Alert)を導入しない環境において、ログ監視を実装する有用な方法として広く使用されている。ElastAlertはコマンド・設定ファイル(YAML)ベースでの動作のみをサポートしており、アラートルール編集・抑止等は(CIなどでの操作は可能だが)サーバ操作が必要となる。アラートを受け取りたいのはKibanaのみを操作する一般ユーザであるケースが多く、ElastAlertのルール運用はやや面倒だ。Pluginはあるが、シンプルなアラート作成のみが可能...そこで、ElastAlertの機能一式をサポートしているPraecoを使用する。Serverを使用している。ベータリリースとなっています。Praecoと、三者が関連するため、開発・アップデートサイクルにやや不安があります。採用の際は注意して検討ください。v2.0.1の不具合の影響で各種機能が正常動作しないことがあります。こちらの記事に書いたとおり、修正を独自実装して動かせた。Elasticsearchをリリースし、X-Pack相当の機能がオープンソースで公開されるようになったが、Elasticでは以下のようなニュースを出していたり、賛否両論あるため様子見している。Praecoをインストールする今回はDocker-ComposeでPraecoを起動する。Dockerを使用しない場合はnpmで起動する方法がオフィシャルで案内されている。praeco/通知先設定Praeco起動前にElastAlertの通知先を設定する。今回はSlackに通知する。':postal_horn:'Slack通知のリンク先はpublic/praeco.config.jsonで設定されている。startedPraecoが起動すると、指定したElasticserchにElastAlert用のindexが作成される。prefixはpraecoとして作成される。GUIを使用して、Elasticsearchのログからアラート通知できるよう設定する。APIには3030番ポートでアクセスできる。http://<docker-host>:3030アラートルールを作成するElasticsearchを参照しているため、Indexをプルダウンから選択する。Indexを選択したら、クエリを編集する。クエリはリアルタイムにマッチ状況を確認しながら編集できる。ISの項目でしきい値を調整できる。クエリが正しく設定されていると、しきい値のラインが表示される。Aggregationを有効化すると、アラート単位を編集できる。ここでも、Indexの情報が引き継がれているため、プルダウンから選択することができる。通知の設定も分かりやすい。クエリのTestも可能。ルールはDisable状態で作成されているため、Enableする。Confirm.アラートルールはrules配下に生成される。ElastiFlow.yamlアラートと各種ログログのしきい値超過を検知したら、設定した通り通知を受け取れる。アラート履歴クエリ履歴YAMLSilence設定アラートルールは一定期間Silence(無効化)することができる。daysのボタンはエラーになって使えなかった...無効化中はNoticeが表示される。GUIではSilence設定を解除する項目がない。ElastAlert自身に該当するコマンド等がないため納得。記載の方法でSilence解除は可能だが、運用を考慮して要検討。Silence設定はpraeco_elastalert_status_silenceのindexに保存されている。}}untilの内容を現在時刻で更新し、Praecoを再起動することで、Silenceを実質解除できる。ドキュメントIDを検索・使用するため運用に難あり...。ElastAlert単体で--silenceを使用した際は再起動不要でSilence解除できたが、Praecoとの組み合わせ時は再起動が必要だった。"2019-03-23T09:11:32.912Z"...}(非推奨)rule_name指定でドキュメントを削除してもよいが、Silence履歴も消えてしまうため注意。GUI)でElasticsearchログアラートするPraecoを使用することでGUIベースでElastAlertを操作することができるようになった。ルール作成画面は非常に洗練されており、Kibana本家に搭載されているWatcher(X-Pack)よりも使い勝手が良いように思う。引き続きテンプレート機能なども動作確認をし、効率的な運用方法を検討する。(14)はてなブログをはじめよう!daichi703nさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。