Consolider des événements identiques

Le filtre de rafale d'événements recherche les événements identiques dans le flux des événements entrant sur une courte période. Pour optimiser la taille de stockage des événements, les événements qui se produisent à plusieurs reprises sont consolidés dans un seul événement avant d'être stockés dans la base de données ou sur le serveur Syslog distant.

Les rafales d'événements peuvent être observées dans divers scénarios, parmi lesquels :

Une défaillance matérielle existante.
Une solution automatisée qui se connecte et se déconnecte souvent de vCenter Server.

Le filtre de rafale d'événements est activé par défaut. Il consolide tous les types d'événements à l'exception de ceux figurant sur la liste verte. Une rafale d'événements se définit comme plusieurs événements identiques par seconde. Deux événements sont identiques si :

Les événements sont du même type.
Les événements se produisent sur le même objet d'inventaire.
Les événements sont émis par le même utilisateur.

Note : Les autres données propres à l'événement ne sont pas utilisées pour déterminer si deux événements sont identiques.

Une rafale d'événements est détectée après la survenue de 30 événements identiques en moins de 30 secondes. Ces 30 événements sont stockés dans la base de données VC ou sur le serveur Syslog distant. La consolidation des événements en rafale commence à partir du 31e événement. Les événements en rafale ne sont pas transférés dans la base de données, mais l'événement consolidé y est stocké.

En cas d'événements en rafale, le filtre de rafale traite uniquement les événements qui passent dans le flux de la base de données et du serveur Syslog distant. Les alarmes déclenchées par les événements en rafale et les objets de EventHistoryCollector ne sont pas concernées.

com.vmware.vc.EventBurstStartedEvent - début d'une rafale d'événements.
com.vmware.vc.EventBurstEndedEvent - fin d'une rafale d'événements.
com.vmware.vc.AllEventBurstsEndedEvent - fin de toutes les rafales d'événements.
com.vmware.vc.EventBurstCompressedEvent - événement consolidé après la rafale d'événements.

Chacun de ces événements contient :

eventType - le type d'événement de l'événement en rafale.
objectId - l'entité de l'événement en rafale.
userName - le nom d'utilisateur de l'événement en rafale.

L'événement compressé contient également :

count - le nombre d'événements identiques depuis le début d'une rafale d'événements. Le compteur démarre à partir du 31e événement.
burstStartTime - heure du 31e événement d'une rafale d'événements.
Note : Les horodatages du filtre de rafale d'événements ne sont pas liés aux événements en rafale.

Configurer le filtre de rafale d'événements

Vous pouvez configurer les paramètres de base et avancés du filtre de rafale d'événements dans les paramètres avancés de vCenter Server.

Le filtre de rafale est possible dans les configurations suivantes.

Activé : si l'option compressToDb ou compressToSyslog est activée, le filtre de rafale détecte les rafales, publie les événements associés et consolide les événements avant de les stocker dans la base de données ou de les envoyer au serveur Syslog distant.
Désactivé : le filtre de rafale ne détecte pas les rafales, ne publie pas les événements associés et ne consolide pas les événements avant de les stocker dans la base de données ou de les envoyer au serveur Syslog distant. Si les options compressToDb et compressToSyslog sont toutes les deux désactivées, le filtre de rafale détecte les rafales et publie les événements associés, mais ne consolide pas les événements.

Procédure

Dans vSphere Client, accédez à l'instance vCenter Server.
Sélectionnez l'onglet Configurer.
Paramètres avancés
Cliquez sur Modifier.
Cliquez sur la zone de texte de filtre présente dans la colonne Nom de l'en-tête de la table. Entrez vpxd.event et appuyez sur Entrée.
Pour le paramètre de base :
1. Activez ou désactivez l'option vpxd.event.burstFilter.compressToDb.
  Cette option permet de compresser la rafale d'événements dans la base de données. La valeur par défaut du paramètre est activée.
2. Activez ou désactivez l'option vpxd.event.burstFilter.compressToSyslog.
  Cette option permet de compresser la rafale d'événements sur le serveur Syslog. La valeur par défaut du paramètre est désactivée.
Les paramètres de rafale ne sont pas visibles avec leurs valeurs par défaut dans les Paramètres avancés. Cependant, vous pouvez entrer une paire clé-valeur pour que la configuration prenne effet.

