Правила загрузки логов

Материал из Документация Ключ-АСТРОМ

Правила загрузки логов

Конфигурация загрузки логов Ключ-АСТРОМ позволяет удалённо настраивать установленные ЕдиныеАгенты для включения определённых источников логов в отправку в Ключ-АСТРОМ или исключения их из загрузки. Если обнаружение логов относится к автоматическому определению файлов логов, чтобы не требовалось дополнительных усилий по настройке источников логов в вашей среде, то загрузка логов включает процесс сбора логов и отправки необходимых источников логов в Ключ-АСТРОМ. Конфигурация загрузки логов основана на правилах, которые используют сопоставления для нацеливания на группы процессов, содержимое, уровни логирования, пути к логам и другие атрибуты, описанные в этом документе. Эти правила определяют, какие файлы логов загружаются из числа автоматически обнаруженных ЕдинымАгентом или определённых как пользовательские источники логов. Правила загрузки логов — это упорядоченные конфигурации, обрабатываемые сверху вниз. Для большей гранулярности конфигурации правила загрузки логов можно определять на трёх уровнях: хост, группа хостов и среда, при этом правила уровня хоста имеют наивысший приоритет. Правила загрузки логов основаны на фреймворке Settings 2.0, который предоставляет единый инструмент для управления различными конфигурациями в Ключ-АСТРОМ через пользовательский интерфейс и API. Доступ к настройкам контролируется через политики IAM. Чтобы узнать, как настроить политики доступа для Settings 2.0, ознакомьтесь с документированными примерами политик. Для загрузки логов Kubernetes следуйте конфигурации, описанной на странице Потоковая передача логов Kubernetes с модулем логов Ключ-АСТРОМ.

Правило загрузки логов

При настройке правил загрузки логов в Ключ-АСТРОМ обратите внимание, что в пробной среде есть встроенные правила, включённые по умолчанию. Для начала можно использовать правило Загружать все логи, чтобы начать сбор данных логов по всей среде. Выполните следующие шаги для настройки правил загрузки логов:

  1. Перейдите в Настройки > Сбор и захват > Мониторинг логов > Настроить модуль логов > Правила загрузки.
  2. Выберите Новое правило и введите Имя правила.
  3. В разделе Тип правила выберите Включить (по умолчанию), чтобы сохранять данные логов, соответствующие этому правилу, или Исключить, чтобы блокировать их.
  4. В разделе Сопоставления выберите Атрибут из раскрывающегося списка и введите соответствующие Значения, чтобы определить конкретное условие для этого правила. Выберите Добавить другое сопоставление, чтобы добавить больше условий. Несколько сопоставлений можно включить в одно правило. За исключением атрибута Источник лога в Windows (из-за нечувствительности путей к регистру), сопоставления чувствительны к регистру.

Выберите соответствующий атрибут:

