配置钉钉机器人接收X-Pack Watcher报警

背景信息

前提条件

注意事项

操作流程

1. 步骤一：创建并配置钉钉机器人
2. （可选）步骤二：配置Elasticsearch实例私网连接
3. 步骤三：配置ECS安全组和Nginx代理
4. 步骤四：配置Watcher报警
5. 步骤五：查看报警结果

步骤一：创建并配置钉钉机器人

1. 创建一个钉钉报警接收群。
   具体操作，请参见钉钉入门教程。
2. 在群的右上角找到群机器人，然后添加一个自定义通过Webhook接入的机器人并进行安全设置，同时获取Webhook地址。
   详细信息，请参见获取自定义机器人Webhook和安全设置。

   

   注意 安全设置中的关键词必须包含在您设置的报警信息中。

   

   注意 请保管好此Webhook地址，以备后用。同时不要将其公布在外部网站上，泄露后有安全风险。

（可选）步骤二：配置Elasticsearch实例私网连接

旧网络架构下创建的实例，无需配置私网连接；新网络架构下创建的实例，需要配置私网连接。

1. 登录阿里云Elasticsearch控制台。
2. 配置Elasticsearch实例的私网连接，获取终端节点域名作为访问外部服务的网络连接。
   具体操作，请参见配置实例私网连接。

步骤三：配置ECS安全组和Nginx代理

1. 配置ECS安全组。
   1. 登录阿里云ECS控制台。
   2. 在左侧导航栏，单击实例。
   3. 在实例列表页面，选择目标实例右侧操作列下的更多 > 网络和安全组 > 安全组配置。
   4. 在安全组列表页签下，单击目标安全组右侧操作列下的配置规则。
   5. 在入方向页签，单击手动添加。
   6. 填写相关参数。
      

      参数	说明
      授权策略	选择允许。
      优先级	保持默认。
      协议类型	选择自定义TCP。
      端口范围	填写您常用的端口（配置Nginx时需要用到，本文以8080为例）。
      授权对象	添加您购买的阿里云Elasticsearch实例所有节点的IP地址。 说明 参见查看节点的基本信息，获取Elasticsearch实例中所有节点的IP地址。
      描述	输入对规则的描述。

   7. 单击保存。
2. 配置Nginx代理。
   1. 在ECS上安装Nginx。
      具体安装方法请参见Nginx安装配置。
   2. 配置nginx.conf文件。
      使用以下配置替换nginx.conf文件中server部分的配置。

      server
        {
          listen 8080;#监听端口
          server_name localhost;#域名
          index index.html index.htm index.php;
          root /usr/local/webserver/nginx/html;#站点目录
            location ~ .*\.(php|php5)?$
          {
            #fastcgi_pass unix:/tmp/php-cgi.sock;
            fastcgi_pass 127.0.0.1:9000;
            fastcgi_index index.php;
            include fastcgi.conf;
          }
          location ~ .*\.(gif|jpg|jpeg|png|bmp|swf|ico)$
          {
            expires 30d;
            # access_log off;
          }
          location / {
            proxy_pass <钉钉机器人Webhook地址>;
          }
          location ~ .*\.(js|css)?$
          {
            expires 15d;
            # access_log off;
          }
          access_log off;
        }

      <钉钉机器人Webhook地址>：请替换为接收报警消息的钉钉机器人的Webhook地址，获取方式请参见步骤一：创建并配置钉钉机器人。

   3. 加载修改后的配置文件并重启Nginx。

      /usr/local/webserver/nginx/sbin/nginx -s reload            # 重新载入配置文件
      /usr/local/webserver/nginx/sbin/nginx -s reopen            # 重启Nginx

步骤四：配置Watcher报警

1. 登录目标阿里云Elasticsearch实例的Kibana控制台，根据页面提示进入Kibana主页。
   登录Kibana控制台的具体操作，请参见登录Kibana控制台。

   说明 本文以阿里云Elasticsearch 6.7.0版本为例，其他版本操作可能略有差别，请以实际界面为准。
2. 在左侧导航栏，单击Dev Tools。
3. 在Console中，执行如下命令创建一个报警文档。
   以下示例以创建log_error_watch文档为例，每隔10s查询logs索引中是否出现error日志，如果出现0次以上则触发报警。

   PUT _xpack/watcher/watch/log_error_watch
   {
     "trigger": {
       "schedule": {
         "interval": "10s"
       }
     },
     "input": {
       "search": {
         "request": {
           "indices": ["logs"],
           "body": {
             "query": {
               "match": {
                 "message": "error"
               }
             }
           }
         }
       }
     },
     "condition": {
       "compare": {
         "ctx.payload.hits.total": {
           "gt": 0
         }
       }
     },
     "actions" : {
     "test_issue" : {
       "webhook" : {
         "method" : "POST",
         "url" : "http://<yourAddress>:8080",
         "body" : "{\"msgtype\": \"text\", \"text\": { \"content\": \"error 日志出现了，请尽快处理\"}}"
       }
     }
   }
   }

   表 1. 关键参数说明

   参数	网络类型	配置对象	说明
   <yourAddress>	新网络	终端节点域名地址	新网络架构下，即通过配置实例私网连接进行网络打通，通过终端节点域名实现请求转发。 注意 此处需要配置为终端节点域名，而非服务域名。获取终端节点域名的具体操作，请参见（可选）步骤五：查看终端节点域名。
   	旧网络	Nginx代理IP地址	通过同VPC下Nginx代理经公网进行请求转发。
   		url配置为钉钉机器人的Webhook地址	开启SNAT网关，使处于用户VPC下的Elasticsearch实例可以访问外网，详细信息请参见使用公网NAT网关SNAT功能访问互联网。

   注意

   • 如果在执行以上命令时，出现No handler found for uri [/_xpack/watcher/watch/log_error_watch_2] and method [PUT]异常，表示您购买的阿里云Elasticsearch实例未开启X-Pack Watcher功能，请开启后再执行以上命令。具体步骤，请参见配置YML参数。
   • 以上代码中的body参数需要根据钉钉机器人的安全设置配置，详细信息请参见步骤一：创建并配置钉钉机器人。例如本文选择安全设置方式为自定义关键词，且添加了一个自定义关键词：error，那么body中的content字段必须包含error，钉钉机器人才会推送报警信息。

步骤五：查看报警结果

DELETE _xpack/watcher/watch/log_error_watch