Guide d'intégration de Logstash

Logstash offre un pipeline performant pour stocker, interroger et analyser vos journaux. Lorsqu'on utilise Elasticsearch comme base de données et Kibana comme outil de reporting, Logstash en est le pilier central. Il intègre un large éventail d'entrées, de filtres, de codecs et de sorties, permettant d'exploiter des fonctionnalités puissantes avec un minimum d'effort. Ce guide explique comment ajouter PagerDuty comme sortie, afin de déclencher, accuser réception et résoudre les incidents.

Si vous rencontrez des difficultés pour configurer votre intégration, veuillez Contactez-nous .

Dans PagerDuty

1. Naviguer vers Services → Annuaire des services
2. Sur votre page Services : si vous créez un nouveau service pour votre intégration, cliquez sur + Nouveau service Si vous ajoutez votre intégration à un service existant, cliquez sur le nom du service auquel vous souhaitez ajouter l'intégration. Cliquez ensuite sur Intégrations onglet et cliquez sur Ajouter une nouvelle intégration lien.
3. Sélectionnez votre application parmi les Type d'intégration menu et entrez un Nom de l'intégration Si vous créez un nouveau service pour votre intégration, dans les paramètres généraux, saisissez un Nom pour votre nouveau service. Ensuite, dans les paramètres d'incident, spécifiez le Politique d'escalade , Notification urgente , et Comportement lors de l'incident pour votre nouveau service.
4. Cliquez sur Ajouter un service ou Ajouter une intégration Cliquez sur le bouton pour enregistrer votre nouvelle intégration. Vous serez redirigé vers la page Intégrations de votre service.
   
5. Copiez le Clé d'intégration pour votre nouvelle intégration :
   

Sur votre serveur hébergeant Logstash

1. Ouvrez ou créez votre configuration Logstash.
2. Dans la section « output » de votre configuration, vous devrez ajouter une section pagerduty, afin qu'elle ressemble à ceci :
   

    output { pagerduty { event_type => 'trigger' description => '%{host} - %{message}' details => { timestamp => '%{@timestamp}' message => '%{message}' } service_key => 'b2##############################c4' incident_key => 'logstash/%{host}/%{type}' } } 

   Veuillez noter que, selon vos sources d'entrée et vos règles de filtrage, les variables ci-dessus peuvent ne pas être disponibles.

3. Assurez-vous de remplacer votre clé de service avec le Clé d'intégration d'en haut.

FAQ

Puis-je personnaliser les critères selon lesquels Logstash déclenchera et résoudra les événements dans PagerDuty, et personnaliser les informations envoyées à PagerDuty?

Oui ! Nous vous encourageons vivement à le faire, car l'exemple donné créerait un incident pour chaque entrée de journal gérée par Logstash, ce qui serait très probablement ingérable.

Est-il possible de résoudre un incident dans PagerDuty via Logstash ?

Oui. Changer le type_événement => 'déclencheur' L'action « déclencher » suivie de « résoudre » permet de résoudre un incident. Vous pouvez également utiliser « accuser réception » pour accuser réception d'un incident. Veuillez noter que la clé d'incident (incident_key) doit correspondre à l'événement « déclencher » pour que les actions « résoudre » ou « accuser réception » fonctionnent.

Les incidents se résoudront-ils automatiquement ?

Votre configuration déterminera si et quand vous résoudrez les incidents.

Est-il possible de configurer Logstash pour qu'il soit lié à plusieurs services PagerDuty ?

Oui, vous pouvez créer plusieurs sections PagerDuty , chacune avec une clé d'intégration différente.

Les incidents sont-ils dédupliqués ?

Oui, les incidents sont dédupliqués en fonction de la valeur de la clé d'incident que vous transmettez.

Existe-t-il une intégration avec accusé de réception bidirectionnel ?

Non, ce n'est pas possible car Logstash n'a pas la notion d'incident.

Existe-t-il des journaux d'activité que je peux consulter ?

Oui, votre installation Logstash doit avoir un emplacement pour les journaux, probablement dans '/var/log/' selon votre système d'exploitation qui exécute le service Logstash.

Existe-t-il un mécanisme de nouvelle tentative si l'appel API échoue ?

Oui, les incidents sont mis en file d'attente sur disque pour être réessayés s'ils ne sont pas envoyés avec succès.