创建自定义阈值规则

创建自定义阈值规则，以便在可观测性数据类型达到或超过给定值时触发警报。

指定以下设置以定义规则应用的数据

使用聚合、方程式和阈值设置规则检测的条件。

聚合汇总您的数据，使其更易于分析。设置以下任意聚合类型来收集数据以创建您的规则：Average、Max、Min、Cardinality、Count、Sum、Percentile 或 Rate。有关这些选项的更多信息，请参阅 聚合选项。

例如，要收集日志级别为 warn 的日志文档总数

使用您的聚合设置方程式。根据方程式的结果，设置一个阈值来定义何时触发警报。方程式使用基本的数学或布尔逻辑。请参阅以下示例了解可能的用例。

添加、减去、乘或除您的聚合，以定义警报条件。

示例

设置方程式和阈值，以便在指标高于阈值时触发警报。在此示例中，我们将使用平均 CPU 使用率——除 idle 或 IOWait 状态之外的其他状态所花费的 CPU 时间百分比，该值由 CPU 核心数标准化——并在 CPU 使用率高于特定百分比时触发警报。为此，请设置以下聚合、方程式和阈值

使用条件运算符和比较运算符与您的聚合一起定义警报条件。

示例

设置方程式和阈值，以便在有状态 Pod 的数量与所需 Pod 的数量不同时触发警报。在此示例中，我们将使用 kubernetes.statefulset.ready 和 kubernetes.statefulset.desired，并在它们的值不同时触发警报。为此，请设置以下聚合、方程式和阈值

预览图表提供了与您的配置匹配的条目数量的可视化效果。阴影区域显示您设置的阈值。

如果您使用 按分组警报 选项，则最大条形大小将为 3。它只会显示前 3 个字段。

为自定义阈值规则设置一个或多个 按分组警报 字段，以针对选定字段执行复合聚合。当这些组中的任何一个与选定的规则条件匹配时，将按组触发警报。

当您选择多个分组时，组名称将以逗号分隔。

例如，如果您按 host.name 和 host.architecture 字段对警报进行分组，并且有两个主机（主机 A 和 主机 B）和两个架构（架构 A 和 架构 B），则复合聚合形成多个组。

如果 主机 A, 架构 A 组与规则条件匹配，但 主机 B, 架构 B 组不匹配，则将为 主机 A, 架构 A 触发一个警报。

如果您选择一个字段（例如 host.name），并且 主机 A 与条件匹配，但 主机 B 不匹配，则将为 主机 A 触发一个警报。如果两个组都与条件匹配，则将为两个组触发警报。

可以选择配置规则在以下情况下触发警报

为此，请选择 如果没有数据则向我发出警报。

警报的行为取决于是否指定了任何 按分组警报 字段

您必须选择一个范围值（日志 或 指标），这会影响访问该规则所需的 Kibana 功能权限。例如，当设置为 日志 时，您必须具有相应的 可观测性 > 日志 功能权限才能查看或编辑该规则。

通过将您的规则连接到使用以下受支持的内置集成操作来扩展您的规则。

选择连接器后，必须设置操作频率。您可以选择在每个检查间隔或自定义间隔上创建警报摘要。或者，您可以设置操作频率，以便您可以选择操作的运行频率（例如，在每个检查间隔、仅当警报状态更改时或在自定义操作间隔）。在这种情况下，您还必须选择影响操作运行时间的特定阈值条件：警报、无数据 或 已恢复。

您还可以通过指定操作仅在与 KQL 查询匹配或警报发生在特定时间范围内时才运行，从而进一步优化操作运行的条件

使用默认通知消息或自定义通知消息。 您可以通过点击消息文本框上方的图标，并从可用变量列表中选择，向消息添加更多上下文信息。

以下变量是此规则类型特有的。您还可以指定所有规则通用的变量。