Sommaire

Contexte

Le check Ntp Sync by WinRM vérifie la date et l'heure du système, puis les compare à celles du serveur de temps configuré sur la machine.

  • Si le serveur est accessible, les informations suivantes seront obtenues :
    • le temps d'aller-retour entre client et le serveur
    • le décalage d'horloge entre l'hôte supervisé et le serveur de temps de référence.
  • Dans le cas contraire, un message invitera à démarrer le service concerné.

La vérification est basée sur 2 informations : l' OFFSET et le DELAY

  • Pour savoir si le serveur est à l'heure, le serveur ntp local fait une requête au serveur ntp de référence.
    • Le temps d'aller-retour de la requête correspond au DELAY mesuré.
    • L'OFFSET correspond à la différence d'heure entre le serveur supervisé et le serveur ntp de référence.
  • Les 2 valeurs sont nécessaires, car l'OFFSET peut avoir au pire la valeur de DELAY comme marge d'erreur ( le temps d'acheminement moyen de la requête au serveur de temps ).
    • C'est pour cela que le check Ntp Sync by WinRM mesure ces 2 valeurs et réagit en fonction des seuils de tolérance définis.



Paramétrage

Le check utilise la ligne de commande suivante :

$WINDOWS-BY-WINRM__SHINKEN__PLUGINSDIR$/check_windows_health_by_winrm_rust --check check_ntp_sync
    --hostname "$HOSTADDRESS$"
    --port "$_HOSTWINDOWS_BY_WINRM__PORT$"
    --username "$_HOSTWINDOWS_BY_WINRM__DOMAINUSER$"
    --password "$_HOSTWINDOWS_BY_WINRM__DOMAINPASSWORD$"
    --auth_method "$_HOSTWINDOWS_BY_WINRM__AUTHMETHOD$"
    --timeout "$_HOSTWINDOWS_BY_WINRM__TIMEOUT$"
    -c "$_HOSTWINDOWS_BY_WINRM__NTP-SYNC__DELAY-CRIT$","$_HOSTWINDOWS_BY_WINRM__NTP-SYNC__OFFSET-CRIT$"
    -w "$_HOSTWINDOWS_BY_WINRM__NTP-SYNC__DELAY-WARN$","$_HOSTWINDOWS_BY_WINRM__NTP-SYNC__OFFSET-WARN$"

Données utilisées provenant des modèles

Données communes pour les checks des modèles

NomModifiable surValeur par défautDescription
WINDOWS_BY_WINRM__AUTHMETHOD

l'Hôte

( Onglet Données )

ntlm

Méthode d'authentification utilisé.

Valeurs possibles : basic, ntlm

WINDOWS_BY_WINRM__DOMAINPASSWORD

l'Hôte

( Onglet Données )

Ch4nge_Th1s_P4ssw0rd

Mot de passe de l'utilisateur de supervision
WINDOWS_BY_WINRM__DOMAINUSER

l'Hôte

( Onglet Données )

shinken_user

Nom complet de l'utilisateur de supervision utilisé pour exécuter des commandes à distance.
Voici quelques exemples :

  • mon_utilisateur
  • mon_domaine\\mon_utilisateur
  • mon_utilisateur@mon_domaine


WINDOWS_BY_WINRM__PORT

l'Hôte

( Onglet Données )

5985

Port de connexion au serveur WinRM de l'hôte à superviser.
WINDOWS_BY_WINRM__TIMEOUT

l'Hôte

( Onglet Données )

20

Temps maximum sans réponse d'une requête WinRM pour que la sonde renvoi un statut INCONNU.

Données spécifiques pour ce check

NomModifiable surUnitéValeur par défautDescription
WINDOWS_BY_WINRM__NTP-SYNC__OFFSET-CRIT

l'Hôte

( Onglet Données )

ms 30 Définit le décalage en millisecondes à partir duquel le check passe en CRITIQUE .
WINDOWS_BY_WINRM__NTP-SYNC__OFFSET-WARN

l'Hôte

( Onglet Données )

ms 10

Définit le décalage en millisecondes à partir duquel le check passe en ATTENTION.

