管理ガイド › アクション アラート › アクション アラートのクエリのカスタマイズ › 重大なイベントだけを取得するためのクエリのカスタマイズ

重大なイベントだけを取得するためのクエリのカスタマイズ

アクション アラートとしてタグ付けされない事前定義済みクエリは、レポート用に設計されます。 レポートには、すべての重大度レベルのイベントを反映するデータを含めることをお勧めします。 一部のクエリを選択して、重大なイベントだけを取得するようにカスタマイズできます。 その場合は、それほど重大ではないイベントと重大なイベントの両方を取得するクエリを指定して、コピーし、重大なイベントだけを取得するようにフィルタを入力して、アラートでの選択対象としてそのクエリを保存します。

事前に、重大なイベントの定義がリストされたスプレッドシートを手元に用意しておいてください。 この例は、以下の CEG 情報を基にしています。

カスタマイズするクエリは、システム シャットダウンとシステム起動の両方のイベントを取得します。

重大なイベントだけを取得するようにクエリをカスタマイズする方法

1. ［クエリおよびレポート］タブをクリックします。
2. 重大なイベントの［カテゴリ］と一致するクエリ タグ フィルタを選択します。

   たとえば、［操作上のセキュリティ］を選択します。

3. クエリ リストを確認し、指定したイベント タイプの［クラス］または［アクション］にあるキーワードを含む名前を持ったクエリを探します。

   たとえば、キーワード「システム シャットダウン」は、「ホストごとのシステム起動/シャットダウン」という語句で始まるクエリに含まれています。

   

4. 「ホストごとのシステム起動/シャットダウン詳細」クエリをコピーします。 クエリを強調表示し、［オプション］ドロップダウン リストから［コピー］を選択します。
5. ［クエリ フィルタ］をクリックし、デフォルトと重大なイベント タイプのテーブル エントリを比較します。

   このクエリについては、［操作上のセキュリティ］だけが選択されています。

6. ［クラス］と［アクション］に入力する値をテーブルから参照します。

   たとえば、［クラス］には［システム アクティビティ］を、［アクション］には［システム シャットダウン］を選択します。

   

7. ［詳細フィルタ］タブを選択して、変更が必要かどうかを決定すします。

   それぞれ、event_action フィルタが「システム起動」と等しい、「シャットダウン」はこのカスタム クエリに関係がないという理由により、各行で［削除］をクリックします。

8. このフィルタを結果のフィルタで置換します。

   たとえば、event_result が成功か失敗のいずれかと等しいというフィルタを作成します。

   

9. ［詳細］をクリックし、クエリに、アラートに使用することを示す名前を付けます。

   たとえば、「アラート： ホストごとのシステム シャットダウン詳細」と入力します。 必要に応じて説明を変更します。

10. ［結果の条件］をクリックします。 重大な条件の場合は、頻繁にクエリを実行することを検討します。

    たとえば、［事前定義済み範囲］で［過去 5 分間］を選択すると、この重大なイベントが発生したかどうかのクエリを 5 分ごとに実行します。

    

11. ［保存］をクリックします。

    このクエリを使用するアラートを作成すると、システム シャットダウンが成功したか、シャットダウンの試行に失敗したかが、担当者、製品、またはプロセスに通知されます （製品への通知は SNMP トラップによって行われ、プロセスへの通知は IT PAM イベント/アラート出力プロセスによって行われます）。