如何用SCOM 2016监控带日期命名的日志文件中的指定Java字符串并告警？

嘿，这个需求我之前帮客户落地过，在SCOM 2016里完全能搞定，下面是一步步的实操指南，跟着走就行：

一、前期准备 #

• 先创建一个自定义管理包，千万别直接修改默认管理包，不然后续维护、导出会乱套。在SCOM控制台的「创作」面板里，右键「管理包」选「创建管理包」，填好名称和描述就可以。
• 确认目标服务器已经装了SCOM代理，且代理状态正常（可以在「监视」面板里查看代理健康状态）。

二、方法1：用SCOM内置文本日志监控（推荐，配置简单） #

这种方法靠SCOM自带的文本日志监控能力，结合正则表达式匹配动态文件名：

1. 创建文本日志告警规则 #

• 进入「创作」面板，右键「规则」选「创建规则」，然后依次选「警报生成规则」→「基于事件的」→「文本日志（自定义）」，点击「下一步」。
• 选择你刚创建的自定义管理包，给规则起个直观的名字（比如「Java特定字符串日志告警」），目标选需要监控的服务器组或单个Windows服务器，继续「下一步」。

2. 配置日志文件匹配规则 #

• 在「日志文件」页面，填写日志目录：D:\Logs\，文件名模式用正则表达式匹配日期格式：logfile-\d{8}\.log（解释：\d{8}对应DDMMYYYY的8位数字，精准匹配当天的日志文件名）。
• 勾选「仅处理最近修改的文件」，设置时间范围为「最近24小时」，这样只会监控当天生成的日志，不会去扫描历史旧日志。
• 点击「下一步」到「表达式」页面，设置要监控的特定Java字符串：
  • 匹配项选「内容」，运算符选「包含」，值填你要告警的目标字符串（比如java.lang.OutOfMemoryError）。
  • 要是需要多条件过滤，还能添加额外规则（比如结合日志时间范围）。

3. 配置告警细节 #

• 进入「警报」页面，设置警报名称、优先级、严重性（比如「严重」或「警告」），在告警描述里可以插入匹配到的日志内容，方便后续排查问题。
• 最后完成规则创建，等SCOM同步到代理服务器后，监控就会自动生效。

三、方法2：用PowerShell脚本作为数据源（更灵活，适合复杂场景） #

如果内置监控满足不了复杂逻辑（比如必须严格只监控当天文件，而非「最近修改」的文件），可以用PowerShell脚本做数据源：

1. 创建脚本告警规则 #

• 进入「创作」面板，右键「规则」选「创建规则」，依次选「警报生成规则」→「基于脚本的」→「定时脚本（Windows）」，点击「下一步」。
• 选择自定义管理包，命名规则，目标选监控服务器，继续「下一步」。

2. 编写脚本并配置执行计划 #

• 在「脚本」页面，写入以下逻辑的PowerShell脚本（按需修改字符串和路径）：

# 获取当天日期，格式化为DDMMYYYY
$today = Get-Date -Format "ddMMyyyy"
# 拼接当天日志文件路径
$logFilePath = "D:\Logs\logfile-$today.log"

# 检查文件是否存在，存在则搜索目标字符串
if (Test-Path $logFilePath) {
    $logContent = Get-Content $logFilePath -Raw
    if ($logContent -match "你的特定Java字符串") {
        Write-Output "MatchFound"
    }
}

• 设置脚本执行间隔（比如5分钟一次），同时确保SCOM代理的默认账号（Local System）有D:\Logs目录的读取权限。

3. 配置告警触发条件 #

• 进入「表达式」页面，设置当脚本输出包含MatchFound时触发告警。
• 配置告警的优先级、严重性等细节，完成规则创建。

四、测试验证 #

• 手动在目标日志文件里写入测试用的特定字符串，等SCOM的监控周期到了之后，检查「监视」面板里的告警是否正常生成。
• 如果没触发告警，去代理服务器的日志目录（C:\Program Files\Microsoft Monitoring Agent\Agent\Health Service State\Logs）排查，看看是不是权限问题或脚本执行报错。

内容的提问来源于stack exchange，提问作者Alberto Parillo