Атрибут Описание Логика раскрывающегося списка
Группа процессов Сопоставление основано на ID группы процессов. Группа процессов определяется правилами обнаружения, описанными в разделе Обнаружение групп процессов. Если процесс меняет свою группу процессов, загрузка логов для этого процесса может начаться или остановиться в зависимости от внесённых изменений. Атрибуты, видимые за последние 3 дня, перечислены. Можно ввести вручную. Без ограничения по времени.
Источник лога Сопоставление основано на пути к логу или на полном имени журнала событий Windows; поддерживаются подстановочные знаки в виде звёздочки. Автодополнение для Источника лога только частичное. Можно выбрать одно из предопределённых значений или ввести свой источник лога. Можно ввести вручную. Без ограничения по времени.
Происхождение источника лога Сопоставление основано на детекторе, используемом лог-агентом для обнаружения файла лога. Доступные варианты включают:
  • Конфигурация пользовательского источника логов: источник лога был предоставлен пользователем через пользовательскую конфигурацию.
  • Детектор открытых файлов логов: логи, обнаруженные автоматически механизмом автообнаружения модуля логов.
  • Детектор системных логов: включает журнал приложений Windows или /var/log/syslog для Linux.
  • Вывод контейнера: автоматически обнаруженные логи Kubernetes или Docker.
  • Детектор логов IIS: логи, обнаруженные детектором IIS.
 Можно ввести вручную. Без ограничения по времени.
Содержимое лога Сопоставление основано на содержимом лога; поддерживаются подстановочные знаки в виде звёздочки. Можно ввести вручную. Без ограничения по времени.
Уровень записи лога Сопоставление основано на уровне записи лога. Поддерживаются следующие значения: alert, critical, debug, emergency, error, info, none, notice, severe, warn. Можно ввести вручную. Без ограничения по времени.
Юнит Journald Сопоставление основано на любом из выбранных юнитов journald. Если вы не обогащаете другие источники логов атрибутом journald.unit, вам также следует добавить сопоставление log.source или log.source.origin в правило загрузки, чтобы повысить производительность модуля логов. Можно ввести вручную. Без ограничения по времени.
Тег хоста Сопоставление основано на теге хоста. Атрибут поддерживает только теги, установленные с помощью инструмента командной строки ЕдиногоАгента или с помощью удалённой конфигурации в формате пары ключ=значение. Они могут быть отличены по префиксу [Environment] в UI, но следует использовать значение без префикса. Несколько тегов можно указать в одном сопоставлении, но каждый тег должен иметь одинаковый ключ, например logscope=frontend, logscope=backend. Можно ввести вручную. Без ограничения по времени.
Имя контейнера Kubernetes Сопоставление основано на имени контейнера Kubernetes. Атрибуты, видимые за последние 90 дней, перечислены.
Имя пространства имён Kubernetes Сопоставление основано на имени пространства имён Kubernetes. Атрибуты, видимые за последние 90 дней, перечислены.
Имя развёртывания Kubernetes Сопоставление основано на любом из выбранных развёртываний. Устарело для модуля логов ЕдиногоАгента, управляемого Оператором, или при включённом флаге функции Собирать все логи контейнеров. Можно ввести вручную.
Аннотация пода Kubernetes Сопоставление основано на любой из выбранных аннотаций пода. Правильный формат — ключ=значение. Требуется либо модуль логов ЕдиногоАгента, управляемый Оператором, либо включённый флаг функции Собирать все логи контейнеров. Можно ввести вручную.
Метка пода Kubernetes Сопоставление основано на любой из выбранных меток пода. Правильный формат — ключ=значение. Требуется либо модуль логов ЕдиногоАгента, управляемый Оператором, либо включённый флаг функции Собирать все логи контейнеров. Можно ввести вручную.
Имя рабочей нагрузки Kubernetes Сопоставление основано на любом из выбранных имён рабочих нагрузок. Требуется либо модуль логов ЕдиногоАгента, управляемый Оператором, либо включённый флаг функции Собирать все логи контейнеров. Атрибуты, видимые за последние 90 дней, перечислены.
Тип рабочей нагрузки Kubernetes Сопоставление основано на любом из выбранных типов рабочих нагрузок. Требуется либо модуль логов ЕдиногоАгента, управляемый Оператором, либо включённый флаг функции Собирать все логи контейнеров. Можно ввести вручную.
Имя контейнера Docker Сопоставление основано на имени контейнера. Атрибуты, видимые за последние 90 дней, перечислены.
ID группы контейнеров сущности DT Сопоставление основано на любой из выбранных групп контейнеров. Можно ввести вручную. Без ограничения по времени.
Технология процесса Сопоставление основано на имени технологии. Можно ввести вручную. Без ограничения по времени.
ID события записи лога Windows Сопоставление основано на любом из выбранных атрибутов ID события. Можно ввести вручную. Без ограничения по времени.
Источник записи лога Windows Сопоставление основано на любом из выбранных атрибутов источника. Можно ввести вручную. Без ограничения по времени.
Категория задачи записи лога Windows Сопоставление основано на любом из выбранных атрибутов категории задачи. Можно ввести вручную. Без ограничения по времени.
Код операции записи лога Windows Сопоставление основано на любом из выбранных атрибутов кода операции. Можно ввести вручную. Без ограничения по времени.
Имя пользователя записи лога Windows Сопоставление основано на любом из выбранных атрибутов имени пользователя. Можно ввести вручную. Без ограничения по времени.
Ключевые слова записи лога Windows Сопоставление основано на любом из выбранных атрибутов ключевых слов. Можно ввести вручную. Без ограничения по времени.

