1. 为什么我把 Wazuh 部署交给 AI 提示词来做Wazuh 是一套开源的安全监控平台能做的事包括日志采集、入侵检测、文件完整性校验、漏洞识别和合规审计适合想把服务器安全基线管起来、又不想一上来就买商业 SIEM 的团队。它的完整栈由 Wazuh Indexer、Wazuh Manager、Wazuh Dashboard 和 Agent 组成单机跑起来要装的东西不少多节点还要处理证书、端口和注册关系。手动一行行敲命令最怕的不是命令长而是中间某一步报错之后你不知道该回退到哪。我这次的做法是把部署目标、主机信息、资源分配、验收标准全部写进一段结构化提示词交给 AI 助手去执行和排障同时用 TaoToken 作为统一的模型调用通道让 AI 在长流程里稳定地拿到模型能力。这样做的价值在于部署过程从“我记命令”变成“我描述结果”AI 负责把命令、依赖、配置和验证串起来。适合谁看手里有一台 CentOS 9 或 Ubuntu 22.04 主机、想快速搭一套 Wazuh 测试环境的安全运维、后端开发、以及正在学 SIEM 的同学。单机和两节点集群两种场景我都会给到提示词模板可以直接复制改参数。先说清楚一个边界AI 帮你生成和执行部署步骤但目标主机的账号、网络、资源是你提供的AI 不会凭空变出一台机器。所以提示词里必须写清楚 IP、SSH 账户、系统版本、内存大小、目标网段这些信息越具体AI 的步骤越不容易跑偏。我试过把信息写模糊结果 AI 在网卡名和桥接模式上反复猜浪费了不少时间。另外Wazuh 的默认安装脚本会拉取官方软件包部署前确认目标主机能正常访问软件源。如果你的环境是纯内网需要提前把包同步到本地源这一点在提示词里也要说明否则 AI 会卡在下载环节。2. TaoToken 前置准备统一 Key 与 API 通道怎么配AI 要跑完整个部署流程背后得有稳定的模型调用。TaoToken 提供统一的 API 通道把不同模型的调用收敛到一个 Base URL 和一把 Key 上这样你在提示词里让 AI 做规划、排错、生成配置时不用来回切换供应商。你需要先拿到 API Key。打开 https://taotoken.net/api-keys 创建一把 Key复制保存好后面配置里会用到。注意 Key 只在创建时完整显示一次丢了就重新建一把。Base URL 统一用 https://taotoken.net/api 不要带任何多余路径。模型 ID 按你实际要用的填比如做代码和命令生成可以用 claude-sonnet 系列做长流程规划可以用 gpt 系列具体以控制台里列出的可用模型为准。控制台地址是 https://taotoken.net/console 模型对话体验入口在 https://taotoken.net/chat 。如果你用的是 Claude Code 这类编码工具接入文档在 https://taotoken.net/doc 里面有各客户端的配置说明。Coding Plan 适合长期跑编码和 Agent 任务的场景入口在 https://taotoken.net/coding-plan 。这里有个关键点TaoToken 是模型调用的统一入口不是网络代理工具也不做任何绕过网络限制的事情。它的作用是把你的模型请求按标准 API 格式转发到对应模型你只需要关心 Base URL、Key、Model ID 三件套。配置的时候环境变量方式最省事很多工具都认这几个变量export OPENAI_BASE_URLhttps://taotoken.net/api export OPENAI_API_KEY你的TaoToken Key export OPENAI_MODELclaude-sonnet-4-20250514如果你的工具用的是 Anthropic 协议Base URL 同样填 https://taotoken.net/api Key 用同一把模型 ID 换成对应的 Claude 模型即可。三件套缺一不可Base URL 决定请求发到哪Key 决定身份Model ID 决定用哪个模型。少填一个最常见的报错就是 401 或者 model not found。3. 可复制配置提示词模板与 settings 片段这一节给你可以直接复制的提示词模板以及配套的配置文件片段。提示词的核心思路是把“角色、目标、前置条件、执行步骤、验收标准、错误处理”六块写全AI 拿到之后就能按部就班地执行。先看提示词模板单机和多节点都基于它改# 任务CentOS 9 主机 Wazuh 安全监控系统全自动部署 ## 角色 你是一名专业的 Linux 运维工程师和 SIEM 安全专家擅长自动化部署和安全审计配置。 ## 目标 在目标 Linux 主机上完成 Wazuh 安全监控平台的完整部署包括 SSH 密钥配置、 虚拟化环境搭建、两节点 Wazuh 集群部署以及审计规则配置确保环境正常工作。 ## 执行前置条件与主机信息 - 目标主机 IP192.168.8.172 - SSH 账户root - SSH 密码Pssw0rd - 操作系统CentOS 9 - 物理内存32 GB - 目标网段192.168.8.0/24 ## 任务执行步骤 ### 第一阶段SSH 连接与密钥认证配置 1. 使用密码登录目标主机ssh root192.168.8.172 2. 检查当前工作目录确认网络连通性 3. 