« Watcher Watcher 工作原理 »
Elastic 文档 ›Elasticsearch 指南 [8.14] ›Watcher

Watcher 入门

编辑

Watcher 入门编辑

设置一个 Watch 以开始发送警报

安排 Watch 并定义输入编辑

Watch 计划 控制 Watch 的触发频率。Watch 输入 获取您要评估的数据。

要定期搜索日志数据并将结果加载到 Watch 中，您可以使用 间隔 计划和 搜索 输入。例如，以下 Watch 每 10 秒搜索一次 logs 索引中的错误

PUT _watcher/watch/log_error_watch
{
  "trigger" : {
    "schedule" : { "interval" : "10s" } 
  },
  "input" : {
    "search" : {
      "request" : {
        "indices" : [ "logs" ],
        "body" : {
          "query" : {
            "match" : { "message": "error" }
          }
        }
      }
    }
  }
}

计划通常配置为运行频率较低。此示例将间隔设置为 10 秒，以便您可以轻松地看到 Watch 被触发。由于此 Watch 运行如此频繁，请不要忘记在完成实验后 删除 Watch。

如果您查看 Watch 历史记录，您会看到 Watch 每 10 秒被触发一次。但是，搜索没有返回任何结果，因此没有任何内容加载到 Watch 有效负载中。

例如，以下请求从 Watch 历史记录中检索最后十次 Watch 执行（Watch 记录）

response = client.search(
  index: '.watcher-history*',
  pretty: true,
  body: {
    sort: [
      {
        'result.execution_time' => 'desc'
      }
    ]
  }
)
puts response
GET .watcher-history*/_search?pretty
{
  "sort" : [
    { "result.execution_time" : "desc" }
  ]
}

添加条件编辑

条件 评估您加载到 Watch 中的数据，并确定是否需要采取任何操作。现在您已将日志错误加载到 Watch 中，您可以定义一个条件来检查是否发现了任何错误。

例如，以下比较条件仅检查搜索输入是否返回任何匹配。

PUT _watcher/watch/log_error_watch
{
  "trigger" : { "schedule" : { "interval" : "10s" }},
  "input" : {
    "search" : {
      "request" : {
        "indices" : [ "logs" ],
        "body" : {
          "query" : {
            "match" : { "message": "error" }
          }
        }
      }
    }
  },
  "condition" : {
    "compare" : { "ctx.payload.hits.total" : { "gt" : 0 }} 
  }
}

比较 条件允许您轻松地与执行上下文中的值进行比较。

要使此比较条件评估为 true，您需要向 logs 索引添加一个包含错误的事件。例如，以下请求向 logs 索引添加一个 404 错误

response = client.index(
  index: 'logs',
  body: {
    timestamp: '2015-05-17T18:12:07.613Z',
    request: 'GET index.html',
    status_code: 404,
    message: 'Error: File not found'
  }
)
puts response
POST logs/_doc
{
  "timestamp": "2015-05-17T18:12:07.613Z",
  "request": "GET index.html",
  "status_code": 404,
  "message": "Error: File not found"
}

添加此事件后，下次 Watch 执行时，其条件将评估为 true。每次 Watch 执行时，条件结果都会记录为 watch_record 的一部分，因此您可以通过搜索 Watch 历史记录来验证是否满足条件

response = client.search(
  index: '.watcher-history*',
  pretty: true,
  body: {
    query: {
      bool: {
        must: [
          {
            match: {
              'result.condition.met' => true
            }
          },
          {
            range: {
              'result.execution_time' => {
                from: 'now-10s'
              }
            }
          }
        ]
      }
    }
  }
)
puts response
GET .watcher-history*/_search?pretty
{
  "query" : {
    "bool" : {
      "must" : [
        { "match" : { "result.condition.met" : true }},
        { "range" : { "result.execution_time" : { "from" : "now-10s" }}}
      ]
    }
  }
}

配置操作编辑

在 Watch 历史记录中记录 Watch 记录固然很好，但 Watcher 的真正威力在于能够在满足 Watch 条件时执行某些操作。Watch 的 操作 定义了当 Watch 条件评估为 true 时要执行的操作。您可以发送电子邮件、调用第三方 Webhook、将文档写入 Elasticsearch 索引或将消息记录到标准 Elasticsearch 日志文件。

例如，以下操作在检测到错误时向 Elasticsearch 日志写入一条消息。

PUT _watcher/watch/log_error_watch
{
  "trigger" : { "schedule" : { "interval" : "10s" }},
  "input" : {
    "search" : {
      "request" : {
        "indices" : [ "logs" ],
        "body" : {
          "query" : {
            "match" : { "message": "error" }
          }
        }
      }
    }
  },
  "condition" : {
    "compare" : { "ctx.payload.hits.total" : { "gt" : 0 }}
  },
  "actions" : {
    "log_error" : {
      "logging" : {
        "text" : "Found {{ctx.payload.hits.total}} errors in the logs"
      }
    }
  }
}

删除 Watch编辑

由于 log_error_watch 配置为每 10 秒运行一次，因此请确保在完成实验后将其删除。否则，此示例 Watch 产生的噪音将使您难以查看 Watch 历史记录和日志文件中发生的其他情况。

要删除 Watch，请使用 删除 Watch API

response = client.watcher.delete_watch(
  id: 'log_error_watch'
)
puts response
DELETE _watcher/watch/log_error_watch

所需的安全权限编辑

要使用户能够创建和操作 Watch，请为其分配 watcher_admin 安全角色。Watcher 管理员还可以查看 Watch、Watch 历史记录和触发的 Watch。

要允许用户查看 Watch 和 Watch 历史记录，请为其分配 watcher_user 安全角色。Watcher 用户无法创建或操作 Watch；他们只能执行只读 Watch 操作。

后续步骤编辑

  • 有关 Watch 的结构和 Watch 生命周期，请参阅 Watcher 工作原理。
  • 有关设置 Watch 的更多示例，请参阅 示例 Watch。
  • 请参阅 Elastic Examples 存储库中的 示例 Watch，以获取可以用作构建自定义 Watch 起点的其他示例 Watch。
« Watcher Watcher 工作原理 »