Сноски:

  1. ЕдиныйАгент версии 1.295+
  2. Атрибут уровня записи лога, преобразованный ЕдинымАгентом, отличается от атрибута logstatus, преобразованного сервером Ключ-АСТРОМ.
  3. ЕдиныйАгент версии 1.273+
  4. ЕдиныйАгент версии 1.309+
  5. Вручную или автоматически применённые теги не видны ЕдиномуАгенту.
  6. ЕдиныйАгент версии 1.289+
  7. Оператор версии 1.4.2+
  8. ЕдиныйАгент версии 1.305+

Подстановочный знак поддерживается для любого значения атрибута и может использоваться несколько раз в одном значении. Однако некоторые атрибуты, например Группа процессов, имеют ограниченный, предопределённый список возможных значений, которые выбираются из списка автодополнения. Если в значении не используется подстановочный знак, сопоставление ищет точное соответствие значению. Если используется подстановочный знак, сопоставление ищет точное совпадение. Например, значение INFO приводит к отправке только тех данных логов, которые содержат точную строку INFO, но значение *INFO* (с использованием подстановочных знаков) соответствует данным логов, содержащим строку INFO в своём содержимом. Несколько значений можно добавить к каждому сопоставлению атрибута. Например, одно сопоставление может указывать источник лога и соответствовать значениям /var/log/syslog и Windows Application Log.

  1. Выберите Создать. Чтобы активировать правило, включите переключатель Статус. Определённые правила можно переупорядочивать, и они выполняются в том порядке, в котором отображаются на странице Хранение логов.

Сопоставление списка правил с данными логов

Сопоставление происходит в предопределённой иерархии, и правила выполняются сверху вниз. Это означает, что если правило выше в списке соответствует определённым данным логов, то нижние будут пропущены. Элементы, сопоставленные в конфигурациях более высокого уровня, перезаписываются в конфигурациях более низкого уровня, если они соответствуют одним и тем же данным логов. Если ни одно правило не сопоставлено, файл не отправляется. Иерархия сопоставления следующая:

  1. Правила конфигурации хоста
  2. Правила конфигурации кластера Kubernetes
  3. Правила конфигурации группы хостов
  4. Правила конфигурации среды

Области конфигурации

Поддерживаются четыре иерархические области: хост, кластер Kubernetes, группа хостов и среда. Область с наименьшим возможным набором правил имеет приоритет над большими наборами.

  • Правила загрузки логов, настроенные для хоста, имеют приоритет над правилами загрузки логов, настроенными для группы хостов.
  • Правила загрузки логов, настроенные для группы хостов, имеют приоритет над правилами загрузки логов, настроенными для среды.

Область хоста

Доступ к области хоста можно получить через настройки хоста для конкретного хоста.

  • Перейдите в Хосты Classic.
  • Найдите и выберите ваш хост, чтобы отобразить страницу обзора хоста.
  • В правом верхнем углу страницы обзора хоста выберите Дополнительно (…) > Настройки.
  • В настройках хоста перейдите в раздел Мониторинг логов > Правила загрузки логов.
  • Настройте загрузку в хранилище, добавив правила с набором атрибутов, соответствующих данным логов, которые должны быть сохранены Ключ-АСТРОМ.

Область кластера Kubernetes

Доступ к области кластера Kubernetes можно получить через Kubernetes.

  • Перейдите в Kubernetes или Kubernetes Classic (последняя версия Ключ-АСТРОМ) и выберите интересующий вас кластер.
  • Найдите и выберите ваш кластер, чтобы отобразить страницу обзора кластера.
  • В правом верхнем углу страницы обзора кластера выберите Дополнительно (…) > Настройки.
  • В настройках кластера перейдите в раздел Мониторинг логов > Правила загрузки логов.
  • Настройте загрузку в хранилище, добавив правила с набором атрибутов, соответствующих данным логов, которые должны быть сохранены Ключ-АСТРОМ.

Область группы хостов

Доступ к области группы хостов можно получить через страницу Хосты.

  • Перейдите в Хосты Classic и выберите интересующий вас хост.
  • На странице обзора хоста выберите Свойства и теги.
  • На панели Свойства и теги найдите свойство Группа хостов, чтобы увидеть имя группы хостов, к которой принадлежит выбранный хост. Свойство Группа хостов не отображается, если выбранный хост не принадлежит ни к одной группе.
  • Выберите имя группы хостов, чтобы вывести список всех хостов в этой группе. Отобразится страница развёртывания ЕдиногоАгента, отфильтрованная по выбранной группе хостов. У каждого перечисленного хоста есть ссылка Группа хостов:, где — имя группы хостов, которую вы хотите настроить.
  • Выберите имя группы хостов в любой строке.
  • В настройках группы хостов выберите Мониторинг логов > Правила загрузки логов.
  • Настройте загрузку в хранилище, добавив правила с набором атрибутов, соответствующих данным логов, которые должны быть сохранены Ключ-АСТРОМ.

Область среды

Область среды доступна в меню настроек.

