes. Apenas os eventos com uma etiqueta que corresponda ao padrão são enviados para o destino de saída. Quando vários padrões são listados dentro de uma etiqueta de correspondência , os eventos podem corresponder a qualquer um dos padrões listados. O parâmetro de tipo especifica o tipo de plug-in a utilizar para estes eventos.

Este exemplo processa eventos com etiquetas que correspondem às Operações do System Center Manager.log. ** e System Center Operations Manager.alert (** correspondem a zero ou mais partes de etiquetas). Especifica o plug-in do out_System Center Operations Manager , que permite que os eventos sejam recolhidos pelo pacote de gestão do Operations Manager.

<match System Center Operations Manager.log.** System Center Operations Manager.event>

    # Output plugin to use
     type out_System Center Operations Manager

    log_level trace
    num_threads 5

    # Size of the buffer chunk. If the top chunk exceeds this limit or the time limit flush_interval, a new empty chunk is pushed to the top of the
    queue and bottom chunk is written out.
    buffer_chunk_limit 5m
    flush_interval 15s

    # Specifies the buffer plugin to use.
    buffer_type file

    # Specifies the file path for buffer. Fluentd must have write access to this directory.
    buffer_path /var/opt/microsoft/omsagent/scom/state/out_System Center Operations Manager_common*.buffer

    # If queue length exceeds the specified limit, events are rejected.
    buffer_queue_limit 10

    # Control the buffer behavior when the queue becomes full: exception, block, drop_oldest_chunk
    buffer_queue_full_action drop_oldest_chunk

    # Number of times Fluentd will attempt to write the chunk if it fails.
    retry_limit 10

    # If the bottom chunk fails to be written out, it will remain in the queue and Fluentd will retry after waiting retry_wait seconds
    retry_wait 30s

    # The retry wait time doubles each time until max_retry_wait.
    max_retry_wait 9m

</match>

Nota

Para desativar a Autenticação do Servidor nos computadores Linux que estão a utilizar a comunicação Fluentd, adicione um parâmetro enable_server_auth falso ao plug-in do Operations Manager para Fluentd, como o seguinte:

<match System Center Operations Manager.log.** System Center Operations Manager.event>
type out_System Center Operations Manager

max_retry_wait 9m
enable_server_auth false

</match>

Copiar o ficheiro de configuração para o agente

O ficheiro de configuração Fluentd tem de ser copiado para /etc/opt/microsoft/omsagent/scom/conf/omsagent.d em todos os computadores Linux que pretende monitorizar. Também tem de adicionar uma @include diretiva no ficheiro de configuração principal, conforme descrito acima.

Reiniciar omsagent

Pode executar o seguinte comando para reiniciar o omsagent:

/opt/microsoft/omsagent/bin/service_control restart

Verificar o estado da Área de Trabalho do System Center Operations Manager

Execute o seguinte comando para verificar a Área de Trabalho do System Center Operations Manager no OMSAgent:

sh /opt/microsoft/omsagent/bin/omsadmin.sh -l

Nota

No Servidor de Gestão a executar o serviço OMED, certifique-se de que a firewall na porta 8886 está aberta e que o arquivo de certificados das autoridades de certificação intermédias contém apenas autoridades de certificação intermédias.

Registo de Eventos do Serviço de Origem de Dados Externos do System Center Operations Manager

O registo de eventos do Serviço OMED do System Center é criado apenas quando existe um evento enviado com êxito para o Serviço OMED (External DataSource Service) do System Center Operations Manager.

Criar regras e monitores

O pacote de gestão do Linux não fornece módulos para recolher eventos da FluentD, o pacote de gestão do Linux é agrupado com o agente Linux. É o módulo fluente no agente Linux e o serviço OMED no servidor de gestão e gateway que fornece as capacidades de monitorização de ficheiros de registo melhorada.

Tem de criar o seu próprio pacote de gestão com regras personalizadas e monitores que utilizam o módulo Microsoft.Linux.OMED.EventDataSource para recolher os eventos da Fluentd. Tenha em atenção que o nome do computador no Evento enviado através do registo de eventos do Serviço OMED do System Center tem de corresponder ao nome do computador na vista Computadores UNIX/Linux. Se o nome do computador não corresponder, não receberá nenhum alerta.

A tabela seguinte lista os parâmetros de Microsoft.Linux.OMED.EventDataSource.

Parâmetro	Tipo	Description
ComputerName	String	Obrigatório. Especifica o nome do computador Linux para o qual os eventos devem ser lidos. O parâmetro ComputerName é normalmente transmitido para o módulo através da notação de $Target, embora possa ser especificado como qualquer cadeia. Este módulo tenta ler os eventos gerados pelo computador Linux especificado.
ManagedEntityId	String	Obrigatório. Especifica o ID de entidade gerida da entidade monitorizada. O parâmetro ManagedEntityId é normalmente transmitido para o módulo com $Target\Id$.
EventNumber	Número inteiro	Opcional. Indica o número de evento do evento a obter. Se esta opção for omitida, o módulo devolve todos os eventos gerados para esse computador e entidade gerida

Passos seguintes

• Para criar uma vista personalizada para rever os dados de monitorização do pacote de gestão de ficheiros de registo personalizado, veja Utilizar vistas no Operations Manager.

• Para saber como investigar problemas identificados pelo pacote de gestão de ficheiros de registo personalizado, veja Ver alertas ativos e detalhes.