WINDOWS_BY_WINRM__NTP-SYNC__DELAY-CRIT

l'Hôte

( Onglet Données )

ms 200 Définit le délai en millisecondes à partir duquel le check passe en CRITIQUE .
WINDOWS_BY_WINRM__NTP-SYNC__DELAY-WARN

l'Hôte

( Onglet Données )

ms 100 Définit le délai en millisecondes à partir duquel le check passe en ATTENTION .

Données DFE ( Duplicate Foreach )

Pas de données DFE pour ce check

Données utilisées provenant du check

Pas de données provenant du check pour ce modèle

Données globales

NomModifiable surUnitéDéfautValeur par défaut à l'installationDescription
USERPLUGINSDIR

Non modifiable

( Sauf Admin Shinken )

--/var/lib/shinken/libexec /var/lib/shinken/libexec

Chemin absolu contenant les sondes installés par Shinken

WINDOWS-BY-WINRM__SHINKEN__VENDOR

Non modifiable

( Sauf Admin Shinken )

--shinken-additional-packs shinken-additional-packs

Dossier fournit par shinken

WINDOWS-BY-WINRM__SHINKEN__PACKNAME

Non modifiable

( Sauf Admin Shinken )

--windows-by-WinRM__shinkenwindows-by-WinRM__shinken

Dossier contenant les sondes

WINDOWS-BY-WINRM__SHINKEN__PLUGINSDIR

Non modifiable

( Sauf Admin Shinken )

--
USERPLUGINSDIR/WINDOWS-BY-WINRM__SHINKEN__VENDOR/WINDOWS-BY-WINRM__SHINKEN__PACKNAME
 /var/lib/shinken-user/libexec/shinken-additional-packs/windows-by-WinRM__shinken

Chemin absolu du dossier contenant les sondes du pack windows-by-WinRM__shinken ( non modifiable )

Propriétés de l'hôte

NomModifiable surUnitéDéfautValeur par défautDescription
HOSTADDRESS

l'Hôte

( Onglet Général )

--

Nom de l'hôte Nom de l'hôte

Adresse de l'hôte

Résultat

Exemple

Interprétation

Statut

  • Il peut prendre quatre valeurs  OK / CRITIQUE / ATTENTION / INCONNU .
    • Le statut va dépendre du retour de sonde et de la configuration spécifique du check pour les données suivantes :

      • WINDOWS_BY_WINRM__NTP-SYNC__OFFSET-CRIT

      • WINDOWS_BY_WINRM__NTP-SYNC__OFFSET-WARN

      • WINDOWS_BY_WINRM__NTP-SYNC__DELAY-CRIT

      • WINDOWS_BY_WINRM__NTP-SYNC__DELAY-WARN

    • Voici un tableau récapitulatif du statut attendu suivant le retour de sonde :

Le texte de la colonne  "Affichage des seuils" montre les paramètres utilisés et leur valeur définie sur l'équipement supervisé.

Situation

Statut

Exemple

  • Le décalage observé dépasse WINDOWS_BY_WINRM__NTP-SYNC__OFFSET-CRIT
 CRITIQUE

  • Le décalage observé dépasse WINDOWS_BY_WINRM__NTP-SYNC__OFFSET-WARN
 ATTENTION


  • Le délai observé dépasse WINDOWS_BY_WINRM__NTP-SYNC__DELAY-CRIT

CRITIQUE



  • Le délai observé dépasse WINDOWS_BY_WINRM__NTP-SYNC__DELAY-WARN.

ATTENTION

  • Aucun serveur de temps n'est configuré, l'hôte supervisé s'établit sur sa propre horloge.

INCONNU

  • Le service W32Time n'est pas démarré sur l'hôte supervisé.

