Gestire gli incidenti per i criteri di avviso basati su log

Un incidente è un record di quando la condizione di un criterio di avviso è soddisfatta. In genere, Cloud Monitoring apre un incidente e invia una notifica quando viene ricevuto un log che corrisponde alla condizione della policy di avviso. Tuttavia, gli incidenti non vengono creati nelle seguenti circostanze:

  • Il criterio è stato posticipato o disattivato.
  • Il numero di criteri di avviso o incidenti supera i limiti esistenti per gli avvisi.
  • Un'altra voce di log fa sì che la stessa condizione venga soddisfatta per un incidente aperto. In questo caso, Monitoring invia solo un'altra notifica per lo stesso incidente.

Per ogni incidente, Monitoring crea una pagina Dettagli incidente che ti consente di gestire l'incidente e che riporta le informazioni sull'incidente che possono aiutarti a risolvere il problema. Ad esempio, la pagina Dettagli incidente mostra un elenco di voci di log che corrispondono alla query della criterio di avviso basata su log. Puoi anche trovare i link agli incidenti correlati.

Questo documento descrive come trovare gli incident. Descrive inoltre come utilizzare la pagina Dettagli incidente per gestire gli incidenti per le policy di avviso basate sui log, che valutano i dati voce di log archiviati nei singoli log in Cloud Logging.

Questa funzionalità è supportata solo per i Google Cloud progetti. Per le configurazioni di App Hub, seleziona il progetto host di App Hub o il progetto di gestione.

Prima di iniziare

Per ottenere le autorizzazioni necessarie per visualizzare e gestire gli incidenti, chiedi all'amministratore di concederti i seguenti ruoli IAM nel progetto:

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Per saperne di più sui ruoli di Cloud Monitoring, consulta Controllare l'accesso con Identity and Access Management.

Visualizza incidenti

Per visualizzare gli incidenti nel tuo progetto, utilizza la console Google Cloud , gcloud CLI (anteprima pubblica) o l'API Monitoring (anteprima pubblica).

Console Google Cloud

Per elencare gli incidenti nel tuo Google Cloud progetto:

  1. Nella Google Cloud console, vai alla pagina  Avvisi:

    Vai ad Avvisi

    Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Monitoring.

  2. Nella barra degli strumenti della console Google Cloud , seleziona il tuo progetto Google Cloud . Per le configurazioni di App Hub, seleziona il progetto host di App Hub o il progetto di gestione.

    La pagina Avvisi mostra informazioni su policy di avviso, posticipi e incidenti:

    • Il riquadro Riepilogo elenca il numero di incidenti aperti.
    • La tabella Incidenti mostra gli incidenti aperti più recenti. Per elencare gli incidenti più recenti nella tabella, inclusi quelli chiusi, fai clic su Mostra incidenti chiusi.

  3. Per visualizzare i dettagli di un incidente specifico, selezionalo nell'elenco.

    Viene visualizzata la pagina Dettagli incidente. Per ulteriori informazioni sulla pagina Dettagli incidente, consulta la sezione Esaminare un incidente di questo documento.

Trovare incidenti meno recenti

La tabella Incidenti nella pagina Avvisi mostra gli incidenti aperti più recenti. Per visualizzare gli incidenti meno recenti, esegui una delle seguenti operazioni:

  • Per scorrere le voci nella tabella Incidenti, fai clic su  Più recenti o  Meno recenti.

  • Per aprire una pagina che ti consente di elencare e filtrare gli incidenti, fai clic su Visualizza tutti gli incidenti. Viene visualizzata la pagina Incidenti. Da questa pagina, segui questi passaggi:

    • Mostra tutti gli incidenti, inclusi quelli chiusi. Per visualizzare tutti gli incidenti, fai clic su Mostra incidenti chiusi.
    • Filtra incidenti. Per informazioni sull'aggiunta di filtri, vedi Filtrare gli incidenti.
    • Conferma o chiudi un incidente oppure posticipa il criterio di avviso. Per accedere a queste opzioni, fai clic su  Altre opzioni nella riga dell'incidente e fai una selezione dal menu. Per saperne di più, consulta Gestire gli incidenti.

Filtra incidenti

Per limitare gli incidenti visualizzati nella tabella, aggiungi filtri. Se aggiungi più filtri, la tabella mostra solo gli incidenti che soddisfano tutti i filtri.

Per filtrare la tabella degli incidenti:

  1. Nella pagina Incidenti, fai clic su  Filtra tabella e poi seleziona una proprietà del filtro. Le proprietà di filtro includono:

    • Stato dell'incidente
    • Nome del criterio di avviso
    • Quando è stato aperto o chiuso l'incidente

  2. Seleziona un valore dal menu secondario o inseriscilo nella barra dei filtri.

    La tabella Incidenti elenca quindi il filtro.

gcloud

Puoi utilizzare gcloud per ottenere e elencare gli incidenti.

