Logs schätzen lernen mit Log Insight

Transkript

1 Logs schätzen lernen mit Log Insight April 2014 Tomas Baublys Sr. Systems Engineer Enterprise Management VMware vforum 2014

2 Brauchen wir Logs?

3 Wie kommt man von einem Baumstamm zum Logbuch? Baumstämme, Holzscheite Geschwindigkeitsmessung in der Seefahrt Der Weltraum - unendliche Weiten... 3

4 Kreislauf der Logs Record Delete Transmit Store Analyze Alert 4

5 Kreislauf der Logs in Wirklichkeit Record Delete Transmit Store 5

6 Und wenn man ganz ehrlich ist Record Delete 6

7 Logs sind hässlich :38:12,032 [Thread-57] [iaas-proxy] ERROR com.vmware.vcac.iaas.service.impl.catalogrequestserviceimpl.failed:384 Exception during request callback with id a739e6e6-d9fd-411d-a6a7-dd3b4d42a276 for item 8dfc5e04-d6a1-4dbc-91c7-b4418fc0c632. Error Message: [Error code: ] [Error Msg: Infrastructure service provider error] dynamicops.api.client.apiclientexception at dynamicops.api.client.clientresponsehandler.handleresponse(basehttpclient.java :291) at dynamicops.api.client.basehttpclient$1.handleresponse(basehttpclient.java:151) at org.apache.http.client.fluent.response.handleresponse(response.java:85) a t org.apache.http.client.fluent.async$execrunnable.run(async.java:80) at java.lang.thread.run(unknown Source) 7

8 Schwer lesbar doch manchmal informativ Jun 2 09:16:33 vcm01 microsoft-windows-security-auditing[success] 4726 A user account was deleted.subject:security ID:S Account Name:VCM01$Account Domain:VCCLogon ID:0x3e7Target Account:Security ID:S Account Name:tbaublysAccount Domain:VCM01Additional Information:Privileges- Jun 2 09:16:33 vcm01 puppet[error] 3 /Stage[main]/Main/Node[default]/User[tbaublys]/ensure: change from absent to present failed: User update failed: (in OLE method `SetInfo': ) OLE error code:800708c5 in Active Directory The password does not meet the password policy requirements. Check the minimum password length, password complexity and password history requirements. HRESULT error code:0x Exception occurred T07:33:11.248Z ocube1.vcc.vmw Hostd: [3C97CB90 info 'vm:vmhsvigorclientcb: Vigor online client, VM /vmfs/volumes/29ef8e35-d0fe2e24/sepoolnext-3/sepoolnext- 3.vmx'] has an error: Lost a borrowed connection to the running VMX instance. 8

9 Die Zeit ist immer wieder ein Problem ISO 8601 xkcd.org 9

10 Warum brauchen wir Log-Management? Log-Sammlung zentralisieren Lokale Logs können durch Ausfälle verloren gehen Hacker (nette Kollegen) können Logs löschen Suche in verteilten Logs ist sehr mühsam Erweiterung der Überwachung Erreignisse, die nicht durch Monitoring erfasst werden, können überwacht werden Benachrichtigungen und Alarme können versendet werden Schöne und informative Sichten können erzeugt werden Schneller Probleme lokalisieren und lösen Schnelle Suche und Analyse über den ganzen Stack Maschinelles Lernen erhöht den Überblick Visualisierungen helfen Probleme zu sehen 10

11 Log Insight, oder wie ich lernte die Logs zu lieben

12 Our Vision Create an intuitive and fast log management platform for cloud operations that delivers proactive analytics through machine learning 12

13 Log Insight delivers the best real-time log management for VMware environments, across physical, virtual, and cloud infrastructure. 13

14 Benutzeroberfläche mit interaktiven Analysefunktionen 14

15 Google-ähnliche Suche: 15

16 Visualisierungen: 16

17 Feldextraction ohne Reg-Exp-Guru-Wissen 17

18 Visualisierung extrahierter Felder: 18

19 Vorgefertigte Management Packs mit Dashboards 19

20 Zum Beispiel vsphere Security: CONFIDENTIAL 20

21 Oder eigene Dashboards: CONFIDENTIAL 21

22 Fieber messen mit Log Insight CONFIDENTIAL 22

23 Architektur

24 Funktionen von Log Insight Bereitstellung als virtuelle Appliance Skalierbare Architektur mit Hochverfügbarkeit Eine Bereitstellung mit sechs Knoten kann pro Sekunde ca Ereignisse bearbeiten Unterstützung von Microsoft Active Directory Protokollannahme über Syslog oder RESTful API Sämtliche Syslog-Agenten können Protokolle an Log Insight übermitteln Abgespeckter Windows-Agent zur Protokollübermittlung erhältlich 24