  • Перейдите в Настройки > Сбор и захват > Мониторинг логов > Настроить модуль логов > Правила загрузки.
  • Настройте загрузку в хранилище, добавив правила с набором атрибутов, соответствующих данным логов, которые должны быть сохранены Ключ-АСТРОМ.

Список хостов и групп хостов с переопределяющими правилами

Таблица на странице Настройки > Сбор и захват > Мониторинг логов > Настроить модуль логов > Правила загрузки перечисляет все правила хранения логов, которые вы установили на уровне среды. Однако может потребоваться увидеть, где вы установили правила хранения логов для хостов и групп хостов, которые переопределяют правила уровня среды.

Чтобы вывести список всех сущностей (хостов и групп хостов), к которым применены более конкретные правила хранения логов:

  1. Перейдите в Настройки > Сбор и захват > Мониторинг логов > Настроить модуль логов > Правила загрузки.
  2. Если у каких-либо сущностей есть переопределяющие правила, баннер в верхней части страницы показывает количество.
  3. Выберите Показать сущности, чтобы вывести список всех хостов и групп хостов с переопределяющими правилами.
  4. Выберите имя сущности, чтобы перейти на страницу Правила загрузки этой сущности.

Ограничения конфигурации

Можно добавить максимум 1000 правил загрузки на область, с максимум 2000 сопоставлений.

Пример загрузки

В этом примере мы настраиваем загрузку в хранилище среды для файлов c:\inetpub\logs\LogFiles\ex_*.log в двух группах процессов: IIS (PROCESS_GROUP-3D9D854163F8F07A) и IIS (PROCESS_GROUP-4A7B47FDB53137AE). Правило хранения логов состоит из двух сопоставлений: первое сопоставление находит группы процессов, а второе сопоставление соответствует только определённому источнику лога.

  1. Перейдите в Настройки > Сбор и захват > Мониторинг логов > Настроить модуль логов > Правила загрузки.
  2. Выберите Новое правило и введите Имя правила.
  3. В разделе Сопоставления из выпадающего списка Атрибут выберите Группа процессов. Это первое сопоставление для соответствия двум указанным группам процессов.
  4. Из Значений выберите IIS (PROCESS_GROUP-3D9D854163F8F07A) и IIS (PROCESS_GROUP-4A7B47FDB53137AE).
  5. Выберите Добавить другое сопоставление. Это второе сопоставление для соответствия указанному источнику лога.
  6. Из Атрибута выберите Источник лога.
  7. В Значениях введите c:\inetpub\logs\LogFiles\ex_*.log.
  8. Выберите Создать.

Пример исключения

В этом примере мы настраиваем загрузку в хранилище среды для всех источников логов, кроме файлов c:\inetpub\logs\LogFiles\ex_*.log в группе процессов IIS (PROCESS_GROUP-4A7B47FDB53137AE).

  1. Перейдите в Настройки > Сбор и захват > Мониторинг логов > Настроить модуль логов > Правила загрузки.
  2. Выберите Новое правило, введите Имя правила и в разделе Тип правила выберите Исключить.
  3. В разделе Сопоставления из выпадающего списка Атрибут выберите Группа процессов. Это первое сопоставление для соответствия указанной группе процессов.
  4. Из Значений выберите IIS (PROCESS_GROUP-3D9D854163F8F07A).
  5. Выберите Добавить другое сопоставление. Это второе сопоставление для исключения указанного источника лога.
  6. Из Атрибута выберите Источник лога.
  7. В Значениях введите c:\inetpub\logs\LogFiles\ex_*.log.
  8. Выберите Создать.

REST API

Вы можете использовать Settings API для управления правилами загрузки логов:

  • Просмотр схемы
  • Список сохранённых объектов конфигурации
  • Просмотр отдельного объекта конфигурации
  • Создание нового, редактирование или удаление существующего объекта конфигурации

Чтобы проверить текущую версию схемы для правил загрузки логов, выведите список всех доступных схем и найдите идентификатор схемы builtin:logmonitoring.log-storage-settings.

Правила загрузки логов можно настроить для следующих областей:

  • tenant – объект конфигурации влияет на все хосты в данной среде.
  • host_group – объект конфигурации влияет на все хосты, назначенные данной группе хостов.
  • host – объект конфигурации влияет только на данный хост.

Чтобы создать правило загрузки логов с помощью API:

  1. Создайте токен доступа с разрешениями Write settings (settings.write) и Read settings (settings.read).
  2. Используйте конечную точку GET a schema, чтобы узнать формат JSON, необходимый для отправки вашей конфигурации. Идентификатор схемы правил загрузки логов (schemaId) — builtin:logmonitoring.log-storage-settings.