INCONNU

Résultat

Le résultat contient un message indiquant le statut du check. 


Lors d'un passage en CRITIQUE ou ATTENTION , un message indique quel en est la cause.

Résultat Long

Le résultat long contient un tableau affichant la valeur de l'OFFSET et du DELAY  en millisecondes.

Métriques

Définition

Nom de la métriqueUnitéDescriptionSeuil d'avertissementSeuil critique
delaymsTemps aller-retour entre le client et le serveur WINDOWS_BY_WINRM__NTP-SYNC__DELAY-WARNWINDOWS_BY_WINRM__NTP-SYNC__DELAY-CRIT
offsetmsDécalage de temps entre le système et le serveurWINDOWS_BY_WINRM__NTP-SYNC__OFFSET-WARNWINDOWS_BY_WINRM__NTP-SYNC__OFFSET-CRIT

Exemple

Erreurs et pré-requis

Ntp Sync by WinRM

MONITORED HOST - BAD STATE – Windows Time service is not running. Please start the w32time service

Le service de temps W32Time n'est pas allumé.

La commande ci-dessous permet de le rallumer :

# Redémarrer le service WinRM :
Restart-Service W32Time


Il est aussi possible de le configurer pour se lancer automatiquement au démarrage :

# Configurer le démarrage automatique
Set-Service -Name W32Time -StartupType Automatic

MONITORED HOST - BAD STATE – No external time server source is configured.

La machine Windows supervisé n'a aucune source NTP externe configuré. Son unique référence de temps est sa propre horloge.

Résolution 1 :

Si ce comportement était attendu, alors il est possible de désactiver le check NTP Sync by WinRM sur cette machine.

Résolution 2 :


Il est possible de configurer sa machine Windows avec de nouvelles sources externes NTP. Pour cela :


Ouvrir un PowerShell en administrateur.

Clic-droit sur PowerShell → Exécuter en tant qu'administrateur

Définir un nouveau serveur NTP

Remplacer le serveur par celui de votre choix  ( exemple :  pool.ntp.org ou time.windows.com ).

w32tm /config /manualpeerlist:"time.windows.com" /syncfromflags:manual /reliable:yes /update

Redémarrer le service de temps Windows

Restart-Service w32time

Forcer une synchronisation ( optionnel ) 

w32tm /resync

Erreurs de connexion ( communes à tous les checks )


UNKNOWN – Transport error : failed to send request: request timed out

L’hôte supervisé a mis trop de temps à répondre à la requête.

Note : ce problème peut également provenir d’un mauvais port configuré, d’un port fermé sur l’hôte supervisé, ou si le service WinRM est stoppé sur l'hôte supervisé.

Résolution :

La commande ci dessous permet de voir l'état du service WinRM :

Get-Service WinRM


Il est possible de le démarrer ou de le configurer pour se lancer automatiquement avec les commandes suivantes :

# Redémarrer le service WinRM :
Restart-Service WinRM

# Configurer le démarrage automatique
Set-Service -Name WinRM -StartupType Automatic

UNKNOWN – Transport error : sent request failed: connection refused

L'hôte à refusé la connection ; ou bien son pare-feu.

  • Il se peut que vôte service WinRM ne soit pas lancé
  • ou que votre pare-feu ne soit pas configuré.


UNKNOWN – Transport error : sent request failed: host is not reachable

L'hôte n'a pas pu recevoir la requête. Vérifiez votre réseau, routeur, pare-feu et nom d'hôte.

UNKNOWN – Transport error : sent request failed: DNS resolution failed

Le nom de l’hôte n’a pas pu être résolu. Vérifiez que l’adresse renseignée est correcte et que le serveur DNS est accessible.

UNKNOWN – Transport error : failed to build request: given uri is invalid

Le nom de l’hôte n'est pas une URI valide. Vérifiez que l’adresse renseignée est correcte.

