1. Les règles #
Ce que Kibana surveille.
Types de règles #
| Type de règle | Usage |
|---|---|
| Elasticsearch query (KQL, DSL ou ES|QL) | Alerter quand une requête renvoie des résultats ou dépasse un seuil |
| Custom threshold | Seuil sur une agrégation de logs ou métriques, avec regroupement |
| Log threshold | Nombre de logs correspondant à un critère |
| APM (latence, taux d'erreur, anomalie) | Seuils sur les services instrumentés |
| SLO burn rate | Consommation du budget d'erreur |
| Index threshold | Agrégation simple sur un index |
// Règle ES|QL : plus de 50 erreurs 5xx en 5 minutes pour un service
FROM logs-*
| WHERE @timestamp > NOW() - 5 minutes AND http.response.status_code >= 500
| STATS erreurs = COUNT(*) BY service.name
| WHERE erreurs > 502. Connecteurs et actions #
Où partent les notifications.
Configurer #
Un connecteur (e-mail, Slack, Teams, webhook, PagerDuty, Jira, ServiceNow, index, journal du serveur...) est défini une fois et réutilisé par les règles. Chaque action choisit un connecteur, un message (avec variables comme {{context.message}} ou {{alert.id}}) et une fréquence.
| Réglage | Effet |
|---|---|
| Fréquence de vérification | Toutes les minutes, 5 minutes... |
| Résumé ou par alerte | Une notification groupée ou une par alerte |
| Notifier au changement de statut | Évite les répétitions |
| Maintenance windows | Suspendre les notifications pendant une intervention |
| Récupération (recovered) | Prévenir quand l'alerte se résout |
À savoir : Selon la licence de la suite Elastic, certains connecteurs (Slack, webhook, PagerDuty...) ne sont pas disponibles en licence gratuite ; les connecteurs Index et Server log le sont.
3. SLO #
Les objectifs dans Elastic Observability.
Définir un SLO #
L'application SLO calcule un SLI à partir d'une requête (KQL personnalisé, métriques APM, histogramme), une cible (99,5 %) et une fenêtre (30 jours glissants), puis crée automatiquement des alertes de burn rate.
Indicateur : Custom query
Index : logs-nginx.access-*
Bons événements : http.response.status_code < 500
Total : *
Objectif : 99.5 % sur 30 jours glissants
Alerte : burn rate (fenêtres longues et courtes) vers le connecteur d'astreinteBonne Pratique : Les concepts (SLI ratio, budget, burn rate multi-fenêtres) sont ceux détaillés dans la formation SRE : les maîtriser rend ces écrans immédiatement compréhensibles.
