docker-wazuh-agent

镜像概述和主要用途

Wazuh 是一款免费、开源且企业级的安全监控解决方案，用于威胁检测、完整性监控、事件响应和合规性管理。本 Docker 镜像封装了 Wazuh Agent，并集成了自动注册功能，可无缝对接 Wazuh 服务器。该实现不仅可作为独立 Docker 容器运行，还能部署为 Kubernetes DaemonSet，适用于多种环境的安全监控需求。

核心功能和特性

主要特性

1. 容器化封装：Wazuh Agent 被封装为 Docker 镜像，提升了在不同环境中的可移植性和部署便捷性。
2. 自动注册：代理配置为自动向 Wazuh 服务器注册，简化接入流程，无需手动干预。
3. 独立部署支持：Docker 容器可作为独立实体部署，为未使用编排工具的环境提供灵活性。
4. Kubernetes 兼容性：可集成为 Kubernetes DaemonSet，在 Kubernetes 集群的节点间无缝扩展，确保全面的安全覆盖。

使用场景和适用范围

• 独立环境：适用于无需编排工具的小型环境，通过独立 Docker 容器快速部署 Wazuh Agent。
• Kubernetes 集群：作为 DaemonSet 部署，监控集群内所有节点，满足容器化环境的安全监控需求。
• 混合架构：同时支持物理机、虚拟机和容器环境，提供统一的安全监控解决方案。

免责声明

本软件由版权持有人及贡献者按"原样"提供，不承担任何明示或暗示的担保，包括但不限于适销性和特定用途适用性的默示担保。在任何情况下，版权持有人或贡献者均不对任何直接、间接、偶然、特殊、惩戒性或后果性损害（包括但不限于替代商品或服务的采购；使用、数据或利润损失；或业务中断）承担责任，无论其成因及责任理论如何（无论是合同责任、严格责任还是侵权责任，包括过失或其他），即使已被告知此类损害的可能性。

Wazuh Agent 版本对应关系

DockerHub 镜像

镜像结构

• register_agent.py: 用于 Docker 代理的自动注册脚本
• cleanup_agents.py: 清理超过 N 天未连接或从未连接的代理脚本
• deregister_agent.py: 代理注销脚本

配置参数（环境变量）

使用方法

1. 以 Docker 容器运行

最简运行命令

docker run --rm opennix/wazuh-agent:latest

高级用法示例

docker run -d --name wazuh-agent \
  -v /:/rootfs:ro \
  --net host \
  --hostname ${HOSTNAME} \
  -e JOIN_MANAGER_MASTER_HOST=172.17.0.1 \
  -e JOIN_MANAGER_WORKER_HOST=172.17.0.1 \
  -e JOIN_MANAGER_USER=user \
  -e JOIN_MANAGER_PASSWORD=test123 \
  -e JOIN_MANAGER_API_PORT=55000 \
  -e JOIN_MANAGER_PORT=1514 \
  -e WAZUH_GROUPS=default,linux \
  -v /etc/os-release:/etc/os-release \
  -v /var/run/docker.sock:/var/run/docker.sock \
  opennix/wazuh-agent:latest

2. 使用 docker-compose 部署

生成证书

docker compose -f tests/single-node/generate-indexer-certs.yml run --rm generator

启动服务（单节点 Wazuh 集群 + 3 个代理）

docker compose up -d

3. 使用 Makefile

make help                           # 查看帮助信息
make build-minideb                  # 构建基于 Minideb 的 Wazuh Agent 镜像
make build-amazon-linux             # 构建基于 Amazon Linux 的 Wazuh Agent 镜像
make build-ubuntu                   # 构建基于 Ubuntu 的 Wazuh Agent 镜像
make docker-run                     # 运行基于 Minideb 的 Wazuh Agent 容器
make docker-push-minideb            # 推送 Minideb 基础镜像到仓库
make docker-push-amazon-linux       # 推送 Amazon Linux 基础镜像到仓库
make docker-push-ubuntu             # 推送 Ubuntu 基础镜像到仓库
make run-local                      # 启动包含所有代理的 docker-compose 栈

4. 部署为 Kubernetes DaemonSet

配置环境变量

在 wazuh-daemon-sets.yaml 中设置环境变量，示例：

env:
  - name: JOIN_MANAGER_MASTER_HOST
    value: "wazuh.wazuh.svc.cluster.local"
  - name: JOIN_MANAGER_WORKER_HOST
    value: "wazuh-workers.wazuh.svc.cluster.local"
  - name: JOIN_MANAGER_PROTOCOL
    value: "https"
  - name: NODE_NAME
    valueFrom:
      fieldRef:
        fieldPath: spec.nodeName
  - name: JOIN_MANAGER_USER
    valueFrom:
      secretKeyRef:
        name: wazuh-api-cred
        key: username
  - name: JOIN_MANAGER_PASSWORD
    valueFrom:
      secretKeyRef:
        name: wazuh-api-cred
        key: password
  - name: JOIN_MANAGER_API_PORT
    value: "55000"
  - name: JOIN_MANAGER_PORT
    value: "1514"

部署 DaemonSet

kubectl apply -f wazuh-daemon-sets.yaml

（将部署到 wazuh 命名空间）

本地构建镜像

基于 Minideb 构建（默认，Agent 版本 4.3.10-1）

docker build . -t wazuh-agent:latest

基于 Amazon Linux 构建

docker build -f images/Dockerfile.amazonlinux . -t wazuh-agent:latest

基于 Ubuntu 24.04 构建

docker build -f images/Dockerfile.ubuntu . -t wazuh-agent:latest

构建自定义 Agent 版本

通过 --build-arg AGENT_VERSION 指定版本，示例：

docker build . -t wazuh-agent:4.4.5-1 --build-arg AGENT_VERSION=4.4.5-1

注意事项

• 有关详细配置选项和自定义方法，请参考 官方文档。
• 监控 Kubernetes 集群时，建议通过 DaemonSet 部署以确保所有节点均被覆盖。
• 生产环境中，敏感信息（如 JOIN_MANAGER_PASSWORD）建议通过 Kubernetes Secrets 或 Docker Secrets 管理。