Вот пример полезной нагрузки JSON с правилами загрузки логов:

[
  {
    "insertAfter": "uAAZ0ZW5hbnQABnRlbmFudAAkMGUzYmY2ZmYtMDc2ZC0zNzFmLhXaq0",
    "schemaId": "builtin:logmonitoring.log-storage-settings",
    "schemaVersion": "0.1.0",
    "scope": "tenant",
    "value": {
      "config-item-title": "Added from REST API",
      "send-to-storage": true,
      "matchers": [
        {
          "attribute": "dt.entity.process_group",
          "operator": "MATCHES",
          "values": [
            "PROCESS_GROUP-05F00CBACF39EBD1"
          ]
        },
        {
          "attribute": "log.source",
          "operator": "MATCHES",
          "values": [
            "Windows System Log",
            "Windows Security Log"
          ]
        }
      ]
    }
  }
]

Используйте конечную точку POST an object для отправки вашей конфигурации.

Примеры

Следующие примеры показывают результаты различных комбинаций правил и сопоставлений.

Пример 1: Несколько правил

В этом примере есть два правила:

  • Правило 1 — это правило Исключить с двумя сопоставлениями: атрибут группы процессов — Apache, и атрибут источника лога — access.log.
  • Правило 2 — это правило Включить с одним сопоставлением: атрибут группы процессов — Apache.

Результаты: access.log не отправляется, error.log (от Apache) отправляется, а error.log (от другой группы процессов) не отправляется.

  • access.log, записанный Apache, соответствует первому правилу, которое имеет send-to-storage: false, поэтому он не отправляется.
  • access.log, не записанный Apache, не соответствует первому правилу (из-за неверной группы процессов) и не соответствует второму правилу, поэтому он не отправляется.
  • error.log, записанный Apache, не соответствует первому правилу (из-за неверного источника), но соответствует второму правилу, которое имеет send-to-storage: true, поэтому он отправляется.
  • error.log, не записанный Apache, не соответствует первому правилу (из-за неверной группы процессов и источника лога) и не соответствует второму правилу, поэтому он не отправляется.
{
  "send-to-storage": false,
  "matchers": [
    {
      "attribute": "log.source",
      "values": [
        "/path/to/access.log"
      ]
    },
    {
      "attribute": "dt.entity.process_group",
      "values": [
        "PROCESS_GROUP-APACHEID"
      ]
    }
  ],
  "enabled": true
},
{
  "send-to-storage": true,
  "matchers": [
    {
      "attribute": "dt.entity.process_group",
      "values": [
        "PROCESS_GROUP-APACHEID"
      ]
    }
  ],
  "enabled": true
}

Пример 2: Отправка логов, записанных Apache и содержащих 'ERROR'

Эта задача требует установки одного правила с двумя сопоставлениями.

{
  "send-to-storage": true,
  "matchers": [
    {
      "attribute": "log.content",
      "values": [
        "*ERROR*"
      ]
    },
    {
      "attribute": "dt.entity.process_group",
      "values": [
        "PROCESS_GROUP-APACHEID"
      ]
    }
  ],
  "enabled": true
}

Пример 3: Отправка логов, записанных Apache ИЛИ содержащих 'ERROR'

Эта задача требует установки двух правил с одним сопоставлением каждое.

{
  "send-to-storage": true,
  "matchers": [
    {
      "attribute": "log.content",
      "values": [
        "*ERROR*"
      ]
    }
  ],
  "enabled": true
},
{
  "send-to-storage": true,
  "matchers": [
    {
      "attribute": "dt.entity.process_group",
      "values": [
        "PROCESS_GROUP-APACHEID"
      ]
    }
  ],
  "enabled": true
}

Пример 4: Отправка логов, записанных Apache и содержащих 'ERROR' и 'Customer'

Эта задача требует установки одного правила с тремя сопоставлениями, с одним значением каждое.

{
  "send-to-storage": true,
  "matchers": [
    {
      "attribute": "log.content",
      "values": [
        "*ERROR*"
      ]
    },
    {
      "attribute": "log.content",
      "values": [
        "*Customer*"
      ]
    },
    {
      "attribute": "dt.entity.process_group",
      "values": [
        "PROCESS_GROUP-APACHEID"
      ]
    }
  ],
  "enabled": true
}

Пример 5: Отправка логов, записанных Apache и содержащих 'ERROR' ИЛИ 'Customer'

Эта задача требует установки одного правила с двумя сопоставлениями: сопоставление со значением группы процессов и сопоставление с двумя значениями содержимого.