Recupera incidente

Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

  • ALERT_NAME: il nome della risorsa dell'avviso. Ad esempio, projects/my-project/alerts/my-alert-id.

Esegui il comando gcloud alpha monitoring alerts describe:

Linux, macOS o Cloud Shell

gcloud alpha monitoring alerts describe ALERT_NAME

Windows (PowerShell)

gcloud alpha monitoring alerts describe ALERT_NAME

Windows (cmd.exe)

gcloud alpha monitoring alerts describe ALERT_NAME
 Il comando restituisce una risposta con i dettagli dell'avviso, ad esempio lo stato dell'avviso, le etichette allegate e la criterio di avviso di origine. Tieni presente che le etichette nella risposta sono soggette a modifiche durante l'anteprima di questa funzionalità. La risposta è simile alla seguente: 
{
  "name": "projects/my-project/alerts/my-alert-id",
  "state": "OPEN",
  "open_time": "2025-06-11T09:53:46Z",
  "resource": {
    "type": "k8s_cluster",
    "labels": {
      "location": "us-central1",
      "cluster_name": "example_cluster",
      "project_id": "my-project"
    }
  },
  "log": {
    "extracted_labels": {
      "title": "my title"
    }
  },
  "policy": {
    "name": "projects/my-project/alertPolicies/POLICY_1",
    "displayName": "test-policy"
  },
  "summaryText": "[ALERT] test-policy for Kubernetes Cluster with {cluster_name=example_cluster, location=us-central1, project_id=my-project}"
}

Elenca incidenti

Puoi elencare gli incidenti nel tuo progetto e filtrare i risultati utilizzando gcloud CLI.

Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

  • PROJECT_ID: l'identificatore del progetto.

Esegui il comando gcloud alpha monitoring alerts list:

Linux, macOS o Cloud Shell

gcloud alpha monitoring alerts list

Windows (PowerShell)

gcloud alpha monitoring alerts list

Windows (cmd.exe)

gcloud alpha monitoring alerts list
 Il comando restituisce una risposta con i dettagli dell'avviso, ad esempio lo stato dell'avviso, le etichette allegate e la criterio di avviso di origine. Tieni presente che le etichette nella risposta sono soggette a modifiche durante l'anteprima di questa funzionalità. La risposta è simile alla seguente: 
{
  "alerts": [
    {
      "name": "projects/my-project/alerts/my-alert-id",
      "state": "OPEN",
      "open_time": "2025-06-11T09:53:46Z",
      "resource": {
        "type": "k8s_cluster",
        "labels": {
          "location": "us-central1",
          "cluster_name": "example_cluster",
          "project_id": "my-project"
        }
      },
      "log": {
        "extracted_labels": {
          "title": "my title"
        }
      },
      "policy": {
        "name": "projects/my-project/alertPolicies/POLICY_1",
        "displayName": "test-policy"
      },
      "summaryText": "[ALERT] test-policy for Kubernetes Cluster with {cluster_name=example_cluster, location=us-central1, project_id=my-project}"
    }
  ]
}
Puoi anche utilizzare i seguenti flag facoltativi per filtrare, ordinare o modificare l'output:

  • --filter: fornisci un'espressione di filtro per filtrare gli avvisi in base all'ora o all'etichetta. Ad esempio, filtra per ora con --filter='close_time>="2025-09-10T00:00:00Z"' o per etichetta con --filter='resource.labels.key="value"'.

  • --sort-by: un elenco separato da virgole dei campi in base a cui ordinare l'output. Ad esempio: --sort-by=open_time.

  • --uri: il comando restituisce un elenco di URI delle risorse anziché l'output predefinito.

  • --limit: imposta questo flag su 2 o su un valore superiore per limitare il numero di avvisi restituiti. Non utilizzare questo flag insieme al flag --filter.

API Monitoring

Puoi utilizzare l'API Monitoring per ottenere incidenti ed elenchi di incidenti.

Recupera incidente

Per ottenere dettagli su un singolo incidente con l'API Monitoring, utilizza il metodo alerts.get.

Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

  • PROJECT_ID: l'identificatore del progetto.
  • ALERT_ID: l'ID dell'avviso.