生成 SSH 密钥对用于后续免密登录 ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519 -N 4. 将生成的公钥添加至 authorized_keys cat ~/.ssh/id_ed25519.pub ~/.ssh/authorized_keys chmod 600 ~/.ssh/authorized_keys 5. 配置 SSH 服务端确保 /etc/ssh/sshd_config 中 PubkeyAuthentication yes重启 sshd 6. 验证使用密钥重新登录一次确认免密登录成功 ### 第二阶段部署虚拟化环境 1. 更新系统包管理器dnf update -y 2. 安装 VirtualBox 依赖dnf install -y kernel-devel kernel-headers gcc make perl 3. 安装 VirtualBox添加官方仓库 dnf install -y https://download.virtualbox.org/virtualbox/7.0/rpm/el/virtualbox.repo dnf install -y VirtualBox-7.0 4. 安装 Vagrant dnf install -y yum-utils yum-config-manager --add-repo https://rpm.releases.hashicorp.com/RHEL/hashicorp.repo dnf install -y vagrant 5. 验证vagrant --version 和 vboxmanage --version ### 第三阶段创建 Vagrantfile 并部署两台虚拟机 根据物理主机 32GB 内存资源进行合理分配 - Wazuh Dashboard 虚拟机4GB 内存 2 CPU - Wazuh Agent 虚拟机2GB 内存 1 CPU - 剩余内存约 24GB 留给物理主机和其他服务 两台虚拟机均使用 Ubuntu 22.04 LTS网络模式采用桥接方式与物理主机同网段。 ### 第四阶段部署 Wazuh Dashboard 1. 进入虚拟机并切换 rootvagrant ssh wazuh-dashboard 然后 sudo -i 2. 下载并运行 Wazuh 安装助手 curl -sO https://packages.wazuh.com/4.9/wazuh-install.sh sudo bash ./wazuh-install.sh -a 3. 安装完成后记录输出的访问凭证 4. 将 admin 密码设置为 WazuhTtY_2026 sudo /usr/share/wazuh-indexer/bin/wazuh-passwords-tool -u admin -p WazuhTtY_2026 5. 验证服务状态 systemctl status wazuh-manager wazuh-indexer wazuh-dashboard ### 第五阶段部署 Wazuh Agent 并注册 1. 进入 Agent 虚拟机vagrant ssh wazuh-agent 然后 sudo -i 2. 安装 Wazuh Agent curl -s https://packages.wazuh.com/4.x/wazuh-install.sh | bash -s -- -a 3. 配置 Agent 连接至 Dashboard 虚拟机 sed -i s/MANAGER_IP.*/MANAGER_IP192.168.8.173/ /var/ossec/etc/ossec.conf 4. 启动 Agent systemctl daemon-reload systemctl enable wazuh-agent systemctl start wazuh-agent 5. 验证在 Dashboard 端确认 Agent 注册状态 sudo /var/ossec/bin/agent_control -l ### 第六阶段配置审计规则 在 Agent 虚拟机 192.168.8.174 上配置 auditd 审计规则 1. 安装 auditd apt update apt install -y auditd audispd-plugins systemctl enable auditd systemctl start auditd 2. 添加审计规则以监控用户登录和命令执行 cat EOF /etc/audit/rules.d/audit.rules -a exit,always -F archb64 -S execve -F auid!-1 -k audit-wazuh-c -a exit,always -F archb32 -S execve -F auid!-1 -k audit-wazuh-c -w /var/log/auth.log -p wa -k login_monitor -w /var/log/secure -p wa -k login_monitor -w /etc/passwd -p wa -k account_changes -w /etc/shadow -p wa -k account_changes -w /etc/sudoers -p wa -k sudo_changes EOF 3. 