IDの異なる複数のイベントログ監視が1つのアラートに集約される
作成日：2018年1月26日 | 更新日：2018年4月12日
【現象/要望】
Windowsイベントログ監視にて、
イベントID、メッセージが異なるイベントログを取得しても、
「ソース」が同一だと一つのアラートとして集約され、
2件目以降のイベントログでは新しいアラート詳細画面が作成されず、アラート詳細画面 -> [イベント]（アラートの履歴）配下に表示される。
画像例）イベントID「999」、「998」と異なりますが、「ソース」が「test1」と同一のため、下記の通りアラートメッセージをクリックし表示される下記アラート詳細画面上ではまとめられて1つになっています。
【原因】
現在のOpManagerの仕様です。
以下、イベントログ監視とアラート作成の仕様となります：
-
- イベントログ監視の条件に当てはまるイベントログは、発生しているアラート情報を格納する「Alert」テーブルに格納され、各装置とアラートの対応付けは、「Alert」テーブル内の「Entity」列で識別を行います。
- アラート情報として格納されたイベントイベントログのデータ行の「Entity」列は、以下の様に設定されます。
「装置名_ソース名」
- 「装置名_ソース名」が同一であるイベントログは全て同一のアラートとして識別されるため、上記以外の要素（ID、イベントタイプ等）が異なる場合も同一のイベントログとして識別されます。
これに当てはまるイベントログは、一番初めに発生したイベントログ以外、全てイベントとして格納されます。
【解決策】
ソースが異なるイベントのみ、別のイベントとして扱われるため、ソースが同じである限り、異なるアラートとして作成することが出来兼ねます。
※アラートは更新されますので、通知プロファイルは実行されます。
【対応ビルド】x.x
★-----------------------------------------------------------------------------★
OpManager 製品紹介ページはこちら ↓
https://www.manageengine.jp/products/OpManager/
★-----------------------------------------------------------------------------★