{
  "send-to-storage": true,
  "matchers": [
    {
      "attribute": "log.content",
      "values": [
        "*ERROR*",
        "*Customer*"
      ]
    }
  ],
  "enabled": true
},
{
  "send-to-storage": true,
  "matchers": [
    {
      "attribute": "dt.entity.process_group",
      "values": [
        "PROCESS_GROUP-APACHEID"
      ]
    }
  ],
  "enabled": true
}

Пример 6: Отправка логов, записанных Apache ИЛИ MySQL

Эта задача требует установки двух правил или одного правила с одним сопоставлением, имеющим два значения. Правила с двумя сопоставлениями здесь не сработают.

Установка двух правил:

{
  "send-to-storage": true,
  "matchers": [
    {
      "attribute": "dt.entity.process_group",
      "values": [
        "PROCESS_GROUP-MYSQL"
      ]
    }
  ],
  "enabled": true
},
{
  "send-to-storage": true,
  "matchers": [
    {
      "attribute": "dt.entity.process_group",
      "values": [
        "PROCESS_GROUP-APACHEID"
      ]
    }
  ],
  "enabled": true
}

Установка одного правила с одним сопоставлением, имеющим два значения:

{

 "send-to-storage": true,
 "matchers": [
   {
     "attribute": "dt.entity.process_group",
     "values": [
       "PROCESS_GROUP-APACHEID",
       "PROCESS_GROUP-MYSQL"
     ]
   }
 ],
 "enabled": true


}

Пример 7: Отправка всех логов

Эта задача требует установки правила без сопоставлений.

{
  "send-to-storage": true,
  "matchers": [],
  "enabled": true
}

Пример 8: Отправка всех логов, кроме логов Apache и MySQL

Эта задача требует установки двух правил.

  • Первое правило — это правило Исключить с одним сопоставлением, имеющим два значения.
  • Второе правило не содержит сопоставлений.

Правила должны выполняться в указанном ниже порядке.

{
  "send-to-storage": false,
  "matchers": [
    {
      "attribute": "dt.entity.process_group",
      "values": [
        "PROCESS_GROUP-APACHEID",
        "PROCESS_GROUP-MYSQL"
      ]
    }
  ],
  "enabled": true
},
{
  "send-to-storage": true,
  "matchers": [],
  "enabled": true
}

FAQ

Является ли конфигурация правил загрузки логов частью процесса автообнаружения?

Нет. Автообнаружение — это механизм ЕдиногоАгента, который обнаруживает логи, но это не означает, что файлы логов автоматически загружаются. Он относится только к автоматической идентификации данных логов. Чтобы узнать больше об автообнаружении, см. Автообнаружение содержимого логов (Logs Classic).

Важен ли порядок элементов конфигурации?

Да, элементы конфигурации сопоставляются сверху вниз, то есть верхнее значение является наиболее важным.

Как долго нужно ждать применения конфигурации к хосту?

Она применяется в течение 90 секунд.

Почему логи не загружаются после конфигурации?

Если ваши логи не загружаются, это может быть связано либо с тем, что Мониторинг логов ЕдиногоАгента отключён, либо с тем, что загрузка источника логов предотвращена правилами безопасности ЕдиногоАгента.

Уменьшает ли добавление сопоставления содержимого количество событий логов, отправляемых в Ключ-АСТРОМ?

Да. Сопоставление содержимого сужает область событий логов (записей логов) в соответствии с заданными критериями (например, загрузка только логов ошибок).

Где выполняется фильтрация — в Ключ-АСТРОМ или в ЕдиномАгенте?

  • Фильтрация (ограничение количества загружаемых записей логов в соответствии с заданными критериями) выполняется в ЕдиномАгенте.
  • Ограничения характеристик загрузки логов (например, лимит событий логов в минуту или лимит значений атрибутов) применяются в Ключ-АСТРОМ.

Уменьшает ли фильтрация содержимого стоимость DDU и/или использование сети?

Да. Фильтрация содержимого, выполняемая в ЕдиномАгенте, снижает как затраты DDU, так и использование сети. Вы можете рассчитать снижение затрат и использования сети, определив общее потребление данных и вычтя размер ГБ отфильтрованных данных. Подробности о расчёте затрат DDU см. в соответствующем разделе.

Источник — https://doc.ruscomtech.ru/index.php?title=Правила_загрузки_логов&oldid=6998