AWS EC2用户数据启动Wazuh Agent时FIM模块失效，重启后恢复

问题根源 #

通过EC2用户数据脚本启动Wazuh Agent时，agent安装完成后立即启动，但此时集中式配置的agent.conf尚未完成同步。FIM模块依赖该配置中的监控规则，没有加载到有效配置的情况下，agent启动后不会执行FIM监控任务，导致仪表盘无数据。而SSH登录后重启agent时，配置已完成同步，因此FIM恢复正常。

解决方案 #

针对用户数据脚本的执行顺序，调整启动逻辑，确保agent在配置同步完成后再启动，以下是三种可行方案：

1. 添加固定延迟等待配置同步 #

在启动agent前加入sleep命令，给注册和配置同步预留足够时间：

yum update -y; 
WAZUH_MANAGER="${WAZUH_WORKER}" WAZUH_REGISTRATION_SERVER="${WAZUH_AUTH}" WAZUH_AGENT_NAME="${AGENT_NAME}" WAZUH_AGENT_GROUP="default" WAZUH_REGISTRATION_PASSWORD="${AUTH_PASSWORD}" yum install -y https://packages.wazuh.com/4.x/yum/wazuh-agent-4.3.9-1.x86_64.rpm; 
systemctl daemon-reload; 
systemctl enable wazuh-agent;
# 等待30秒确保配置同步完成
sleep 30;
systemctl start wazuh-agent;

2. 循环验证配置文件后启动 #

通过循环检查agent.conf是否存在且非空，确保配置同步完成后再启动agent：

yum update -y; 
WAZUH_MANAGER="${WAZUH_WORKER}" WAZUH_REGISTRATION_SERVER="${WAZUH_AUTH}" WAZUH_AGENT_NAME="${AGENT_NAME}" WAZUH_AGENT_GROUP="default" WAZUH_REGISTRATION_PASSWORD="${AUTH_PASSWORD}" yum install -y https://packages.wazuh.com/4.x/yum/wazuh-agent-4.3.9-1.x86_64.rpm; 
systemctl daemon-reload; 
systemctl enable wazuh-agent;
# 循环等待agent.conf生成并同步内容
until [ -s /var/ossec/etc/shared/agent.conf ]; do
    sleep 5
done
systemctl start wazuh-agent;

3. 手动触发配置同步后启动 #

先手动执行agent注册和配置重载，确保配置生效后再启动服务：

yum update -y; 
WAZUH_MANAGER="${WAZUH_WORKER}" WAZUH_REGISTRATION_SERVER="${WAZUH_AUTH}" WAZUH_AGENT_NAME="${AGENT_NAME}" WAZUH_AGENT_GROUP="default" WAZUH_REGISTRATION_PASSWORD="${AUTH_PASSWORD}" yum install -y https://packages.wazuh.com/4.x/yum/wazuh-agent-4.3.9-1.x86_64.rpm; 
systemctl daemon-reload; 
systemctl enable wazuh-agent;
# 手动完成注册并触发配置重载
/var/ossec/bin/agent-auth -m ${WAZUH_AUTH} -p ${AUTH_PASSWORD} -n ${AGENT_NAME} -G default
/var/ossec/bin/wazuh-control reload
systemctl start wazuh-agent;

验证方法 #

修改脚本后启动EC2实例，等待5-10分钟后：

• 检查/var/ossec/etc/shared/agent.conf是否存在且包含FIM监控规则
• 查看Wazuh仪表盘，确认FIM模块已开始上报数据

内容的提问来源于stack exchange，提问作者smaricevic