Der Linux-Agent für VMware Aria Operations for Logs kann so konfiguriert werden, dass er Protokollereignisse aus einer oder mehreren Protokolldateien erfasst.

Standardmäßig erfasst der VMware Aria Operations for Logs-Linux-Agent ausgeblendete Dateien, die von Anwendungen oder Editoren erstellt werden. Die Namen der ausgeblendeten Dateien beginnen mit einem Punkt. Sie können verhindern, dass der VMware Aria Operations for Logs-Linux-Agent ausgeblendete Dateien erfasst, indem Sie den Ausschlussparameter exclude=.* hinzufügen.

Feldnamen sind eingeschränkt. Die folgenden Namen sind reserviert und können nicht als Feldnamen verwendet werden.

  • event_type
  • hostname
  • source
  • text

Sie haben die Möglichkeit, bis zu drei Ziele für Agent-Informationen festzulegen und die Informationen vor dem Senden zu filtern. Siehe Weiterleiten von Protokollen von einem VMware Aria Operations for Logs Agent.

Hinweis: Die Überwachung einer großen Anzahl an Dateien, z. B. von tausend Dateien oder mehr, führt zu einer höheren Ressourcennutzung des VMware Aria Operations for Logs-Agents. Dies wirkt sich auf die Gesamtleistung der Hostmaschine aus. Um dies zu verhindern, konfigurieren Sie den Agent so, dass er nur die erforderlichen Dateien mithilfe von Mustern und Globs überwacht, oder archivieren Sie die alten Protokolldateien. Wenn die Überwachung einer großen Anzahl an Dateien erforderlich ist, können Sie es auch in Erwägung ziehen, die Hostparameter wie CPU und RAM zu erhöhen.

Voraussetzungen

  • Melden Sie sich als Root-Benutzer an oder verwenden Sie sudo, um Konsolenbefehle auszuführen.
  • Stellen Sie sicher, dass der VMware Aria Operations for Logs-Linux-Agent installiert und ausgeführt ist. Melden Sie sich bei dem Linux-System an, auf dem Sie den VMware Aria Operations for Logs-Linux-Agent installiert haben. Öffnen Sie eine Konsole und führen Sie pgrep liagent aus.

Prozedur

  1. Öffnen Sie die Datei /var/lib/loginsight-agent/liagent.ini in einem beliebigen Texteditor.
  2. Suchen Sie den Abschnitt [server|<dest_id>] der Datei. Fügen Sie Konfigurationsparameter hinzu und legen Sie die Werte für Ihre Umgebung fest. 
    [filelog|section_name]
directory=path_to_log_directory
include=glob_pattern
...
    Parameter Beschreibung
    [filelog|section_name] Ein eindeutiger Name für den Konfigurationsabschnitt.
    directory=full-path-to-log-file Der vollständige Pfad zum Protokolldateiverzeichnis. Glob-Muster werden unterstützt. Beispielkonfigurationen:
    • Um aus allen Unterverzeichnissen des Verzeichnisses D:\Logs\new_test_logs zu erfassen, verwenden Sie directory=D:\Logs\new_test_logs\*.
    • Wenn Ihre Unterverzeichnisse über eigene Unterverzeichnisse verfügen, verwenden Sie die folgende Konfiguration, um alle Unterverzeichnisse directory=D:\Logs\new_test_logs\*\* zu überwachen
    Hinweis: Um die Anzahl der Dateien und Ordner zu begrenzen und einen hohen Ressourcenverbrauch zu vermeiden, können Sie kein Verzeichnis-Glob für die Verzeichnisse der ersten oder der zweiten Ebene definieren, wie z. B. directory=c:/tmp/* oder directory=c:\Logs\*. Der Verzeichnispfad muss mindestens zwei Ebenen aufweisen.

    Sie haben auch die Möglichkeit, einen Pfad zu einem nicht vorhandenen Verzeichnis zu definieren. Der Agent erfasst dann die Protokolldateien in diesem Verzeichnis, wenn das Verzeichnis und die Dateien erstellt wurden.

    Sie können dasselbe Verzeichnis unter einem oder mehreren verschiedenen Konfigurationsbereichen definieren, um Protokolle von derselben Datei mehrmals zu erfassen. Damit können verschiedene Tags und Filter auf dieselbe Quelle von Ereignissen angewendet werden.
    Hinweis: Wenn Sie identische Konfigurationen für diese Bereiche verwenden, werden duplizierte Ereignisse auf der Serverseite beobachtet.
    include=file_name; ... (Optional) Der Name eines Dateinamens oder einer Dateimaske (Glob-Muster) für die Datenerfassung. Sie können Werte als eine durch Semikolon getrennte Liste eingeben. Der Standardwert lautet *. Das heißt, dass alle Dateien berücksichtigt werden. Bei diesem Parameter muss die Groß-/Kleinschreibung beachtet werden.

    Mit einer Dateimaske (Glob-Muster) können Dateien gruppiert werden, die der gleichen Benennungskonvention folgen. Dies ist auch auf der Ebene einzelner Zeichen in Dateinamen möglich. Beispielsweise können Dateinamen mit Leerzeichen wie z. B. vRealize Ops Datei Analytics.log und vRealize Ops Collector.log mit vRealize?Ops?Analytics*.log oder vRealize*.log angegeben werden. Dateimasken bieten die Möglichkeit, Dateinamen festzulegen, die für die Agentenkonfiguration auf Linux- und Windows-Hosts zulässig sind.

