データ使用率がアカウント制限値の 90% に達した時点で通知を出すメール アラートを作成する方法
質問:
自分のアカウントで設定されている制限値の 90% に達した時点で通知を出すメール アラートを作成したいと考えています。どのように作成すればよいでしょうか?
回答:
最良の手段は、この記事に掲載されているサンプル クエリを使用して、アカウントで設定されている制限値の 90% に達した時点でメール アラートを送信する Scheduled Search を作成することです。前提条件として、アカウントの詳細な統計情報を収集するための Data Volume Index を有効にしておくことが必要です。
前提条件: Data Volume Index を有効にする
Data Volume Index が有効でない場合は、有効にしてください。すでに Data Volume Index が有効である場合は、次のセクションに進んでください。
Data Volume Index を有効にする方法については、「Data Volume Index の有効化と管理」を参照してください。
Scheduled Search の作成
次に、アカウントで設定されている制限値の 90% に達した時点でメール アラートを送信する Scheduled Search を作成します。
このクエリは、設定されているしきい値に達したときにのみ値を返します。そのためには、返される結果の数が 0 より多い場合にのみアラートをトリガするように設定します。しきい値に達するか、またはしきい値を超えた場合は、本文に Collector のリストが記載され、より混雑した Collector が上位に配置されたメールが送信されます。このアラートを 4 時間おき程度に実行するようにスケジュールして、時間範囲として [Today (今日)] を選択します。
Scheduled Search を作成するには:
- [Search (検索)] ページで、Scheduled Search のテンプレートとして以下のサンプル クエリを入力します。サンプル クエリのコメント行で指示されているように、plan_size と thresholds は適宜調整してください。
_index=sumologic_volume
| where _sourceCategory="collector_volume"
| parse regex "(?<collector>\"[^\"]*\")\:\{\"sizeInBytes\"\:(?<bytes>\d+),\"count\"\:(?<count>\d+)\}" multi
| bytes/1024/1024/1024 as gbytes
| sum(gbytes) as gbytes by collector
| total gbytes as todays_volume
| "200" as plan_size //replace with your daily plan limit
| gbytes / todays_volume as collector_pct_of_todaysvolume
| todays_volume / plan_size as todaysvolume_against_plan
| where todaysvolume_against_plan > .9 //replace with the percentage threshold you want to alert on
| sort gbytes
| fields collector, gbytes, collector_pct_of_todaysvolume, todays_volume, plan_size, todaysvolume_against_plan
- 検索の [Time Range (時間範囲)] で [Today (今日)] を選択します。
- [Save As (名前を付けて保存)] をクリックします。
- [Save Search As (検索に名前を付けて保存)] ダイアログで、この Scheduled Search の名前 (例: 90% Data Usage Limit Reached (データ使用制限の 90% に到達)) を入力します。
- Run Frequency (実行頻度)。[Every 4 hours (4 時間ごと)] を選択します。
- [Schedule this Search (この検索をスケジュールする)] をクリックします。
- Time range for scheduled search (Scheduled Search の時間範囲)。[Today (今日)] を選択します。
- [Alert condition (アラート条件)]。[Send notification only if the condition below is satisfied (次の条件を満足した場合にのみ通知を送信)] を選択して「Number of results Greater than > 0 (結果数が 0 より多い)」と入力します。
- Alert Type (アラート タイプ): [Email (メール)] を選択します。
- アラートの送信先となるメール アドレスを入力します。
- 設定オプションのすべてについては、「検索のスケジュール」を参照してください。
- [Save (保存)] をクリックします。