25 Funktionen von Log Insight Archivierung zwecks langfristiger Datenaufbewahrung Dashboard mit zahlreichen Funktionen Von Experten für wichtigste Anwendungen und Geräte entwickelte Dashboards (Content-Pakete) Individuelle Dashboards können hinzugefügt und gemeinsam mit anderen genutzt werden Aussagekräftige Abbildungen Neue Datenfilter können im Nu hinzugefügt werden Wechsel zwischen Dashboard-Widgets Native Unterstützung von VMware-Produkten Einfache Konfiguration von ESXi-Hosts Interaktive Funktionen von vcenter Operations Manager 25

26 Widerstand ist zwecklos Log Insight API Syslog OS Logs VMW Logs Hardware Logs App Logs SaaS Logs Cloud / Data Center 26

27 Skalierbare Architektur mit Hochverfügbarkeit für die Aufnahme Webbenutzeroberfläche/Abfrage ( Syslog (TCP/UDP:514) CFAPI ( Load Balancer (UDP & TCP) Protokollmeldungen (Syslog:514 und Master-Knoten Worker-Knoten von Log Insight 27

28 Log Insight erkennt Strukturen proaktiv durch die Lernfähigkeit des Systems Log Insight lernt proaktiv: aus: Anschließend Abfragemöglichkeit wie bei Datenbanken 28

29 Aus 18 Millionen werden 29

30 wenige Event-Typen: CONFIDENTIAL 30

31 Windows-Agent

32 Erfassungs-Framework und API REST-basierte HTTP-API Zur Übermittlung von Protokollereignissen an Log Insight Zur Abfrage von Konfigurationsdaten durch Clients Alle Vorteile einer HTTP-API (Komprimierung, Proxys, anwenderfreundlich usw.) Windows-Agent KLEINE GRÖSSE: 3,5 MB RAM und 0,4% eines CPU-Kerns bei 100 Ereignissen/Sek. Bereitstellung durch standardmäßiges Windows-Management (.msi) Überwacht Ereignisse in Windows Überwacht Textdateiprotokolle (z. B. tail f bei Unix/Linux) 32

33 Why Log Management? (cont d) Gain Insights about your Infrastructure Who is doing what when Track transactions across components through the logs Gain Insights about your application Search & visualize application transaction traces Visualize and monitor transaction usage Look for patterns and anomalies 33

34 Why Log Insight? Best for VMware by VMware Optimized for vsphere logs, vsphere analytics are built in Automatic ESXi configuration for collection Integration with vcenter Operations VMware experts have curated troubleshooting dashboards Simple & predictable pricing model Very easy to deploy, intuitive to use, incredibly fast 34

35 Das Sonnensystem: vcenter Operations Manager Log Insight* Logs Events Hyperic HQ Monitoring OS Data Application Data vcenter Operations Manager Configuration Manager Compliance Changes Infrastructure Navigator Relations Dependencies 35

36 vcenter Operations und Log Insight Alle IT-Daten zentral im Blick VMware vcenter Operations Kapazitäts-, Performance- und Konfigurationsmanagement Kontextbezogener Start Ereignisse VMware vcenter Log Insight Log-lanalyse, Aggregation und Suche Strukturierte Daten Unstrukturierte Daten Messwerte Benachrichtigungen Ereignisse Logs Meldungen Public Cloud Intelligente Abläufe durch prädiktive Analyse sämtlicher maschinengenerierter Daten Richtlinienbasierte Automatisierung ermöglicht proaktives Management und automatisierte Fehlerbehebung Einheitliches Management schafft umfassenden Überblick an zentraler Stelle von vsphere auf Hyper-V, AWS und die physische Infrastruktur 36

37 VMware Cloud Ops = vcenter Log Insight & vcenter Operations VMware Cloud Operations Log Insight & vc Ops ergänzen sich Best of Breed für Performance, Capacity & Configuration Management Enge Integration -> Nahtloser Übergang von Monitoring zum Troubleshooting vc LI & vc Ops -> komplette Lösung für Cloud Operations Management 37

38 Integration mit vcenter Operations Manager Automatisierte Korrelation von Performance & Log Daten (benötigt vcenter Operations Advanced oder Enterprise) 38

39 Konfiguration der Alarme 39

40 Log Insight Management Packs

41 Solutionexchange: Log Insight Content Packs 41

42 Solutionexchange: Log Insight Content Packs 42

43 Solutionexchange: Log Insight Content Packs 43

44 Weiterführende Verweise: Expert Community Post feature suggestions Blogs: CONFIDENTIAL 44

45