UNKNOWN – Authentication NTLM failed : NTLM is not supported by the server

NTLM n'est pas activé sur l'hôte à superviser.

Résolution :

Vous pouvez :

  • Activer NTLM sur l'hôte supervisé avec la commande suivante :

    winrm set winrm/config/service/auth '@{Negotiate="true"}'
  • Choisir un autre mode d'authentification, en modifiant la donnée "WINDOWS_BY_WINRM__AUTHMETHOD"

UNKNOWN – Authentication NTLM failed : Unauthorized

La connexion NTLM n'a pas été autorisé. Les raisons possibles sont :

  • Le couple utilisateur / mot de passe n'est pas valide
  • L'utilisateur n'existe pas

  • Winrm n'a pas été configuré avec la commande :

    winrm quickconfig
  • L'utilisateur n'appartient pas aux groupes nécessaires aux permissions WinRM


Résolution :


Il faut s'assurer d'avoir correctement appliqué les configurations décrites dans les sections "Configuration de WinRM" et "Configuration de l'utilisateur" ( Voir la page Configuration du Windows supervisé pour le pack windows-by-WinRM__shinken ).

UNKNOWN – Authentication Basic failed : Basic is not supported by the server

L'authentification basic n'est pas activé sur l'hôte à superviser.

Résolution :

Vous pouvez :

  • Activer Basic sur l'hôte supervisé avec la commande suivante, et autoriser les communications non chiffrées :

    winrm set winrm/config/service/auth '@{Basic="true"}'
winrm set winrm/config/service '@{AllowUnencrypted="true"}'
  • Choisir un autre mode d'authentification, en modifiant la donnée "WINDOWS_BY_WINRM__AUTHMETHOD"

UNKNOWN – Authentication Basic failed : Unauthorized

La connexion basic n'a pas été autorisé. Les raisons possibles sont :

  • Le couple utilisateur / mot de passe n'est pas valide
  • L'utilisateur n'existe pas

  • Winrm n'a pas été configuré avec la commande :

    winrm quickconfig
  • L'utilisateur n'appartient pas aux groupes nécessaires aux permissions WinRM


Résolution :


Il faut s'assurer d'avoir correctement appliqué les configurations décrites dans les sections "Configuration de WinRM" et "Configuration de l'utilisateur" ( Voir la page Configuration du Windows supervisé pour le pack windows-by-WinRM__shinken ).

Erreurs de configuration de l'hôte à superviser ( communes à tous les checks )

UNKNOWN – Response fault error: Code: s:Sender, Subcode: w:AccessDenied, Reason: Access is denied.

L'utilisateur utilisé n'a pas accès à l'éxécution de commandes à distances.

Résolution :

Il est important de donner les accès "Read" et "Invoke" à l'utilisateur de supervision afin qu'il puisse lire des ressources et éxécuter des commandes sur l'hôte supervisé.

Il faut s'assurer d'avoir correctement appliqué la configuration décrite dans la section "Permissions WinRM pour l'utilisateur" ( Voir la page Configuration du Windows supervisé pour le pack windows-by-WinRM__shinken ).

MONITORED HOST - BAD STATE – Command execution Failed. Permission denied.

L'utilisateur utilisé n'a pas accès aux objets CIM, necessaire à la supervision de la machine.

Résolution :

Il est necessaire de donner les accès à distance aux objets CIMv2 et StandardCimv2.

Il faut s'assurer d'avoir correctement appliqué la configuration décrite dans la section "Autorisation aux objets CIM" ( Voir la page Configuration du Windows supervisé pour le pack windows-by-WinRM__shinken ).

UNKNOWN – Command execution Failed. [...] Provider failure

L'utilisateur utilisé n'a pas accès aux objets CIM. Les permissions sont en cours d'application.

Résolution :


L'erreur survient après la modification des droits aux objets CIM de l'utilisateur. Il suffit d'attendre ou de redémarrer la machine afin que les permissions s'actualisent.