Hôtes, modèles, éléments et déclencheurs Zabbix

Dans Zabbix, tout part de quatre objets : l'hôte (la machine ou l'équipement supervisé), le modèle (template, un ensemble de mesures réutilisable), l'élément (item, une mesure) et le déclencheur (trigger, la condition qui transforme une mesure en problème). Ce chapitre explique chacun d'eux avec les écrans de Zabbix 7.0, la syntaxe des clés et des expressions, les macros qui adaptent un modèle à un hôte, et la découverte de bas niveau qui crée les mesures toute seule.

Les objets de Zabbix et leurs liens

Les groupes de modèles (template groups) rangent les modèles à part des hôtes. Zabbix 7.0 en fournit plusieurs centaines, dans des groupes comme Templates/Operating systems, Templates/Network devices ou Templates/Applications.

Créer un hôte

Data collection > Hosts, bouton Create host.

L'onglet Macros de l'hôte redéfinit les macros de ses modèles ; l'onglet Tags pose des étiquettes (site: lyon, service: gestion) que porteront ses problèmes ; l'onglet Encryption règle le chiffrement avec l'agent (chapitre 6) ; l'onglet Inventory peut se remplir automatiquement à partir des éléments.

Après quelques minutes, la colonne Availability de Data collection > Hosts affiche l'icône ZBX en vert : le serveur joint l'agent. En rouge, survole l'icône : le message dit pourquoi (Get value from agent failed: cannot connect to [[192.168.10.179]:10050]: … Connection refused signifie que l'agent n'écoute pas ou qu'un pare-feu refuse).

Les éléments et leurs clés

Un élément est défini par son type (qui collecte et comment, voir le chapitre 3) et sa clé, qui dit quoi mesurer. Une clé a la forme nom[paramètre1,paramètre2,…].

Crée un élément à la main sur l'hôte (Data collection > Hosts, colonne Items de la ligne, bouton Create item) :

Le bouton Test de l'écran interroge l'agent et affiche la valeur tout de suite : fais-le avant d'enregistrer. Les valeurs collectées apparaissent dans Monitoring > Latest data, filtré sur l'hôte, avec un lien vers le graphique de chaque élément.

Le prétraitement (onglet Preprocessing) transforme la valeur avant de la stocker. Les étapes les plus utiles :

Les déclencheurs

Un déclencheur est une expression sur les valeurs d'un ou plusieurs éléments. Quand elle devient vraie, Zabbix crée un événement problème ; quand elle redevient fausse, un événement de rétablissement (OK). La syntaxe de Zabbix 7.0 est :

fonction(/hôte/clé,paramètres) opérateur constante

Quelques exemples sur srv-gestion :

last(/srv-gestion/proc.num[nginx])=0
min(/srv-gestion/system.cpu.util,5m)>90
min(/srv-gestion/vfs.fs.size[/,pused],5m)>85
nodata(/srv-gestion/agent.ping,5m)=1
avg(/srv-gestion/system.cpu.util,1h)>2*avg(/srv-gestion/system.cpu.util,1h:now-1w)

1. Plus aucun processus nginx à la dernière mesure.
2. Le processeur est au-dessus de 90 % pendant 5 minutes sans interruption (la plus petite valeur des 5 dernières minutes dépasse 90).
3. Le disque / est rempli à plus de 85 % depuis 5 minutes.
4. Aucune valeur de agent.ping reçue depuis 5 minutes : l'agent, la machine ou le réseau ne répond plus.
5. La charge moyenne de la dernière heure vaut plus du double de celle de la même heure, la semaine dernière (décalage now-1w).

Les fonctions à connaître :

On combine avec and, or, not et les parenthèses. Les suffixes de temps sont s, m, h, d, w ; les suffixes d'unité K, M, G, T (en puissances de 1 024) :

last(/srv-fichiers/vfs.fs.size[D:,free])<20G and last(/srv-fichiers/vfs.fs.size[D:,pfree])<10

« Moins de 20 Gio libres et moins de 10 % libres sur D: » : la double condition évite d'alerter sur un petit volume presque plein mais suffisant, ou sur un énorme volume à 91 % qui a encore 2 To devant lui.