加载审计规则auditctl -R /etc/audit/rules.d/audit.rules 4. 配置 Wazuh Agent 读取 auditd 日志在 /var/ossec/etc/ossec.conf 的 localfile 部分添加 localfile log_formataudit/log_format location/var/log/audit/audit.log/location /localfile 5. 重启 Wazuh Agentsystemctl restart wazuh-agent 6. 验证auditctl -l | grep -E execve|audit-wazuh-c ## 错误处理策略 - 连接失败等待 5 秒后重试最多重试 3 次 - 命令执行失败检查错误信息依赖缺失则自动安装权限问题则使用 sudo 提权 - Vagrant 启动失败检查 VirtualBox 服务状态必要时重启服务 - Agent 无法注册检查 Dashboard 的 1514-1515 端口是否开放 - 内存不足Dashboard 降到 2GB、Agent 降到 1GB 并重试 ## 最终交付清单 部署完成后输出 Markdown 格式的部署报告包含部署概览、SSH 密钥配置结果、 Vagrant 部署结果、Dashboard 信息、Agent 信息、审计规则配置、验证测试、异常记录。这段提示词里主机信息、资源分配、验收标准都是硬编码的你换成自己的 IP 和密码就能用。多节点场景只需要在第三阶段把 Vagrantfile 里的虚拟机定义复制多份改 hostname 和 IP然后在第四阶段对每个 Manager 节点重复安装步骤。配套的 Vagrantfile 片段Vagrant.configure(2) do |config| config.vm.define wazuh-dashboard do |dashboard| dashboard.vm.box ubuntu/jammy64 dashboard.vm.hostname wazuh-dashboard dashboard.vm.network public_network, ip: 192.168.8.173, bridge: eth0 dashboard.vm.provider virtualbox do |vb| vb.memory 4096 vb.cpus 2 vb.name wazuh-dashboard end end config.vm.define wazuh-agent do |agent| agent.vm.box ubuntu/jammy64 agent.vm.hostname wazuh-agent agent.vm.network public_network, ip: 192.168.8.174, bridge: eth0 agent.vm.provider virtualbox do |vb| vb.memory 2048 vb.cpus 1 vb.name wazuh-agent end end end如果你用的是 Claude Code 或 Cline 这类工具settings 里把三件套配好AI 才能稳定调用模型。以 Claude Code 的 settings.json 为例{ env: { ANTHROPIC_BASE_URL: https://taotoken.net/api, ANTHROPIC_API_KEY: 你的TaoToken Key, ANTHROPIC_MODEL: claude-sonnet-4-20250514 } }Cline 的 MCP 配置里Base URL 同样填 https://taotoken.net/api Key 用同一把Model ID 按控制台可用列表填。Codex 的 auth.json 结构类似把 base_url 和 api_key 换成 TaoToken 的值即可。三件套写全缺一个都会在请求阶段报错。4. 验证请求与成功结果确认 Wazuh 真的在监控部署完不等于监控生效必须做验证。验证分三层服务层、注册层、告警层。服务层验证在 Dashboard 虚拟机上执行systemctl status wazuh-manager wazuh-indexer wazuh-dashboard三个服务都应该是 active (running)。如果 indexer 起不来多半是内存不够JVM 堆没分配上回到提示词里的错误处理策略降内存重试。注册层验证在 Agent 虚拟机上执行sudo /var/ossec/bin/agent_control -l输出里应该能看到 Agent 的 ID、名称和 Active 状态。如果显示 Never connected检查 Manager 的 1514 端口是否可达ss -tlnp | grep 1514告警层验证是最终确认。在 Agent 虚拟机上触发一次登录事件和一次命令执行然后去 Dashboard 的 Security Events 里看有没有对应告警。触发命令执行很简单whoami这条命令会命中 execve 审计规则几秒后 Dashboard 应该出现 audit-wazuh-c 相关的告警。