Noções Básicas Sobre Correlação de Alertas

Observação:
O estado não é atualizado quando um único alerta de monitor forense alerta é acionado. No entanto, o estado pode ser atualizado com base na agregação de alertas de monitor forense atual, para cada componente.

Severidade do alerta

Os alertas do Pacote de Gerenciamento de Monitoramento do Exchange Server 2010 também são classificados pela severidade dos alertas, desta forma:

• Alertas de erro   Os alertas de erro indicam um problema sério que exige atenção imediata.

• Alertas de aviso   Alertas de aviso indicam uma condição que pode causar problemas no futuro.

• Alertas informativos   Alertas informativos não são gerados pelo Pacote de Gerenciamento do Exchange 2010.

Fatores de Correlação

As ações tomadas pelo mecanismo de correlação são baseadas em vários fatores, incluindo o seguinte:

Monitorar eventos de mudança de estado  Monitores coletam informações diagnósticas do ambiente do Exchange de fontes tais como mensagens do log de eventos, limites de contadores de desempenho, e eventos de saída de tarefa do PowerShell. Monitores registram eventos de mudança de estado quando eles detectam que um problema ocorreu ou limpou (ou seja, mudou de vermelho para verde ou de verde para vermelho). Monitores também registram mudanças de estado quando um servidor de Exchange não pode ser contatado ou quando um servidor de Exchange fica disponível. Finalmente, os monitores registram mudanças de estado quando um servidor de Exchange é colocado em modo de manutenção ou removido do modo de manutenção. No Pacote de Gerenciamento do Exchange 2007, os alertas sempre eram acionados quando o estado de um monitor mudava de verde para vermelho. No Pacote de Gerenciamento do Exchange 2010, os alertas não são automaticamente acionados pelas alterações de estado do monitor. O mecanismo de correlação determina se deve acionar um alerta. O Pacote de Gerenciamento do Exchange 2010 inclui uma regra de alerta para cada monitor. Isto permite que o pessoal do monitoramento use o console de operações para acessar as propriedades de cada monitor no Pacote de Gerenciamento. Eles podem inserir observações específicas da empresa para um dado monitor no campo de Conhecimento de empresa mesmo quando o monitor não gerar alertas por si só.

Modelo de integridade   A hierarquia de classes importada no gerenciador de operações pelo Pacote de Gerenciamento do Exchange 2010 inclui os relacionamentos de classe que definem as dependências do componente no sistema. A definição dessas dependências ajuda o Pacote de Gerenciamento do Exchange 2010 para entender a integridade da organização do Exchange. Por exemplo, se o Pacote de Gerenciamento do Exchange 2010 identifica o Active Directory como offline, ele também reportará que o sistema de mensagens do Exchange não está totalmente funcional.

Intervalo   O Mecanismo de Correlação funciona em intervalos de 90 segundos. Quando eventos de alteração de estado para vários monitores entram ao mesmo tempo, o mecanismo de correlação espera para ver se mais alguma coisa possivelmente relacionada à falha é detectada, para que possa determinar a causa raiz de forma mais efetiva.

Algoritmo de Correlação

Visão geral do processo do Mecanismo de Correlação

1. O mecanismo de correlação conecta ao serviço do Operations Manager SDK para fazer o download da hierarquia do modelo de integridade e estado de instância. Isto ocorre somente na inicialização do serviço, ou quando necessário devido a erros.

2. Em seguida, busca no Operations Manager os eventos de alteração de estado mais recentes, relacionados às entidades no Pacote de Gerenciamento do Exchange.

3. Se novas alterações de estado de não-serviço impactante são detectadas, o mecanismo de correlação aciona alertas para eles.

4. O mecanismo de correlação isola os dados de todos os monitores de indicador chave de integridade que estão no estado vermelho. O mecanismo de correlação organiza esses dados em agrupamentos lógicos que mostram cada processo em relação aos que ele depende e aqueles que dependem dele. Esses agrupamentos são comumente referidos como "cadeias de indicador chave de integridade". Cada cadeia indica onde uma dependência falhou e está afetando um ou mais processos dependentes.

5. O mecanismo de correlação gera um alerta para cada cadeia de indicador chave de integridade. Cada alerta que o mecanismo de correlação gera identifica a causa raiz de cada problema.

6. O mecanismo de correlação aguarda 90 segundos e, em seguida, recomeça na etapa 2.

Informações adicionais sobre o processo do mecanismo de correlação

• Se a cadeia de KHIs incluir monitores de erro e de aviso, o alerta é acionado como um erro, independente da classe do monitor da causa raiz. Por exemplo, se um processo de nível-top define um monitor de erro para capturar casos de falhas, e se está correlacionado a um monitor de aviso em uma dependência, o alerta será acionado contra a dependência. Mas vai ser marcado como um erro em vez de um aviso.

• Nem todo relacionamento de classe é usado para correlação de alerta. Consulte o Apêndice: Hierarquia de classe, posteriormente neste guia, para ver os relacionamentos específicos usados pelo Mecanismo de Correlação.

• A cadeia KHI, incluindo quaisquer monitores forenses, é incluída no campo Contexto do alerta, disponível nas propriedades do alerta final. Isto permite que o administrador reveja os monitores que correlacionam como o alerta dado. Alertas gerados de monitores de dependência devem ser revistos para determinar a falha específica referenciada pelo alerta.

O que é e não é afetado pela correlação de alertas

É importante enteder o que o mecanismo de correlação afeta e o que não afeta.

A funcionalidade seguinte é diferente no Pacote de Gerenciamento do Exchange 2010 devido à adição do mecanismo de correlação:

• Monitores não alertam automaticamente quando ocorrem eventos de alteração de estado. O mecanismo de correlação pode determinar o melhor alerta a ser acionado.

• O Pacote de Mecanismo do Exchange 2010 não aciona alertas que correspondem à integridade do ambiente do Exchange quando o mecanismo de correlação é parado. Se o mecanismo de correlação é parado, um alerta geral é acionado para notificar que o mecanismo de correlação não está sendo executado.

A seguinte funcionalidade não será alterada pela adição do mecanismo de correlação:

• Substituições ainda funcionam como esperado. Certos valores podem ser mudados ou monitores desativados como são atualmente.

• Monitores/objetos em modo de manutenção são ignorados pelo mecanismo de correlação. Nenhuma consideração especial é requerida porque os monitores não acionam eventos de alteração de estado.

• Outros pacotes de gerenciamento não são afetados pela presença do mecanismo de correlação.

Observações operacionais

O mecanismo de correlação deve manter o espaço de instância do grupo de gerenciamento em memória para determinar monitores e alertas relacionados. Além disso, quanto mais servidores do Exchange e bases de dados você possui, mais memória o mecanismo de correlação irá requerer.

O mecanismo de correlação requer aproximadamente 5 megabytes de memória por servidor monitorado do Exchange. Existem fatores que podem impulsionar este número para cima ou para baixo, mas é um bom ponto de partida para entender o impacto do recurso no servidor que hospeda o serviço.

Redefinição automática de monitores de eventos no Pacote de Gerenciamento do Exchange 2010

No Pacote de Gerenciamento do Exchange 2010, a maioria dos monitores de evento é reiniciada automaticamente pelo Mecanismo de Correlação. A redefinição automática foi incluída em alguns monitores de eventos para que problemas não sejam perdidos na próxima vez em que acontecerem. A tabela a seguir lista os monitores de eventos que não são redefinidos automaticamente.