Zabbixのトリガーの項目にある「障害児のイベントのクローズ」のいみがわからない

Question

表題の件に関して、どういった使い方をするのでしょうか。

一通りググってみたのですが、見つけられませんでした。

Answer 1

「障害時のイベントクローズ」ではなくて、「正常時のイベントクローズ」ですね。

これはLog監視などで設定変更することを想定されている項目です。

Zabbix 3.0 までは、復旧条件の設定は無く、障害条件から外れた場合に正常に戻る設定となっていました。

Zabbix 3.2 以降では、障害条件とは別に復旧条件を設定出来るようになりました。
これが「正常イベントの生成」で
条件式：条件式から外れたら正常
復旧条件式：復旧条件式に合致したら正常 という動作の違いとなります。

これにより、例えばLog監視などでStopで障害、Startで正常とすることが出来るようになりました。

Ping監視などの数値監視、死活監視では障害と正常の状態は常にいずれかの状態となりますが、
Log監視でErrorやStopという文字列を見つけるという監視の場合には、障害発生中にも別のアプリや別のメッセージが出力されるため、1つのトリガーに対して複数の障害が発生する事になります。
（この複数の障害が発生するというのは障害イベント生成モードで複数が選択されている場合の動作となります。）

「正常時のイベントクローズ」で「全ての障害」を選んでいる場合は、この複数の障害をまとめて正常とします。

対して、「タグが一致した全ての障害」を選んでいる場合には、イベントに付与されているタグが一致する障害だけをクローズすることができます。

このためには、まず、Log監視で文字列によってそのイベントにタグを付与するように設定しておきます。
https://www.zabbix.com/documentation/5.0/manual/config/event_correlation/trigger/event_tags

この設定によりただ、Stopをいう文字列を検知して障害にするだけではなく、そこでタグを追加して
特定の名前のサービスがStopしたという障害として検知する事が出来ます。

この状態で「タグが一致した全ての障害」設定していて、
「正常イベントの生成」を復旧条件式として
Startを復旧条件としている場合、タグとして同じアプリケーション名を持っている障害だけが正常になり、
タグが一致しない別の「Stop」障害イベントは障害のままとなります。

このように、StartとStopを検知文字列とする一つのログ監視トリガーで
複数のアプリケーションを区別するように利用する仕組みが「正常時のイベントクローズ」設定となります。