如果没出现检查 Agent 的 ossec.conf 里 localfile 是否指向 /var/log/audit/audit.log以及 auditd 是否在跑。模型调用侧的验证可以用一条最简单的请求确认 TaoToken 通道通curl https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer 你的TaoToken Key \ -H Content-Type: application/json \ -d { model: claude-sonnet-4-20250514, messages: [{role: user, content: 回复 OK}] }返回里有 choices 字段就说明通道正常。如果返回 401检查 Key 是否复制完整如果返回 model not found检查 Model ID 是否在控制台可用列表里。部署完成后 AI 会输出一份报告格式类似这样# Wazuh 安全监控平台部署报告 ## 部署概览 - 部署时间2026-01-15 14:30 - 目标主机192.168.8.172 ## 虚拟机信息 - Dashboard: 192.168.8.173 (4GB 内存) - Agent: 192.168.8.174 (2GB 内存) ## 访问信息 - Dashboard 地址: https://192.168.8.173 - 用户名: admin - 密码: WazuhTtY_2026 ## 验证状态 - SSH 密钥配置完成 - Vagrant 双虚拟机启动成功 - Wazuh Dashboard 运行中 - Wazuh Agent 注册成功 (Active) - 审计规则已配置拿到这份报告你对照着逐项确认哪一项没打勾就回到对应阶段排查。5. 本篇常见报错排查401、local proxy failed、reading choices部署和接入过程中报错集中在几个地方我按实际遇到的整理出来。401 Unauthorized 是最常见的。原因通常是 Key 没填、填错、或者 Base URL 和 Key 不匹配。检查顺序先确认环境变量里 OPENAI_API_KEY 或 ANTHROPIC_API_KEY 的值和 TaoToken 控制台里的一致再确认 Base URL 是 https://taotoken.net/api 而不是别的地址。如果用的是 Claude Code检查 settings.json 里的 ANTHROPIC_BASE_URL 和 ANTHROPIC_API_KEY 是否都填了。三件套里少任何一个都会 401 或 404。local proxy failed 一般出现在工具配置了本地代理但代理没起来的时候。TaoToken 的接入不需要本地代理把工具里的 proxy 配置清掉直接走 Base URL 即可。如果你在 settings 里看到 http_proxy 或 https_proxy 指向本地端口删掉这两行再试。reading choices 报错说明请求发出去了但返回体里没有 choices 字段。常见原因是 Model ID 写错或者请求体格式不对。检查 model 字段是否和控制台可用列表一致检查 messages 是否是数组格式。用上面那条 curl 命令单独测一次能快速定位是通道问题还是工具配置问题。OAuth 相关报错出现在 Claude Code 这类需要登录的工具上。如果你用的是 API Key 模式就不需要走 OAuth把登录态清掉改用环境变量或 settings.json 里的 Key 配置。OAuth 和 API Key 两种模式不要混用混用会导致认证冲突。Wazuh 侧的报错Agent 无法注册最常见。检查 Manager 的 1514 和 1515 端口是否开放检查 Agent 的 ossec.conf 里 MANAGER_IP 是否指向正确的 Dashboard 地址。如果 Agent 显示 Active 但 Dashboard 收不到告警检查 auditd 是否在跑以及 ossec.conf 里 localfile 的路径是否正确。内存不足导致 indexer 启动失败也很常见。Wazuh Indexer 默认要 4GB 以上内存虚拟机给 2GB 会起不来。回到 Vagrantfile 把 Dashboard 虚拟机的内存调到 4GB或者按提示词里的策略降到 2GB 并调整 JVM 堆参数。6. 把 AI 部署流程固化下来这套流程跑通之后我建议你把提示词模板存成文件下次换台机器只改主机信息那几行。TaoToken 的 Key 和 Base URL 配一次后面所有 AI 辅助的部署、排错、配置生成都能复用同一条通道。如果你要长期跑编码和 Agent 任务可以看下 Coding Plan入口在 https://taotoken.net/coding-plan 。接入文档在 https://taotoken.net/doc 里面有各客户端的详细配置。API Key 在 https://taotoken.net/api-keys 创建控制台在 https://taotoken.net/console 。最后给一个实用技巧把部署报告模板也存下来每次部署完让 AI 按模板输出你归档的时候直接对比两次报告能快速看出环境差异。Wazuh 的告警链路验证不要省触发一次真实事件比看十个服务状态都管用。