Metodo HTTP e URL: 

GET https://monitoring.googleapis.com/v3/projects/PROJECT_ID/alerts/ALERT_ID

Per inviare la richiesta, espandi una di queste opzioni:

Il comando restituisce una risposta con i dettagli dell'avviso, ad esempio lo stato dell'avviso, le etichette allegate e la criterio di avviso di origine. Tieni presente che le etichette nella risposta sono soggette a modifiche durante l'anteprima di questa funzionalità. La risposta è simile alla seguente: 
{
  "name": "projects/my-project/alerts/my-alert-id",
  "state": "OPEN",
  "open_time": "2025-06-11T09:53:46Z",
  "resource": {
    "type": "k8s_cluster",
    "labels": {
      "location": "us-central1",
      "cluster_name": "example_cluster",
      "project_id": "my-project"
    }
  },
  "log": {
    "extracted_labels": {
      "title": "my title"
    }
  },
  "policy": {
    "name": "projects/my-project/alertPolicies/POLICY_1",
    "displayName": "test-policy"
  },
  "summaryText": "[ALERT] test-policy for Kubernetes Cluster with {cluster_name=example_cluster, location=us-central1, project_id=my-project}"
}

Elenca incidenti

Per elencare gli incidenti nel tuo progetto e filtrare i risultati con l'API Monitoring, utilizza il metodo alerts.list.

Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

  • PROJECT_ID: l'identificatore del progetto.

Metodo HTTP e URL: 

GET https://monitoring.googleapis.com/v3/projects/PROJECT_ID/alerts

Per inviare la richiesta, espandi una di queste opzioni:

Il comando restituisce una risposta con i dettagli dell'avviso, ad esempio lo stato dell'avviso, le etichette allegate e la criterio di avviso di origine. Tieni presente che le etichette nella risposta sono soggette a modifiche durante l'anteprima di questa funzionalità. La risposta è simile alla seguente: 
{
  "alerts": [
    {
      "name": "projects/my-project/alerts/my-alert-id",
      "state": "OPEN",
      "open_time": "2025-06-11T09:53:46Z",
      "resource": {
        "type": "k8s_cluster",
        "labels": {
          "location": "us-central1",
          "cluster_name": "example_cluster",
          "project_id": "my-project"
        }
      },
      "log": {
        "extracted_labels": {
          "title": "my title"
        }
      },
      "policy": {
        "name": "projects/my-project/alertPolicies/POLICY_1",
        "displayName": "test-policy"
      },
      "summaryText": "[ALERT] test-policy for Kubernetes Cluster with {cluster_name=example_cluster, location=us-central1, project_id=my-project}"
    }
  ]
}
Gli utenti di Curl possono aggiungere il flag --data-urlencode seguito da un'espressione di filtro per filtrare gli avvisi in base all'ora o all'etichetta. Vedi i seguenti esempi:

Elenca gli avvisi aperti nell'ultima ora:

--data-urlencode "filter=(open_time>=\"`date -u -d "1 hour ago" +"%Y-%m-%dT%H:%M:%SZ"`\")"

Elenca e filtra gli avvisi aperti dell'ultimo giorno:

--data-urlencode "filter=(open_time>=\"`date -u -d "1 DAY ago" +"%Y-%m-%dT%H:%M:%SZ"`\" AND state=open)"

Elenca e filtra gli avvisi aperti tra due periodi:

--data-urlencode "filter=(open_time>=\"`date -u -d "2 DAY ago" +"%Y-%m-%dT%H:%M:%SZ"`\" AND open_time<=\"`date -u -d "1 DAY ago" +"%Y-%m-%dT%H:%M:%SZ"`\")"

Elenca e filtra gli avvisi in base all'etichetta utente. In questo esempio, filtra in base a un'etichetta utente con il nome app e il valore my-gke-app:

--data-urlencode "filter=(policy.user_labels.app=\"my-gke-app\")"
Gli utenti di PowerShell possono utilizzare il seguente esempio per aggiungere un filtro basato sul tempo all'URL della richiesta: 
$baseUrl = "https://monitoring.googleapis.com/v3/projects/my-project/alerts"
$filterValue = (Get-Date).AddHours(-1).ToString("yyyy-MM-ddTHH:mm:ssZ")
$filter = 'open_time >= "' + $filterValue + '"'
$encodedFilter = [System.Uri]::EscapeDataString($filter)
$url = $baseUrl + "?filter=" + $encodedFilter

Indagare su un incidente

La pagina Dettagli incidente contiene informazioni che possono aiutarti a identificare la causa di un incidente.

Esplora le voci di log

Esplora le voci di log per trovare pattern e problemi ricorrenti correlati alla tua indagine. Il riquadro Log mostra le voci di log che corrispondono alla query della tua criterio di avviso basata sui log.

  • Per visualizzare le voci di log in Esplora log, fai clic su Visualizza in Esplora log, quindi seleziona un progetto di definizione dell'ambito.
  • Per visualizzare il pannello dei log in Esplora metriche, fai clic su Esplora dati.

Visualizzare informazioni supplementari

La sezione Etichette mostra le etichette e i valori per la risorsa monitorata inclusi nella voce di log che ha causato l'incidente. Queste informazioni possono aiutarti a identificare la risorsa specifica monitorata che ha causato l'incidente. Per saperne di più, consulta Annotare gli incidenti con le etichette.