Note : L'ajout ou la modification de paramètres avancés peut entraîner l'instabilité de l'environnement. Une fois ajoutés, les paramètres de configuration ne peuvent plus être supprimés.
1. Configurez une paire clé-valeur pour activer l'option config.vpxd.event.burstFilter.enabled.
  Ce paramètre permet la détection de rafale de la base de données VC et du serveur Syslog. Lorsque le filtre de rafale est désactivé, les rafales ne sont pas détectées et les événements sont stockés dans la base de données ou le serveur Syslog à distance par défaut sans compression. La valeur par défaut est Activé.
2. Configurez une paire clé-valeur pour activer l'option config.vpxd.event.burstFilter.rateEvents.
  Vous pouvez configurer le nombre d'événements après lequel une rafale est détectée. Lorsque la limite configurée est atteinte, la séquence d'événements est considérée comme une rafale et elle est compressée au moment du stockage dans la base de données VC. La valeur par défaut est 30. Si la valeur par défaut est définie, les 30 premiers événements ne sont pas compressés. Ils sont utilisés pour détecter une rafale. Si tel est le cas, un événement unique consolidé avec son comptage remplace les événements qui surviennent après les 30 premiers événements.
  Note : Le filtre ne compresse pas le flux des événements en temps réel, comme les alarmes et les mises à jour du collecteur de propriétés EventManager.
3. Configurez une paire clé-valeur pour activer l'option config.vpxd.event.burstFilter.rateSeconds.
  Ce paramètre permet de configurer la durée de conservation, en secondes, des données d'un événement depuis la dernière survenue de l'événement. Des valeurs supérieures chargent le cache de filtre de rafale et les rafales sont détectées, même si le flux des événements entrants est irrégulier. Des valeurs inférieures exercent moins de charge sur le cache de filtre de rafale et les rafales peuvent ne pas être détectées en cas d'arrêt temporaire des événements entrants. La valeur par défaut est 30 secondes.
4. Configurez une paire clé-valeur pour activer l'option config.vpxd.event.burstFilter.cacheSize.
  Nombre d'événements uniques suivis par le filtre de rafale. Lorsque le cache est saturé, le filtre de rafale cesse de surveiller les nouveaux événements uniques entrants et il les transmet à la base de données VC et au serveur Syslog. La valeur par défaut est 128 000.
  Note : La définition d'une valeur inférieure à la valeur par défaut réduit l'encombrement mémoire, mais elle réduit également la capacité à détecter les rafales pour un inventaire volumineux.
5. Configurez une paire clé-valeur pour activer l'option config.vpxd.event.burstFilter.whitelist.
  Vous pouvez configurer le filtre de rafale afin de compresser tous les types d'événements, à l'exception des événements qui figurent sur la liste verte. Ce paramètre permet de distinguer les types d'événements. Il peut éviter la surveillance de certains types d'événements par le filtre de rafale. La valeur par défaut est <whiteList>vim.event.UserLoginSessionEvent;vim.event.UserLogoutSessionEvent</whiteList>.
6. Configurez une paire clé-valeur pour activer l'option config.vpxd.event.burstFilter.compressRatio.
  Lorsque le filtre de rafale démarre la compression d'un événement, il publie un événement compressé à la fin de la rafale ou tous les X événements. Si une rafale se produit pendant des jours, il publie certains événements au lieu de tous les désactiver jusqu'à ce que la rafale se termine. La valeur par défaut est 3 600. Les événements sont consignés tous les 3 600 événements.
Note : Redémarrez le service vmware-vpxd pour que toutes les modifications prennent effet. Pour plus d'informations sur le redémarrage des services dans vSphere Client, reportez-vous à la documentation de gestion de vCenter Server et des hôtes.