    .zip- und.gz-Dateien werden standardmäßig nicht erfasst.

    Wichtig: Verwenden Sie bei der Erfassung einer rotierten Protokolldatei die Parameter include und exclude, um ein Glob-Muster anzugeben, das der primären und der rotierten Datei entspricht. Wenn das Glob-Muster nur der primären Protokolldatei entspricht, verpassen die VMware Aria Operations for Logs-Agenten möglicherweise Ereignisse während der Rotation. Die VMware Aria Operations for Logs-Agenten legen die richtige Reihenfolge der rotierten Dateien automatisch fest und senden Ereignisse in der richtigen Reihenfolge an den VMware Aria Operations for Logs-Server. Wenn es sich beispielsweise bei Ihrer primären Protokolldatei um myapp.log und bei den rotierten Protokollen um myapp.log.1, myapp.log.2 usw. handelt, können Sie das folgende include-Muster verwenden:

    include= myapp.log;myapp.log.*

    exclude=regular_expression (Optional) Ein Dateiname oder eine Dateimaske (Glob-Muster) zum Ausschließen aus der Erfassung. Sie können Werte als eine durch Semikolon getrennte Liste eingeben. Der Standardwert ist leer. Das heißt, dass keine Datei ausgeschlossen wird.
    event_marker=regular_expression (Optional) Ein regulärer Ausdruck, der den Start eines Ereignisses in der Protokolldatei angibt. Wird dieser Ausdruck weggelassen, wird standardmäßig ein Zeilenumbruch ausgeführt. Die von Ihnen eingegebenen Ausdrücke müssen die Perl-Syntax für reguläre Ausdrücke verwenden.
    Hinweis: Symbole, wie zum Beispiel Anführungszeichen ( " "), werden nicht als Wrapper für reguläre Ausdrücke behandelt. Sie werden als Teil des Musters behandelt.

    Da der VMware Aria Operations for Logs Agent für die Erfassung in Echtzeit optimiert ist, können mit einer internen Verzögerung geschriebene Protokoll-Teilnachrichten in mehrere Ereignisse aufgeteilt werden. Wenn das Anhängen an Protokolldateien für mehr als 200 ms ohne einen beobachteten event_marker angehalten wird, wird das Teilereignis als abgeschlossen, analysiert und zugestellt betrachtet. Diese Timing-Logik ist nicht konfigurierbar und hat Vorrang vor der event_marker-Einstellung. Protokolldatei-Appender sollten alle vollständigen Ereignisse löschen.

    enabled=yes|no (Optional) Ein Parameter zum Aktivieren oder Deaktivieren des Konfigurationsabschnitts. Die möglichen Werte lauten yes oder no. Der Standardwert lautet yes.
    charset=char-encoding-type (Optional) Die Zeichenkodierung der Protokolldateien, die der Agent überwacht. Mögliche Werte:
    • UTF-8
    • UTF-16LE
    • UTF-16BE
    Der Standardwert lautet UTF-8.
    tags={"tag-name" : "tag-value", ...}

    (Optional) Ein Parameter zum Hinzufügen von benutzerdefinierten Tags zu den Feldern der erfassten Ereignisse. Definieren Sie Tags mit der JSON-Notation. Tagnamen können Buchstaben, Zahlen und Unterstriche enthalten. Ein Tagname darf nur mit einem Buchstaben oder einem Unterstrich beginnen und darf nicht mehr als 64 Zeichen enthalten. Bei Tagnamen wird die Groß- und Kleinschreibung nicht berücksichtigt. Wenn Sie zum Beispiel tags={"tag_name1" : "tag value 1", "Tag_Name1" : "tag value 2" } verwenden, wird Tag_Name1 als Duplikat ignoriert. Sie können „event_type“ und „timestamp“ nicht als Tagnamen verwenden. Alle Duplikate innerhalb derselben Deklaration werden ignoriert.

    Wenn das Ziel ein Syslog-Server ist, können Tags das Feld „APP-NAME“ überschreiben. Beispiel: tags={"appname":"VROPS"}.

    exclude_fields (Optional) Ein Parameter zum Ausschließen einzelner Felder aus der Erfassung. Sie können mehrere Werte in Form einer durch Semikolons oder Kommas getrennten Liste eingeben. Beispiel:
    • exclude_fields=hostname; filepath
    • exclude_fields=type; size
    • exclude_fields=type, size
    raw_syslog=Yes|No Für Agenten, die das Syslog-Protokoll verwenden, ermöglicht diese Option dem Agenten, nicht formatierte Syslog-Ereignisse zu erfassen und zu senden. Die Standardeinstellung ist „Nein“, d. h., die erfassten Ereignisse werden mit benutzerspezifischen Syslog-Attributen umgewandelt. Aktivieren Sie diese Option, um Ereignisse ohne Syslog-Umwandlungen zu erfassen.
  3. Speichern und schließen Sie die Datei liagent.ini.

Beispiel: Konfigurationen

[filelog|messages]
directory=/var/log
include=messages;messages.?

[filelog|syslog]
directory=/var/log
include=syslog;syslog.?

[filelog|Apache]
directory=/var/log/apache2
include=*