La sezione Documentazione mostra il modello di documentazione per le notifiche che hai fornito durante la creazione della criterio di avviso. Queste informazioni potrebbero includere una descrizione di ciò che monitora la norma di avviso, nonché suggerimenti per la mitigazione. Per saperne di più, consulta Annotare le notifiche con la documentazione definita dall'utente.

Se non hai configurato la documentazione per la tua criterio di avviso, il riquadro Documentazione mostra il messaggio "Nessuna documentazione configurata".

Per aiutarti a scoprire i problemi sottostanti nella tua applicazione, puoi esplorare gli incidenti correlati ad altre condizionicriterio di avvisoo.

La sezione Incidenti correlati mostra un elenco di incidenti che corrispondono a uno dei seguenti elementi:

  • L'incidente è stato creato quando è stata soddisfatta una condizione dello stesso criterio di avviso.
  • L'incidente condivide un'etichetta con l'incidente mostrato nella pagina Dettagli incidente.

Gestire gli incidenti

Gli incidenti si trovano in uno dei seguenti stati:

  •  Aperto: La condizione della criterio di avviso basata su log è stata soddisfatta e l'incidente è ancora aperto. Se la stessa condizione viene soddisfatta di nuovo e è già aperto un incidente, non ne viene aperto uno nuovo.

  •  Confermato: L'incidente è aperto ed è stato contrassegnato manualmente come confermato. In genere, questo stato indica che l'incidente è in fase di indagine.

  •  Chiuso: Hai chiuso manualmente l'incidente o è stato chiuso automaticamente dopo la scadenza del periodo di chiusura automatica.

Confermare gli incidenti

Ti consigliamo di contrassegnare un incidente come riconosciuto quando inizi a esaminare la causa dell'incidente.

Per contrassegnare un incidente come riconosciuto:

  1. Nella tabella Incidenti della pagina Avvisi, fai clic su Visualizza tutti gli incidenti.

  2. Nella pagina Incidenti, individua l'incidente che vuoi confermare e poi esegui una delle seguenti operazioni:

    • Fai clic su  Altre opzioni e seleziona Conferma.
    • Apri la pagina dei dettagli dell'incidente e fai clic su Conferma incidente.

Posticipare un criterio di avviso

Per impedire a Monitoring di creare incidenti e inviare notifiche durante un periodo di tempo specifico, posticipa il criterio di avviso correlato. Quando posticipi una criterio di avviso, gli incidenti correlati alla policy di avviso rimangono aperti, ma non causano ulteriori notifiche. Gli incidenti vengono chiusi in base alla durata di chiusura automatica criterio di avviso.

Per creare una sospensione per un incidente che stai visualizzando:

  1. Nella pagina Dettagli incidente, fai clic su Posticipa policy.

  2. Seleziona la durata del posticipo. Dopo aver selezionato la durata del posticipo, questo inizia immediatamente.

Puoi anche posticipare una criterio di avviso dalla pagina Incidenti individuando l'incidente che vuoi posticipare, facendo clic su  Altre opzioni e selezionando Posticipa. Puoi posticipare i criteri di avviso durante le interruzioni per evitare ulteriori notifiche durante la procedura di risoluzione dei problemi.

Chiudi incidenti

Puoi lasciare che Monitoring chiuda un incidente per te oppure puoi chiuderlo tu.

Il monitoraggio chiude automaticamente un incidente quando scade la durata di chiusura automatica per il criterio di avviso. Per impostazione predefinita, la durata della chiusura automatica è di 7 giorni. La durata minima di chiusura automatica è di 30 minuti.

La durata della chiusura automatica specifica il tempo che deve trascorrere, senza una ripetizione della causa dell'incidente, prima che l'incidente venga chiuso. Per questo motivo, quando un incidente è aperto e la sua causa si ripresenta, l'incidente può rimanere aperto più a lungo della durata della chiusura automatica.

Per chiudere un incidente:

  1. Nella tabella Incidenti della pagina Avvisi, fai clic su Visualizza tutti gli incidenti.

  2. Nella pagina Incidenti, individua l'incidente che vuoi chiudere, quindi esegui una delle seguenti operazioni:

    • Fai clic su  Visualizza altro e poi seleziona Chiudi incidente.
    • Apri la pagina Dettagli incidente per l'incidente e poi fai clic su Chiudi incidente.

Se visualizzi il messaggio Unable to close incident, riprova tra qualche minuto. Non puoi chiudere immediatamente un nuovo incidente perché le condizioni che lo hanno causato sono ancora considerate attive dal sistema di avviso.

Conservazione e limiti dei dati

Per informazioni sui limiti e sul periodo di conservazione degli incidenti, consulta Limiti per gli avvisi.

Passaggi successivi