Gravité, nom et données d'un déclencheur

Crée un déclencheur dans l'onglet Triggers de l'hôte (ou du modèle), bouton Create trigger.

Les six gravités et leur usage chez Sorbier :

Éviter le battement : l'expression de rétablissement

Un disque qui oscille autour de 85 % (84,9, 85,1, 84,8…) ouvre et ferme un problème à chaque mesure : on dit que l'alerte bat (flapping). La parade est une hystérésis : une condition de problème et une condition de retour différentes.

Expression :          min(/srv-gestion/vfs.fs.size[/,pused],5m)>85
Recovery expression : max(/srv-gestion/vfs.fs.size[/,pused],10m)<80

Le problème s'ouvre au-dessus de 85 % pendant 5 minutes, et ne se ferme que lorsque l'occupation est restée sous 80 % pendant 10 minutes. Entre 80 et 85, rien ne change.

Les modèles officiels font de même avec leurs macros : le déclencheur d'heure désynchronisée de Linux by Zabbix agent s'ouvre au-delà de 60 secondes d'écart ({$SYSTEM.FUZZYTIME.MAX}) et ne se ferme qu'en dessous de 10 secondes ({$SYSTEM.FUZZYTIME.MIN}).

Les modèles et leurs macros

Un modèle évite de recréer les mêmes éléments sur chaque hôte. Le modèle officiel Linux by Zabbix agent apporte d'un coup la charge, la mémoire, l'espace de chaque système de fichiers, le trafic de chaque interface, l'heure, le nombre de processus et une vingtaine de déclencheurs, par exemple :

Les seuils sont des macros, avec une valeur par défaut dans le modèle : {$CPU.UTIL.CRIT} = 90, {$VFS.FS.PUSED.MAX.WARN} = 80, {$VFS.FS.PUSED.MAX.CRIT} = 90, {$AGENT.TIMEOUT} = 3m. Pour changer un seuil, ne modifie pas le modèle : redéfinis la macro sur l'hôte (onglet Macros, bouton Inherited and host macros pour voir la valeur héritée). Ta modification survit aux mises à jour du modèle et ne touche qu'un hôte.

Une macro peut avoir un contexte : {$VFS.FS.PUSED.MAX.WARN:"/var/lib/mysql"} = 85 ne s'applique qu'au système de fichiers /var/lib/mysql, les autres gardent 80. Les macros se définissent à trois niveaux, du plus général au plus précis : globales (Administration > Macros), du modèle, de l'hôte. La plus précise l'emporte. Une macro peut être de type Secret text : sa valeur (un mot de passe SNMP, un jeton d'API) n'est plus affichée dans l'interface.

La découverte de bas niveau (LLD)

Combien de systèmes de fichiers sur srv-fichiers ? Combien de ports sur SW-ETAGE1 ? Tu ne veux pas créer à la main un élément par disque et par port. La découverte de bas niveau (Low-Level Discovery, LLD) s'en charge.

1. Une règle de découverte interroge l'hôte à intervalle régulier : la clé vfs.fs.discovery renvoie la liste des systèmes de fichiers, net.if.discovery celle des interfaces, service.discovery celle des services Windows, et pour un switch une requête SNMP sur la table des interfaces.
2. Chaque entrée de la liste porte des macros LLD : {#FSNAME} (/, /var/lib/mysql), {#FSTYPE} (ext4), {#IFNAME}.
3. Des prototypes d'éléments, de déclencheurs et de graphiques utilisent ces macros : vfs.fs.dependent.size[{#FSNAME},pused]. Zabbix crée un élément réel par entrée découverte.
4. Des filtres écartent ce qui n'intéresse pas : les systèmes de fichiers temporaires (tmpfs), les interfaces virtuelles. Les modèles officiels règlent ces filtres par des macros comme {$VFS.FS.FSTYPE.MATCHES} ou {$NET.IF.IFNAME.NOT_MATCHES}.
5. Quand un disque disparaît, ses éléments sont marqués « plus découverts » puis supprimés après un délai.

C'est grâce à la LLD qu'un simple lien vers Linux by Zabbix agent suffit pour superviser tous les disques d'un serveur, y compris celui que tu ajouteras l'an prochain.

Exercices