imported>TechCorner-Redaktion: Import aus Wazuh-Blog (m.a.x. it, eigenes Copyright)

2026-09-15T00:00:00Z

Import aus Wazuh-Blog (m.a.x. it, eigenes Copyright)

Neue Seite

== RBAC, Rollen, User und Agent-Gruppen korrekt sichern und wiederherstellen ==

=== Einleitung ===

Nach einer '''Neuinstallation oder Migration eines Wazuh-Clusters''' stellt sich häufig heraus, dass zwar Agenten, Indizes und Logs wieder vorhanden sind – '''aber sicherheitsrelevante Metadaten fehlen'''. Dazu zählen insbesondere:

* Wazuh '''RBAC (User, Rollen, Mappings)'''
* '''OpenSearch / Indexer Security'''
* '''Agent-Gruppen und Gruppenmitgliedschaften'''

Dieser Artikel erklärt '''wo diese Informationen gespeichert sind''', '''wie sie korrekt gesichert werden''' und '''welche Restore-Strategien zukunftssicher sind''', inklusive offizieller Quellen.

== 1. Wazuh RBAC (User, Rollen, Mappings) ==

=== Was ist Wazuh RBAC? ===

Wazuh RBAC steuert:

* Dashboard-Benutzer
* Rollen (z. B. Analyst, Admin)
* Zugriffsrechte auf Agents, Gruppen und Module

⚠️ '''Wichtig:'''
Wazuh RBAC ist '''nicht identisch''' mit OpenSearch Security.

=== Wo sind RBAC-Daten gespeichert? ===

* Intern in der '''Wazuh Manager RBAC-Datenbank'''
* '''Nicht''' in YAML-Dateien
* '''Nicht''' im Indexer

➡️ Eine direkte Dateiwiederherstellung ist '''nicht vorgesehen'''.

=== Empfohlene Restore-Methode ===

✅ '''Automatisierung über die Wazuh API'''

Damit lassen sich:

* Benutzer anlegen
* Rollen erstellen
* Rollen Usern zuweisen
* Zugriffe reproduzierbar konfigurieren

=== Offizielle Quellen ===

* Wazuh RBAC – User & Rollen[https://documentation.wazuh.com/current/user-manual/user-administration/rbac.html https://documentation.wazuh.com/current/user-manual/user-administration/rbac.html]
* RBAC Database Integrity (technischer Hintergrund)[https://documentation.wazuh.com/current/development/rbac-database-integrity.html https://documentation.wazuh.com/current/development/rbac-database-integrity.html]
* Wazuh API Referencehttps://documentation.wazuh.com/current/user-manual/api/

=== Best Practice ===

'''RBAC niemals nur sichern – sondern als Code definieren.'''
API-Skripte (curl, Ansible, Terraform) sind versionssicher und migrationsfest.

== 2. OpenSearch / Wazuh Indexer Security ==

=== Was gehört dazu? ===

* Indexer-User
* Rollen
* Role Mappings
* Zertifikatsbasierte Zugriffe

Diese Ebene ist '''OpenSearch Security''', nicht Wazuh-RBAC.

=== Automatisierung & Restore ===

✅ Vollständig über die '''OpenSearch Security API'''

=== Offizielle Quellen ===

* OpenSearch Security API – Access Control[https://docs.opensearch.org/latest/security/access-control/api/ https://docs.opensearch.org/latest/security/access-control/api/]
* Wazuh Indexer Security Overviewhttps://documentation.wazuh.com/current/user-manual/wazuh-indexer/security.html

=== Typischer Fehler ===

„Wazuh neu installiert, Indexer Security vergessen → alle User/Rollen weg“

➡️ '''Indexer Security immer separat sichern''', z. B.:

* API-Export
* Snapshots
* Versionskontrollierte YAML-Definitionen

== 3. Agent-Gruppen & Gruppenmitgliedschaften ==

=== Häufiges Symptom ===

* Gruppen existieren (<code>agent_groups -l</code>)
* '''Alle Agents sind wieder in <code>default</code>'''
* <code>/var/ossec/etc/shared</code> wurde bereits restored

=== Ursache (entscheidend!) ===

Agent-Gruppenzuordnungen liegen '''nicht''' in <code>shared/</code>.

=== Tatsächlicher Speicherort ===

<syntaxhighlight lang="text">
/var/ossec/queue/db/global.db
</syntaxhighlight>

* SQLite-Datenbank
* Enthält u. a.:

<code>group</code>
* <code>belongs</code>

=== Korrektes Restore-Verfahren ===

# '''Nur auf dem Master-Manager'''
# <code>wazuh-manager</code> stoppen
# <code>global.db</code> aus Backup zurückkopieren
# Rechte prüfen
# <code>wazuh-manager</code> starten

➡️ Danach sind '''alle Agent-Gruppen wieder korrekt zugeordnet'''

=== Quellen ===

* Agent Groups – Wazuh Docshttps://documentation.wazuh.com/current/user-manual/reference/agent-configuration/agent-groups.html
* Wazuh Internal Databases (implizit)[https://documentation.wazuh.com/current/development/ https://documentation.wazuh.com/current/development/]

== 4. Empfohlene Backup-Strategie (Best Practice) ==

=== Wazuh Manager ===

Sichern:

<syntaxhighlight lang="text">
/var/ossec/etc/
/var/ossec/etc/shared/
/var/ossec/queue/db/global.db ← kritisch
</syntaxhighlight>

Optional:

<syntaxhighlight lang="text">
/var/ossec/logs/
</syntaxhighlight>

=== Wazuh RBAC ===

* API-Skripte für:

User
* Rollen
* Mappings

Keine manuelle DB-Bearbeitung

=== Wazuh Indexer ===

* Security API Backups
* Zertifikate & Keystores
* Optional: Snapshots[https://wazuh.com/blog/index-backup-management/ https://wazuh.com/blog/index-backup-management/]

== 5. Zusammenfassung ==

BereichSpeicherortRestore-MethodeWazuh RBACinterne DBWazuh APIIndexer SecurityOpenSearchSecurity APIAgent-Gruppen<code>global.db</code>Datei-RestoreShared Config<code>/etc/shared</code>Datei-Restore

== Fazit ==

* '''Nicht alles in Wazuh ist dateibasiert'''
* '''Agent-Gruppen = <code>global.db</code>'''
* '''RBAC = API-Automatisierung'''
* '''Indexer Security = OpenSearch Security API'''

🔐 ''Backups sind wichtig – reproduzierbare Automatisierung ist entscheidend.''

[https://wazuh.slack.com/archives/C07CCCCGHHP/p1765909975641159 https://wazuh.slack.com/archives/C07CCCCGHHP/p1765909975641159]

== Quelle ==
Dieser Artikel stammt aus dem [https://wazuh-blog.max-it.de/wazuh-migration-wiederherstellung/ Wazuh-Blog von m.a.x. it] (veröffentlicht am 4. Januar 2026).

== Unterstützung von m.a.x. it ==
Bei Einführung, Betrieb und Feintuning von Wazuh (SIEM) unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/siem-open-source/ SIEM-Services auf Open-Source-Basis].

{{Uebermax}}
[[Kategorie:Wazuh]]

Wazuh Migration & Wiederherstellung - Versionsgeschichte

imported>TechCorner-Redaktion: Import aus Wazuh-Blog (m.a.x. it, eigenes Copyright)