Создание уведомлений в Elasticsearch: Оповещение об отсутствии записей в журналах
Elasticsearch - отличный инструмент для создания решений, связанных с журналами.
В предыдущей статье мы пытались создать оповещение на случай, если количество записей в журналах изменилось в зависимости от наступления какого-либо условия. Так, например, если количество ошибок увеличится до определенного количества, мы получим ошибку slack.
Итак, представьте, что у Вас есть служба, которая производит записи в журнал каждую минуту, и Вы хотите отслеживать работу этой службы. Как Вы уже знаете из предыдущей статьи, для создания уведомления мы использовали функцию index_treashold службы Alerting.
И у нас было условие - количество ошибок nginx больше 5. Служба создавала уведомление в соответствии с этим условием.
Итак, в соответствии с нашими новыми критериями мы создадим еще одно правило оповещения, но только изменим часть условия следующим образом:
В этом условии вместо IS больше 5 мы будем использовать IS меньше 1 для последних 5 минут. На основе этого правила в случае, если количество записей в журнале за последние 5 минут будет меньше 1, будет сгенерировано соответствующее уведомление.
В этом случае я не использовал никаких фильтров для журналов, но вы вполне можете это сделать.
